Cours de 4h – Sécurité des Systèmes d’Information (SSI)
Niveau : Licence 3 IGL
Partie 1 – Introduction à la SSI (1h)
1. Définition des Systèmes d’Information (SI)
Un SI est un ensemble de ressources interconnectées (matériel, logiciel, données, processus,
personnel) permettant de traiter l’information au service des missions de l’organisation.
Exemple : Un système de gestion hospitalière (RDV, patients, pharmacie).
2. Définition de la sécurité des SI
C’est l’ensemble des moyens permettant de garantir la protection des actifs informationnels
face aux risques numériques, humains ou physiques.
3. Objectifs fondamentaux – Modèle C.I.A
• Confidentialité : Empêcher l’accès non autorisé (ex : chiffrement d’un fichier RH).
• Intégrité : Garantir que l’info est exacte et non altérée (ex : hash, signature).
• Disponibilité : Assurer l’accès au bon moment (ex : redondance serveur, PRA).
4. Concepts clés
• Menace : cause potentielle d’un dommage (ex : ransomware).
• Vulnérabilité : faille exploitable (ex : mot de passe faible).
• Risque = Menace × Vulnérabilité × Impact
5. Pourquoi la SSI est stratégique ?
• Dépendance numérique croissante
• Réglementations strictes (RGPD, loi ivoirienne)
• Impacts économiques (cyberassurance, réputation)
Partie 2 – Types de menaces et d’attaques (45 min)
1. Panorama des menaces
• Cybercriminalité : vols de données, fraudes bancaires.
• Hacktivisme : défacement de sites.
• APT : attaques furtives et ciblées (ex : États).
• Insiders : employés malveillants ou négligents.
2. Attaques courantes
• Phishing : vol de mot de passe via email frauduleux.
• Ransomware : chiffrement des fichiers avec rançon.
• Injection SQL : modification base de données via input non filtré.
Mohamed KONATE, GRC
• DDoS : saturation d’un site web.
• Malware/Zero-Day : logiciel malveillant ou attaque sur une faille inconnue.
3. Cas réels
• WannaCry (2017) : attaque massive via SMBv1.
• SolarWinds (2020) : infiltration par mise à jour piégée.
Partie 3 – Mécanismes de protection (1h)
1. Contrôles techniques
• Pare-feu : barrière entre réseau interne/externe.
• EDR : détection avancée sur poste client.
• Chiffrement : TLS pour réseau, AES pour fichiers stockés.
• Authentification forte : MFA (mot de passe + OTP/smartphone).
2. Contrôles organisationnels
• Politique de sécurité : document cadre de règles SSI.
• PCA/PRA : continuité et reprise après sinistre.
• Sensibilisation : anti-phishing, hygiène numérique.
• Journalisation & SIEM : centralisation et analyse des logs.
Partie 4 – Normes et bonnes pratiques (45 min)
1. ISO/CEI 27001 & 27002
• 27001 : Système de management de la sécurité de l’information.
• 27002 : Recommandations de contrôles (mesures concrètes).
2. Le cycle PDCA
• Plan : politique et objectifs
• Do : implémentation
• Check : audit et mesures
• Act : amélioration continue
3. RGPD & protection des données
• Consentement, droits des usagers, notification de violation, registre des traitements.
4. Introduction à l’analyse de risque (ISO 27005)
• Identification des actifs, menaces, vulnérabilités
• Calcul de la criticité (impact × vraisemblance)
Mohamed KONATE, GRC
• Choix des traitements : éviter, transférer, atténuer
5. Rôle de la gouvernance
• Appui de la direction
• Budget, audits, implication du RSSI
Partie 5 – Atelier de réflexion (30 min)
1. Étude de cas
Scénario : Une PME est victime d’un ransomware. Pas de PRA. Données RH + clients
chiffrées. La rançon est de 2000 000 000 FCFA.
2. Sous-groupes
• Identifier les failles
• Évaluer les impacts
• Proposer des mesures techniques et organisationnelles
3. Restitution & débat
• Comparaison des stratégies proposées
• Réflexion sur le rôle du RSSI, utilisateurs, direction
Mohamed KONATE, GRC
