P09 - Cybersécurité (RGPD, ANSSI, PKI)

P09 - Cybersécurité : principes, RGPD, ANSSI, PKI, durcissement

Objectif

Les notions qui reviennent dans l’épreuve écrite E7 : critères de sécurité, menaces, cadre légal (RGPD, NIS2), recommandations ANSSI, certificats et PKI, durcissement des systèmes.

---

1. Les critères DICP

Critère	Question	Menace typique	Mesure
Disponibilité	Le service est-il accessible quand il faut ?	Panne, DDoS, rançongiciel	Redondance (HSRP, RAID), sauvegardes, PRA
Intégrité	Les données sont-elles exactes et non modifiées ?	Altération, injection SQL	Hachage, signatures, contrôles d’accès
Confidentialité	Seules les personnes autorisées y accèdent-elles ?	Fuite, écoute réseau	Chiffrement (TLS, VPN, BitLocker), droits, MFA
Preuve / traçabilité	Peut-on savoir qui a fait quoi ?	Répudiation	Journaux horodatés, authentification forte

2. Menaces courantes

Menace	Description	Contre-mesures
Hameçonnage (phishing)	Faux mail/site pour voler des identifiants	Sensibilisation, MFA, filtrage
Rançongiciel	Chiffre les données et demande une rançon	Sauvegardes hors ligne 3-2-1-1-0, mises à jour, segmentation
Force brute / bourrage d’identifiants	Essais massifs de mots de passe	Mots de passe longs uniques, MFA, fail2ban, verrouillage
Injection SQL, XSS	Attaques des applications web	Requêtes préparées, validation des entrées, WAF
Homme du milieu	Interception du trafic	TLS, certificats, VPN, 802.1X
Ingénierie sociale	Manipulation des personnes	Procédures, sensibilisation
DDoS	Saturation d’un service	Anti-DDoS de l’hébergeur, CDN

3. Le cadre légal

RGPD (règlement UE 2016/679, applicable depuis mai 2018)

S’applique à tout traitement de données personnelles (nom, mail, IP, photo…). Autorité en France : CNIL.

Principe	En pratique pour l’admin
Licéité, finalité, minimisation	Ne collecter que le nécessaire, pour un but défini
Durée de conservation limitée	Purger les vieux comptes, logs (ex. journaux de connexion : en général 6 mois à 1 an)
Sécurité (art. 32)	Chiffrement, contrôle d’accès, sauvegardes, journalisation
Registre des traitements	Lister les traitements (GLPI, AD, vidéosurveillance…)
Violation de données	Notification à la CNIL sous 72 h
Droits des personnes	Accès, rectification, effacement, portabilité, opposition
DPO	Délégué à la protection des données

NIS2 (directive européenne)

Étend les obligations de cybersécurité à beaucoup plus d’entreprises (« entités essentielles et importantes ») : gestion des risques, notification des incidents, responsabilité des dirigeants. Transposition française en cours/récente - vérifier l’état sur cyber.gouv.fr.

Autres : LCEN (hébergeurs), code pénal (accès frauduleux à un système, art. 323-1 : jusqu’à 3 ans de prison), charte informatique de l’entreprise.

4. ANSSI

Agence nationale de la sécurité des systèmes d’information (cyber.gouv.fr) : guides et recommandations, certifications (CSPN, comme KeePassXC → S05 - Mots de passe et KeePassXC), CERT-FR (alertes de vulnérabilités). Le Guide d’hygiène informatique (42 mesures) : inventaire, gestion des comptes à privilèges, mises à jour, mots de passe robustes, segmentation, sauvegardes, journalisation, sensibilisation… → très bonne base pour une réponse E7. Pour les particuliers et PME : cybermalveillance.gouv.fr.

5. Certificats et PKI

flowchart TB
  RACINE["🏛 Autorité de certification RACINE<br/>(installée dans les navigateurs/OS)"] -->|signe| INTER["Autorité intermédiaire<br/>(ex. Let's Encrypt R11)"]
  INTER -->|signe| SITE["Certificat du site<br/>CN = www.exemple.fr<br/>+ clé publique"]
  NAV["Navigateur"] -.->|"vérifie la chaîne<br/>jusqu'à une racine de confiance"| SITE

Notion	Définition
Chiffrement symétrique	Même clé pour chiffrer et déchiffrer (AES) - rapide
Asymétrique	Clé publique / clé privée (RSA, ECC) - échange de clés, signature
Hachage	Empreinte de taille fixe, non réversible (SHA-256) - intégrité, stockage des mots de passe (+ sel, bcrypt/Argon2)
Signature	Hachage chiffré avec la clé privée → prouve l’origine et l’intégrité
Certificat X.509	Clé publique + identité, signés par une autorité (CA)
PKI	Infrastructure qui émet, révoque (CRL, OCSP) et gère les certificats

# Créer une petite CA de labo et un certificat de serveur
openssl genrsa -out ca.key 4096
openssl req -x509 -new -key ca.key -sha256 -days 1825 -subj "/CN=CA Labo SIO" -out ca.crt
openssl genrsa -out serveur.key 2048
openssl req -new -key serveur.key -subj "/CN=intranet.sio.lan" -out serveur.csr
printf "subjectAltName=DNS:intranet.sio.lan\n" > san.ext
openssl x509 -req -in serveur.csr -CA ca.crt -CAkey ca.key -CAcreateserial -days 365 -sha256 -extfile san.ext -out serveur.crt
openssl x509 -in serveur.crt -noout -text | grep -A1 "Subject Alternative Name"
# Inspecter le certificat d'un site
openssl s_client -connect www.epsi.fr:443 -servername www.epsi.fr </dev/null | openssl x509 -noout -subject -issuer -dates

Installer ca.crt dans les postes du labo → plus d’avertissement. Sur Internet : Let’s Encrypt (certbot) → SV01 - Apache, PHP et MariaDB.

6. Durcissement (hardening) - checklist

Domaine	Mesures
Comptes	Moindre privilège, pas de compte partagé, MFA pour les admins, désactiver les comptes par défaut
Mises à jour	Système, applications, firmwares (switchs, routeurs)
Services	Désactiver ce qui ne sert pas (systemctl disable), fermer les ports (ss -tulpn)
Réseau	Segmentation VLAN, pare-feu « tout bloquer sauf », ports de switch inutilisés éteints, SSH par clé
Journalisation	Centraliser les logs (syslog, SIEM), synchroniser l’heure (NTP)
Données	Chiffrement des disques et des sauvegardes, sauvegardes testées
Postes	Antivirus/EDR, BitLocker, verrouillage automatique

Outil d’audit Linux : sudo apt install lynis && sudo lynis audit system (score + recommandations).

Voir aussi

• S01 - Pare-feu - concepts · S05 - Mots de passe et KeePassXC · ST02 - Stratégies de sauvegarde · M01 - Arithmétique et chiffrement affine
• Retour : P00 - Programme pas encore vu