TP – Atelier Verdier : analyser les risques d'une PME
BTS SIO SISR 2e année – Bloc 3 – S02 – en binôme ; partie E individuelle
Note
But. Dérouler une analyse de risques simplifiée sur une organisation fictive à partir d'un dossier documentaire, comme dans l'étude de cas de l'épreuve E7, puis rédiger une note de synthèse pour le dirigeant.
Durée : 3 h 10. Prérequis : cours S02 lu. Aucune machine : tout se fait sur le dossier, dans un tableur ou un éditeur de texte.
Note
Comment ce TP fonctionne. Dans chaque partie, tu anticipes d'abord ce que tu penses trouver (« J'anticipe »), puis tu complètes les tableaux en citant le dossier (« d'après l'annexe 2… »). Tout ce qui n'est pas dans le dossier est une hypothèse : écris-la comme telle.
Binôme : ____________ / ____________
Le dossier documentaire
Annexe 1 – Présentation de l'entreprise
L'Atelier Verdier est une menuiserie industrielle de 35 salariés : 6 au bureau d'études et à l'administration, 24 à l'atelier, 5 à la pose chez les clients. Elle fabrique sur plan des agencements pour des architectes et des collectivités (écoles, médiathèques). Chiffre d'affaires : environ 4 millions d'euros. Un arrêt de production de plus d'une semaine fait manquer les délais de chantier, et le contrat prévoit des pénalités de retard.
Les plans des clients (fichiers de conception) sont confidentiels : certains sont liés à des bâtiments publics. Le bureau d'études travaille aussi sur des gabarits de découpe maison, fruit de dix ans de savoir-faire.
Annexe 2 – Le système d'information
| Élément | Description |
|---|---|
| Réseau | Un seul réseau pour tout le site : bureaux, atelier, Wi-Fi invité et Wi-Fi du personnel (même mot de passe depuis 3 ans). Une box fibre fait pare-feu. |
| Serveur de fichiers | Un serveur Windows Server 2016 non joint à un annuaire. Dossiers Plans, Compta, RH accessibles à tous les comptes du bureau. |
| Postes du bureau | 8 PC Windows 10, tous utilisateurs administrateurs locaux de leur poste. Antivirus gratuit. |
| Machines à commande numérique | 3 machines pilotées par des PC Windows 7 que le fabricant ne met plus à jour ; reliés au réseau pour recevoir les programmes de découpe. Pas de pare-feu local. |
| Messagerie | Offre grand public d'un fournisseur en ligne, un compte par salarié, mot de passe seul. |
| Gestion commerciale (ERP) | Logiciel hébergé chez un prestataire (accès par navigateur). Le prestataire fait ses propres sauvegardes ; le contrat n'en précise ni la fréquence ni la durée de restauration. |
| Sauvegarde | Un NAS dans le local technique, branché en permanence sur le réseau, qui copie chaque nuit le serveur de fichiers. Jamais testée en restauration. |
| Télétravail | Deux commerciaux se connectent depuis chez eux avec un accès distant ouvert sur la box (port 3389 redirigé), mot de passe seul. |
| Administration | Le responsable administratif s'occupe de l'informatique deux heures par semaine ; un prestataire intervient sur appel. |
Annexe 3 – Les données
- Fiches de paie et dossiers du personnel : sur le serveur, dossier
RH. - Plans et gabarits : dossier
Plans(environ 400 Go). - Coordonnées de 600 clients et prospects : dans l'ERP et dans un tableur sur le serveur.
Annexe 4 – Événements récents
- Un salarié a cliqué le mois dernier sur un faux message de livraison ; l'antivirus a alerté, l'incident n'a pas été analysé.
- Une entreprise voisine du même secteur a été paralysée trois jours par un rançongiciel au printemps.
- Un architecte client a demandé par écrit « quelles garanties de confidentialité » l'atelier offrait pour son prochain projet.
Annexe 5 – Moyens
Budget sécurité disponible cette année : 8 000 € au total, plus du temps de prestataire sur devis. Le dirigeant est prêt à fermer l'atelier un week-end pour des travaux.
Partie A – Cadrer (≈ 35 min)
A1 – Valeurs métier et biens supports
J'anticipe. Quelles sont, selon toi, les trois choses sans lesquelles l'Atelier Verdier ne peut pas fonctionner ? ______________________
Complète (au moins trois valeurs métier) :
| Valeur métier | Biens supports (cite l'annexe) |
|---|---|
A2 – Événements redoutés
Pour chaque valeur métier, décris au moins un événement redouté, le critère atteint (Disponibilité, Intégrité, Confidentialité) et sa gravité (échelle du cours, de 1 à 4) justifiée :
| Événement redouté | Critère | Gravité (1 à 4) | Justification (d'après le dossier) |
|---|---|---|---|
A3 – Ce qui est déjà en place
Liste les mesures de sécurité existantes que tu peux relever dans le dossier, et leur limite :
| Mesure existante | Limite |
|---|---|
Éléments de réponse
Mesures existantes : pare-feu de la box (limité : une seule zone, règles inconnues), antivirus (gratuit, une alerte non analysée), sauvegarde nocturne (branchée en permanence, jamais restaurée), sauvegarde du prestataire de l'ERP (conditions non précisées).
Partie B – Sources de risque et scénarios (≈ 45 min)
B1 – Sources de risque
J'anticipe. Qui pourrait avoir intérêt à s'attaquer à une menuiserie de 35 personnes ? ______________________
Retiens trois couples source de risque / objectif visé que tu juges pertinents pour l'atelier, et explique pourquoi (un couple peu pertinent s'écarte, mais on écrit pourquoi) :
| Source de risque | Objectif visé | Pertinence (d'après le dossier) |
|---|---|---|
B2 – Scénarios
Décris cinq scénarios sous forme de chaîne (étapes numérotées, de la source à l'événement redouté). Au moins un doit passer par un tiers (prestataire, fournisseur) et un par l'accès distant.
| N° | Scénario (chaîne d'étapes) | Événement redouté | Bien support visé |
|---|---|---|---|
| S1 | |||
| S2 | |||
| S3 | |||
| S4 | |||
| S5 |
Je comprends. Pour chaque scénario, entoure sur ta chaîne l'étape où une mesure coupe le plus facilement l'attaque.
Partie C – Évaluer (≈ 30 min)
Estime la vraisemblance de chaque scénario (échelle du cours), calcule le niveau de risque (gravité × vraisemblance) et place-le dans la matrice.
| Scénario | Gravité | Vraisemblance | Produit | Niveau (faible, moyen, élevé) | Pourquoi cette vraisemblance ? |
|---|---|---|---|---|---|
| S1 | |||||
| S2 | |||||
| S3 | |||||
| S4 | |||||
| S5 |
Matrice : écris S1 à S5 dans la bonne case.
| Gravité ↓ / Vraisemblance → | 1 | 2 | 3 | 4 |
|---|---|---|---|---|
| 4 | ||||
| 3 | ||||
| 2 | ||||
| 1 |
Je comprends. La vraisemblance se justifie par le dossier (exposition, protections absentes, événements récents), pas par une impression.
Partie D – Traiter (≈ 45 min)
D1 – Plan de traitement
Pour les trois risques les plus élevés, choisis une décision (réduire, éviter, transférer, accepter) et au moins une mesure précise :
| Risque | Décision | Mesure | Coût estimé | Délai | Niveau résiduel (gravité × vraisemblance) |
|---|---|---|---|---|---|
Note
Les coûts sont des ordres de grandeur à justifier (temps, licence, matériel). Reste dans le budget de 8 000 € de l'annexe 5, ou explique ce qui est reporté et pourquoi.
D2 – Choisir sous contrainte
Je comprends. Une mesure qui coupe plusieurs scénarios à la fois vaut plus qu'une mesure qui n'en coupe qu'un. Indique, dans ton plan, quelle mesure te paraît la plus rentable et combien de scénarios elle coupe : ______________________
D3 – Ce qu'on accepte
Un risque que tu n'as pas traité est accepté. Écris lequel, pourquoi, et qui doit le décider : ______________________
Partie E – Note au dirigeant (≈ 15 min, individuel)
Rédige une note d'une demi-page destinée à M. Verdier, qui n'est pas informaticien. Elle contient :
- les trois risques principaux en une phrase chacun, sans jargon ;
- les trois mesures proposées, leur coût et leur effet ;
- le risque que tu proposes d'accepter, et ce que cela implique ;
- ce que tu lui demandes de décider.
Retour en entreprise (si ta situation le permet)
- Observer : ton entreprise a-t-elle une liste de ses risques informatiques ? Qui l'a écrite, quand ?
- Documenter : place trois risques réels de ton entreprise dans la matrice de la partie C (sans nom de client, sans donnée sensible).
Rendu
Compte rendu PDF, nommé RENDU-B3A2-S02-NOM.pdf, contenant les tableaux des parties A à D et la note de la partie E.
Bilan de la séance
Niveau : Non maîtrisé, Maîtrise partielle, Bonne maîtrise ou Excellente maîtrise, ou Non évalué.
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | ||
| B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service |
Note
Les codes sont ceux du référentiel.
Je sais faire, sans aide :
- Distinguer valeur métier, bien support, événement redouté et scénario ;
- Évaluer gravité et vraisemblance en les justifiant par le dossier ;
- Choisir une mesure en comparant efficacité, coût et délai ;
- Expliquer à un dirigeant ce qu'il doit décider.
Ce que je dois reprendre : ______________________