TP – De l'analyse de risques à la politique de sécurité

BTS SIO SISR 2e année – Bloc 3 – S03 – en binôme ; partie D individuelle

Note

But. Relier des risques à des familles de mesures de référentiels, puis rédiger les grandes lignes d'une politique de sécurité et une charte d'usage pour l'Atelier Verdier (dossier du TP de la séance S02, rappelé ci-dessous).

Durée : 3 h 10. Prérequis : cours S03 lu. Aucune machine : tout se fait sur le dossier, avec un éditeur de texte.

Note

Comment ce TP fonctionne. Tu anticipes (« J'anticipe »), tu remplis, puis tu justifies (« Je comprends »). Tu peux ouvrir les guides officiels à jour : c'est même conseillé. Ne recopie pas un numéro de mesure de mémoire.

Binôme : ____________ / ____________

Rappel : l'Atelier Verdier

Menuiserie industrielle de 35 salariés ; plans de clients confidentiels ; serveur de fichiers où tous les comptes du bureau voient tous les dossiers ; PC du bureau en administrateurs locaux ; PC de machines à commande numérique sous Windows 7 non mis à jour ; messagerie avec mot de passe seul ; accès distant par le port 3389 ouvert ; NAS de sauvegarde branché en permanence et jamais testé ; ERP hébergé chez un prestataire ; une personne s'occupe de l'informatique deux heures par semaine. Budget sécurité : 8 000 €.

Les cinq risques retenus à la séance S02 :

N°	Scénario	Niveau
S1	Message piégé → poste infecté → serveur de fichiers et NAS chiffrés	Élevé
S2	Accès distant deviné → serveur de fichiers	Élevé
S3	PC sous Windows 7 compromis → machines à commande numérique	Moyen
S4	Compte de messagerie volé → fuite et faux messages	Moyen
S5	Prestataire de l'ERP défaillant ou compromis	Moyen

Partie A – Lire les référentiels (≈ 35 min)

A1 – Trouver les sources

J'anticipe. Selon toi, que contient le guide d'hygiène de l'ANSSI, et qui peut s'en servir ? ______________________

Ouvre (ou demande à l'enseignant les extraits) : le guide d'hygiène informatique de l'ANSSI, la présentation de la norme ISO/IEC 27001, la présentation des CIS Controls. Complète :

Référentiel	Qui le publie ?	Gratuit à lire ?	Certifiable ?	Version ou date relevée
Guide d'hygiène de l'ANSSI
ISO/IEC 27001
CIS Controls

A2 – Norme, guide ou loi

Pour chaque situation, indique si la force est celle d'une loi, d'une norme ou d'un guide, et justifie :

Situation	Loi, norme ou guide ?	Justification
L'Atelier doit protéger les fiches de paie de ses salariés
Un client exige une certification de sécurité de son sous-traitant
Le responsable administratif cherche par quoi commencer

Éléments de réponse

Fiches de paie : loi (le RGPD impose la sécurité des données personnelles). Client exigeant une certification : norme (ISO/IEC 27001 est la norme certifiable). Par quoi commencer : guide (hygiène de l'ANSSI, mesures priorisées des CIS).

Partie B – Relier risques et mesures (≈ 50 min)

Pour chaque risque, choisis une ou deux familles de mesures (liste du cours), puis une mesure précise adaptée à l'Atelier, et cite la référence que tu as relue dans un guide (titre du guide et intitulé de la mesure, tel que tu le lis).

Risque	Famille de mesures	Mesure précise pour l'Atelier	Référence relue (guide, intitulé)
S1
S2
S3
S4
S5

Je comprends. Une mesure d'un guide s'adapte : « mettre à jour » devient ici « un jour par mois, le premier vendredi, par l'administrateur ». Reformule une mesure de ton tableau en exigence vérifiable (qui, quoi, quand) : ______________________

B2 – Ce qui manque au référentiel

Sûreté. Aucun des cinq risques n'est un risque de sûreté. À partir de l'activité de l'Atelier (menuiserie : poussière de bois, machines à commande numérique, serveur dans le bureau), propose deux événements non intentionnels à ajouter, avec une mesure de la famille « Assurer la sûreté » : ______________________

Je comprends. Un référentiel ne connaît pas l'Atelier. Trouve un risque du dossier qu'aucune mesure générique ne couvre bien (indice : le contrat avec un prestataire) et propose une mesure sur mesure : ______________________

Partie C – Écrire la politique de sécurité (≈ 60 min)

C1 – Plan et principes

Rédige la PSSI de l'Atelier Verdier sur une page, avec les cinq rubriques du cours. Écris au moins :

le périmètre et les deux valeurs métier principales ;
quatre principes (par exemple moindre privilège, sauvegarde testée, séparation des réseaux, mises à jour) ;
l'organisation : qui décide, qui administre, qui contrôle, qui prévenir en cas d'incident (ici, la direction et un prestataire sur appel) ;
six règles précises, chacune vérifiable ;
la révision : à quelle fréquence, par qui.

POLITIQUE DE SÉCURITÉ DU SYSTÈME D'INFORMATION – ATELIER VERDIER
Version : ___ du ____ . Signée par : ___________

1. Périmètre et enjeux
______________________

2. Principes
______________________

3. Organisation
______________________

4. Règles
______________________

5. Contrôle et révision
______________________

C2 – Politique, procédure, mode opératoire

J'anticipe. Prends la règle « la restauration de la sauvegarde est testée ». Écris-la aux trois niveaux :

Niveau	Rédaction
Politique
Procédure (qui, quand, rendre compte à qui)
Mode opératoire (3 à 5 étapes numérotées)

Partie D – La charte d'usage (≈ 25 min, individuel)

Rédige une charte d'une demi-page, destinée aux salariés, en langage simple. Elle contient :

ce que l'Atelier fournit (poste, messagerie, accès) et pour quel usage ;
cinq règles claires (mots de passe, pièces jointes suspectes, supports USB, accès distant, signalement d'un incident) ;
ce que l'Atelier peut contrôler et pourquoi (journalisation, filtrage) ;
à qui signaler un problème et dans quel délai.

Note

Pour être opposable aux salariés, une charte doit être portée à leur connaissance, et son lien avec le règlement intérieur se règle avec un juriste ou un représentant des salariés : voir la séance S04.

Retour en entreprise (si ta situation le permet)

Observer : existe-t-il une politique de sécurité ou une charte dans ton entreprise ? Qui l'a signée, quand a-t-elle été révisée ?
Documenter : compare la charte de ton entreprise à ta rédaction de la partie D (points manquants, points en trop).

Rendu

Compte rendu PDF, nommé RENDU-B3A2-S03-NOM.pdf, contenant les tableaux des parties A et B, la PSSI et les trois niveaux de la partie C, la charte de la partie D.

Bilan de la séance

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.3 – Sécuriser les équipements et les usages des utilisateurs
B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques

Note

Je sais faire, sans aide :

Distinguer loi, norme et guide, et dire ce qui est certifiable ;
Relier un risque à une famille de mesures et la rendre vérifiable ;
Écrire la différence entre politique, procédure et mode opératoire ;
Rédiger une charte compréhensible par un salarié non informaticien.

Ce que je dois reprendre : ______________________