TP – Cadrer un audit et rédiger le rapport (Atelier Verdier)
BTS SIO SISR 2e année – Bloc 3 – S14 – en binôme ; partie E individuelle
Note
But. À partir d'un dossier fictif, critiquer une lettre de mission, qualifier des constats selon la preuve, rédiger des fiches, un résumé managérial et préparer la restitution, comme dans l'étude de cas de l'épreuve E7.
Durée : 3 h 10. Prérequis : cours S14 lu ; S02, S04, S13. Aucune machine, aucune attaque : tout se fait sur le dossier.
Note
Comment ce TP fonctionne. Dans chaque partie, tu anticipes (« J'anticipe »), tu complètes en citant le dossier (« d'après l'annexe 2… »), puis tu expliques (« Je comprends »). Un bilan de compétences clôt la séance.
Binôme : ____________ / ____________
Le dossier fictif
Annexe 1 – La lettre de mission reçue
À l'attention du prestataire. Nous souhaitons un audit du réseau de l'entreprise et, si nécessaire, des tests d'intrusion. Vous interviendrez quand cela vous arrange, en dehors de l'atelier si possible. Vous pourrez accéder à tous nos systèmes, y compris notre logiciel de gestion commerciale hébergé chez notre prestataire et nos messageries. Le rapport sera remis au responsable administratif. Merci de commencer dès que possible.
Signé : le responsable administratif (deux heures par semaine d'informatique).
Annexe 2 – Éléments recueillis pendant la mission (fictifs)
| Réf. | Élément | Origine |
|---|---|---|
| E1 | Capture de la configuration de la box : redirection du port 3389 vers le PC de la comptable, ouverte sur Internet | Capture, date et heure visibles |
| E2 | « Les huit postes du bureau : tous les utilisateurs sont administrateurs » | Entretien avec le responsable administratif, aucune vérification |
| E3 | « La sauvegarde se fait toute seule, elle marche très bien » | Entretien avec le responsable administratif ; journal de copie : aucune ligne de restauration |
| E4 | Inventaire : trois PC de machines à commande numérique sous Windows 7 | Inventaire du responsable, confirmé par une photo de l'écran de l'un d'eux |
| E5 | « Le mot de passe du Wi-Fi n'a pas changé depuis trois ans » | Déclaration de la comptable |
| E6 | « Il paraît que le serveur de fichiers ne garde aucun journal » | Propos d'un salarié rapportés par un collègue |
| E7 | Capture des paramètres de la messagerie : pas d'authentification à deux facteurs, mot de passe seul | Capture, date visible |
| E8 | Extrait des droits du dossier RH : lisible par « Tout le monde (comptes du bureau) » ; contient fiches de paie et dossiers du personnel |
Extrait des droits, date visible |
Partie A – Critiquer la lettre de mission (≈ 35 min)
J'anticipe. Sans relire le cours, cite trois problèmes de cette lettre : ______________________
Complète le tableau : pour chaque problème, l'exigence du cours et ce que tu demandes.
| # | Extrait de la lettre | Problème | Exigence du cours | Ce que tu demandes avant de commencer |
|---|---|---|---|---|
| 1 | « audit du réseau de l'entreprise » | |||
| 2 | « si nécessaire, des tests d'intrusion » | |||
| 3 | « quand cela vous arrange » | |||
| 4 | « notre logiciel de gestion hébergé chez notre prestataire » | |||
| 5 | « Signé : le responsable administratif » | |||
| 6 | (absent) |
Je comprends. Que fais-tu cette semaine : tu commences l'audit « pour ne pas perdre de temps », ou tu renvoies une demande de cadrage ? Justifie en deux phrases (cours, partie 2 ; séance S04). ______________________
Partie B – Qualifier les constats (≈ 45 min)
Pour chaque élément de l'annexe 2, indique le niveau de preuve, puis décide s'il devient un constat ferme, un constat à confirmer ou n'entre pas dans le rapport.
| Réf. | Niveau de preuve (solide, partielle, insuffisante) | Décision (ferme, à confirmer, exclu) | Que faut-il faire pour le prouver ? |
|---|---|---|---|
| E1 | |||
| E2 | |||
| E3 | |||
| E4 | |||
| E5 | |||
| E6 | |||
| E7 | |||
| E8 |
Je comprends. Pourquoi E6 est-il dangereux à mettre tel quel dans un rapport ? Comment le transformer en constat utile ? ______________________
Partie C – Rédiger les fiches de constat (≈ 50 min)
Pour quatre constats fermes de ton choix, rédige une fiche (dans ton compte rendu) :
| Champ | À remplir |
|---|---|
| Identifiant et titre | |
| Description (factuelle, avec référence de preuve) | |
| Risque pour quelle valeur métier (séance S02) | |
| Gravité (1-4) et facilité d'exploitation (1-4) | |
| Recommandation précise | |
| Priorité (règle de la séance S13) |
J'anticipe. Parmi E1, E3, E4, E7 et E8, lesquels seront de priorité P1 ? ______________________
Je comprends. Une des recommandations suivantes est mal rédigée : « Améliorer la sécurité de l'accès distant. » Réécris-la en une action précise : ______________________
Note
Pour E8 (données du personnel), le constat concerne aussi le RGPD (séance S04) : indique-le dans la fiche, sans reproduire de données de salariés (le dossier n'en contient d'ailleurs aucune).
Partie D – Le résumé managérial (≈ 30 min)
Rédige une page à l'attention du dirigeant (qui n'est pas informaticien) :
- Le bilan en deux phrases, avec un point positif réel ;
- Les trois risques majeurs, en langage clair, avec leur conséquence pour l'entreprise ;
- Les trois décisions à prendre cette semaine ;
- Ce qui n'a pas été vérifié (limites de la mission) ;
- Comment et quand on revérifiera.
Critères : aucun sigle non expliqué ; aucune affirmation sans preuve ; une page maximum.
Partie E – La restitution orale, individuelle (≈ 20 min)
Prépare cinq minutes pour le dirigeant : plan en cinq temps (ce qui va bien, trois risques, décisions, coût, revérification). Entraîne-toi à voix haute devant ton binôme, qui note : la clarté, l'absence de jargon, le respect du temps.
Question de l'auditoire (à préparer) : « Et si on ne fait rien de tout cela ? » ______________________
Partie F – Les imprévus (≈ 15 min)
Pour chaque situation, indique ton réflexe (cours, partie 5) :
| Situation | Réflexe |
|---|---|
En lisant la configuration de la box, tu vois que le dossier Plans d'un client est accessible sans mot de passe depuis Internet |
|
| Un salarié te montre, « pour t'aider », des fichiers privés d'un collègue | |
| Dans les documents de l'entreprise, tu trouves la trace d'une activité manifestement frauduleuse sans rapport avec ta mission | |
| Le dirigeant te demande, oralement, de « jeter un œil à la messagerie du prestataire » |
Retour en entreprise (si ta situation le permet)
- Observer : ton entreprise fait-elle auditer sa sécurité ? Par qui ? À quelle fréquence ? Comment les rapports sont-ils suivis ?
- Documenter : compare avec la démarche du cours.
Rendu
Compte rendu PDF, nommé RENDU-B3A2-S14-NOM.pdf, contenant les tableaux des parties A, B et F, les quatre fiches (C), le résumé (D) et le plan de restitution (E).
Bilan de la séance
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | ||
| B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service |
Note
Je sais faire, sans aide :
- Reconnaître les éléments d'un cadrage d'audit valable ;
- Rappeler les règles de périmètre et d'autorisation ;
- Qualifier un constat selon la preuve ;
- Rédiger une fiche de constat et une recommandation précise ;
- Présenter les résultats à un non-technicien.
Ce que je dois reprendre : ______________________