TP – Étude de cas guidée : le cabinet Marchand & Associés

BTS SIO SISR 2e année – Bloc 3 – S18 – individuel, avec relecture en binôme

Note

But. Appliquer la méthode du cours sur un sujet d'entraînement guidé : lire un dossier documentaire, en tirer une fiche des faits, répondre à deux dossiers de questions en citant les sources et en argumentant (risque, mesure, justification, limite), puis s'auto-évaluer avec une grille. Le sujet est plus court que celui de l'épreuve (la séance S19 sera complète).

Durée : 3 h 10. Prérequis : cours S18 lu ; S01 à S17. Aucune machine. Les réponses se rédigent dans ton compte rendu.

Note

Comment ce TP fonctionne. Les consignes « Méthode » te guident ; pendant la vraie épreuve, tu n'auras plus ces aides. Un bilan de compétences clôt la séance.

Nom : ____________

Le dossier documentaire (fictif)

Annexe 1 – L'organisation

Le cabinet Marchand & Associés, cabinet d'expertise comptable, emploie 14 personnes : 3 associés, 8 collaborateurs comptables, 2 assistantes et un technicien informatique à mi-temps. Il suit 220 clients (artisans, commerçants, associations) pour la comptabilité, les déclarations fiscales et la paie. La période d'activité la plus intense s'étend d'avril à juin. Les associés sont tenus au secret professionnel. Le cabinet occupe un seul étage de bureaux.

Annexe 2 – Le système d'information

Élément	Description
Serveur de fichiers	Un serveur Linux dans un placard du cabinet ; 1,2 To ; dossier `Clients` accessible en lecture et écriture à tous les salariés ; comptes génériques `stagiaire1` et `stagiaire2`
Postes	12 ordinateurs portables ; disques non chiffrés ; mises à jour installées à la main par chacun
Logiciel de comptabilité	Installé sur chaque poste ; base de données sur le serveur
Messagerie	Offre hébergée, un compte par salarié, mot de passe seul
Réseau	Un seul réseau pour les postes, le serveur et le Wi-Fi ; le même mot de passe Wi-Fi sert au personnel et aux clients de passage
Télétravail	5 collaborateurs travaillent deux jours par semaine à domicile par un VPN ; un seul compte `vpn-cabinet`, avec un mot de passe inchangé depuis 4 ans
Sauvegarde	Un disque externe branché en permanence au serveur, copie hebdomadaire ; un associé emporte le disque chez lui le vendredi soir et le rapporte le lundi
Supervision	Aucune. Les journaux restent sur les machines

Annexe 3 – Événements récents

Le 14 mars, une collaboratrice a perdu son ordinateur portable dans le train. Il contenait une copie de dossiers de 40 clients, dont des fiches de paie et des coordonnées bancaires. La session est protégée par un mot de passe. L'associée responsable écrit : « Ce n'est pas grave, il y a un mot de passe. »
Le 2 avril, une association cliente demande par écrit : « Quelles garanties de sécurité et de confidentialité offrez-vous pour nos données ? »
Un associé a reçu la semaine dernière un faux message de la banque demandant de « confirmer son accès » : il a cliqué, puis a saisi son identifiant. Il n'a prévenu personne.

Annexe 4 – Les moyens

Budget sécurité disponible cette année : 6 000 € au total (matériel, logiciels, prestations), plus le temps du technicien (environ 10 jours disponibles avant la période de pointe d'avril). Les associés sont disposés à agir depuis l'incident du portable.

Annexe 5 – Mesures candidates (prix fictifs, hors taxes)

Réf.	Mesure	Coût première année	Temps technicien
T1	Chiffrement des disques des 12 portables (fonction du système)	0 €	2 jours
T2	Comptes VPN nominatifs avec double authentification	240 €	1 jour
T3	Sauvegarde : copie hors ligne (deux disques en rotation) + copie en ligne chiffrée	150 € de disques + 360 € d'abonnement	2 jours
T4	Droits du serveur par groupes (suppression des comptes génériques)	0 €	3 jours
T5	Séparer le Wi-Fi des visiteurs de celui du personnel	0 €	1 jour
T6	Gestionnaire de mots de passe pour tout le personnel	14 × 36 € = 504 €	1 jour
T7	Sensibilisation (une demi-journée par une société extérieure)	900 €	—
T8	Double authentification de la messagerie	0 €	1 jour
T9	Audit de sécurité par un prestataire	2 500 €	1 jour
T10	Mises à jour centralisées des portables et du serveur	0 €	2 jours

Warning

Ces prix sont inventés pour l'exercice. Dans la vraie vie, on demande des devis.

Partie A – Lire et préparer (≈ 30 min)

A1 – La fiche des faits

Méthode. Surligne le dossier, puis remplis la fiche (cours, partie 2).

Rubrique	Faits (avec référence d'annexe)
Organisation et valeurs métier
Système d'information
Données et leur sensibilité
Moyens (budget, temps, personnes)
Événements
Obligations
Incohérences ou pièges repérés

A2 – Répartir le temps

Le sujet complet de l'épreuve dure quatre heures. Pour ce TP, voici la répartition proposée : Partie A 30 min, Dossier 1 : 50 min, Dossier 2 : 70 min, Partie D 20 min, auto-évaluation 20 min.

J'anticipe. Si un vrai sujet compte 4 dossiers de points différents (par exemple 20, 25, 30 et 25), comment répartirais-tu 3 h 20 de rédaction ? ______________________

Dossier 1 – Données personnelles et incident (≈ 50 min)

Question 1.1. Identifiez les données personnelles concernées par l'événement du 14 mars et précisez leur sensibilité.

Méthode. Verbe : identifier. Relève dans l'annexe 3, cite, classe.

Question 1.2. Cet événement est-il une violation de données à caractère personnel ? Justifiez en trois temps (faits, règle, conséquence).

Méthode. Les trois temps du cours (partie 3). Une violation touche la confidentialité, l'intégrité ou la disponibilité. Le mot de passe de session protège-t-il un disque non chiffré ? (annexe 2)

Question 1.3. Quelles obligations en découlent pour le cabinet ? Distinguez les données du cabinet et celles de ses clients.

Méthode. Pour les fiches de paie des salariés des clients, le cabinet agit-il pour son compte ou sur instruction de ses clients ? Que change cette qualification (séance S04) ? Cite des délais.

Question 1.4. Proposez trois mesures à court terme pour réduire ce type de risque.

Méthode. Schéma en quatre temps pour chaque mesure. Appuie-toi sur les moyens (annexe 4) et sur les mesures candidates (annexe 5).

Question 1.5. Rédigez le message (dix lignes) que le cabinet adresse à l'association qui demande ses garanties de sécurité.

Méthode. Destinataire, ton, faits établis, mesures déjà prises ou engagées avec un calendrier, aucune promesse non tenable.

Dossier 2 – Infrastructure et plan de mesures (≈ 70 min)

Question 2.1. À partir de l'annexe 2, relevez les cinq faiblesses les plus graves de l'infrastructure et classez-les.

Méthode. Cite l'annexe, rattache chaque faiblesse à un risque et à une valeur métier (secret professionnel, continuité). Classe avec une échelle (S02).

Question 2.2. Le VPN utilise un compte unique dont le mot de passe n'a pas changé depuis quatre ans : analysez le risque et proposez une mesure.

Méthode. Qui peut s'en servir ? Peut-on savoir qui s'est connecté (séance S11) ? Quelle faiblesse commune retrouves-tu avec l'Atelier Verdier (S15) ?

Question 2.3. Analysez la stratégie de sauvegarde actuelle face à un rançongiciel et proposez une stratégie.

Méthode. Cours S16 : accessibilité, hors ligne, test, rétention. Le disque emporté le vendredi est-il une bonne idée ? Pourquoi ?

Question 2.4. Établissez un plan de mesures, dans l'enveloppe de 6 000 € et les 10 jours du technicien, en justifiant vos choix et en indiquant ce que vous ne faites pas.

Méthode. Tableau mesure, risque, coût, temps, décision. Calcule les totaux, vérifie le budget et le temps. Justifie ce qui est écarté.

Réf.	Risque réduit	Coût	Temps	Décision (faire, phase 2, écarter)
T1
T2
T3
T4
T5
T6
T7
T8
T9
T10
Total retenu

Question 2.5. Quels tests de recette proposez-vous pour prouver que trois de ces mesures sont en place ? (cours S17)

Partie D – Note aux associés (≈ 20 min)

Question D. Rédigez une note d'une page pour les associés : les trois risques majeurs, les décisions à prendre cette semaine, le coût, ce qu'on ne fait pas et le risque restant.

Méthode. Pas de jargon. Chaque décision renvoie à un fait du dossier.

Partie E – S'auto-évaluer (≈ 20 min)

Après lecture du corrigé projeté en séance, évalue ta copie avec la grille :

Critère	0 (absent)	1 (partiel)	2 (satisfaisant)	Mon score
Sources citées (annexe, fait)
Problème identifié (la bonne question)
Mesures précises et adaptées (budget, taille)
Argumentation (risque, mesure, justification, limite)
Droit correctement appliqué (faits, règle, conséquence)
Calculs justes et visibles
Clarté (titres, tableaux, phrases courtes)
Total /14

Mes trois erreurs principales : ______________________

Ce que je change pour la séance S19 : ______________________

Retour en entreprise (si ta situation le permet)

Observer : dans ton entreprise, quelles faiblesses de l'annexe 2 retrouves-tu ?
Documenter : rédige en dix lignes comment tu répondrais à la question 2.1 pour ton entreprise.

Rendu

Compte rendu PDF, nommé RENDU-B3A2-S18-NOM.pdf, contenant la fiche des faits, les réponses aux deux dossiers, la note de la partie D et la grille d'auto-évaluation.

Bilan de la séance

Compétence du référentiel	Ce que j'ai fait dans cette séance	Niveau
B3.1 – Protéger les données à caractère personnel
B3.2 – Préserver l'identité numérique de l'organisation
B3.3 – Sécuriser les équipements et les usages des utilisateurs
B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques
B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service

Note

Je sais faire, sans aide :

Construire une fiche des faits à partir d'un dossier ;
Répondre en citant les annexes ;
Argumenter en quatre temps ;
Chiffrer et vérifier un plan de mesures ;
Gérer mon temps sur un sujet de plusieurs dossiers.

Ce que je dois reprendre : ______________________