Épreuve blanche E7 – Sujet
BTS SIO SISR 2e année – Bloc 3 – S19 – individuel – 4 heures – 100 points
Warning
Sujet d'entraînement écrit par l'auteur du dépôt, pas un sujet officiel. L'organisation, les personnes, les adresses, les prix et les durées sont fictifs. Aucun document n'est autorisé.
Nom : ____________
Consignes
- Le sujet comporte quatre dossiers, indépendants dans leur rédaction, à traiter dans l'ordre de ton choix. Indique clairement le numéro de chaque question.
- Cite les annexes (« d'après l'annexe 2… »). Une réponse qui ne s'appuie pas sur le dossier rapporte peu.
- Pour chaque mesure : risque, mesure, justification, limite.
- Écris tes calculs.
- Les points sont indiqués entre crochets. La qualité de la rédaction est comprise dans les points.
| Dossier | Thème | Points | Temps indicatif |
|---|---|---|---|
| 1 | Données personnelles et conformité | 20 | 40 min |
| 2 | Incident de sécurité | 25 | 50 min |
| 3 | Infrastructure et plan de mesures | 30 | 60 min |
| 4 | Hébergeur, continuité et note à la direction | 25 | 50 min |
| Lecture et fiche des faits | 30 min | ||
| Relecture | 10 min |
Le dossier documentaire
Annexe 1 – L'organisation
Horizon Formation est une association qui gère un organisme de formation professionnelle. Elle emploie 60 personnes : 35 formateurs, 15 personnels administratifs, 6 chargés de relations avec les entreprises et 4 membres de la direction. Elle accueille environ 400 stagiaires par an, dans deux sites : le siège et une antenne distante de 40 km. Une partie des formations est financée par des organismes publics et des entreprises : l'association conserve donc les justificatifs de présence et de financement.
La directrice, Mme Fabre, veut une organisation « sûre sans bloquer l'activité », et a lancé un projet de renforcement de la sécurité. L'informatique repose sur un administrateur systèmes et réseaux à plein temps, aidé par un prestataire pour la plateforme pédagogique.
Annexe 2 – Le système d'information
| Élément | Description |
|---|---|
| Réseau du siège | Un pare-feu en bordure ; un réseau interne unique (postes, serveurs, imprimantes) ; un Wi-Fi stagiaires séparé du réseau interne |
| Antenne | Reliée au siège par un VPN de site à site ; mêmes règles |
| Annuaire et fichiers | Windows Server 2019 (annuaire, partages). Deux formateurs référents sont administrateurs du domaine « pour dépanner » |
| Postes du personnel | 60 portables, gérés à la main ; antivirus classique ; disques non chiffrés |
| Salles de formation | 40 postes en libre service, une session commune « stagiaire » dont le mot de passe est affiché au mur |
| Plateforme pédagogique « Horizon Campus » | Service en ligne hébergé par un prestataire (annexe 4), développé sur mesure. Accès par identifiant et mot de passe seulement ; aucun blocage après des échecs de connexion ; aucune double authentification. Elle contient le dossier de chaque stagiaire : identité, coordonnées, financeur, résultats d'évaluations et, pour certains, un champ « aménagement lié au handicap » |
| Messagerie | Offre hébergée, mot de passe seul |
| Sauvegarde | Un NAS au siège, membre du domaine, copie quotidienne des partages, 7 jours conservés ; jamais testé ; la plateforme est sauvegardée par son prestataire |
| Journaux | Ceux de la plateforme sont conservés 30 jours par le prestataire et fournis sur demande ; aucune centralisation côté association |
| Conservation des dossiers stagiaires | Sans limite de durée, « au cas où » |
| Plan de reprise | Aucun document |
Annexe 3 – Extrait de l'activité de la plateforme (mardi 6 octobre)
| Heure | Événement |
|---|---|
| 02 h 10 à 02 h 55 | 1 480 échecs de connexion, venant de 63 adresses différentes, visant 410 identifiants différents (au plus 5 essais par identifiant) |
| 02 h 10 à 02 h 55 | 9 connexions réussies pendant la même période |
| 02 h 41 | Connexion réussie du compte du formateur c.lambert, depuis l'adresse 198.51.100.24 (hors de France). Ses connexions habituelles viennent du siège |
| 02 h 44 | Export de la liste des stagiaires au format CSV par ce compte : 412 lignes (nom, adresse électronique, téléphone, formation, financeur). Pour 38 stagiaires, la ligne comporte aussi le champ « aménagement lié au handicap » |
| 02 h 47 | Modification de l'adresse électronique du compte c.lambert vers une adresse externe |
Jeudi 8 octobre, 09 h 15 : une stagiaire appelle l'accueil : elle a reçu un SMS d'hameçonnage qui cite le nom exact de sa formation. L'administrateur interroge le prestataire à 09 h 40 et retrouve les événements ci-dessus. Nous sommes le jeudi 8 octobre, en fin de matinée.
Annexe 4 – Contrat avec le prestataire d'hébergement (extraits)
| Article | Contenu |
|---|---|
| 4 | Disponibilité de 99,5 % par mois, hors maintenance annoncée |
| 6 | Sauvegardes quotidiennes, conservées 14 jours, stockées dans le même centre de données que le service |
| 8 | Le prestataire peut faire appel à des sous-traitants, dont un service de support situé hors de l'Union européenne, sans information préalable du client |
| 9 | En cas de violation de données, le prestataire informe le client sous 5 jours ouvrés |
| 11 | Réversibilité : restitution des données dans un format propre au prestataire, sur demande, sous 60 jours, aux frais du client |
| 12 | Aucun droit d'audit pour le client |
| 14 | Responsabilité du prestataire limitée au montant des redevances des 12 derniers mois |
Annexe 5 – Deux demandes reçues
- Demande A. M. Perrin, ancien stagiaire, écrit le 5 octobre : il demande « toutes les données que vous détenez sur moi ».
- Demande B. Mme Roux, dont la formation s'est terminée il y a quatre ans, écrit le 6 octobre : elle demande l'effacement de son dossier. Elle avait une formation financée par un organisme public.
Annexe 6 – Mesures candidates (prix fictifs, hors taxes)
Plafonds fixés par la direction : 15 000 € au total pour l'année et 25 jours de temps de l'administrateur.
| Réf. | Mesure | Coût | Temps administrateur |
|---|---|---|---|
| M1 | Double authentification sur la plateforme (option de l'éditeur) | 1 800 € | 2 jours |
| M2 | Blocage progressif après échecs de connexion + limitation du nombre d'essais par adresse, sur la plateforme (travail du prestataire) | 1 500 € | 1 jour |
| M3 | Journalisation centralisée avec alertes (serveur et paramétrage) | 3 000 € | 8 jours |
| M4 | Retirer les droits d'administrateur aux deux formateurs ; comptes d'administration séparés | 0 € | 3 jours |
| M5 | Sauvegarde 3-2-1 : NAS hors du domaine, copie hors ligne, test de restauration | 4 200 € | 6 jours |
| M6 | Comptes nominatifs sur les 40 postes de salle, gérés de façon centralisée | 0 € | 5 jours |
| M7 | Sensibilisation du personnel (prestataire extérieur) | 1 600 € | 0 jour |
| M8 | Politique de durées de conservation et purge annuelle manuelle | 0 € | 3 jours |
| M9 | Avenant au contrat de l'hébergeur (conseil juridique) | 1 200 € | 2 jours |
| M10 | Audit de sécurité externe | 4 500 € | 2 jours |
| M11 | Plan de reprise d'activité documenté et exercice | 2 500 € | 5 jours |
| M12 | Protection des postes de nouvelle génération sur 60 postes (45 € par poste) | 2 700 € | 3 jours |
Annexe 7 – Rappels pour cet entraînement
Résumé rédigé par l'auteur, non officiel : à connaître le jour de l'épreuve.
- Une violation de données personnelles est une atteinte à la confidentialité, l'intégrité ou la disponibilité de données personnelles.
- Le responsable de traitement notifie la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation n'engendre pas de risque pour les personnes. Il informe les personnes si le risque est élevé. Il documente toute violation.
- Une personne peut demander l'accès à ses données et, dans certains cas, leur effacement. Le responsable répond dans un délai d'un mois, extensible dans certains cas.
- Les données de santé (dont le handicap) sont des données particulièrement protégées.
- Le sous-traitant informe le responsable de traitement dans les meilleurs délais après avoir pris connaissance d'une violation.
Dossier 1 – Données personnelles et conformité (20 points)
1.1 Relevez les catégories de données personnelles que traite l'association et classez-les selon leur sensibilité. Justifiez votre classement. [4]
1.2 Analysez la conservation « sans limite de durée » des dossiers (annexe 2) au regard des principes de protection des données, puis proposez une règle de conservation. [5]
1.3 Quelle réponse apportez-vous à la demande A (annexe 5) ? Précisez le délai, les points à vérifier avant d'envoyer les données et la procédure interne à mettre en place. [5]
1.4 Mme Roux peut-elle obtenir l'effacement complet de son dossier (demande B) ? Justifiez en trois temps (faits, règle, conséquence) et indiquez ce que vous faites en pratique. [6]
Dossier 2 – Incident de sécurité (25 points)
2.1 À partir de l'annexe 3, décrivez l'attaque et justifiez le type d'attaque que vous retenez. Quelle hypothèse faites-vous sur la façon dont le compte de c.lambert a été compromis ? [4]
2.2 Établissez la chronologie de l'incident et calculez le délai entre l'accès frauduleux et la détection. Que montre ce délai sur le dispositif de l'association ? [4]
2.3 Cet incident est-il une violation de données personnelles ? Précisez les données concernées et le niveau de risque pour les personnes. [5]
2.4 Quelles obligations en découlent pour l'association ? Indiquez les échéances (donnez la date et l'heure limites de la notification) et les acteurs à informer. [5]
2.5 Listez, dans l'ordre, les actions que l'administrateur doit mener dans les 24 heures, puis celles de la semaine suivante. Justifiez le traitement des huit autres connexions réussies. [7]
Dossier 3 – Infrastructure et plan de mesures (30 points)
3.1 Relevez huit faiblesses de l'infrastructure (annexe 2) et rattachez chacune à un risque et à une compétence du bloc 3. [5]
3.2 Quelles faiblesses ont rendu possible l'incident du dossier 2 ? Distinguez la cause immédiate, les causes profondes et ce qui aurait permis de détecter plus tôt. [5]
3.3 Établissez un plan de mesures à partir de l'annexe 6, dans les plafonds de la direction. Présentez un tableau (mesure, risque réduit, coût, temps, décision), calculez les totaux, justifiez ce que vous retenez et ce que vous écartez ou reportez. [12]
3.4 Proposez, pour trois des mesures retenues, un test de recette qui prouve qu'elles sont en place. [4]
3.5 Quel risque reste présent après votre plan ? Comment le suivez-vous ? [4]
Dossier 4 – Hébergeur, continuité et note à la direction (25 points)
4.1 Analysez les articles 4, 6, 8, 9, 11 et 12 du contrat (annexe 4) : pour chacun, indiquez le risque pour l'association et la modification que vous demandez. [8]
4.2 L'article 4 garantit 99,5 % par mois. Calculez la durée maximale d'indisponibilité mensuelle correspondante. L'association peut-elle accepter une indisponibilité de ce niveau pendant la période d'inscription aux examens ? Précisez les objectifs de continuité (reprise et perte de données) que vous proposez de fixer avec la direction. [6]
4.3 Les sauvegardes de l'hébergeur répondent-elles à vos besoins ? Que proposez-vous ? [3]
4.4 Rédigez une note d'une page à l'attention de Mme Fabre : la situation, les trois décisions à prendre, le coût, ce qui n'est pas fait et le risque restant. [8]
Après l'épreuve (séance suivante)
Remplis la grille d'auto-évaluation de l'aide-mémoire après lecture du corrigé.
Rendu
Copie rédigée, scannée en PDF et nommée RENDU-B3A2-S19-NOM.pdf.
Bilan de la séance
| Compétence du référentiel | Ce que j'ai fait dans cette séance | Niveau |
|---|---|---|
| B3.1 – Protéger les données à caractère personnel | ||
| B3.2 – Préserver l'identité numérique de l'organisation | ||
| B3.3 – Sécuriser les équipements et les usages des utilisateurs | ||
| B3.4 – Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques | ||
| B3.5A – Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service |
Note
Je sais faire, sans aide :
- Traiter un sujet complet en 4 heures ;
- Qualifier un incident et en déduire les obligations et les échéances ;
- Construire un plan de mesures sous plusieurs plafonds ;
- Analyser un contrat d'hébergement ;
- Rédiger une note de décision pour la direction.
Ce que je dois reprendre : ______________________