Sécurité des Systèmes d’Information — notions clefs

70 fiches de vocabulaire couvrant les principaux concepts, normes, modèles et notions juridiques abordés dans le cours « Sécurité des Systèmes d’Information ». Chaque carte associe un terme clé à une définition concise pour faciliter la révision en français.

Sécurité informatique

Discipline visant à permettre uniquement les actions légitimes sur un système d’information en appliquant une politique de sécurité.

Politique de sécurité (ITSEC)

Ensemble des lois, règles et pratiques qui régissent la gestion, la protection et la distribution de l’information sensible et des ressources d’un système.

Confidentialité

Propriété visant à empêcher la divulgation non autorisée d’informations.

Intégrité

Propriété visant à empêcher la modification non autorisée d’informations.

Disponibilité

Propriété visant à empêcher le refus d’accès à une ressource normalement autorisée.

Sujet

Entité active (utilisateur, processus) qui demande l’accès à un objet.

Objet

Entité passive (fichier, ressource) sur laquelle un sujet souhaite exercer une action.

Action (droit d’accès)

Opération qu’un sujet est autorisé à effectuer sur un objet (lire, écrire, exécuter…).

Modèle DAC (Discretionary Access Control)

Contrôle d’accès discrétionnaire où le propriétaire d’un objet définit les droits d’accès.

Modèle HRU

Modèle DAC fondé sur une matrice ⟨sujet, objet, action⟩ et sur des règles d’administration manipulant cette matrice.

Access Control List (ACL)

Décomposition colonne de la matrice HRU : pour chaque objet, liste des sujets et de leurs droits.

Liste de capacités

Décomposition ligne de la matrice HRU : pour chaque sujet, liste des objets accessibles et des droits associés.

Fuite de droits (Safety)

Problème HRU : impossibilité de garantir qu’un droit ne sera jamais accordé à un sujet non autorisé.

Cheval de Troie

Programme malveillant bénéficiant des droits de l’utilisateur pour exfiltrer ou altérer des informations.

Modèle RBAC (Role-Based Access Control)

Modèle structurant les autorisations autour de rôles attribués aux utilisateurs.

Session (RBAC)

Période pendant laquelle un utilisateur active un sous-ensemble de ses rôles afin d’obtenir des droits.

Hiérarchie de rôles

Organisation RBAC où un rôle hérite des autorisations des rôles inférieurs.

Séparation de tâches statique

Contrôle RBAC interdisant qu’un même utilisateur se voie attribuer deux rôles incompatibles.

Séparation de tâches dynamique

Contrôle RBAC interdisant l’activation simultanée de rôles incompatibles pendant une session.

ARBAC

Modèle d’administration des rôles définissant qui peut créer, modifier ou attribuer des rôles RBAC.

Modèle MAC (Mandatory Access Control)

Contrôle d’accès obligatoire imposant des règles de flux d’information indépendantes des utilisateurs.

Modèle Bell & LaPadula

Modèle MAC visant la confidentialité ; s’appuie sur No Read Up et No Write Down.

No Read Up

Règle Bell & LaPadula : un sujet ne peut lire un objet que si son niveau d’habilitation domine la classification de l’objet.

No Write Down

Règle Bell & LaPadula : un sujet ne peut écrire dans un objet qu’à un niveau de classification supérieur ou égal au sien.

Modèle Biba

Modèle MAC miroir de Bell & LaPadula mais orienté intégrité (No Write Up, No Read Down).

Non-interférence

Propriété de sécurité empêchant toute influence observable d’informations hautes vers des niveaux bas.

Canal caché

Chemin de communication contournant les mécanismes de contrôle d’accès pour exfiltrer de l’information.

Contrôle d’usage (UCON)

Modèles vérifiant non seulement l’accès mais aussi l’usage continu d’une ressource (compteur, obligations).

DRM (Digital Rights Management)

Technologies, souvent côté client, mettant en œuvre le contrôle d’usage pour protéger les contenus numériques.

OrBAC

Modèle Organisation-Based Access Control intégrant permissions, interdictions, obligations et contextes.

Noyau de sécurité (TCB)

Partie minimale et fiable du système assurant authentification, contrôle d’accès et autres fonctions critiques.

TCSEC (Livre orange)

Premier ensemble de critères d’évaluation de sécurité américains classant les systèmes de D à A1.

ITSEC

Critères d’évaluation européens introduisant la notion de cible d’évaluation (TOE).

Common Criteria (ISO 15408)

Norme internationale unifiant TCSEC, ITSEC et CTCPEC ; définit fonctionnalités et assurance de sécurité.

Cycle PDCA

Boucle Plan-Do-Check-Act appliquée à l’amélioration continue du management des risques (ISO 27005).

ISO/IEC 27005

Norme décrivant le processus de gestion des risques liés à la sécurité de l’information.

EBIOS RM

Méthode française (ANSSI) d’analyse et de traitement des risques, alignée sur ISO 27005.

Actif primordial

Information ou processus métier constituant la valeur métier du système.

Actif support

Ressource (matériel, logiciel, personnel, site) sur laquelle repose un actif primordial et qui porte des vulnérabilités.

Vulnérabilité

Faiblesse d’un actif support susceptible d’être exploitée par une menace.

Menace

Cause potentielle d’incident susceptible d’exploiter une vulnérabilité pour nuire à un actif.

Source de risque

Personne, organisation ou phénomène à l’origine d’une menace (humain, environnemental, intentionnel…).

Impact (conséquence)

Effet d’un incident sur l’organisme (financier, image, légal…).

Vraisemblance

Probabilité qu’un scénario d’incident se matérialise.

Risque

Combinaison de la vraisemblance d’un incident et de ses conséquences sur les objectifs sécurité.

Traitement du risque

Ensemble des mesures pour éviter, réduire, transférer ou maintenir le risque à un niveau acceptable.

Risque résiduel

Niveau de risque subsistant après mise en œuvre des mesures de traitement.

Principe de finalité (Loi 78-17)

Les données personnelles ne peuvent être traitées que pour des objectifs déterminés et légitimes.

Principe de loyauté et transparence

Collecte et traitement des données personnelles doivent être faits de manière claire et honnête envers la personne.

Donnée personnelle

Information permettant d’identifier, directement ou indirectement, une personne physique.

Donnée sensible (RGPD)

Catégorie particulière de données révélant santé, opinions, origine, etc., nécessitant une protection renforcée.

Anonymisation

Processus rendant impossible l’identification d’une personne à partir des données, même avec effort raisonnable.

Pseudonymisation

Remplacement d’identifiants par un pseudonyme réversible à l’aide d’une clé ; les données restent personnelles.

CNIL

Autorité administrative indépendante française chargée de protéger la vie privée et les libertés dans le numérique.

RGPD

Règlement européen de 2018 renforçant la protection des données personnelles et la responsabilité des responsables de traitement.

DPO (Data Protection Officer)

Délégué à la protection des données chargé de piloter la conformité RGPD dans une organisation.

DPIA (Data Protection Impact Assessment)

Analyse d’impact relative à la protection des données exigée pour les traitements présentant un risque élevé.

ePrivacy

Projet de règlement européen portant sur la confidentialité des communications électroniques (cookies, métadonnées…).

Principe d’accès et rectification

Droit pour toute personne d’accéder à ses données personnelles et de les faire corriger.

Principe de consentement

Obligation d’obtenir l’accord explicite de la personne pour traiter ses données, notamment sensibles.

Principe de sécurité (données)

Responsabilité du responsable de traitement d’assurer la confidentialité, l’intégrité et la disponibilité des données.

No Read Down (Biba)

Interdiction de lire des données d’un niveau d’intégrité inférieur afin de préserver l’intégrité.

No Write Up (Biba)

Interdiction d’écrire vers un niveau d’intégrité supérieur pour éviter la contamination de données fiables.

UCON Obligations

Conditions qu’un sujet doit remplir durant l’usage d’une ressource (exécution de mises à jour, paiement…).

Capability Security

Modèle où les droits sont transmis sous forme de jetons non forgeables détenus par les sujets.

Trusted Computing Base (TCB)

Ensemble de composants matériels et logiciels critiques dont la compromission mettrait en péril la sécurité globale.

PDCA – Plan

Étape d’identification et d’évaluation des risques ainsi que de définition des actions.

PDCA – Do

Mise en œuvre des actions de traitement des risques.

PDCA – Check

Contrôle de l’efficacité et de l’efficience des actions menées.

PDCA – Act

Ajustement et amélioration du traitement des risques en fonction des résultats.

Principe du droit à l’oubli

Obligation de supprimer ou d’anonymiser les données personnelles lorsqu’elles ne sont plus nécessaires.