Révision rapide : Concepts de sécurité – ISC2 CC

Ce que vous devez vraiment savoir

Les concepts de sécurité sont la base de toute la certification ISC2 CC. Avant d'étudier les contrôles, les réseaux, les accès ou la réponse aux incidents, vous devez comprendre ce que signifie protéger les informations, les systèmes et les utilisateurs.

Pour l'examen, vous devez connaître les principes fondamentaux de la sécurité, la relation entre menaces, vulnérabilités et risque, et la raison pour laquelle aucun contrôle unique ne suffit à lui seul.

Concepts clés

• Confidentialité : protège les informations contre les accès non autorisés.
• Intégrité : garantit que les données et les systèmes ne sont pas modifiés de manière non autorisée.
• Disponibilité : garantit que les systèmes et les informations sont accessibles lorsqu'ils sont nécessaires.
• Menace : événement ou acteur pouvant causer un dommage.
• Vulnérabilité : faiblesse qui peut être exploitée par une menace.
• Risque : possibilité qu'une menace exploite une vulnérabilité et cause un impact.
• Contrôle de sécurité : mesure utilisée pour réduire le risque.
• Defense in depth : utilisation de plusieurs niveaux de protection au lieu de s'appuyer sur un seul contrôle.
• Least privilege : accorder uniquement les permissions réellement nécessaires.
• Security awareness : formation des utilisateurs pour réduire les erreurs et les comportements risqués.

Différences à ne pas confondre

Concept	Signification principale
Menace	Quelque chose qui peut causer un dommage
Vulnérabilité	Faiblesse exploitable
Risque	Probabilité et impact d'un dommage
Contrôle	Mesure pour réduire le risque
Confidentialité	Protection contre l'accès non autorisé
Intégrité	Protection contre les modifications non autorisées
Disponibilité	Accès aux systèmes lorsque nécessaire
Defense in depth	Plusieurs couches de sécurité

Triade CIA

La triade CIA est l'un des concepts fondamentaux de la cybersécurité :

• Confidentiality / Confidentialité
• Integrity / Intégrité
• Availability / Disponibilité

La confidentialité protège les données contre les accès non autorisés. L'intégrité protège les données et les systèmes contre les modifications non autorisées. La disponibilité garantit que les services et les informations sont accessibles lorsqu'ils sont nécessaires.

De nombreuses questions d'examen partent précisément de ces trois principes. Si une réponse parle d'accès non autorisé, elle concerne souvent la confidentialité. Si elle parle de données altérées, elle concerne l'intégrité. Si elle parle de systèmes inaccessibles ou de services interrompus, elle concerne la disponibilité.

Menaces, vulnérabilités et risque

Une menace est quelque chose qui peut causer un dommage : un attaquant, un malware, une erreur humaine, un incendie, une panne ou un événement naturel.

Une vulnérabilité est une faiblesse : un mot de passe faible, un système non mis à jour, une mauvaise configuration, un port ouvert inutilement ou une procédure non sécurisée.

Le risque apparaît lorsqu'une menace peut exploiter une vulnérabilité et causer un impact.

Exemple simple :

• menace : attaquant externe ;
• vulnérabilité : serveur non mis à jour ;
• risque : compromission du serveur et perte de données.

Contrôles de sécurité

Les contrôles de sécurité servent à réduire le risque. Ils peuvent prévenir, détecter ou corriger les problèmes de sécurité.

Exemples :

• un pare-feu peut prévenir le trafic non autorisé ;
• un système de surveillance peut détecter une activité suspecte ;
• une sauvegarde peut aider à restaurer des données après un incident.

Pour ISC2 CC, vous devez retenir que les contrôles n'éliminent pas toujours le risque : ils le réduisent à un niveau plus acceptable.

Defense in depth

La defense in depth signifie utiliser plusieurs niveaux de protection. On ne s'appuie pas sur un seul outil, mais sur une combinaison de contrôles.

Par exemple, pour protéger un système, un mot de passe ne suffit pas. MFA, pare-feu, correctifs, surveillance, sauvegardes, formation des utilisateurs et contrôle des accès peuvent être nécessaires.

Cette approche est importante parce que si un contrôle échoue, d'autres contrôles peuvent encore réduire l'impact de l'attaque.

Least privilege

Le principe du least privilege prévoit que les utilisateurs, les services et les applications disposent uniquement des permissions nécessaires pour accomplir leur tâche.

Cela réduit le risque parce que cela limite les dommages en cas d'erreur, d'abus interne ou de compromission d'un compte.

Exemple : un utilisateur qui doit seulement lire des documents ne devrait pas avoir de permissions d'administrateur ni la possibilité de modifier des configurations critiques.

Security awareness

La sécurité ne dépend pas seulement de la technologie. Les utilisateurs peuvent être ciblés par le phishing, le social engineering, des mots de passe faibles ou des erreurs opérationnelles.

La security awareness sert à rendre les utilisateurs plus conscients des risques et à réduire les comportements dangereux.

Pour l'examen ISC2 CC, vous devez retenir que la formation est un contrôle important, surtout contre les menaces qui exploitent le comportement humain.

Erreurs fréquentes dans les quiz

• Confondre menace et vulnérabilité.
• Penser qu'un contrôle élimine toujours complètement le risque.
• Confondre confidentialité et intégrité.
• Penser que la disponibilité concerne seulement la vitesse du système.
• Oublier que la sécurité concerne aussi les personnes et les processus, pas seulement la technologie.
• Penser qu'un seul outil suffit pour protéger un système.
• Confondre least privilege avec le refus d'accès pour tout le monde.

Mini scénario d'examen

Un employé reçoit des permissions d'administrateur alors qu'il doit seulement consulter certains rapports. Cela viole le principe du least privilege, parce que l'utilisateur possède plus de privilèges que nécessaire pour effectuer son travail.

La bonne solution consiste à attribuer uniquement les permissions réellement nécessaires et à revoir périodiquement les accès.

Mini checklist avant le quiz

Avant de commencer le quiz, vous devriez savoir expliquer :

• ce que signifie la confidentialité ;
• ce que signifie l'intégrité ;
• ce que signifie la disponibilité ;
• la différence entre menace, vulnérabilité et risque ;
• à quoi servent les contrôles de sécurité ;
• pourquoi la defense in depth est importante ;
• ce que signifie least privilege ;
• pourquoi la formation des utilisateurs fait partie de la sécurité ;
• pourquoi aucun contrôle n'élimine complètement le risque.