Référentiels et cadrage

Référentiels et cadrage

1. Présentation du cours

   Objectifs

   1. Lire et appliquer les référentiels de sécurité qui engagent l'entreprise.
   2. Repérer les failles applicatives les plus fréquentes et savoir les corriger.
   3. Sécuriser l'accès, la configuration, les secrets et la chaîne logicielle.
   4. Mettre en place une détection et une réponse à incident.
   5. Préparer une mise en conformité auditable.

   Public visé

   Développeurs, responsables techniques et RSSI. Aucune expérience préalable en sécurité n'est requise.

   Durée

   40 heures. Chaque module se termine par un atelier où les mesures sont vérifiées sur une application réelle.

   Avertissement

   Ce cours est pédagogique. Il ne remplace pas un audit professionnel, et les techniques présentées ne doivent pas être utilisées en dehors d'un cadre autorisé : tester une application qui n'est pas la sienne est illégal.

2. OWASP Top 10 : la version en vigueur

   Le Top 10 OWASP recense les risques applicatifs les plus fréquents. La version de référence est la 2025, qui a remplacé la 2021.

   Rang	Risque
   A01:2025	Contrôle d'accès défaillant
   A02:2025	Mauvaise configuration de sécurité
   A03:2025	Défaillance de la chaîne logicielle
   A04:2025	Défaillances cryptographiques
   A05:2025	Injection
   A06:2025	Conception non sécurisée
   A07:2025	Défaillances d'authentification
   A08:2025	Défaillance d'intégrité des logiciels ou des données
   A09:2025	Défaillance de journalisation et d'alerte
   A10:2025	Mauvaise gestion des conditions exceptionnelles

   Deux enseignements à retenir de cette évolution : la chaîne logicielle (A03) est entrée au classement, ce qui traduit le poids réel des dépendances et des systèmes de construction ; et la gestion des conditions exceptionnelles (A10) fait son apparition, alors qu'on la croyait traitée depuis des années.

3. NIS2 et RGPD : ce qui engage l'entreprise

   NIS2

   La directive (UE) 2022/2555 sur la sécurité des réseaux et des systèmes d'information devait être transposée en droit national le 17 octobre 2024.

   • elle étend les obligations à des secteurs entiers qu'ils relevaient du périmètre précédent ;
   • les entités concernées doivent s'enregistrer auprès de l'ANSSI ;
   • elles doivent signaler les incidents de sécurité d'impact important ;
   • des sanctions administratives sont prévues, pouvant atteindre un pourcentage du chiffre d'affaires mondial, avec interdiction temporaire d'exercer les responsabilités du dirigeant.

   La transposition française étant encore en cours au moment de la rédaction, le cours ne prétend pas décrire le détail des textes : il faut se référer aux publications de l'ANSSI, qui publie par ailleurs un socle de mesures de référence.

   RGPD

   Le règlement européen 2016/679 s'applique à toute entité traitant des données de personnes physiques dans l'Union. Il n'est pas un référentiel technique mais un cadre d'obligations : registre des traitements, analyses d'impact,notification des violations sous 72 heures, et principes de protection dès la conception.

   À retenir : une faille de sécurité et une non-conformité ne sont pas la même chose, mais elles se combinent. Une violation de données est d'abord un problème de conformité, ensuite une faille technique.

4. Modèle de menace

   Avant de protéger quoi que ce soit, on écrit ce qu'on cherche à protéger, ce contre quoi, et ce qu'on accepte de perdre. Sans ce document, les mesures sont choisies au hasard.

   Quoi protéger      : les données clients, la facturation, l'acces administrateur
   Contre quoi         : une personne non autorisee, un voleur, une erreur interne
   Perte acceptable   : indisponibilite de 2 h ; perte de donnees : aucune
   Engins              : acces direct, vol de secret, injection, componente vulnerable

   Le modèle de menace sert ensuite de critère d'arbitrage : quand deux mesures sont possibles, on retient celle qui traite la menace qu'on a identifiée.