| # | Question | Réponse |
|---|---|---|
| 1 | Triptyque CIA | Confidentialité, Intégrité, Disponibilité. Modèle FR DICP : + Preuve (traçabilité). |
| 2 | Menace / vulnérabilité / risque | Menace = cause potentielle (acteur + mode opératoire). Vulnérabilité = faiblesse exploitable. Risque = menace × vulnérabilité × impact sur un actif de valeur. Sans actif de valeur, pas de risque. |
| 3 | IDS/IPS/EDR/XDR/NDR/SIEM/SOAR | IDS détecte le réseau, IPS bloque. EDR = détection/réponse sur l’endpoint. NDR = idem sur le réseau (comportemental). XDR = corrélation multi-domaines d’un même éditeur. SIEM = collecte et corrèle tous les logs. SOAR = automatise l’enrichissement et la réponse. |
| 4 | AuthN / AuthZ — OAuth/OIDC/SAML | AuthN = prouver qui je suis ; AuthZ = ce que j’ai le droit de faire. OAuth 2.0 = autorisation (pas d’authentification !). OIDC = authentification au-dessus d’OAuth (ID token). SAML = fédération d’authentification web (assertions XML). |
| 5 | Symétrique / asymétrique | Symétrique = 1 clé partagée, rapide, problème d’échange. Asymétrique = paire de clés, résout l’échange et permet la signature, mais lent. TLS fait de l’hybride : asymétrique pour établir la clé de session, symétrique pour les données. |
| 6 | Forward secrecy | La compromission future de la clé privée du serveur ne permet pas de déchiffrer les sessions passées. Obtenue par échange éphémère (ECDHE). Obligatoire en TLS 1.3. |
| 7 | Hachage / chiffrement / encodage | Hachage = à sens unique, pour l’intégrité. Chiffrement = réversible avec une clé, pour la confidentialité. Encodage (Base64) = réversible sans clé, ce n’est pas de la sécurité. |
| 8 | PtH / Kerberoasting / DCSync | PtH : réutilisation du hash NTLM sans le mot de passe → tiering + Credential Guard + retrait de NTLM. Kerberoasting : TGS d’un compte à SPN cassé hors ligne → gMSA, AES only, retrait des SPN. DCSync : réplication des secrets via DRSUAPI → restreindre DS-Replication-Get-Changes, surveiller. |
| 9 | RTO / RPO | RTO = durée d’indisponibilité acceptable (temps). RPO = perte de données acceptable (fenêtre de données). |
| 10 | CVSS / EPSS / KEV | CVSS = sévérité technique (0-10). EPSS = probabilité d’exploitation à 30 j. KEV = liste CISA des vulnérabilités effectivement exploitées. On priorise : KEV → CVSS élevé + EPSS élevé → reste, pondéré par exposition et criticité de l’actif. |
| 11 | XSS / CSRF / SSRF / IDOR | XSS : script injecté exécuté chez la victime (sortie non encodée). CSRF : la victime exécute une action à son insu (pas de preuve d’intention). SSRF : le serveur requête une URL contrôlée par l’attaquant (→ metadata cloud). IDOR : identifiant d’objet manipulable, autorisation non vérifiée par objet. |
| 12 | SPF / DKIM / DMARC | SPF = IP autorisée pour le domaine de l’enveloppe. DKIM = signature cryptographique du message. DMARC = alignement avec le From: visible + politique + reporting. C’est l’alignement qui protège de l’usurpation. |
| 13 | Responsabilité partagée | Le fournisseur sécurise le cloud, le client sécurise dans le cloud. Dans tous les modèles, données + identités + configuration = client. |
| 14 | Secrets Kubernetes | Base64, pas chiffrés, stockés dans etcd. Il faut chiffrer etcd (KMS), un RBAC strict, et idéalement un coffre externe (External Secrets Operator / Vault). |
| 15 | NC majeure / mineure | Majeure = exigence absente ou défaillance systémique → bloque le certificat. Mineure = écart isolé sur un processus qui fonctionne → plan d’action. |
| 16 | SoA / PTR | SoA = vue mesures (les 93 de l’Annexe A : applicable ou non, pourquoi, où j’en suis). PTR = vue risques (pour chaque risque, l’option de traitement, les actions, les porteurs, les dates). |
| 17 | Notification NIS2 / RGPD | NIS2 : 24 h alerte, 72 h notification, 1 mois rapport final. RGPD : 72 h CNIL + information des personnes si risque élevé. |
| 18 | Moindre privilège / SoD | PoLP : uniquement les droits nécessaires, pour la durée nécessaire. SoD : séparer les rôles incompatibles (celui qui crée un fournisseur ne paie pas la facture). |
| 19 | Zero Trust en une phrase | Aucune confiance accordée par la position réseau : chaque accès est décidé par session, sur l’identité, la posture de l’appareil et le contexte, au moindre privilège. |
| 20 | Sauvegarde immuable | Non modifiable et non supprimable pendant une durée définie, y compris par un administrateur (WORM, Object Lock). Une sauvegarde hors site reste effaçable par un attaquant qui a les droits d’admin. |
| 21 | MFA phishing-resistant | FIDO2/WebAuthn/passkeys, carte à puce, Windows Hello for Business : la clé est liée à l’origine et ne quitte pas le matériel. Le TOTP est un code rejouable via un proxy AiTM ; le SMS est vulnérable au SIM swap. |
| 22 | SBOM / VEX / SLSA | SBOM = nomenclature des composants (CycloneDX/SPDX). VEX = « cette CVE est-elle réellement exploitable chez nous ? ». SLSA = niveaux de garantie sur la provenance de l’artefact (L1 à L3). |
| 23 | Anonymisation / pseudonymisation | Anonymisation = irréversible, sort du champ du RGPD. Pseudonymisation = réversible, reste une donnée personnelle (c’est une mesure de sécurité, pas une exemption). |
| 24 | DPIA / analyse de risques SSI | Même méthode possible, point de vue inverse : la DPIA évalue le risque pour les personnes concernées, l’analyse SSI le risque pour l’organisation. |
| 25 | PASSI / PDIS / PRIS | Qualifications ANSSI : PASSI = audit (5 activités : architecture, configuration, code, pentest, organisationnel & physique). PDIS = détection. PRIS = réponse à incident. |
Structure invariable : cadrer → dérouler → mesurer. Ces squelettes sont volontairement courts : le détail est dans la fiche indiquée.
| Question | Squelette de réponse (10-15 s par étape) |
|---|---|
| 1. Analyse de risques de A à Z | Cadrage + valeurs métier et événements redoutés (gravité) → socle et écarts → sources de risque / objectifs visés → écosystème et scénarios stratégiques → scénarios opérationnels et vraisemblance → cartographie + PTR + risques résiduels acceptés + cadre de suivi. → fiche 03 |
| 2. Certification ISO 27001 | Périmètre et engagement direction → gap analysis → analyse de risques → SoA + PTR → corpus + mise en œuvre → 3-6 mois de vécu → audit interne + revue de direction → Stage 1 puis Stage 2 → levée des NC. 9-18 mois. → fiche 01/04 |
| 3. Diagnostic de maturité en 10 jours | J1-2 cadrage et collecte documentaire → J3-6 entretiens (8-12) + relevés outillés (PingCastle, ScubaGear, CSPM) → J7-8 cotation sur un référentiel unique (NIST CSF ou ISO 27002, échelle 0-5) → J9 radar as-is / cible / secteur + quick wins → J10 restitution et roadmap. → fiche 01/15 |
| 4. Feuille de route SSI 3 ans | Entrées : maturité + risques + conformité + incidents → priorisation risque × effort → séquencement des dépendances (pas de Zero Trust sans inventaire ni IAM) → 3 vagues : quick wins < 3 mois, structurants 3-12, cible 12-36 → chiffrage CAPEX/OPEX/ETP → gouvernance et indicateurs. → fiche 15 |
| 5. Programme de gestion des vulnérabilités | Inventaire des actifs et ownership → découverte (scan authentifié + agents + EASM + images + SCA) → priorisation (CVSS × KEV/EPSS × exposition × criticité) → SLA de remédiation → vérification par rescan → métriques (âge médian, respect des SLA, récurrence). → fiche 10 |
| 6. Sécuriser un tenant M365 / une souscription Azure | Inventaire et baseline CIS → identités d’abord (MFA, blocage legacy, PIM, break-glass) → accès conditionnel → journalisation vers le SIEM → données (partage externe, labels, DLP) → garde-fous préventifs (Azure Policy) → sauvegarde → indicateurs. → fiches 05/08 |
| 7. PCA/PRA | Politique et gouvernance → BIA (impacts en fonction du temps → MTD/RTO/RPO) → scénarios de sinistre dont le cyber → choix des stratégies par arbitrage coût/RTO → rédaction des plans dont le plan de reconstruction → tests par paliers → MCO et REX. → fiche 11 |
| 8. Programme risques tiers | Inventaire consolidé → tiering en 3 niveaux → évaluation proportionnée (attestation / questionnaire+preuves / audit) → clauses contractuelles types → suivi continu et comité → réversibilité. Commencer par les 20-30 critiques. → fiche 13 |
| 9. Tableau de bord SSI | 8-12 indicateurs max, chacun avec cible, tendance et propriétaire → mélange couverture (MFA, EDR), efficacité (MTTD/MTTR, âge des vulns), résilience (tests de restauration), conformité (avancement roadmap), risque (nb hors appétence) → une page, lisible par un non-technicien. → fiche 15 |
| 10. Exercice de crise cyber | Préparation 2-4 semaines (objectifs, scénario sectoriel, injects, observateurs) → jeu ½-1 j avec décisions réelles et main courante → débriefing à chaud puis rapport à froid → plan d’action daté. Livrables : scénario, dossier d’animation, rapport, plan d’amélioration. → fiche 09 |
Trame de réponse réutilisable :
« Je commence par cadrer : périmètre, sponsor, contraintes, existant. Ensuite je fais un état des lieux — documentaire, entretiens, relevés techniques. J’analyse par rapport à un référentiel [ISO 27002 / CIS / hygiène ANSSI]. J’en tire des constats priorisés par risque et effort, puis une feuille de route en 3 vagues avec des quick wins. Enfin je définis les indicateurs de suivi et la gouvernance qui fera vivre le sujet après mon départ. » ⭐ Cette dernière phrase (« ce qui vivra après mon départ ») est très forte en entretien de conseil.
ETI industrielle, 350 personnes, 3 sites, un DSI seul, pas de RSSI. Un client grand compte exige un questionnaire de sécurité et l’ISO 27001 sous 18 mois. Budget serré. Que fais-tu ?
Plan attendu : (1) qualifier le vrai besoin (le questionnaire client d’abord, la certification ensuite) ; (2) diagnostic express sur l’hygiène ANSSI / CIS IG1 ; (3) quick wins : MFA, sauvegardes 3-2-1-1-0 testées, EDR, patch des équipements exposés, retrait des admins locaux ; (4) en parallèle, cadrage du SMSI sur un périmètre réduit et pertinent pour le client final ; (5) gouvernance légère : un référent SSI à temps partiel + RSSI à temps partagé (offre du cabinet) ; (6) roadmap 18 mois avec le jalon audit ; (7) chiffrage et arbitrages présentés au dirigeant.
Vendredi 19 h, appel du DSI : les serveurs de fichiers et l’ESXi sont chiffrés. 800 salariés. Le PDG demande si on paie. Tu es le premier arrivé. Que fais-tu, dans l’ordre ?
Plan attendu : (1) cellule de crise, moyens hors SI, main courante ; (2) qualification rapide du périmètre touché et de l’état des sauvegardes ; (3) endiguement : isolation réseau, coupure des accès distants, désactivation/reset des comptes à privilèges, protection des sauvegardes ; (4) préservation des preuves (RAM/disques d’échantillons, logs) et appel à un prestataire IR (PRIS) ; (5) obligations : plainte (72 h pour l’assurance), CNIL si DCP, ANSSI/NIS2, assureur, information des salariés/clients ; (6) position sur le paiement : recommandation de ne pas payer, décision du dirigeant, points juridiques ; (7) plan de reconstruction (base de confiance, AD d’abord, ordre du BIA) ; (8) REX et durcissement.
Une DSI a créé 40 abonnements Azure en 2 ans sans gouvernance. Des données RH se retrouvent dans un stockage public. Le DPO s’inquiète. Mission : reprendre le contrôle en 3 mois.
Plan attendu : inventaire (Resource Graph, Defender for Cloud), remédiation immédiate de l’exposition + qualification de la violation RGPD (72 h), landing zone cible + management groups, Azure Policy en deny, revue des rôles (PIM, retrait des Owner), journalisation centralisée, DSPM/Purview pour retrouver la donnée sensible, processus d’ouverture d’abonnement, formation des équipes, indicateurs de conformité.
Un opérateur de traitement de l’eau, 600 salariés, découvre qu’il est entité essentielle. Il n’a rien. Le DG est convoqué au conseil d’administration dans 6 semaines.
Plan attendu : qualification EE/EI et périmètre d’entités ; gap analysis contre les 10 mesures de l’art. 21 ; mise en place immédiate du process de notification 24/72h/1 mois (c’est l’obligation la plus immédiatement sanctionnable) ; désignation d’un responsable ; sensibilisation du CA (obligation de formation des dirigeants) ; roadmap chiffrée 18-24 mois ; attention au périmètre OT/SCADA (IEC 62443, Purdue, disponibilité prioritaire) ; one-pager pour le CA avec risque, exposition juridique, budget.