Cuestionario: Gestion des Risques en Sécurité SI — 8 preguntas

1. Qu'est-ce que le triangle de sécurité SI ?

A. Un diagramme montrant la hiérarchie des mesures de sécurité

B. Un modèle illustrant l'interaction entre actifs, vulnérabilités et menaces pour comprendre le risque

C. Un outil pour évaluer la performance des actifs dans une organisation

D. Une méthode pour identifier les vulnérabilités dans un système d'information

Answer: (B)

Explicación

Le 'triangle de sécurité SI' est défini comme un modèle illustrant l’interaction entre actifs, vulnérabilités et menaces pour comprendre le risque. La bonne réponse reflète cette définition précise.

2. Qu'est-ce que l'analyse des risques quotidiens selon la définition fournie ?

A. Une pratique réservée aux professionnels de la sécurité

B. Une méthode de prévention basée uniquement sur la réaction aux incidents

C. Une estimation approximative des dangers possibles

D. Une démarche d’évaluation systématique des dangers et des impacts dans la vie quotidienne

Answer: (D)

Explicación

L'analyse des risques quotidiens est définie comme une démarche d’évaluation systématique des dangers et des impacts potentiels dans la vie de tous les jours, permettant d’adapter ses comportements et ses mesures de protection.

3. Quelle est la définition du risque dans le contexte de la sécurité des systèmes d'information ?

A. La probabilité qu'une menace exploite une vulnérabilité pour impacter un actif

B. L'impact potentiel d'une attaque sur un système d'information

C. La fréquence des attaques informatiques sur un système donné

D. La probabilité qu'une menace cause un incident sans vulnérabilité spécifique

Answer: (A)

Explicación

Le risque SI est défini comme la probabilité qu'une menace exploite une vulnérabilité pour impacter un actif, ce qui correspond à la réponse 2. Les autres options évoquent des notions liées mais différentes : la fréquence d'attaques, l'impact seul, ou une situation sans vulnérabilité spécifique, ce qui ne correspond pas à la définition précise donnée dans la source.

4. Qu'est-ce qu'une vulnérabilité intrinsèque ?

A. Une faille dépendant de l’environnement ou du contexte externe

B. Une vulnérabilité qui ne peut pas être exploitée par des attaquants

C. Une faiblesse liée uniquement au personnel de l’organisation

D. Une faille liée à la nature technique ou structurelle de l’actif, indépendante de l’environnement

Answer: (D)

Explicación

Une vulnérabilité intrinsèque est une faille liée à la nature technique ou structurelle de l’actif, présente indépendamment de l’environnement immédiat, comme indiqué dans le texte.

5. Que désigne une menace volontaire selon la définition fournie ?

A. Une menace accidentelle ou non délibérée résultant d'événements imprévus

B. Une menace qui ne cible pas une vulnérabilité spécifique mais agit de manière aléatoire

C. Une menace qui provient uniquement de sources humaines sans intention spécifique

D. Une menace qui résulte d'une intention délibérée visant à exploiter une vulnérabilité pour causer un dommage

Answer: (D)

Explicación

Une menace volontaire est définie comme une menace intentionnelle qui résulte d'une source humaine ou technique, visant à exploiter une vulnérabilité pour atteindre un objectif nuisible, ce qui correspond à l'option 0.

6. Comment une organisation peut-elle utiliser le cadre ISO pour renforcer la sécurité de ses systèmes d'information ?

A. En se concentrant uniquement sur la conformité réglementaire sans audit

B. En utilisant les lignes directrices pour établir une gestion cohérente et reproductible des risques

C. En ignorant les recommandations pour privilégier ses propres méthodes

D. En appliquant des solutions techniques sans cadre de gestion

Answer: (B)

Explicación

L'application des normes ISO permet d'établir une gestion rigoureuse, cohérente et reproductible des risques liés à la sécurité des systèmes d'information, notamment lors d'audits ou de démarches de conformité.

7. Quelle caractéristique distingue la méthode MEHARI dans l’analyse des risques en sécurité des systèmes d’information ?

A. Elle se base exclusivement sur des référentiels de sécurité.

B. Elle n'intègre pas d’évaluation numérique des risques.

C. Elle utilise uniquement une approche qualitative.

D. Elle combine analyse qualitative et quantitative.

Answer: (D)

Explicación

La méthode MEHARI est caractérisée par sa capacité à combiner analyse qualitative et quantitative, ce qui lui permet d'adapter l’évaluation des risques aux besoins spécifiques de l’organisation, contrairement à d’autres méthodes qui peuvent se limiter à une seule approche.

8. Quelle est la définition d’un attaquant dans le contexte de la sécurité des systèmes d’information ?

A. Un professionnel de la sécurité chargé de protéger un système informatique

B. Un hacker éthique qui teste la sécurité d’un système pour en améliorer la protection

C. Un utilisateur légitime qui accède aux données pour leur consultation

D. Un agent malveillant qui mène des actions nuisibles contre un système, motivé par des intérêts personnels ou extérieurs

Answer: (D)

Explicación

L’attaquant est défini comme un agent malveillant menant des actions nuisibles contre un système, généralement motivé par des intérêts personnels ou extérieurs, ce qui correspond à la réponse 2.