TP1 — Cartographie des actifs et identification des menaces (2h)¶
Cas d'étude filé¶
Ce TP ouvre un cas d'étude filé sur les 4 séances : une organisation fictive, « Faso Digital Services » (FDS), PME de services numériques (hébergement, développement d'applications pour des clients publics et privés). Le dossier de contexte (missions, organigramme simplifié, principaux systèmes) est fourni par l'enseignant.
Objectifs¶
- Identifier les missions et valeurs métier de l'organisation.
- Cartographier les actifs supports (systèmes, données, applications) et leur criticité.
Exercice 1 — Missions et valeurs métier¶
À partir du dossier de contexte, lister les 3 à 5 missions essentielles de FDS (ce qui, si interrompu, menacerait la survie de l'organisation ou de ses clients).
Exercice 2 — Cartographie des actifs supports¶
Pour chaque mission identifiée, lister les actifs supports correspondants (serveurs, bases de données, applications, prestataires) sous forme de tableau : actif, description, propriétaire, niveau de criticité estimé (1 à 4).
Exercice 3 — Événements redoutés¶
Pour les 3 actifs jugés les plus critiques, formuler un « événement redouté » selon le modèle EBIOS RM : « [Actif] subit [atteinte : perte de disponibilité / confidentialité / intégrité] avec pour conséquence [impact métier] ». Exemple : « La base de données clients subit une perte de confidentialité, avec pour conséquence une violation du RGPD et une perte de confiance des clients. »
Exercice 4 — Sources de risque¶
Identifier, pour ce contexte, au moins 3 sources de risque plausibles (ex. attaquant opportuniste motivé par le gain financier, prestataire tiers négligent, employé mécontent) et leurs objectifs visés.
À rendre¶
Le tableau de cartographie des actifs et la liste des événements redoutés avec leurs sources de risque associées. Ce livrable sert de base au TP2.
Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou