Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

BTS SIO 2020 - Préfiguration d’un sujet de l’épreuve écrite E6 – option SISR Af

BTS SIO 2020 - Préfiguration d’un sujet de l’épreuve écrite E6 – option SISR Afin d’illustrer les recommandations pour la conception de sujet de l’épreuve, la proposition ci-dessous constitue un exemple de problématique, de contexte, de questionnement et de documents permettant d’évaluer les compétences du bloc 3 « Cybersécurité des services informatiques » pour l’option SISR dans le cadre d’une épreuve écrite. Les critères d’évaluation de ce sujet correspondent aux critères de performance cités dans le référentiel. Ce sujet a été élaboré sur la base d’un sujet réel, déjà bien abouti, proposé pour une session antérieure. Il a été adapté pour tenir compte des spécificités de la nouvelle épreuve. S’il est largement admis qu’un questionnement orienté sécurité était déjà naturellement présent dans les sujets de l’épreuve E5 du précédent référentiel du BTS SIO, et que l’effort à fournir pour passer à la version du BTS révisé n’est pas trop important, il serait imprudent de sous-estimer les changements dans la nature de cette épreuve. Nous allons expliciter ces changements à l’aide du sujet proposé ci-après. À propos de la structure du sujet Conformément aux recommandations, le sujet est ainsi structuré :  il débute par la présentation d’un contexte qui donne un cadre de travail inspiré d’une situation d’entreprise réelle invitant les candidates et les candidats à contribuer à identifier et résoudre des problèmes de cybersécurité ;  il comporte des dossiers qui traitent chacun d’un aspect de la problématique du sujet ;  chaque dossier contient des missions qui précisent un objectif à atteindre ;  une mission requiert des réalisations qui font l’objet des demandes ou des questions soumises aux candidates et aux candidats. L’ensemble s’appuie sur un dossier documentaire qui fournit tous les éléments permettant de mener à bien les missions. À propos du choix de l’organisation et du contexte Le secteur de l'énergie est devenu l'un des plus sensibles en matière de cybersécurité. Plonger un territoire dans le noir par une coupure des réseaux d’électricité est possible par une cyberattaque sur les systèmes informatiques qui gèrent le réseau de fourniture d’électricité (ce fut le cas par exemple fin 2015 en Ukraine). Cette menace est prise très au sérieux par les États et les entreprises du secteur de l’énergie. En France, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) suit de près une vingtaine d'entreprises du secteur qui sont qualifiées d' « opérateurs d'importance vitale » et effectuent régulièrement des tests et exercices. Dans le sujet proposé, la société d’économie mixte Poitourégie, qui assure un service de distribution d’électricité et de gaz, peut être considérée comme un opérateur d’importance vitale puisque qu’elle assure la fourniture d’énergie pour des milliers de foyers. Nous trouvons là une première caractéristique du sujet proposé : il fait référence à une organisation, un métier dont on peut percevoir le caractère sensible vis-à-vis d’une cyberattaque. BTS SIO – Épreuve E6 – Sujet option SISR Page 1 sur 27 Les sujets ne porteront cependant pas toujours nécessairement sur des organisations importantes susceptibles d’être les cibles de cyberattaques. On peut constater que toutes les entreprises sont susceptibles aujourd’hui d’être l’objet de ce type d’attaques. À propos du questionnement proposé dans le sujet Les missions du sujet font référence à des préoccupations de sûreté et de sécurité qui sont emblématiques du métier d’informaticien en charge d'une infrastructure système et réseau. Ces missions sont donc transposables à d’autres contextes. Dans ce sujet on ne recherche pas une expertise en cybersécurité, on évalue les compétences de techniciens supérieurs, qui dans leurs pratiques, intègrent à tous les stades (anticipation, prévention, réaction) une préoccupation de sécurisation. Les pistes de questionnement explorées par ce sujet sont loin d’être exhaustives. Les compétences évaluées sollicitent nécessairement des savoirs communs avec d’autres blocs professionnels du référentiel. Il est en effet impossible, par exemple, de sécuriser un réseau vis à vis d’attaques en provenance d’internet sans connaître les protocoles réseau. À propos des dossiers Dossier A Ce dossier est plus particulièrement orienté vers des problématiques de sécurité qui sont intégrées dans le quotidien du métier d’informaticien. Le sujet évalue les compétences cybersécurité à un niveau d’exigence qui correspond à celui d’un technicien supérieur à bac + 2. Le dossier est composé de trois missions : La mission A1 est orientée sécurité puisqu'elle consiste à prévenir donc à anticiper une possible malveillance. Elle est ancrée dans la réalité du métier car il s’agit de prendre en compte un avis de sécurité provenant d’un organisme gouvernemental. La candidate ou le candidat est amené à évaluer les risques techniques et leurs conséquences, y compris juridiques et économiques. Que peut-on faire techniquement si on exploite cette vulnérabilité ? Sur quels équipements ? Quelles seraient les conséquences si la menace se réalise ? On attend des solutions pour supprimer la faille et limiter les impacts. Ce type de questionnement est très significatif du métier et des compétences qu’il requiert ; il peut être décliné dans de nombreux scénarios différents. On constate aussi que des savoirs économiques, juridiques et managériaux sont requis pour accomplir la mission de façon satisfaisante. BTS SIO – Épreuve E6 – Sujet option SISR Page 2 sur 27 Le sujet sollicite explicitement ou implicitement les savoirs économiques, juridiques et managériaux du bloc sans en faire pour autant des questions de cours. Pour obtenir tous les points associés à une question il sera nécessaire de fournir une réponse comportant des éléments techniques mais également, en tant que de besoin, des éléments économiques, juridiques ou managériaux. La mission A2 est également orientée sécurité et prévention. Il s’agit de prévenir l’installation d’un ver informatique connu en installant un dispositif de prévention. En poursuivant un objectif de sécurité, on mobilise des compétences métiers : Quels sont les systèmes cibles les plus vulnérables ? Où situer le dispositif dans l'infrastructure pour qu’il soit efficace ? Dans le sujet comme dans le métier, vérifier une infrastructure système et réseau peut amener à auditer l’existant puis à proposer des modifications ou des ajouts directement liés à un besoin de cybersécurité. Ensuite l’étude d’un tableau d’indicateurs de compromission (IOC) nécessite des connaissances précises. il s’agit ensuite d’écrire concrètement des règles de filtrage. On constate ici la présence d’éléments nouveaux, axés sécurité, ils sont associés aux compétences métier “classiques” que sont l’analyse d’un schéma réseau et l’écriture de règles de filtrage. Ces éléments nouveaux sont documentés en annexe. Le sujet poursuit un objectif de sécurité toujours clairement motivé par une problématique de cybersécurité. La mission A3 propose de réagir à une attaque. Il s’agit, en étudiant un journal d’évènements, d’identifier le type d’attaque et de déterminer ses conséquences probables. On s’appuie encore une fois sur des compétences précises d’administration réseau : échanges protocolaires, protocole sécurisé, bonnes pratiques de gestion des mots de passe. La dernière question de la mission est toujours située dans le contexte de l’attaque étudiée, elle évalue la capacité de la candidate ou du candidat à prendre en charge une action réglementaire en référence au RGPD, ce qui nécessite des savoirs économiques, juridiques et managériaux. Le questionnement est toujours cohérent avec la problématique du sujet et avec l’accomplissement de la mission confiée à la candidate ou au candidat. Il est ancré dans la réalité du métier, il sollicite certaines compétences et requiert les savoirs associés. Dossier B Le dossier B est un dossier orienté à la fois sûreté (capacité à surmonter une panne) et sécurité (capacité à résister à une attaque). Dans le référentiel du diplôme, on considère qu’une infrastructure réseau sécurisée, mise en œuvre en respectant les bonnes pratiques, doit être capable de résister à une attaque (elle est dite “résiliente”). Si la sécurisation d’une infrastructure est prise en charge par les compétences du bloc 2, la sécurité en place est vérifiée à l’aide des compétences du bloc 3. C’est là ce que le dossier B se propose notamment de faire. BTS SIO – Épreuve E6 – Sujet option SISR Page 3 sur 27 Il ne faut pas en conclure que dans les sujets il y aura nécessairement un dossier orienté sûreté et un dossier orienté sécurité, ces deux approches peuvent être présentes conjointement au sein d’un même dossier, comme c’est le cas ici. On pourra également trouver des missions plutôt axées sûreté et d’autres qui étudient à la fois les aspects sûreté et sécurité. La mission B1 vise à vérifier la tolérance de panne sur l'établissement d’un circuit de réseau privé virtuel (VPN). On est ici clairement dans la validation d'éléments déjà en place car on élabore un scénario de panne pour vérifier la résilience de l'infrastructure. Les deux premières questions de la mission évaluent la tolérance à la coupure d’un lien. On trouve ici un protocole déjà exploité (VRRP) et on étudie précisément la chaîne de liaison, les matériels traversés et l’établissement d’un circuit alternatif. Les compétences métiers mobilisées ici sont particulièrement significatives d’un exercice d’anticipation à partir de risques identifiés comme pouvant se réaliser. La dernière question étudie la criticité d’un dispositif d'accès et demande une solution. Le sujet amène à vérifier la sûreté des équipements afin d’identifier des uploads/Ingenierie_Lourd/ e6-sisr-poitouregie-sujetzero 1 .pdf