Concepts généraux du Cloud

• Modèle de responsabilité partagée : Cadre définissant la répartition exacte des obligations de sécurité entre le client et le fournisseur de cloud selon le modèle de service utilisé.
• Local (On-premises) : Environnement traditionnel où l’organisation administre et sécurise l’intégralité de la pile technologique (du bâtiment physique aux données).
• IaaS (Infrastructure as a Service) : Modèle où le fournisseur gère le centre de données, le matériel et la virtualisation, tandis que le client gère le système d’exploitation, les applications, la configuration réseau et les données.
• PaaS (Platform as a Service) : Modèle où le fournisseur prend aussi en charge le système d’exploitation et l’environnement d’exécution. Le client reste responsable du code applicatif, de sa configuration, des accès et des données.
• SaaS (Software as a Service) : Modèle où le fournisseur gère l’ensemble de la pile applicative et l’infrastructure. Le client gère uniquement les accès, ses données et la configuration au niveau du locataire.

Responsabilités toujours conservées par le client

• Données : Classification de la sensibilité, choix de la protection, chiffrement et conformité à la gouvernance des données.
• Identités et accès : Gestion des comptes d’utilisateurs, des méthodes d’authentification (ex. MFA) et des autorisations d’accès au moindre privilège.
• Points de terminaison : Sécurisation et gestion des appareils se connectant aux services cloud (ordinateurs, tablettes, téléphones).
• Choix de configuration : Paramétrage des règles de sécurité, des autorisations de ressources et des stratégies réseau au sein du locataire cloud.

Modèle de responsabilité partagée de l’IA

• Plateforme IA : Couche comprenant l’infrastructure sous-jacente, le modèle d’IA et les contrôles de sécurité de la plateforme (filtrage de contenu, protections intégrées).
• Application IA : Couche applicative développée ou déployée qui se connecte à la plateforme IA (configurations, sources de données, connecteurs, plug-ins).
• Utilisation de l’IA : Façon dont les utilisateurs interagissent avec le système (entrées/prompts, politiques d’utilisation acceptable, supervision).
• Injection de déclencheur (Prompt Injection) : Risque de sécurité spécifique où un attaquant intègre des instructions dans les données ou invites pour manipuler le comportement ou les sorties de l’IA.

Concept de base et piliers (Triade CIA)

• Défense en profondeur : Stratégie de sécurité utilisant une approche en couches superposées plutôt qu’un périmètre unique, garantissant que l’échec d’un seul contrôle n’entraîne pas une violation.
• Triade CIA : Ensemble d’objectifs fondamentaux en sécurité regroupant la confidentialité, l’intégrité et la disponibilité.
• Confidentialité : Garantie que les informations sensibles restent accessibles uniquement aux personnes ou processus autorisés.
• Intégrité : Garantie que les données restent exactes, complètes et non modifiées (ni altérées ou supprimées) sans autorisation.
• Disponibilité : Garantie que les systèmes et les données sont accessibles aux utilisateurs autorisés lorsqu’ils en ont besoin.

Principes de la confidentialité:

• Contrôle client : vous décidez de la gestion, de l’accès et de la suppression de vos données.
• Transparence : information claire sur la collecte et l’utilisation des données.
• Sécurité : protection renforcée des données au repos et en transit via le chiffrement.
• Défense des données contre l’accès tiers : refus d’un accès direct ou sans entrave aux données par les gouvernements ou des tiers sans cadre légal strict.
• Aucun ciblage basé sur le contenu : vos e-mails, chats ou fichiers ne servent pas à la publicité cible.
• Conformité aux lois et réglementations : respect des législations en vigueur (comme le RGPD).

Les 7 couches de la Défense en profondeur

• Sécurité physique : Protection matérielle visant à restreindre l’accès physique aux serveurs, équipements réseau et centres de données (gardes, badges, caméras).
• Contrôles d’identité et d’accès : Mécanismes d’authentification et d’autorisation des utilisateurs avant d’accorder l’accès aux ressources (MFA, RBAC, accès conditionnel).
• Sécurité de périmètre : Protection de la limite du réseau contre les attaques externes à grande échelle (protection DDoS, pare-feu de périmètre).
• Sécurité réseau : Contrôle et limitation des communications entre les ressources internes via la segmentation du réseau et les groupes de sécurité réseau (NSG).
• Sécurité de calcul : Protection des machines virtuelles, conteneurs et serveurs (correctifs logiciels, fermeture des ports inutiles, restriction des accès administratifs).
• Sécurité des applications : Pratiques de développement et de déploiement garantissant l’absence de vulnérabilités exploitables (validation des entrées contre SQLi/XSS).
• Sécurité des données : Couche interne axée sur la protection directe des informations critiques (chiffrement, classification, règles d’accès strictes).

Concepts généraux

• Confiance nulle (Zero Trust) : Stratégie de sécurité fondée sur le principe « trust no one, verify everything » (ne faire confiance à personne, tout vérifier). Elle exige que chaque demande d’accès soit authentifiée et autorisée, peu importe son origine ou sa localisation.
• Modèle Château-et-douve (Château-fort) : Approche de sécurité traditionnelle s’appuyant uniquement sur des contrôles de périmètre réseau forts pour maintenir les menaces à l’extérieur, tout en faisant confiance par défaut à tout ce qui se trouve à l’intérieur du réseau.

Les 3 principes fondamentaux du Confiance nulle

• Vérifier explicitement : Principe consistant à toujours authentifier et autoriser l’accès en fonction de tous les signaux disponibles (identité, emplacement, état de l’appareil, service, classification des données, anomalies), et non sur un seul facteur.
• Utiliser l’accès le moins privilégié (Moindre privilège) : Principe consistant à accorder aux utilisateurs et systèmes uniquement l’accès minimal nécessaire et pour la durée stricte de leur tâche (via JIT et JEA).
• Supposer la violation (Assume breach) : Principe consistant à concevoir la sécurité comme si une intrusion était inévitable, en segmentant les accès, en chiffrant les données de bout en bout et en appliquant une surveillance continue pour limiter les dommages.
• Accès juste-à-temps (JIT – Just-In-Time) : Mécanisme d’attribution temporaire des accès, révoqués automatiquement une fois la tâche accomplie.
• Juste-assez-accès (JEA – Just-Enough-Access) : Mécanisme d’attribution d’autorisations spécifiques et limitées à une tâche précise, plutôt que des privilèges globaux.

Les 7 piliers du Confiance nulle

• Identités : Plan de contrôle principal comprenant les utilisateurs, services ou appareils. Chaque identité doit être vérifiée par authentification forte et régie par le moindre privilège.
• Appareils : Surface d’attaque constituée de tous les équipements accédant aux ressources ; fait l’objet d’une surveillance continue de l’état de santé et de conformité pour valider les accès.
• Applications : Couche de consommation des données nécessitant une visibilité complète, y compris sur les applications non approuvées (Shadow IT) et la gestion de leurs autorisations.
• Données : Ressource critique finale à défendre, nécessitant d’être classifiée, étiquetée et chiffrée selon sa sensibilité pour rester protégée partout.
• Infrastructure : Éléments locaux ou cloud faisant l’objet d’évaluations continues (mises à jour, configurations conformes, accès d’administration JIT) et de télémétrie pour détecter les anomalies.
• Réseaux : Segmentation et micro-segmentation des zones réseau pour contenir les intrusions, associées au chiffrement du trafic et à la protection contre les menaces en temps réel.
• Visibilité, automatisation et orchestration : Septième pilier d’intégration collectant et corrélant les signaux des six autres piliers afin de centraliser l’analyse des menaces et de déclencher des réponses automatisées.

Composants de surveillance et de réponse

• Shadow IT : Ensemble des applications non approuvées ou non gérées formellement par le service informatique, utilisées par les employés.
• SIEM (Security Information and Event Management) : Technologie qui ingère et met en corrélation les signaux de sécurité issus de tous les piliers pour détecter les menaces de manière centralisée.
• SOAR (Security Orchestration, Automation, and Response) : Technologie qui s’appuie sur les détections pour déclencher automatiquement des scénarios de réponse (playbooks) aux attaques.

Concepts généraux du chiffrement

• Chiffrement : Processus consistant à rendre les données non lisibles et inutilisables pour les utilisateurs non autorisés, nécessitant une clé secrète pour le déchiffrement.
• Chiffrement symétrique : Méthode de chiffrement utilisant la même clé pour chiffrer et déchiffrer les données. Rapide et adaptée aux gros volumes de données, mais posant un défi de distribution sécurisée des clés.
• Chiffrement asymétrique : Méthode de chiffrement utilisant une paire de clés liées mathématiquement (une clé publique pour chiffrer et une clé privée pour déchiffrer).
• Clé publique : Clé de chiffrement asymétrique pouvant être partagée librement, utilisée par tous pour chiffrer des données destinées au propriétaire de la clé ou pour vérifier une signature.
• Clé privée : Clé de chiffrement asymétrique gardée strictement secrète, utilisée par son propriétaire pour déchiffrer des données ou signer numériquement des documents.
• Signature numérique : Mécanisme basé sur le chiffrement asymétrique permettant de vérifier l’authenticité de l’expéditeur et l’intégrité des données transmises.

Chiffrement selon l’état des données

• Données au repos (Data at rest) : Données stockées sur un support physique (disque dur, base de données, stockage cloud).
• Données en transit (Data in transit) : Données qui se déplacent d’un emplacement à un autre (sur Internet ou sur un réseau), protégées contre l’interception et l’écoute via des protocoles comme TLS/HTTPS.
• Données en cours d’utilisation (Data in use) : Données en cours de traitement actif dans la mémoire (RAM) ou le processeur, protégées par l’informatique confidentielle et des enclaves sécurisées.
• Informatique confidentielle (Confidential Computing) : Technologies créant des environnements d’exécution protégés (enclaves sécurisées) pour isoler les données en cours d’utilisation, y compris vis-à-vis du système d’exploitation ou de l’hyperviseur.

Gestion des clés et de la sécurité

• Gestion des clés (Key Management) : Ensemble des processus de création, stockage, protection, rotation et destruction des clés de chiffrement.
• Module de sécurité matériel (HSM – Hardware Security Module) : Appareil physique spécialisé et résistant aux manipulations, conçu pour stocker et protéger les clés de chiffrement.
• Azure Key Vault : Service cloud géré permettant de centraliser le stockage et la gestion des clés de chiffrement, des certificats et des secrets.

Hachage et protection des identifiants

• Hachage (Hashing) : Processus unidirectionnel et déterministe (sans clé) convertissant une entrée de taille variable en une chaîne de longueur fixe (empreinte numérique unique).
• Table arc-en-ciel (Rainbow Table) : Attaque par dictionnaire utilisant des tables de hachages précalculés pour retrouver des mots de passe en texte brut à partir de leurs hachages.
• Salage (Salting) : Pratique consistant à ajouter une valeur aléatoire unique (le sel) à un mot de passe avant son hachage pour produire des hachages distincts et rendre inefficaces les attaques par tables arc-en-ciel.

Concept global GRC

• GRC (Gouvernance, Risque et Conformité) : Ensemble de pratiques intégrées permettant aux organisations de gérer le respect des réglementations, d’identifier les menaces et d’orienter la stratégie de sécurité de manière structurée.

1. Gouvernance

• Gouvernance : Système de règles, de pratiques et de processus utilisé par une organisation pour orienter, contrôler et définir les responsabilités de ses activités de sécurité.

2. Gestion des risques

• Gestion des risques : Processus d’identification, d’évaluation, de traitement et de suivi des menaces susceptibles d’impacter négativement les objectifs ou la confiance des clients.
• Risques externes : Menaces provenant de l’extérieur de l’organisation (cyberattaques, catastrophes naturelles, évolutions réglementaires, fournisseurs tiers).
• Risques internes : Menaces provenant de l’intérieur (fuite accidentelle de données, menaces d’initiés, fraudes, failles de processus).
• Évaluation du risque (Score de risque) : Processus combinant l’impact potentiel et la probabilité d’occurrence d’une menace afin de hiérarchiser les priorités de traitement.
• Réponse au risque : Stratégie de traitement d’un risque identifié, déclinable en quatre options : accepter, atténuer (via des contrôles), transférer (ex. assurance) ou éviter.

3. Conformité et réglementations

• Conformité : Adhésion obligatoire aux lois, réglementations, normes et politiques s’appliquant à une organisation selon son secteur, sa géographie et les données gérées.
• Résidence des données : Réglementations définissant les emplacements physiques où les données peuvent être stockées, traitées ou transférées.
• Souveraineté des données : Principe selon lequel les données sont soumises aux lois et à la juridiction du pays/région où elles sont collectées, détenues ou traitées.
• Confidentialité (Privacy) : Gestion appropriée et transparente des données personnelles (collecte, consentement, droits d’accès, de correction ou de suppression).
• Données personnelles : Toute information relative à une personne physique identifiée ou identifiable (directement ou indirectement).

4. Normes et frameworks de conformité

• HIPAA : Réglementation américaine encadrant la protection et la confidentialité des informations de santé.
• ISO 27001 : Norme internationale de référence pour la mise en place d’un Système de Management de la Sécurité des Informations (SMSI).
• SOC 2 : Norme d’audit évaluant les contrôles de sécurité, de disponibilité et de confidentialité chez les fournisseurs de services gérant des données clients.

---

Concepts fondamentaux

• Authentification (Authentication) : Processus consistant à vérifier l’identité d’un utilisateur, d’un appareil ou d’une application (répond à la question : Qui êtes-vous ?).
• Autorisation (Authorization) : Processus consistant à déterminer les accès, privilèges et actions permis à une identité préalablement authentifiée (répond à la question : Qu’êtes-vous autorisé à faire ?).

Facteurs et méthodes d’authentification

• Facteurs d’authentification : Catégories de preuves utilisées pour valider une identité :
  • Ce que vous savez (Something you know) : Mot de passe, code PIN ou question de sécurité.
  • Ce que vous possédez (Something you have) : Appareil mobile, clé de sécurité matérielle ou carte à puce.
  • Ce que vous êtes (Something you are) : Caractéristique biométrique (empreinte digitale, reconnaissance faciale).
• Authentification à facteur unique (Single-factor authentication) : Méthode exigeant une preuve issue d’une seule catégorie (ex. un mot de passe seul).
• Authentification multifacteur (MFA – Multifactor authentication) : Méthode de sécurité exigeant au moins deux facteurs issus de catégories différentes pour valider une connexion.

Principes d’autorisation

• Principe du moindre privilège (Principle of least privilege) : Règle de sécurité consistant à accorder aux identités uniquement les accès strictement nécessaires à l’accomplissement de leurs tâches, et rien de plus.

Concepts fondamentaux identité

• Périmètre de sécurité traditionnel (Traditional security perimeter) : Modèle de sécurité basé sur les limites du réseau physique, protégé par des pare-feu et des VPN, faisant confiance au trafic interne et bloquant le trafic externe.
• L’identité comme périmètre de sécurité (Identity as the new security perimeter) : Approche moderne où l’identité (personne, appareil ou logiciel) devient le point central de vérification des accès, remplaçant la dépendance aux limites du réseau physique.
• Identité (Identity) : Ensemble d’attributs qui définissent ou caractérisent une personne, un appareil, une charge de travail ou un composant logiciel.

Types d’identités

• Identités humaines (Human identities) : Représentent les personnes physiques (employés, prestataires, clients, partenaires) qui s’authentifient pour accéder aux applications et données.
• Identités d’appareils (Device identities) : Représentent le matériel physique (ordinateurs, smartphones, tablettes, capteurs IoT) se connectant aux systèmes de l’organisation.
• Identités de charge de travail (Workload identities) : Représentent les logiciels, applications, services, conteneurs et processus automatisés accédant à des ressources sans intervention humaine directe.
• Identités d’agent (Agent identities) : Représentent les agents IA (assistants ou autonomes) agissant au nom d’utilisateurs ou de processus, nécessitant une gouvernance et une gestion du cycle de vie adaptées.

Les quatre piliers de l’infrastructure d’identité

• Administration (Administration) : Création, gestion et gouvernance des identités tout au long de leur cycle de vie, incluant l’attribution (provisioning), la mise à jour des rôles et la suppression (deprovisioning).
• Authentification (Authentication) : Processus de vérification des preuves d’identité (credentials) pour confirmer qu’une entité est bien celle qu’elle prétend être.
• Autorisation (Authorization) : Évaluation des permissions et du contexte de la requête pour déterminer les accès et actions accordés à une identité authentifiée.
• Audit (Auditing) : Suivi et enregistrement des activités (journaux de connexion, rapports d’activité, détection d’anomalies) pour assurer la conformité, détecter les incidents et mener des analyses forensiques.

Concepts fondamentaux Idp

• Fournisseur d’identité (Identity Provider – IdP) : Service centralisé qui crée, maintient et gère les informations d’identité, et fournit des services d’authentification, d’autorisation et d’audit aux applications.
• Authentification moderne (Modern authentication) : Modèle d’architecture où les services d’authentification et d’autorisation sont délégués à un fournisseur d’identité centralisé plutôt qu’intégrés individuellement dans chaque application.
• Authentification unique (Single Sign-On – SSO) : Fonctionnalité permettant à un utilisateur de s’authentifier une seule fois auprès de l’IdP pour accéder automatiquement à toutes les applications connectées qui lui font confiance, sans réenlever ses identifiants.

Jetons de sécurité et revendications

• Jeton de sécurité (Security token) : Ensemble structuré de données émises par un IdP après vérification de l’identité, permettant à une application de valider la connexion et d’accorder l’accès.
• Revendication (Claim) : Élément individuel d’information contenu dans un jeton de sécurité concernant l’identité authentifiée (ex. identifiant unique, rôle, adresse email, date d’expiration).
• Jeton d’ID (ID token) : Jeton de sécurité servant de preuve de l’authentification de l’utilisateur, permettant à l’application de connaître son identité.
• Jeton d’accès (Access token) : Jeton de sécurité accordant l’autorisation à une application d’accéder à une ressource spécifique au nom de l’utilisateur.

Protocole d’authentification

• OpenID Connect (OIDC) : Protocole d’authentification standard construit sur OAuth 2.0, utilisé principalement par les applications cloud et mobiles pour vérifier l’identité de l’utilisateur.
• OAuth 2.0 : Protocole d’autorisation standard permettant d’émettre des jetons d’accès pour des ressources protégées.
• SAML (Security Assertion Markup Language) : Protocole standard d’échange de données d’authentification et d’autorisation, très utilisé dans les environnements d’entreprise et pour la fédération d’identités.

Concepts fondamentaux des services d’annuaire

• Annuaire (Directory) : Dépot structuré qui stocke des informations sur les objets d’un réseau (utilisateurs, appareils, groupes, stratégies, applications).
• Service d’annuaire (Directory service) : Logiciel qui stocke les données de l’annuaire et les met à disposition des utilisateurs, administrateurs et applications pour gérer l’authentification et l’autorisation.
• Identity as a Service (IDaaS) : Modèle basé sur le cloud où l’infrastucture d’identité et de gestion des accès est hébergée, exploitée et maintenue par un fournisseur tiers.

Composants Active Directory (On-Premises)

• Active Directory (AD) : Ensemble de services d’annuaire développés par Microsoft pour gérer les réseaux locaux basés sur un domaine.
• Active Directory Domain Services (AD DS) : Composant principal d’AD qui stocke les informations sur les membres d’un domaine (utilisateurs, appareils, groupes), vérifie les identifiants lors de la connexion et gère les droits d’accès.
• Contrôleur de domaine (Domain Controller – DC) : Serveur exécutant le service AD DS pour authentifier et autoriser les utilisateurs et appareils au sein d’un domaine.
• Unités d’organisation (Organizational Units – OUs) : Conteneurs au sein d’AD DS permettant de structurer les utilisateurs et ordinateurs afin d’en simplifier l’administration.

Solutions cloud et hybrides

• Microsoft Entra ID : Service cloud de gestion des identités et des accès (IDaaS) de Microsoft, conçu pour Internet, le cloud, et le support des protocoles d’authentification modernes.
• Identité hybride (Hybrid identity) : Configuration connectant AD DS local à Microsoft Entra ID pour synchroniser les identités, permettant d’accéder aux ressources locales et cloud avec le même jeu d’identifiants.
• Microsoft Entra Connect : synchronization tool that connects your local Active Directory to Microsoft Entra ID

Concepts fondamentaux Federation

• Fédération (Federation) : Mécanisme établissant des relations de confiance entre des fournisseurs d’identités distincts pour autoriser l’accès à des ressources à travers des frontières organisationnelles ou de domaines, sans créer de comptes secondaires.
• Relation de confiance (Trust relationship) : Accord de sécurité configuré entre deux fournisseurs d’identités, permettant à une organisation d’accepter les preuves d’authentification émanant d’une autre (la confiance n’est pas bidirectionnelle par défaut et doit être explicitement configurée dans les deux sens si nécessaire).

Scénarios d’application de la fédération

• Collaboration Business-to-Business (B2B) : Modèle permettant aux employés d’une entreprise partenaire d’accéder à des applications ou espaces de travail partagés en utilisant les identifiants de leur propre organisation.
• Fournisseurs d’identités sociales et grand public (Social identity providers) : Intégration de services tiers (ex. Google, Microsoft, GitHub) permettant aux utilisateurs de s’authentifier sur une application client avec un compte existant.
• Active Directory Federation Services (AD FS) : Rôle serveur Microsoft permettant d’étendre un système d’authentification local (Active Directory Domain Services) vers des services et applications hébergés dans le cloud via l’émission de jetons sécurisés.