Infrastructure bancaire, segmentation réseau, VLAN, DMZ, VPN SSL, authentification forte, haute disponibilité et sauvegardes.
Le sujet CalédoBank est un cas typique de BTS SIO SISR : il faut raisonner comme un administrateur réseau qui protège un système bancaire. La page reprend le modèle utilisé pour Kirassur : analyse du cas, méthodologies, exemples modèles, pièges à éviter, stratégie de copie et FAQ.
CalédoBank est un établissement bancaire disposant d’agences, d’un siège et d’un datacenter. Le sujet demande de concevoir une architecture qui protège les services critiques tout en maintenant l’accès des utilisateurs et des conseillers itinérants.
Le sujet ne cherche pas une liste de technologies, mais une architecture cohérente. Chaque choix doit répondre à une menace : compromission d’un poste, accès non autorisé aux serveurs, indisponibilité d’un routeur, perte de données ou connexion distante insuffisamment sécurisée.
Une bonne copie explique le lien entre la mesure technique et le risque réduit. Par exemple : “La DMZ permet d’exposer le serveur web sans donner un accès direct à la base bancaire. Le flux DMZ → datacenter doit donc être limité au port nécessaire et aux seules adresses autorisées.”
| Bloc | Compétence attendue | Erreur à éviter |
|---|---|---|
| Segmentation | Isoler les zones de sécurité | Mettre tous les équipements dans un seul réseau |
| Adressage | Calculer un masque et répartir par VLAN | Donner un réseau sans calcul de capacité |
| VPN / 2FA | Sécuriser les accès distants | Confondre VPN SSL, IPsec et simple HTTPS |
| Disponibilité | Prévoir redondance et sauvegardes testées | Citer “backup” sans RTO/RPO ni test |
Le réflexe gagnant consiste à raisonner en flux : qui communique avec qui, sur quel port, et pourquoi ce flux est nécessaire.
Exemple de raisonnement : si 350 équipements doivent être adressés, un /24 est insuffisant car il offre 254 adresses utilisables. Il faut donc choisir un réseau plus large et l’organiser proprement par sous-réseaux.
Pour un accès distant, il faut distinguer le tunnel, l’identité et le niveau d’accès. Le VPN SSL crée un accès sécurisé ; l’authentification forte vérifie l’identité ; les règles d’autorisation limitent ensuite les applications accessibles.
Une réponse complète doit citer le composant redondé, le mode de bascule, l’objectif de reprise et le test régulier.
| Élément | Réponse attendue |
|---|---|
| Routeur | Deux routeurs avec protocole de bascule type HSRP/VRRP. |
| Serveur critique | Cluster ou réplication avec bascule automatique. |
| Données | Sauvegardes 3-2-1, copie hors site, restauration testée. |
| Objectifs | RTO et RPO annoncés et vérifiés. |
“L’architecture doit être segmentée en plusieurs zones : Internet, DMZ, réseau interne et datacenter. Les serveurs web publics sont placés en DMZ afin d’être accessibles depuis Internet sans exposer directement les bases de données. Les flux entre la DMZ et le datacenter doivent être limités aux ports strictement nécessaires.”
“Depuis Internet, seuls les ports 80 et 443 doivent être ouverts vers le serveur web public. Les accès d’administration comme SSH ou RDP doivent être interdits depuis Internet. Cette règle réduit la surface d’attaque et respecte le principe du moindre privilège.”
“Le nombre d’équipements dépasse la capacité d’un réseau /24. Il faut donc choisir une plage plus large, puis la découper en VLAN : postes agences, postes siège, serveurs et équipements réseau. Cette organisation facilite la sécurité et l’administration.”
“Le VPN SSL est adapté aux conseillers itinérants car il utilise le port 443, généralement autorisé sur les réseaux externes. Il évite l’installation complexe d’un client IPsec et permet de publier seulement les applications nécessaires.”
“La règle 3-2-1 impose trois copies des données, sur deux supports différents, dont une copie hors site. Cette stratégie doit être associée à des tests réguliers de restauration afin de garantir que le RTO annoncé est réaliste.”
Un seul réseau pour tous les équipements est une très mauvaise réponse dans un contexte bancaire. Il faut séparer les zones et filtrer les flux.
Dire “on autorise tous les flux internes” est dangereux. Une bonne règle de pare-feu autorise uniquement ce qui est nécessaire et bloque le reste.
HTTPS sécurise une connexion web. Le VPN SSL organise un accès distant contrôlé vers des ressources internes. Ce n’est pas la même fonction.
Une sauvegarde non testée ne garantit rien. Il faut évoquer la restauration, le délai de reprise et la vérification régulière.
Dans une banque, une panne ou une fuite de données a des conséquences directes : perte de service, risque juridique, perte de confiance et indisponibilité des opérations.
Une excellente copie ne récite pas des technologies. Elle montre une logique professionnelle : menace → mesure → justification → limite. Les mots-clés utiles sont : DMZ, VLAN, moindre privilège, VPN SSL, authentification forte, RTO, RPO, sauvegarde 3-2-1.
Le sujet porte sur la conception et la sécurisation d’une infrastructure bancaire : réseau, DMZ, VLAN, VPN, authentification forte et haute disponibilité.
La DMZ permet d’exposer des services web au public sans donner un accès direct au datacenter et aux bases de données sensibles.
Le piège consiste à choisir un masque sans vérifier le nombre d’adresses nécessaires. Il faut toujours calculer les besoins et prévoir une marge.
Il fonctionne via le port 443, traverse facilement les pare-feu externes et peut limiter l’accès aux seules applications nécessaires.
Il faut parler de la règle 3-2-1, de la copie hors site, du RTO, du RPO et surtout des tests réguliers de restauration.
Sujet complet BTS SIO 2022 SISR CalédoBank pour travailler l’épreuve.
📄 Sujet complet PDFRetrouvez les autres sujets BTS SIO disponibles pour compléter vos révisions.