PCA, PRA, rançongiciel, postes de reprise, réplication, RGPD, VPN IPsec, CHILD-SA, PKI et PSK.
Le sujet Saint-Jacques est un cas SISR très complet : il oblige à raisonner comme un administrateur système confronté à une mairie touchée par un incident de cybersécurité. Pour réussir, il faut structurer les réponses, relier chaque solution à un risque réel et éviter les réponses trop générales.
La mairie de Saint-Jacques doit garantir la continuité de ses services après une attaque ou une indisponibilité du système d’information. Le sujet demande donc de comparer des solutions de reprise, d’identifier les faiblesses d’un plan de réplication, de proposer des protections anti-ransomware et d’analyser la sécurité d’un VPN.
Saint-Jacques ne teste pas seulement des connaissances techniques isolées. Le sujet cherche à vérifier si vous êtes capable de relier un choix technique à un impact métier : blocage des paiements fournisseurs, impossibilité de facturer la cantine, perte de preuves vidéo ou indisponibilité des services à la population.
Une bonne copie donne des réponses structurées : tableau quand la consigne demande un tableau, schéma quand la consigne demande un schéma, et argumentation technique quand il faut justifier une solution. La forme compte presque autant que le fond sur ce sujet.
| Bloc | Compétence attendue | Erreur à éviter |
|---|---|---|
| PCA / postes de reprise | Comparer disponibilité, sécurité et coût | Répondre en texte au lieu d’un tableau |
| Réplication | Identifier les pertes de données et conséquences métier | Dire seulement “fréquence insuffisante” |
| Ransomware | Proposer des protections ciblées USB/email | Écrire uniquement “mettre un antivirus” |
| VPN / PKI | Schématiser les clés et comparer PSK/PKI | Faire une comparaison vague sans critères |
| Critère | Postes publics | Postes dédiés |
|---|---|---|
| Disponibilité | Immédiate mais reconfiguration nécessaire | Déballage nécessaire mais postes prévus pour la reprise |
| Sécurité | Risque résiduel si les postes ont déjà été exposés | Meilleure maîtrise car postes isolés et dédiés |
| Coût | Faible coût matériel | Investissement initial plus élevé |
Chaque défaut doit suivre la logique : donnée concernée → fréquence actuelle → problème → conséquence métier. Par exemple, une réplication hebdomadaire de machines virtuelles peut entraîner plusieurs jours de perte de données, donc un blocage des paiements ou de la paie.
Le format attendu est : nom technique + principe + effet sur l’attaque. Une solution comme AppLocker doit être expliquée : elle bloque l’exécution de programmes depuis un support amovible, donc un fichier malveillant présent sur une clé USB ne peut pas se lancer.
Pour les clés CHILD-SA, il faut représenter les deux sens de communication : une clé pour A vers B, une autre pour B vers A. Pour PKI / PSK, comparez point par point : gestion, révocation et niveau de sécurité.
Le sujet devient accessible si vous respectez les formats demandés. Les pièges ne viennent pas seulement de la difficulté technique, mais de réponses trop générales, mal présentées ou non reliées au contexte de la mairie.
“Les machines virtuelles répliquées seulement une fois par semaine exposent la mairie à une perte importante de données. Si un incident intervient en fin de semaine, plusieurs jours de modifications peuvent disparaître. Pour les applications de paiement ou de paie, cela peut bloquer les traitements administratifs et obliger les agents à reconstituer les opérations manuellement.”
“La désactivation de l’exécution automatique par GPO limite le risque d’infection lors de l’insertion d’une clé USB. Elle peut être complétée par AppLocker, qui interdit l’exécution de programmes depuis les supports amovibles. Ainsi, même si un utilisateur insère une clé piégée, le malware ne peut pas se lancer automatiquement.”
“La mairie doit notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation. Si les données exposées présentent un risque élevé pour les personnes, elle doit également informer les personnes concernées afin qu’elles puissent prendre des mesures de protection.”
“La PSK impose de gérer manuellement une clé partagée. En cas de vol ou de compromission, il faut remplacer cette clé sur les équipements concernés. Une PKI permet au contraire de délivrer des certificats, de les révoquer et d’automatiser une partie de la gestion des clés, ce qui est plus adapté à une infrastructure évolutive.”
Un tableau attendu doit être présenté comme un tableau. Un schéma attendu doit être dessiné ou décrit visuellement. Un bon contenu dans le mauvais format peut perdre beaucoup de points.
Le sujet demande des mesures complémentaires contre les rançongiciels. Il faut cibler les vecteurs d’attaque : USB, email, liens web, exécution de fichiers et propagation latérale.
Dire “la réplication est trop rare” est insuffisant. Il faut expliquer ce que cela provoque pour la mairie : perte d’inscriptions, retard de paiement, impossibilité de prouver une intervention ou rupture de service public.
La réponse doit respecter l’ordre : découverte de la violation, notification CNIL sous 72 heures, information des personnes si le risque est élevé.
“La PKI est plus sécurisée” ne suffit pas. Il faut parler de gestion des clés, de révocation et de robustesse des certificats.
Une très bonne copie utilise des réponses structurées et opérationnelles. Elle ne récite pas seulement des notions : elle montre que l’étudiant sait raisonner dans un contexte réel de collectivité locale, avec des contraintes de continuité, de sécurité et de conformité.
Le sujet porte sur la continuité d’activité, la reprise après incident, les rançongiciels, le RGPD et la sécurisation VPN.
Parce que la consigne attend une comparaison structurée entre deux solutions de reprise. Le tableau permet de comparer clairement disponibilité, sécurité et coût.
Parce que la mairie possède déjà des protections. Il faut proposer des mesures complémentaires comme AppLocker, GPO, proxy filtrant, isolation réseau et sensibilisation.
La mairie doit notifier la CNIL sous 72 heures après la découverte de la violation et informer les personnes concernées si le risque est élevé.
La consigne demande un schéma des clés symétriques. Il faut donc représenter les deux sens de communication et les clés CHILD-SA associées.
Sujet complet BTS SIO 2023 SISR Saint-Jacques pour travailler l’épreuve.
📄 Sujet complet PDFRetrouvez les autres sujets BTS SIO disponibles pour compléter vos révisions.