APPRENDRE AVEC LA CORRECTIONLes cinq questions et leurs réponses expliquées
Faites d’abord l’essai ci-dessus si vous souhaitez répondre sans aide. Retrouvez ensuite les raisonnements de ce chapitre : Contrôle et sécurité du SI. Ouvrez une explication pour comprendre la réponse attendue.
1. Quel principe décrit le mieux l’attribution des habilitations ?
- Accorder tous les droits aux salariés permanents et aucun aux prestataires.
- Conserver les droits antérieurs dès que le salarié reste dans l’entreprise.
- Accorder les droits nécessaires à la fonction et retirer ceux devenus inutiles.
- Accorder l’administration dès que l’utilisateur a suivi une formation.
Afficher la réponse et l’explication
Réponse : Accorder les droits nécessaires à la fonction et retirer ceux devenus inutiles.
Les habilitations doivent suivre le besoin réel. Le statut ou une formation ne justifie pas, à lui seul, des droits étendus ou devenus inutiles.
2. Un technicien doit exceptionnellement administrer une application pendant une intervention. Quel dispositif respecte le mieux le moindre privilège ?
- Un compte administrateur permanent utilisé aussi pour ses courriels.
- Une élévation limitée au besoin, autorisée, tracée et retirée après intervention.
- Le partage du mot de passe du directeur avec l’ensemble de son équipe.
- L’ajout permanent de tous les techniciens au groupe administrateur.
Afficher la réponse et l’explication
Réponse : Une élévation limitée au besoin, autorisée, tracée et retirée après intervention.
Un besoin ponctuel appelle un droit ponctuel encadré. La durée et le périmètre doivent rester proportionnés et les actions traçables.
3. Quel risque cherche à réduire la séparation entre création d’un fournisseur et validation de son paiement ?
- La réalisation d’un paiement indu par une personne agissant seule sur toute la chaîne.
- Le refus de tout paiement à un fournisseur créé dans le même exercice, y compris lorsque la création est justifiée.
- La suppression de toute erreur de calcul de facture par le seul changement des rôles de validation.
- L’impossibilité pour deux personnes de se concerter, même si elles contrôlent ensemble création et paiement.
Afficher la réponse et l’explication
Réponse : La réalisation d’un paiement indu par une personne agissant seule sur toute la chaîne.
Séparer les étapes sensibles réduit la possibilité d’organiser et de valider seul une opération indue. Cela ne dispense pas des autres contrôles.
4. Un utilisateur ne valide pas les paiements, mais peut modifier seul l’IBAN juste après leur validation. Quel contrôle doit être examiné ?
- La maîtrise des changements de coordonnées jusqu’à l’exécution du paiement.
- La seule revue des coordonnées au moment de la création, sans contrôle de leur modification après approbation.
- Le montant validé seul, en supposant que l’IBAN peut être remplacé sans affecter la destination approuvée.
- La seule absence de droit de valider les paiements, considérée comme suffisante malgré le droit de changer le bénéficiaire après validation.
Afficher la réponse et l’explication
Réponse : La maîtrise des changements de coordonnées jusqu’à l’exécution du paiement.
La séparation peut être contournée si une donnée essentielle change après autorisation. Le contrôle doit couvrir les modifications et leur revalidation.
5. Une restauration d’essai doit être réalisée sans affecter le service courant. Quel choix est adapté ?
- Restaurer directement sur la base active sans plan de protection, en supposant que le simple nom test empêche l’écrasement.
- Utiliser un environnement approprié isolé et contrôler le résultat du test.
- Isoler seulement le poste du testeur tout en conservant une connexion d’écriture non contrôlée vers la production.
- Exécuter le test avec les mêmes destinations et droits de production sans vérifier les effets possibles des opérations de restauration.
Afficher la réponse et l’explication
Réponse : Utiliser un environnement approprié isolé et contrôler le résultat du test.
Un environnement de test maîtrisé permet de vérifier la restauration sans détruire le service courant. Les résultats et limites doivent être consignés.
Trois flashcards pour retenir les distinctions
Une comptable change de poste et conserve le droit de modifier les coordonnées des fournisseurs, dont elle n’a plus besoin. Que faire ?
Retirer ce droit et adapter ses habilitations à sa nouvelle mission.
Les changements de fonction doivent déclencher une adaptation des accès. L’absence d’incident ne justifie pas le maintien d’un droit sans besoin.
La règle impose deux validateurs, mais le second approuve sans consulter le dossier. Quelle action améliore réellement ce contrôle ?
Définir et vérifier l’examen attendu du second valideur avant son approbation.
La double validation ne réduit le risque que si un contrôle pertinent est exercé. Il faut définir les vérifications et examiner leur réalisation effective.
Le principe de minimisation demande principalement de :
Limiter les données personnelles à ce qui est nécessaire à la finalité définie.
La pertinence s’apprécie selon la finalité, et non selon un volume universel ni le seul coût technique de stockage.
Ces exercices originaux portent sur un aperçu d’un chapitre. Ils ne constituent pas une annale officielle ni une évaluation complète de votre niveau. Voir les chapitres disponibles en Management des systèmes d’information.
