Introduction à la cybersécurité

Ce que vous saurez faire

À la fin de ce cours, vous saurez :

• Distinguer sécurité de l'information, sécurité des TI et cybersécurité, et expliquer ce que la présence d'un adversaire change au raisonnement.
• Nommer les propriétés de sécurité au-delà du triptyque, et hiérarchiser celles qui comptent pour un système donné.
• Employer les principes de conception de Saltzer et Schroeder comme grille de questions en revue d'architecture.
• Expliquer ce qu'isolent réellement une machine virtuelle, un conteneur et une fonction sans serveur, et choisir le niveau d'isolation selon l'écart de confiance.
• Décrire la surface d'attaque d'une application découpée en services, et poser les bonnes questions sur ses API et ses jetons.
• Reconnaître les points faibles d'une chaîne d'approvisionnement logicielle et d'un pipeline de livraison.
• Suivre le chemin type d'une compromission moderne et repérer les endroits où elle aurait pu être arrêtée.
• Prioriser des vulnérabilités sur l'exploitabilité réelle plutôt que sur une note isolée.
• Comprendre ce que chaque forme de test trouve et ne trouve pas, et lire un rapport sans se faire mener.
• Situer les obligations de notification d'incident au Québec et en Europe.

À qui s'adresse ce module

Ce cours s'adresse d'abord à un profil gouvernance, risque ou conformité qui doit parler aux équipes techniques : comprendre ce qu'elles font, poser les bonnes questions, et ne pas se faire mener. Aucune pratique système n'est supposée acquise.

Le parti pris est de suivre le cycle de vie d'un système plutôt que la table des matières d'un manuel. On construit, on expose, on attaque, on défend, on réagit. Les architectures d'aujourd'hui, conteneurs, machines virtuelles, microservices et interfaces de programmation, traversent donc tout le cours au lieu d'être reléguées à un chapitre final sur les technologies émergentes.

Le second parti pris est de rester concret. Chaque mécanisme est expliqué, et quand un extrait réel éclaire mieux qu'un paragraphe, l'extrait est montré : un fichier de construction d'image qui tourne en root, un jeton décodé champ par champ, une configuration trop permissive. Il n'est jamais demandé de savoir l'écrire, seulement de savoir le lire et de comprendre ce qui cloche.

Ce cours évite délibérément deux écueils. Le vocabulaire abstrait des programmes de certification généralistes, où l'on récite des définitions sans jamais voir un système. Et l'imagerie militaire héritée de la sécurité des systèmes de défense, qui décrit mal une organisation civile dont l'adversaire est une entreprise criminelle qui compte ses coûts.

La matière de départ vient du guide Cybersecurity Fundamentals de l'ISACA, dont la structure a été réorganisée et le contenu technique actualisé. La base de connaissance de référence est le CyBOK, publié en 2019 et librement accessible.

Programme

Évaluations