Risques, critères de sécurité et preuves numériques

Introduction

Dans les leçons précédentes sur le système d’information de gestion, nous avons étudié le rôle du SI, ses acteurs, son infrastructure, ses applications, les bases de données, les processus, les progiciels et les technologies émergentes. La leçon précédente a présenté le cadre réglementaire des données, les droits des personnes, les obligations du responsable de traitement, les licences logicielles et l’IA Act.

Cette leçon prolonge directement cet ensemble en abordant un point central : la sécurisation du système d’information et des échanges de données.

L’enjeu n’est pas seulement technique. Il est aussi :

• organisationnel ;
• juridique ;
• éthique ;
• probatoire.

Autrement dit, sécuriser un système d’information, ce n’est pas uniquement installer un antivirus ou changer des mots de passe. C’est aussi :

• comprendre les risques, les menaces et les vulnérabilités ;
• hiérarchiser les priorités ;
• protéger les données et les traitements ;
• garantir la fiabilité des procédures ;
• produire des preuves numériques exploitables ;
• utiliser la technologie de manière éthique.

Objectifs d’apprentissage

À l’issue de cette leçon, vous devez être capable de :

• identifier et hiérarchiser les principaux risques liés à la sécurité du système d’information ;
• distinguer risque, menace et vulnérabilité ;
• comprendre les grands critères de sécurité : disponibilité, intégrité, confidentialité, traçabilité, imputabilité, authenticité et non-répudiation ;
• expliquer pourquoi la sécurité des échanges de données est indispensable ;
• analyser la fiabilité des procédures et des traitements ;
• relier la sécurité du SI à une utilisation éthique de la technologie.

1. Pourquoi la sécurité du système d’information est une question majeure

Le système d’information soutient l’activité de l’organisation : ventes, achats, paie, comptabilité, relations clients, déclarations sociales et fiscales, archivage, pilotage. Dès lors, toute atteinte à sa sécurité peut produire des conséquences immédiates.

1.1. Les effets d’un incident de sécurité

Un incident peut entraîner :

• une interruption d’activité ;
• une perte de données ;
• une altération de données ;
• une divulgation d’informations confidentielles ;
• une erreur de décision fondée sur des données fausses ;
• une mise en cause juridique de l’organisation ;
• une dégradation de la confiance des clients, partenaires, salariés ou administrations.

1.2. Pourquoi ce sujet concerne aussi le gestionnaire

En DCG, il faut bien comprendre que la sécurité du SI n’est pas l’affaire exclusive des informaticiens.

Le comptable, le gestionnaire, le collaborateur paie, l’assistant administratif ou le contrôleur de gestion manipulent chaque jour :

• des données sensibles ;
• des pièces justificatives ;
• des fichiers d’échange ;
• des traitements automatisés ;
• des validations de processus.

Ils participent donc directement à la sécurité par :

• leurs pratiques ;
• le respect des procédures ;
• les contrôles qu’ils réalisent ;
• leur capacité à détecter une anomalie.

1.3. Une exigence aussi éthique

Le programme insiste sur l’idée suivante : utiliser la technologie de manière éthique en tant qu’outil permettant d’améliorer la prise de décision et de promouvoir l’efficacité et les contrôles au sein des organisations.

Cela signifie que la technologie ne doit pas être utilisée :

• au détriment des droits des personnes ;
• sans maîtrise des risques ;
• sans contrôle ;
• sans transparence minimale sur les traitements opérés.

Une utilisation éthique suppose donc :

• de protéger les données ;
• d’éviter les usages abusifs ;
• de limiter les accès au nécessaire ;
• de conserver des traces fiables ;
• de pouvoir expliquer les traitements réalisés.

2. Identifier les principaux risques liés à la sécurité

Pour sécuriser un système d’information, il faut d’abord savoir ce qu’on cherche à éviter.

2.1. La notion de risque

Un risque est la possibilité qu’un événement affecte négativement le système d’information ou les objectifs de l’organisation.

Le risque ne se réduit pas à l’événement lui-même. Il résulte généralement de la combinaison :

• d’une menace ;
• d’une vulnérabilité ;
• d’un impact potentiel.

2.2. Distinguer risque, menace et vulnérabilité

La menace

Une menace est un événement ou un facteur susceptible de causer un dommage.

Exemples :

• erreur humaine ;
• vol d’ordinateur portable ;
• logiciel malveillant ;
• panne électrique ;
• incendie ;
• tentative d’intrusion ;
• envoi d’un faux courriel.

La vulnérabilité

Une vulnérabilité est une faiblesse qui rend possible ou facilite la réalisation d’une menace.

Exemples :

• mot de passe trop simple ;
• absence de sauvegarde ;
• droits d’accès trop larges ;
• poste non mis à jour ;
• procédure de validation inexistante ;
• absence de journalisation.

Le risque

Le risque apparaît lorsqu’une menace peut exploiter une vulnérabilité et produire un dommage.

Exemple simple :

• menace : hameçonnage ;
• vulnérabilité : salarié non sensibilisé + absence de double authentification ;
• risque : accès frauduleux à la messagerie et aux documents comptables.

2.3. Les grandes familles de risques du SI

Sans entrer dans une classification trop technique, on peut regrouper les principaux risques en plusieurs catégories.

1. Les risques d’origine humaine

Ils sont très fréquents.

Exemples :

• erreur de saisie ;
• suppression involontaire d’un fichier ;
• envoi d’un document au mauvais destinataire ;
• partage d’identifiants ;
• non-respect d’une procédure ;
• négligence face à un message suspect.

2. Les risques techniques

Ils concernent le fonctionnement matériel ou logiciel.

Exemples :

• panne de serveur ;
• défaillance de disque ;
• bug applicatif ;
• mauvaise mise à jour ;
• indisponibilité du réseau.

3. Les risques malveillants

Ils résultent d’une intention de nuire ou de détourner.

Exemples :

• intrusion ;
• rançongiciel ;
• vol de données ;
• modification frauduleuse d’écritures ;
• usurpation d’identité numérique.

4. Les risques physiques et environnementaux

Exemples :

• incendie ;
• dégât des eaux ;
• coupure électrique ;
• perte ou vol d’un équipement mobile.

5. Les risques organisationnels

Ils sont souvent sous-estimés.

Exemples :

• absence de séparation des tâches ;
• contrôles insuffisants ;
• procédures non documentées ;
• dépendance à une seule personne ;
• absence de plan de sauvegarde ou de restauration.

3. Hiérarchiser les risques : une démarche indispensable

Identifier des risques ne suffit pas. Il faut aussi les hiérarchiser.

3.1. Pourquoi hiérarchiser ?

Une organisation n’a jamais des ressources illimitées. Elle doit donc prioriser ses actions de sécurité.

Hiérarchiser permet de répondre à des questions concrètes :

• quels risques traiter en priorité ?
• quelles mesures mettre en place d’abord ?
• quels contrôles renforcer ?
• quels risques peuvent être temporairement acceptés ?

3.2. Les critères de hiérarchisation

La hiérarchisation repose principalement sur deux axes.

La probabilité de survenance

Quelle est la chance que l’événement se produise ?

Exemples :

• très probable : erreur de manipulation, tentative d’hameçonnage ;
• moins probable : incendie du local serveur.

La gravité de l’impact

Quelles seraient les conséquences si l’événement se produisait ?

Exemples :

• impact faible : indisponibilité temporaire d’un document non critique ;
• impact fort : perte des données comptables ou divulgation de données de paie.

3.3. Exemple de hiérarchisation

| Risque | Probabilité | Impact | Priorité | |---|---:|---:|---:| | Hameçonnage sur la messagerie | Élevée | Élevé | Très forte | | Panne d’imprimante | Moyenne | Faible | Faible | | Perte d’un ordinateur portable non chiffré | Moyenne | Élevé | Forte | | Erreur de saisie sur une facture | Élevée | Moyen | Forte | | Incendie des locaux | Faible | Très élevé | Forte |

3.4. Ce qu’il faut retenir

Un risque rare peut être prioritaire s’il a un impact très fort. Inversement, un risque fréquent mais peu grave peut appeler surtout des mesures simples et répétitives.

4. Les critères fondamentaux de la sécurité du système d’information

Le programme demande de maîtriser les critères de la sécurité des systèmes d’information. Ils structurent toute l’analyse.

4.1. La disponibilité

La disponibilité signifie que les données, applications et services sont accessibles au moment où ils sont nécessaires.

Pourquoi est-elle essentielle ?

Une information exacte mais inaccessible au bon moment peut devenir inutile.

Exemples

• logiciel de paie indisponible au moment de l’édition des bulletins ;
• serveur comptable inaccessible pendant la clôture ;
• panne réseau empêchant l’envoi d’une déclaration.

Mesures typiques

• sauvegardes ;
• redondance ;
• maintenance ;
• plan de continuité ;
• procédures de restauration.

4.2. L’intégrité ou inaltérabilité

L’intégrité signifie que l’information n’a pas été modifiée de manière non autorisée, accidentelle ou frauduleuse.

Pourquoi est-elle essentielle ?

Une donnée disponible mais fausse est dangereuse. Elle peut conduire à une mauvaise décision, une erreur comptable ou un manquement réglementaire.

Exemples

• modification non autorisée d’un RIB fournisseur ;
• altération d’un montant de facture ;
• écrasement d’un fichier de suivi ;
• calcul erroné dans une feuille de calcul non contrôlée.

Mesures typiques

• droits d’accès limités ;
• validation des saisies ;
• contrôles de cohérence ;
• journalisation des modifications ;
• versions maîtrisées des documents.

4.3. La confidentialité

La confidentialité signifie que seules les personnes autorisées peuvent accéder à certaines informations.

Pourquoi est-elle essentielle ?

Certaines données sont sensibles par nature : paie, données personnelles, données bancaires, contrats, informations stratégiques.

Exemples

• consultation non autorisée de bulletins de salaire ;
• transmission d’un fichier client à un tiers ;
• accès excessif à des dossiers RH ;
• stockage non protégé de pièces d’identité.

Mesures typiques

• habilitations ;
• mots de passe robustes ;
• double authentification ;
• chiffrement fonctionnel des échanges ou supports ;
• cloisonnement des accès.

4.4. La traçabilité

La traçabilité consiste à conserver la trace des opérations réalisées sur les données ou dans le système.

Pourquoi est-elle essentielle ?

Elle permet :

• de reconstituer les événements ;
• de détecter une anomalie ;
• de comprendre l’origine d’une erreur ;
• d’établir un commencement de preuve.

Exemples

• journal des connexions ;
• historique des modifications ;
• trace d’un changement de paramétrage ;
• piste d’audit d’un flux de validation.

4.5. L’imputabilité

L’imputabilité signifie qu’une action peut être rattachée à une personne ou à un acteur déterminé.

Pourquoi est-elle essentielle ?

On ne peut pas contrôler sérieusement un système si l’on ignore qui a agi.

Exemple

Si plusieurs salariés utilisent un même identifiant générique, il devient impossible d’attribuer une action à un utilisateur précis. La traçabilité existe peut-être, mais elle n’est pas réellement exploitable.

Mesures typiques

• identifiants individuels ;
• gestion rigoureuse des habilitations ;
• interdiction du partage de comptes ;
• conservation des journaux d’activité.

4.6. L’authenticité

L’authenticité permet de s’assurer qu’une personne, un document ou une source est bien ce qu’elle prétend être.

Pourquoi est-elle essentielle ?

Une organisation doit pouvoir vérifier :

• l’identité d’un utilisateur ;
• l’origine d’un message ;
• la validité d’un document numérique.

Exemples

• vérifier qu’un courriel provient bien d’un fournisseur ;
• s’assurer qu’un certificat numérique est valide ;
• confirmer qu’un document signé provient bien du signataire annoncé.

4.7. La non-répudiation

La non-répudiation signifie qu’un acteur ne peut pas nier de façon crédible avoir réalisé une action ou envoyé un document lorsque des mécanismes de preuve fiables existent.

Pourquoi est-elle essentielle ?

Elle est particulièrement importante pour les échanges numériques engageants :

• signature d’un document ;
• validation d’une opération ;
• envoi d’un fichier contractuel ;
• transmission d’un ordre ou d’une autorisation.

Exemple

Si un document a été signé électroniquement dans des conditions fiables, le signataire ne peut pas facilement contester avoir signé.

5. Signature électronique, certificat numérique et preuve

Le programme demande également de comprendre les principes de la signature électronique et du certificat numérique.

5.1. La logique générale

Dans un environnement numérique, il faut pouvoir :

• identifier l’auteur d’un document ;
• vérifier que le document n’a pas été modifié ;
• conserver une preuve de l’engagement.

La signature électronique répond à cette logique.

5.2. Ce qu’apporte la signature électronique

Sans entrer dans la technicité cryptographique, il faut retenir qu’elle contribue à :

• l’authenticité du signataire ;
• l’intégrité du document ;
• la non-répudiation.

5.3. Le rôle du certificat numérique

Le certificat numérique sert à relier une identité à un mécanisme de signature ou d’authentification.

En pratique, il renforce la confiance dans les échanges numériques.

5.4. Pourquoi c’est important pour la gestion

Dans les processus de gestion, ces mécanismes sont utiles pour :

• des factures électroniques ;
• des contrats ;
• des validations internes ;
• des échanges dématérialisés avec partenaires ou administrations.

6. Garantir la sécurisation du système d’information et des échanges de données

Sécuriser le SI signifie agir à plusieurs niveaux.

6.1. Les outils et procédures de protection

Le programme vise une compréhension fonctionnelle des outils, non une maîtrise technique détaillée.

On peut distinguer :

• les outils de protection ;
• les outils de sauvegarde ;
• les outils de restauration ;
• les procédures de sécurité.

Exemples de protections

• contrôle des accès ;
• protection des postes ;
• filtrage des usages ;
• séparation des droits ;
• sécurisation des échanges.

Sauvegarde et restauration

La sauvegarde protège contre la perte de données, mais elle n’est utile que si la restauration est réellement possible.

Beaucoup d’organisations pensent être protégées parce qu’elles sauvegardent. En réalité, si la restauration n’est jamais testée, la sécurité est incomplète.

Procédures

Les procédures précisent :

• qui fait quoi ;
• quand ;
• comment ;
• avec quel contrôle ;
• quelle trace conserver.

7. Le facteur humain dans la sécurité du SI

Le programme souligne expressément le rôle du facteur humain.

7.1. Pourquoi l’humain est central

Même avec de bons outils, la sécurité peut être compromise par :

• l’inattention ;
• la routine ;
• la méconnaissance ;
• la pression temporelle ;
• l’absence de sensibilisation.

7.2. Exemples fréquents

• cliquer sur un lien frauduleux ;
• ouvrir une pièce jointe douteuse ;
• laisser sa session ouverte ;
• enregistrer des données sensibles sur un support non sécurisé ;
• contourner une procédure jugée trop lente.

7.3. Bonnes pratiques humaines

• vérifier avant de transmettre ;
• respecter les habilitations ;
• utiliser des identifiants personnels ;
• signaler immédiatement une anomalie ;
• ne pas improviser hors procédure sur des données sensibles.

7.4. Éthique et facteur humain

L’éthique numérique ne consiste pas seulement à « ne pas faire de mal ». Elle suppose aussi de reconnaître qu’un utilisateur peut devenir, sans intention malveillante, un maillon faible du dispositif. D’où l’importance :

• de procédures claires ;
• de contrôles proportionnés ;
• d’une culture de sécurité.

8. Analyser la fiabilité des procédures et des traitements

Cette compétence est essentielle pour un étudiant en DCG.

Il ne suffit pas de savoir qu’une procédure existe. Il faut apprécier si elle est fiable.

8.1. Qu’est-ce qu’une procédure fiable ?

Une procédure est fiable lorsqu’elle permet d’obtenir un traitement cohérent, contrôlé, traçable et reproductible, avec un risque raisonnablement maîtrisé.

Une procédure fiable doit notamment :

• être connue ;
• être documentée ;
• être appliquée de manière constante ;
• intégrer des contrôles ;
• laisser des traces ;
• limiter les erreurs et les fraudes.

8.2. Questions à se poser pour analyser une procédure

1. Les rôles sont-ils clairement définis ?

Exemple : qui saisit ? qui valide ? qui modifie ? qui contrôle ?

2. Les accès sont-ils adaptés ?

Une personne peut-elle faire seule toutes les opérations sensibles ? Si oui, le risque augmente.

3. Existe-t-il des contrôles de cohérence ?

Exemple : rapprochement entre facture, commande et règlement.

4. Les opérations sont-elles tracées ?

Peut-on savoir qui a fait quoi, quand et sur quelle donnée ?

5. Les anomalies sont-elles détectées et traitées ?

Une procédure fiable ne suppose pas l’absence totale d’erreur, mais la capacité à les repérer et à les corriger.

6. Les sauvegardes et restaurations sont-elles prévues ?

La continuité de traitement dépend de cette capacité.

8.3. Exemple : procédure de changement de RIB fournisseur

Procédure peu fiable

• un simple courriel demande le changement ;
• un salarié modifie immédiatement le RIB ;
• aucun contrôle complémentaire ;
• aucune validation ;
• pas de trace explicite.

Risques

• fraude au faux fournisseur ;
• paiement vers un compte frauduleux ;
• difficulté à établir les responsabilités.

Procédure plus fiable

• demande reçue et enregistrée ;
• vérification de l’identité du demandeur ;
• contrôle par un second acteur ;
• validation formelle ;
• conservation de la trace de la modification.

Critères de sécurité mobilisés

• authenticité ;
• intégrité ;
• traçabilité ;
• imputabilité.

8.4. Exemple : traitement d’une feuille de calcul de paie ou de reporting

Une feuille de calcul peut paraître simple, mais elle est souvent un point de fragilité.

Indices de faible fiabilité

• formules modifiables sans protection ;
• absence de contrôle de cohérence ;
• version unique circulant par courriel ;
• pas d’historique des modifications ;
• absence de validation avant diffusion.

Améliorations possibles

• protection de certaines cellules ;
• contrôle automatique de totaux ;
• nommage clair des versions ;
• accès restreint ;
• validation formelle avant utilisation.

9. Étude guidée : relier risques et critères de sécurité

Voici une méthode simple applicable à un cas pratique.

Étape 1 : identifier l’actif ou le processus concerné

Exemples :

• base clients ;
• application de paie ;
• dossier comptable ;
• flux de facturation électronique.

Étape 2 : recenser les menaces

Exemples :

• erreur utilisateur ;
• panne ;
• intrusion ;
• vol ;
• message frauduleux.

Étape 3 : repérer les vulnérabilités

Exemples :

• absence de sauvegarde ;
• mot de passe faible ;
• pas de validation ;
• partage d’identifiants.

Étape 4 : mesurer les impacts

Exemples :

• arrêt d’activité ;
• perte de preuve ;
• divulgation de données ;
• erreur comptable ;
• atteinte à la réputation.

Étape 5 : relier le problème aux critères de sécurité

• indisponibilité d’un serveur → disponibilité ;
• altération d’un montant → intégrité ;
• consultation indue d’un bulletin → confidentialité ;
• absence d’historique → traçabilité ;
• compte partagé → imputabilité ;
• faux courriel fournisseur → authenticité ;
• contestation d’une validation numérique → non-répudiation.

Étape 6 : proposer des mesures adaptées

Toujours rechercher des mesures proportionnées au risque.

10. Cas pratique d’application

Situation

Une PME utilise :

• une messagerie professionnelle ;
• un dossier partagé pour la comptabilité ;
• un tableur de suivi des règlements ;
• un progiciel pour la facturation.

Un salarié reçoit un courriel semblant provenir d’un fournisseur demandant de modifier le RIB. Il effectue la modification dans le dossier partagé, sans autre contrôle. Quelques jours plus tard, un virement est effectué vers un compte frauduleux.

Analyse

1. Menace

Usurpation d’identité par courriel.

2. Vulnérabilités

• absence de vérification de l’origine ;
• procédure de changement de RIB insuffisante ;
• absence de double validation ;
• traçabilité incomplète.

3. Risques

• paiement frauduleux ;
• perte financière ;
• litige avec le fournisseur ;
• difficulté à attribuer les responsabilités.

4. Critères de sécurité atteints

• authenticité : l’origine de la demande n’a pas été vérifiée ;
• intégrité : le RIB fournisseur a été modifié à tort ;
• traçabilité : les étapes du changement sont mal documentées ;
• imputabilité : si le dossier partagé n’est pas nominatif, l’action est difficile à attribuer ;
• non-répudiation : la preuve de la demande n’est pas fiable.

5. Mesures correctrices

• procédure formalisée de changement de coordonnées bancaires ;
• vérification par un canal distinct ;
• validation par un second acteur ;
• journalisation de la modification ;
• sensibilisation des utilisateurs.

11. Sécurité, réglementation et responsabilité organisationnelle

La sécurité du SI s’inscrit dans les défis du système d’information en termes de réglementation.

Sans reprendre la leçon précédente sur les textes applicables, il faut comprendre ici une idée simple :

une organisation doit être capable de démontrer qu’elle protège raisonnablement les données et les traitements qu’elle met en œuvre.

Cela suppose :

• des procédures ;
• des contrôles ;
• des responsabilités identifiées ;
• des preuves de mise en œuvre.

Autrement dit, la sécurité n’est pas seulement une intention : c’est aussi une capacité à prouver les mesures prises.

12. Les preuves numériques dans les organisations

Le titre de la leçon évoque aussi les preuves numériques. Elles sont au cœur de la sécurité moderne.

12.1. Pourquoi la preuve numérique est-elle importante ?

Parce qu’en cas de :

• litige ;
• erreur ;
• fraude ;
• contrôle ;
• incident de sécurité,

il faut pouvoir reconstituer les faits.

12.2. Exemples d’éléments probatoires

• journaux de connexion ;
• historiques de validation ;
• traces de workflow ;
• horodatages ;
• accusés de réception électroniques ;
• documents signés électroniquement.

12.3. Limite importante

Une trace n’a de valeur que si elle est fiable.

Par exemple :

• un journal facilement modifiable perd de sa force ;
• un compte partagé affaiblit l’imputabilité ;
• une procédure non respectée fragilise la preuve.

12.4. Lien entre preuve et critères de sécurité

La preuve numérique repose surtout sur :

• la traçabilité ;
• l’imputabilité ;
• l’authenticité ;
• la non-répudiation.

13. Méthode pratique pour répondre à une question d’examen ou à un cas d’entreprise

Même sans entrer dans une logique de révision, il est utile d’adopter une méthode rigoureuse.

13.1. Identifier l’objet analysé

• système ;
• application ;
• fichier ;
• échange ;
• procédure.

13.2. Qualifier le problème

• perte ;
• altération ;
• divulgation ;
• impossibilité d’attribuer une action ;
• contestation d’un envoi ou d’une validation.

13.3. Associer le bon critère de sécurité

• disponibilité ;
• intégrité ;
• confidentialité ;
• traçabilité ;
• imputabilité ;
• authenticité ;
• non-répudiation.

13.4. Rechercher les vulnérabilités

• défaut de procédure ;
• défaut de contrôle ;
• défaut d’habilitation ;
• défaut de sauvegarde ;
• faiblesse humaine.

13.5. Proposer des mesures

Toujours privilégier des réponses cohérentes avec le cas :

• contrôle supplémentaire ;
• validation ;
• restriction d’accès ;
• conservation de traces ;
• sensibilisation ;
• sauvegarde et test de restauration.

14. Points à retenir

À retenir absolument

• La sécurité du SI ne relève pas seulement de la technique : elle est aussi organisationnelle, réglementaire et éthique.
• Il faut distinguer :
  • menace ;
  • vulnérabilité ;
  • risque.
• Hiérarchiser les risques suppose d’apprécier au moins :
  • la probabilité ;
  • l’impact.
• Les grands critères de sécurité sont :
  • disponibilité ;
  • intégrité ;
  • confidentialité ;
  • traçabilité ;
  • imputabilité ;
  • authenticité ;
  • non-répudiation.
• La signature électronique et le certificat numérique contribuent à l’authenticité, à l’intégrité et à la non-répudiation.
• Une procédure fiable doit être documentée, contrôlée, traçable et appliquée de façon cohérente.
• Le facteur humain est central dans la sécurité du système d’information.

Mémo de synthèse

Vocabulaire essentiel

• Menace : événement susceptible de causer un dommage.
• Vulnérabilité : faiblesse exploitable.
• Risque : combinaison d’une menace, d’une vulnérabilité et d’un impact.

Critères de sécurité

• Disponibilité : information accessible quand nécessaire.
• Intégrité : information non altérée.
• Confidentialité : accès réservé aux personnes autorisées.
• Traçabilité : conservation des traces des opérations.
• Imputabilité : rattachement d’une action à un acteur identifié.
• Authenticité : garantie sur l’identité ou l’origine.
• Non-répudiation : impossibilité crédible de nier l’action réalisée.

Réflexe d’analyse

1. Quel actif ou processus est concerné ?
2. Quelle menace ?
3. Quelle vulnérabilité ?
4. Quel impact ?
5. Quel critère de sécurité est atteint ?
6. Quelle mesure proportionnée proposer ?

Conclusion

La sécurité du système d’information est une condition de la qualité de l’information de gestion, de la continuité des activités et de la confiance dans les traitements numériques.

Dans une organisation, un système peut être performant, automatisé et rapide ; s’il n’est pas suffisamment sécurisé, il devient fragile. Inversement, un bon niveau de sécurité ne repose pas seulement sur des outils techniques, mais sur une combinaison de :

• règles ;
• procédures ;
• contrôles ;
• traçabilité ;
• responsabilisation des acteurs ;
• usage éthique de la technologie.

Cette logique est essentielle pour tout futur professionnel de la comptabilité, de la gestion et du contrôle : il doit non seulement utiliser des données, mais aussi contribuer à leur fiabilité, à leur protection et à leur valeur probatoire.