Formation réalisée par Julien Blancquart,

Accès à la review (demander l’accès à Aymeric Picaud si l’accès n’est pas immédiat) : https://drive.google.com/file/d/1sHdZgKEgSUxt8g8MKxPXRfBlTUmYr1BA/view?usp=sharing

3 types d’actifs :

• On premise : Actifs hébergés et gérés en interne par l’entreprise
• SaaS : Actifs non gérés par le futur assuré. Ces actifs sont exposés sur Internet : l’entreprise fournisseur paie l’hébergement, le maintien et l’exploitation de l’actif (Azure / Office365, plusieurs logiciels métiers spécifiques)
• IaaS / PaaS : Actifs gérés par le futur assuré, mais non hébergés par eux → il peut exister une interconnexion avec le SI du futur assuré (Certains cloud privés par exemple fournissent un serveur dans lequel ils mettent à disposition l’infrastructure qui sera ensuite pilotée par l’assuré).

Challenger une organisation sur les interconnexions entre les SI :

→Les SI des entreprises communiquent-ils ou sont-ils indépendants?

Si communication,

→ Comment les SI communiquent-ils ?

3 possibilités :

• Elles sont connectées, aucune restriction de flux réseau n’existe ⇒ interconnexion totale et critique.
• Elles sont connectées mais avec restriction des flux. Certains SI mettent en place un partage de fichiers par exemple. Il faut donc comprendre que seuls les flux de fichirers sont autorisés et les autres sont interdits. →Vérifier que les seuls flux autorisés sont des flux applicatifs ou très restreints et malheuresement, souvent, faire confiance en l’interlocuteur.
• Elles sont indépendantes, dans ce cas la chacune gère son SI. En général elles ont alors en commun un logiciel SaaS (type Office365 / Azure) qu’il faut sécuriser au maximum (demander du MFA sur ces accès la)

SAAS et interconnexions :

• Suite d’applicatifs, type Office 365 : Dans Azur on retrouve des fonctionnalités d’administration, il est par exemple possible de gérer les messageries ou mener des campagne de phishing en interne, déposer un fichier malveillant etc. On trouve des machines, des utilisateurs, ainsi il est possible de se propager. → L’attaquant aura la possibilité d’essayer d’élever ses privilèges.