Algorithme de chiffrement
Un algorithme de chiffrement est une procédure mathématique qui transforme un texte en clair en texte chiffré pour protéger la confidentialité des données.
Glossaire
La terminologie du CRA et de la sécurité expliquée
A
Audit de conformité
Un audit de conformité évalue si une organisation respecte les exigences réglementaires, les normes et ses politiques internes.
Authentification
L'authentification est le processus qui vérifie l'identité d'un utilisateur, d'un appareil ou d'un système avant de lui accorder l'accès à des ressources.
Authentification à deux facteurs
L'authentification à deux facteurs (2FA) exige deux facteurs d'authentification différents pour vérifier l'identité de l'utilisateur et renforcer la sécurité.
Authentification multifacteur
L'authentification multifacteur (MFA) exige plusieurs formes de vérification pour confirmer l'identité d'un utilisateur avant de lui accorder l'accès.
Autorisation
L'autorisation détermine les actions qu'un utilisateur ou un système authentifié peut effectuer dans une application ou un système.
Autorité de certification
Une autorité de certification (CA) est une entité de confiance qui émet des certificats numériques pour vérifier l'identité d'organisations et de personnes.
B
Blue Team
La Blue Team désigne les professionnels de la sécurité qui défendent les systèmes en mettant en œuvre des mesures de sécurité et en répondant aux menaces.
Bug Bounty
Les programmes de bug bounty récompensent les chercheurs en sécurité qui découvrent et signalent des vulnérabilités dans des logiciels ou des systèmes.
C
Chiffrement des données
Le chiffrement des données convertit les informations dans un format sécurisé que seules les parties autorisées disposant de la clé de déchiffrement peuvent lire.
Conformité réglementaire
La conformité réglementaire garantit que les organisations respectent les lois, les réglementations et les normes du secteur qui régissent leurs activités et leurs produits.
Correctif de sécurité
Un correctif de sécurité est une mise à jour logicielle conçue spécifiquement pour corriger des vulnérabilités et des failles de sécurité dans des systèmes existants.
CRA
Le Cyber Resilience Act (CRA) est un règlement de l'Union européenne qui établit des exigences de cybersécurité pour les produits comportant des éléments numériques.
Critères communs
Les Critères communs sont une norme internationale de certification de la sécurité informatique qui garantit que les produits répondent à des exigences de sécurité précises.
D
Défense en profondeur
La défense en profondeur est une stratégie de sécurité qui emploie plusieurs couches de contrôles de sécurité pour protéger les systèmes et les données.
DevSecOps
Le DevSecOps intègre les pratiques de sécurité au processus DevOps et fait de la sécurité une responsabilité partagée tout au long du cycle de développement.
Données personnelles
Les données personnelles désignent toute information relative à une personne identifiée ou identifiable, qui doit être protégée en vertu des réglementations sur la vie privée.
E
Exécution de code à distance
L'exécution de code à distance (RCE) est une classe de vulnérabilités qui permet à un attaquant d'exécuter du code arbitraire sur un système cible via un réseau, sans accès physique.
Exfiltration de tokens
L'exfiltration de tokens est l'extraction non autorisée de tokens d'authentification, comme les clés d'API, les tokens d'accès ou les tokens de session, qui permet aux attaquants d'usurper l'identité d'utilisateurs ou de services légitimes.
Exploit
Un exploit est un code ou une technique qui tire parti d'une vulnérabilité pour compromettre un système ou une application.
F
Fin de vie
La fin de vie (EOL) marque le moment où un produit ne reçoit plus de mises à jour ni d'assistance, ce qui crée des risques de sécurité si on continue de l'utiliser.
Firmware
Le firmware est un logiciel permanent programmé dans des appareils matériels pour contrôler leurs fonctions et leurs opérations.
G
Gestion des clés cryptographiques
La gestion des clés cryptographiques couvre la génération, le stockage, la distribution et la destruction sécurisés des clés de chiffrement.
Gestion des identités et des accès
Les systèmes de gestion des identités et des accès (IAM) contrôlent qui peut accéder aux ressources et quelles actions chacun peut effectuer.
Gestion des vulnérabilités
La gestion des vulnérabilités est le processus continu qui consiste à identifier, évaluer, prioriser et corriger les vulnérabilités de sécurité.
I
Infrastructure à clés publiques
Une infrastructure à clés publiques (PKI) gère les certificats numériques et le chiffrement à clé publique pour sécuriser les communications électroniques.
ISO 27001
ISO 27001 est une norme internationale pour les systèmes de management de la sécurité de l'information, qui fournit un cadre pour protéger les données.
M
Malware
Un malware est un logiciel malveillant conçu pour endommager ou perturber des systèmes informatiques, ou pour y accéder sans autorisation.
Modélisation des menaces
La modélisation des menaces identifie les menaces et vulnérabilités potentielles dès la phase de conception pour atténuer les risques tôt.
Moindre privilège
Le moindre privilège est un principe de sécurité selon lequel les utilisateurs et les systèmes ne reçoivent que l'accès minimal nécessaire à leurs fonctions.
N
P
Phishing
Le phishing est une technique de cyberattaque qui utilise des communications trompeuses pour amener les utilisateurs à révéler des informations sensibles ou des identifiants.
Pipeline CI/CD
Un pipeline CI/CD est un workflow automatisé qui construit, teste et déploie en continu les modifications logicielles, pour permettre aux équipes de livrer du code plus vite et de façon plus fiable.
Privacy by Design
Le Privacy by Design intègre la protection des données et de la vie privée au développement des produits dès les premières étapes.
R
Ransomware
Un ransomware est un logiciel malveillant qui chiffre les données et exige un paiement pour les libérer, perturbant ainsi l'activité de l'entreprise.
Red Team
Les professionnels de la Red Team simulent des attaques réelles pour tester les défenses d'une organisation et identifier ses faiblesses.
Reprise après sinistre
La reprise après sinistre regroupe les plans et procédures qui permettent de restaurer les systèmes et les données après un événement catastrophique ou une cyberattaque.
RGPD
Le Règlement général sur la protection des données (RGPD) est une législation de l'UE qui protège la confidentialité et la sécurité des données personnelles.
S
Secure Boot
Secure Boot garantit que les appareils démarrent uniquement avec des logiciels approuvés par le fabricant, ce qui empêche l'exécution de code non autorisé.
Sécurité de l'open source
La sécurité de l'open source consiste à identifier et à gérer les vulnérabilités des composants logiciels open source utilisés dans les produits.
Sécurité des API
La sécurité des API consiste à protéger les interfaces de programmation contre les attaques, les accès non autorisés et les violations de données tout au long de leur cycle de vie.
SIEM
Les systèmes de gestion des informations et des événements de sécurité (SIEM) collectent, analysent et corrèlent les données de sécurité pour détecter les menaces.
Signature numérique
Une signature numérique est un mécanisme cryptographique qui vérifie l'authenticité et l'intégrité de documents ou de messages numériques.
Surface d'attaque
La surface d'attaque désigne l'ensemble des points d'entrée par lesquels un utilisateur non autorisé pourrait accéder à un système et en extraire des données.
Système de détection d'intrusion
Un système de détection d'intrusion (IDS) surveille le trafic réseau et l'activité des systèmes pour repérer les comportements malveillants et les menaces de sécurité.
T
Test d'intrusion
Le test d'intrusion simule des cyberattaques pour identifier les vulnérabilités et les faiblesses de sécurité des systèmes avant que des attaquants ne les exploitent.
Tests de sécurité
Les tests de sécurité évaluent les systèmes pour identifier les vulnérabilités, les faiblesses et les risques de sécurité potentiels avant le déploiement.
Threat Intelligence
La threat intelligence fournit des connaissances sur les cybermenaces existantes et émergentes pour éclairer les stratégies de défense.