Glossaire de la cybersécurité pour PME

Définitions, de A à Z

Agentless

Se dit d'un audit ou d'un scan qui n'installe aucun logiciel (« agent ») sur les machines auditées : il interroge les équipements à distance via des protocoles réseau standard.

ANSSI

Agence nationale de la sécurité des systèmes d'information : autorité nationale française en matière de cybersécurité, rattachée au Secrétariat général de la défense et de la sécurité nationale (SGDSN).

Audit de sécurité

Examen structuré d'un système d'information au regard de critères ou d'un référentiel, qui aboutit à des constats, des niveaux de risque et des recommandations. Il ne cherche pas nécessairement à exploiter les failles.

Cryptographie post-quantique

Algorithmes de chiffrement et de signature conçus pour résister aux attaques d'un futur ordinateur quantique, contre lesquelles RSA et les courbes elliptiques seraient vulnérables.

CVE

Common Vulnerabilities and Exposures : identifiant public attribué à une vulnérabilité connue (par exemple CVE-2024-12345).

CVSS

Common Vulnerability Scoring System : échelle de 0 à 10 qui note la gravité d'une vulnérabilité.

FIPS 203

Standard publié par le NIST en août 2024, qui spécifie ML-KEM, un mécanisme d'échange de clés post-quantique.

HNDL (Harvest Now, Decrypt Later)

« Récolter maintenant, déchiffrer plus tard » : stratégie d'attaque qui consiste à copier aujourd'hui des données chiffrées pour les déchiffrer lorsqu'un ordinateur quantique sera disponible. Elle concerne surtout les données qui doivent rester confidentielles longtemps.

Infogérance

Externalisation de tout ou partie de la gestion du système informatique d'une entreprise (supervision, maintenance, support) à un prestataire.

MFA (authentification multifacteur)

Méthode de connexion qui exige au moins deux preuves d'identité de natures différentes (mot de passe, application, clé physique). C'est l'une des mesures les plus efficaces contre le vol de comptes.

ML-KEM

Module-Lattice-based Key-Encapsulation Mechanism : mécanisme d'encapsulation de clés post-quantique issu de CRYSTALS-Kyber, standardisé par FIPS 203. Il sert à établir une clé secrète partagée, pas à chiffrer directement des fichiers.

NIS2

Directive européenne (UE) 2022/2555 qui renforce la cybersécurité des entités essentielles et importantes de nombreux secteurs. Voir notre guide NIS2 pour les PME.

PASSI

Prestataire d'audit de la sécurité des systèmes d'information qualifié par l'ANSSI. Cette qualification est exigée ou recommandée pour certains audits réglementaires (par exemple pour les opérateurs d'importance vitale) ; elle n'est pas obligatoire pour toute entreprise.

Rançongiciel (ransomware)

Logiciel malveillant qui chiffre les données d'une organisation et réclame une rançon pour les restituer, souvent accompagné d'une menace de divulgation.

RGPD

Règlement (UE) 2016/679 sur la protection des données personnelles, applicable depuis le 25 mai 2018.

RSSI / vCISO

Le responsable de la sécurité des systèmes d'information définit et pilote la stratégie de sécurité. Un vCISO (ou RSSI à temps partagé) assure cette fonction de façon externalisée.

Scan de vulnérabilités

Détection automatisée de vulnérabilités connues sur des équipements ou des applications, sans chercher à les exploiter.

Surface d'attaque

Ensemble des points par lesquels un attaquant peut tenter d'entrer : services exposés sur Internet, comptes, applications, prestataires, postes de travail.

Test d'intrusion (pentest)

Simulation d'attaque, autorisée et encadrée par un contrat, au cours de laquelle des testeurs tentent d'exploiter les vulnérabilités pour en démontrer l'impact réel.

TLS

Transport Layer Security : protocole qui chiffre les échanges entre un navigateur et un serveur (le « s » de HTTPS). Les anciennes versions (TLS 1.0 et 1.1) sont obsolètes.