CAPET informatique externe 2022, épreuve 2, option informatique et systèmes d'informationSujet et rapport du jury

• -Le lexique SQL, sans commentaire ni exemple d'utilisation des instructions,
• -La règle à dessiner les symboles informatiques.

• -Les ouvrages de référence,
• -Les dictionnaires,
• -La calculatrice et tout matériel électronique (dont les montres connectées).
• -Si vous repérez ce qui vous semble être une erreur d'énoncé, vous devez le signaler très lisiblement sur votre copie, en proposer la correction et poursuivre l'épreuve en conséquence.
• -De même, si cela vous conduit à formuler une ou plusieurs hypothèses, vous devez la (ou les) mentionner explicitement.

INFORMATION AUX CANDIDATS

• -
  Enseignement public :

  Concours	Section/option	Epreuve	Matière
  E|D|E	8|0|311E	1|0|2	9/3/1/2

• -
  Enseignement privé :

  Concours	Section/option	Epreuve	Matière
  E|D|F	8|0|3|1E	1002	9/3/1/2

Structure du sujet

Sujet : clinique maritime de la Côte d'Opale (CMCO)

• -la première partie, située en fin de première année de formation, doit permettre de formuler une proposition s'appuyant sur le contexte organisationnel afin de travailler des compétences communes du bloc de compétences 3 - Cybersécurité des services informatiques ;
• -la seconde partie située en début de deuxième année doit permettre de formuler une proposition exploitant le contexte afin d'approfondir les compétences de l'option de votre choix,
  soit pour l'option « Solutions d'infrastructure, systèmes et réseaux» SISR (partie 2A) ;
  soit pour l'option « Solutions logicielles et applications métiers » SLAM (partie 2B).

Partie 1 - Découverte du contexte organisationnel

• -B3.1 Protéger les données à caractère personnel
• -B3.4 Garantir la disponibilité, l'intégrité et la confidentialité des services informatiques et des données de l'organisation face à des cyberattaques

• -les objectifs d'apprentissage ;
• -le déroulement : prérequis mobilisés, découpage en différentes phases, équipements ou technologies mobilisés ;
• -les travaux demandés aux étudiantes et étudiants en indiquant, pour chacune des phases,
  • ○les consignes fournies ou les éléments d'évaluation à traiter par les étudiantes et les étudiants ;
  • ○la ou les ressources choisie(s) dans le dossier joint en explicitant les raisons de votre choix. Pour les documents retenus, vous préciserez la transposition didactique nécessaire pour satisfaire les objectifs fixés (extraction d'une partie du document, suppression de certains termes ou informations, adjonction d'indications, etc.) ;
  • ○les attendus de chaque travail demandé aux étudiantes et aux étudiants.

Partie 2A - Approfondissement du contexte organisationnel STS SIO, option « Solutions d'infrastructure, systèmes et réseaux »

• -B2.1A Concevoir une solution d'infrastructure réseau
  • -Analyser un besoin exprimé et son contexte juridique.
  • ○Étudier l'impact d'une évolution d'un élément d'infrastructure sur le système informatique.
  • ○Maquetter et prototyper une solution d'infrastructure permettant d'atteindre la qualité de service attendue.
• -B2.2A Installer, tester et déployer une solution d'infrastructure réseau
  • ○Installer et configurer des éléments nécessaires pour assurer la continuité des services.
  • ○Rédiger ou mettre à jour la documentation technique et utilisateur d'une solution d'infrastructure.
  • ○Tester l'intégration et l'acceptation d'une solution d'infrastructure.
• -B3.5A Assurer la cybersécurité d'une infrastructure réseau, d'un système, d'un service
  • -Prendre en compte la sécurité dans un projet de mise en œuvre d'une solution d'infrastructure.
  • ○Mettre en œuvre et vérifier la conformité d'une infrastructure à un référentiel, une norme ou un standard de sécurité.

• -les objectifs d'apprentissage ;
• -le déroulement : prérequis mobilisés, découpage en différentes phases, équipements ou technologies mobilisés ;
• -les travaux demandés aux étudiantes et étudiants en indiquant, pour chacune des phases,
  • ○les consignes fournies ou les éléments d'évaluation à traiter par les étudiantes et les étudiants,
  • ○la ou les ressources choisie(s) dans le dossier joint en explicitant les raisons de votre choix. Pour les documents retenus, vous préciserez la transposition didactique nécessaire pour satisfaire les objectifs fixés (extraction d'une partie du document, suppression de certains termes ou informations, adjonction d'indications, etc.),
  • ○les attendus de chaque travail demandé aux étudiantes et aux étudiants.

Partie 2B - Approfondissement du contexte organisationnel STS SIO, option « Solutions logicielles et applications métiers »

Vous choisissez de traiter cette partie ou la partie 2A.

• -B2.1B Concevoir et développer une solution applicative
  • ○Modéliser une solution applicative
  • ○Participer à la conception de l'architecture d'une solution applicative
  • ○Identifier, développer, utiliser ou adapter des composants logiciels
  • ○Utiliser des composants d'accès aux données
• -B2.3B Gérer les données
  • ○Exploiter des données à l'aide d'un langage de requêtes
  • ○Concevoir ou adapter une base de données
  • ○Développer des fonctionnalités applicatives au sein d'un système de gestion de bases de données (relationnel ou non)
• -B3.5B Assurer la cybersécurité d'une solution applicative et de son développement
  • ○Participer à la vérification des éléments contribuant à la qualité d'un développement informatique
  • -Prendre en compte la sécurité dans un projet de développement d'une solution applicative
  • ○Prévenir les attaques

• -les objectifs d'apprentissage ;
• -le déroulement : prérequis mobilisés, découpage en différentes phases, équipements ou technologies mobilisés ;
• -les travaux demandés aux étudiantes et étudiants en indiquant, pour chacune des phases,
  • ○les consignes fournies ou les éléments d'évaluation à traiter par les étudiantes et les étudiants ;
  • ○la ou les ressources choisie(s) dans les dossiers joints en explicitant les raisons de votre choix. Pour les documents retenus, vous préciserez la transposition didactique nécessaire pour satisfaire les objectifs fixés (extraction d'une partie du document, suppression de certains termes ou informations, adjonction d'indications, etc.) ;
  • ○les attendus de chaque travail demandé aux étudiantes et aux étudiants.

Dossier documentaire n° 1 commun

Document 1.1 : acquis des étudiants en première année de STS SIO

• -Modèle OSI et TCP/IP, adressage IPv4, protocoles Ethernet (y compris les réseaux sans fil),
• -Notions de routage et de segmentation.
• -Principaux protocoles et services associés : services d'annuaire (LDAP/Domaine AD), services Web, services d'architecture (DNS/DHCP), services de communication (partage de fichiers, messagerie, outils collaboratifs)
• -Bases sur la résolution des incidents : processus de recueil de bonnes pratiques informatiques (ITIL), cycle de vie d'un incident
• -Programmation procédurale, bases de la programmation orientée objet et de la programmation Web, langage de macrocommande (script).
• -Notions sur le fonctionnement d'une base de données relationnelle et du langage SQL.
• -Bases sur la protection des données personnelles et de l'identité numérique de l'organisation.
• -Principes de la sécurité : disponibilité, intégrité, confidentialité, preuve.
• -Principes et techniques sur la protection, la gestion des droits d'accès et l'archivage des données, le chiffrement, l'authentification et la preuve.
• -Typologie des risques et de leurs impacts, initiation à l'analyse de risques.

• -Bases de l'administration système sous Windows et Linux : commandes de base, consultation de fichiers, filtres, installation de paquets.
• -Bases de l'administration réseau : mise à disposition d'un accès à un réseau.
• -Installation, administration et sécurisation du poste de travail.
• -Utilisation de l'outil de simulation Cisco Packet Tracer et d'équipements physiques : commutateurs, routeurs, points d'accès sans-fil (sécurisation par WPA2 PSK).
• -Pratique d'un outil de gestion de projet (tâches, planification, ressources).
• -Pratique d'un outil de gestion des incidents.
• -Techniques de mise à disposition de site Web (local, nuage -cloud- privé, nuage -cloud- public).
• -Étude et modification de site web (langage de macrocommande -script- client HTML, CSS, Javascript).
• -Étude et modification de site PHP MySQL (langage de macrocommande -script- serveur et accès aux données).
• -Étude et modification de site Web (système de gestion de contenus tel que WordPress).
• -Interprétation et modification des formats de données structurées (JSON, XML).
• -Génération et exploitation de scripts de création de base de données.
• -Manipulation des données à l'aide du langage SQL.

Document 1.2 : environnement technologique mobilisable dans les laboratoires

• -un service d'authentification pour les utilisateurs internes et externes à l'organisation ;
• -un SGBD ;
• -un accès sécurisé à internet ;
• -un environnement de travail collaboratif ;
• -deux serveurs, éventuellement virtualisés, basés sur des systèmes d'exploitation différents, dont l'un est un logiciel open source ;
• -une solution de sauvegarde ;
• -des ressources dont l'accès est sécurisé et soumis à habilitation ;
• -deux types de terminaux dont un mobile (type « smartphone » ou encore tablette) ;
• -un outil de gestion des incidents ;
• -des services exploitant des techniques de chiffrements.

• -un réseau comportant plusieurs périmètres de sécurité ;
• -un service rendu à l'utilisateur final respectant un contrat de service comportant des contraintes en termes de sécurité et de haute disponibilité ;
• -un logiciel d'analyse de trames ;
• -un logiciel de gestion des configurations ;
• -une solution permettant l'administration à distance sécurisée de serveurs et de solutions techniques d'accès ;
• -une solution permettant la supervision de la qualité, de la sécurité et de la disponibilité des équipements d'interconnexion, serveurs, systèmes et services avec remontées d'alertes ;
• -une solution garantissant des accès sécurisés à un service, internes au périmètre de sécurité de l'organisation (type intranet) ou externes (type internet ou extranet) ;
• -une solution garantissant la continuité d'un service ;
• -une solution garantissant la tolérance de panne de systèmes serveurs ou d'éléments d'interconnexion ;
• -une solution permettant la répartition de charges entre services, serveurs ou éléments d'interconnexion ;
• -une solution permettant le déploiement d'un réseau filaire Ethernet commuté et Wi-Fi ;
• -une solution permettant la connexion sécurisée entre deux sites distants ;
• -une solution permettant le déploiement des solutions techniques d'accès ;
• -une solution gérée à l'aide de procédures automatisées écrites avec un langage de script ;
• -une solution permettant la détection d'intrusions ou de comportements anormaux sur le réseau.

• -un ou deux environnements de développement disposant d'outils de gestion de tests et supportant un cadre applicatif (framework) et au moins deux langages ;
• -une bibliothèque de composants logiciels ;
• -un SGBD avec langage de programmation associé ;
• -un logiciel de gestion de versions et de suivi de problèmes d'ordre logiciel ;
• -une solution permettant de tester les comportements anormaux d'une application ;
• -Au sein des architectures de ces solutions applicatives se retrouvent du code exécuté sur le système d'exploitation d'une solution technique d'accès fixe (type client lourd), du code exécuté dans un navigateur Web (type client léger ou riche) et du code exécuté sur le système d'exploitation d'une solution technique d'accès mobile.

Document 1.4 : contexte organisationnel de la clinique CMCO

• -la gestion des données à caractère personnel ;
• -l'adéquation des technologies et des périphériques disponibles avec les besoins de sûreté et de sécurité : disponibilité, intégrité, confidentialité et preuve.

Document 1.5 : schéma simplifié du réseau de la clinique CMCO

Document 1.6 : normes et règlements

Document 1.7 : méthode « Expression des besoins et identification des objectifs de sécurité » adaptée aux données à caractère personnel (Extrait de cnil.fr)

• 1.Négligeable: il semble quasiment impossible d'identifier les personnes à l'aide des DCP les concernant (ex. : prénom seul à l'échelle de la population française).
• 2.Limité : il semble difficile d'identifier les personnes à l'aide des DCP les concernant, bien que cela soit possible dans certains cas (ex. : nom et prénom à l'échelle de la population française).
• 3.Important : il semble relativement facile d'identifier les personnes à l'aide des DCP les concernant (ex. : nom, prénom et date de naissance, à l'échelle de la population française).
• 4.Maximal : il semble extrêmement facile d'identifier les personnes à l'aide des DCP les concernant (ex. : nom, prénom, date de naissance et adresse postale, à l'échelle de la population française).

• 1.Négligeable : les personnes concernées ne seront pas impactées ou pourraient connaître quelques désagréments, qu'elles surmonteront sans difficulté (perte de temps pour réitérer des démarches ou pour attendre de les réaliser, agacement, énervement...).
• 2.Limité : les personnes concernées pourraient connaître des désagréments significatifs, qu'elles pourront surmonter malgré quelques difficultés (frais supplémentaires, refus d'accès à des prestations commerciales, peur, incompréhension, stress, affection physique mineure...).
• 3.Important : les personnes concernées pourraient connaître des conséquences significatives, qu'elles devraient pouvoir surmonter, mais avec de sérieuses difficultés (détournements d'argent, interdiction bancaire, dégradation de biens, perte d'emploi, assignation en justice, aggravation de l'état de santé...).
• 4.Maximal: les personnes concernées pourraient connaître des conséquences significatives, voire irrémédiables, qu'elles pourraient ne pas surmonter (péril financier tel que des dettes importantes ou une impossibilité de travailler, affection psychologique ou physique de longue durée, décès...).

Vraisemblance

• 1.Négligeable : il ne semble pas possible de réaliser la menace en s'appuyant sur les caractéristiques des supports (ex. : vol de supports papiers stockés dans un local de l'organisme dont l'accès est contrôlé par badge et code d'accès).
• 2.Limité : il semble difficile de réaliser la menace en s'appuyant sur les caractéristiques des supports (ex. : vol de supports papiers stockés dans un local de l'organisme dont l'accès est contrôlé par badge).
• 3.Important : il semble possible de réaliser la menace en s'appuyant sur les caractéristiques des supports (ex. : vol de supports papiers stockés dans les bureaux d'un organisme dont l'accès est contrôlé par une personne à l'accueil).
• 4.Maximal : il semble extrêmement facile de réaliser la menace en s'appuyant sur les caractéristiques des supports (ex. : vol de supports papier stockés dans le hall public de l'organisme).

• 1.Négligeable : les sources de risques ne semblent pas avoir de capacités particulières pour réaliser la menace (ex. : détournement d'usage de logiciels par une personne sans mauvaises intentions ayant des privilèges restreints).
• 2.Limité : les sources de risques ont quelques capacités, mais jugées peu importantes, pour réaliser la menace (ex. : détournement d'usage de logiciels par une personne mal intentionnée ayant des privilèges restreints).
• 3.Important : les sources de risques ont des capacités réelles, jugées importantes, pour réaliser la menace (ex. : détournement d'usage de logiciels par une personne sans mauvaises intentions ayant des privilèges d'administration illimités).
• 4.Maximal : les sources de risques ont des capacités certaines, jugées illimitées, pour réaliser la menace (ex. : détournement d'usage de logiciels par une personne mal intentionnée ayant des privilèges d'administration illimités). On retient la valeur dont la description correspond le mieux aux sources de risques identifiées.

Évaluation des risques

Exemple de cartographie des risques

Document 1.8 : risques liés à l'informatisation des données patient par l'exemple

Extrait du guide pratique de la direction générale de l'offre des soins (DGOS) à destination des directeurs d'établissements de santé.

Document 1.9 : extrait de la fiche n°3 du guide pratique de la direction générale de l'offre des soins (DGOS) à destination des directeurs d'établissements de santé

Les notions fondamentales de la sécurité

Dossier documentaire n° 2 : spécifique à la partie 2A

Document 2.1 : plan d'adressage du réseau de la clinique

Document 2.2 : serveurs de la clinique CMCO

Document 2.3 : description de l'application Web APPLI-ANES

Document 2.4 : le pare-feu Stomrshield Network Security

• -permet de filtrer les accès entre les différents réseaux et pour accéder à internet. La politique de sécurité est celle du "tout interdit par défaut". La configuration permet de limiter l'accès aux besoins strictes des différents réseaux virtuels (VLAN). L'accès à internet est très utilisé pour des diagnostics à distance et pour des accès à d'autres cliniques via des réseaux privés virtuels (VPN) au standard IPSec ;
• -est pourvu d'un filtrage applicatif. Après déchiffrement à l'aide du protocole SSL, le flux HTTP est alors filtré afin d'empêcher l'accès à certaines catégories de sites Web comme les sites contenant des logiciels malveillants (malwares) ou des sites avec du contenu pornographique ;
• -embarque un système de prévention des intrusions (IPS) qui :
  • ○exploite les bases de signatures d'attaques connues, créées et mises à jour par les équipes de veille sécurité Stormshield ;
  • ○réalise une analyse complète des flux à la recherche de tout comportement réseau anormal, bloquant ainsi de nombreuses attaques de façon proactive, avant même qu'elles ne soient connues et publiées (attaques zero-day) ;
• -embarque également l'antivirus ClamAV. Cet antivirus est également activé sur le filtrage des flux réseaux. Il permet d'empêcher une partie des logiciels malveillants d'accéder aux machines des différents réseaux virtuels (VLAN).

Document 2.5 : projet concernant la disponibilité de l'infrastructure

La clinique désire renforcer la redondance de son infrastructure physique en s'inspirant (avec d'éventuelles simplifications) du modèle suivant :

• -dernière génération des processeurs Intel Xeon E5
• -256 Go de RAM
• -Disque dur SSD 12 To avec RAID 10
• -Unités d'alimentation et de refroidissement écoénergétiques et redondantes.

Document 2.6 : haute disponibilité en informatique, définition concrète et conseils pratiques

Qu'est-ce que la haute disponibilité en informatique ?

Comment assurer la haute disponibilité d'une infrastructure informatique ?

Comment mesurer la haute disponibilité ?

Document 2.7 : techniques améliorant la disponibilité

• -la redondance des matériels et la mise en grappe (cluster) ;
• -la sécurisation des données : technologie RAID (ou technologie assimilée) ;
• -la possibilité de reconfigurer le serveur « à chaud » (c'est-à-dire lorsque celui-ci fonctionne) ;
• -mode dégradé ou un mode panique ;
• -plan de secours ;
• -et sécurisation des sauvegardes : externalisation, centralisation sur site tiers.

• -Comment détecter une panne ? Exemples : Tests de vie de type "TCP Health Check" implémenté par un boîtier, programme de test invoqué périodiquement (« heartbeat »), interface de type « diagnostic » sur les composants.
• -Comment le composant est-il sécurisé, redondé, secouru, etc ? Exemples : serveur de secours, cluster système, stockage RAID, sauvegardes, double attachement SAN, mode dégradé, matériel non utilisé libre prêt à être réinstallé.
• -Comment désire-t-on enclencher la bascule en mode secours / dégradé ? Manuellement après analyse ? Automatiquement ?
• -Comment s'assurer que le système de secours reparte sur un état stable et connu ? Exemples : on repart d'une copie de la base et on réapplique les archives, relance depuis un état connu.
• -Comment l'application redémarre sur le mécanisme de secours. Exemples : redémarrage de l'application, activation d'un mode dégradé, reprise de l'adresse IP du serveur défaillant par le serveur de secours.
• -Comment reprendre éventuellement les transactions ou sessions en cours ? Exemples : persistance de session sur le serveur applicatif, mécanisme pour assurer une réponse à un client pour une transaction qui s'est bien effectuée avant défaillance mais pour laquelle le client n'a pas eu de réponse.
• -Comment revenir à la situation nominale ? Exemples :
  • ○si un mode dégradé permet en cas de défaillance d'une base de données de stocker des transactions en attente dans un fichier, comment les transactions sont-elles ré-appliquées quand la base de données redevient active ;
  • ○si un composant défaillant a été désactivé, comment s'effectue sa réintroduction en service actif (nécessité par exemple de resynchroniser des données, de retester le composant, etc.).

Dossier documentaire n° 3 : spécifique à la partie 2B

Document 3.1 : RadiOne - Solution applicative de MediSoft

Document 3.2 : MediSoft - Hébergeur de données de santé

• -la mise à disposition et le maintien en condition opérationnelle des sites physiques permettant d'héberger l'infrastructure matérielle du système d'information utilisé pour le traitement des données de santé ;
• -la mise à disposition et le maintien en condition opérationnelle de l'infrastructure matérielle du système d'information utilisé pour le traitement de données de santé ;
• -la mise à disposition et le maintien en condition opérationnelle de la plateforme d'hébergement d'applications du système d'information ;
• -la mise à disposition et le maintien en condition opérationnelle de l'infrastructure virtuelle du système d'information utilisé pour le traitement des données de santé ;
• -l'administration et l'exploitation du système d'information contenant les données de santé ;
• -la sauvegarde de données de santé.

Document 3.3 : RadiOne - Extrait du schéma relationnel de la base de données clients de MediSoft

• -Le champ Role est un caractère permettant de distinguer parmi les personnes, les patients ('P'), le personnel médical ('M') et le personnel administratif ('A').
• -Le champ SpecialiteMedecin n'est renseigné que pour le personnel médical.

Document 3.4 : RadiOne - Extrait du patron de conception modèle-vue-contrôleur (MVC)

• -Connexion.php
• -ControleurPrincipal.php
• -Deconnexion.php
• -DetailExamens.php
• -ListePraticiens.php
• -MonProfil.php
• -Recherches.php

• -Administratif.php
• -Appareil.php
• -DossierMedical.php
• -Examen.php
• -Medecin.php
• -Administratif.php
• -Personne.php
• -Personnel.php
• -Salle.php
• -Site.php

• -Authentification.php
• -ConfirmationAuth.php
• -Deconnexion.php
• -DetailExamens.php
• -Entete.php
• -ListePraticiens.php
• -ListeSpecialites.php
• -MonProfil.php
• -Pied.php
• -Recherches.php

Document 3.5 : RadiOne - Extrait du diagramme de classes métier

<?php
/* Classe d'accès aux données, qui utilise les services de la classe PDO */
class PdoClients{
        private static $serveur='mysql:...';
        private static $bdd='dbname=Clients';
        private static $user='...' ;
        private static $mdp='...' ;
        private static $monPdo;
        private static $monPdoClients=null;
/* Constructeur crée l'instance de PDO */
    private function __construct(){
        PdoClients::$monPdo = new PDO(PdoClients::$serveur.';'.PdoClients::$bdd,
                PdoClients::$user, PdoClients::$mdp);
        PdoClients::$monPdo->query("SET CHARACTER SET utf8");
    }
/* Fonction statique qui crée l'unique instance de la classe */
    public static function getPdoClients(){
        if(PdoClients::$monPdoClients==null){
            PdoClients::$monPdoClients= new PdoClients();
        }
        return PdoClients::$monPdoClients;
    }
/* Retourne toutes les spécialités des médecins d'un site d'un client */
    public function getLesSpecialites($site, $client){
        $req = "select distinct SpecialiteMedecin as specialite from Personne
                where IdSite='$site' and IdClient='$client'
                and Role='M' order by SpecialiteMedecin";
        $res = PdoClients::$monPdo->query($req);
        $lesLignes = $res->fetchAll();
        return $lesLignes;
    }
/* Retourne tous les praticiens d'une spécialité d'un site d'un client */
    public function getLesPraticiens($site, $client, $specialite){
        $req = "select * from Personne where IdSite='$site'
                and IdClient='$client' and SpecialiteMedecin='$specialite'";
        $res = PdoClients::$monPdo->query($req);
        $lesLignes = $res->fetchAll();
        return $lesLignes;
    }
- }
?>

Document 3.7 : RadiOne - Maquette de recherche de spécialistes

Document 3.8 : RadiOne - Maquette de connexion

Document 3.9 : Top 10 des failles de sécurité des applications Web

L'OWASP publie un classement qui recense les failles de sécurité les plus critiques.
Ce qui a changé dans le top 10 pour 2021 : il y a trois nouvelles catégories, quatre catégories avec des changements de nom et de portée, et une certaine consolidation.