Fiche concept 4.1.3¶

📌 4.1.3 Protéger ses données et son système¶

#Vulnérabilité #FailleDeSécurité #MiseÀJour #Sauvegarde #Stockage #BonnesPratiques

Résumé

Failles de sécurité et vulnérabilités : elles permettent aux pirates d’infiltrer un système.
Importance des mises à jour : elles corrigent des failles critiques et améliorent la sécurité. Elles doivent être appliquées rapidement.
Types de mises à jour : correctifs de sécurité, nouvelles versions, mises à jour d’OS et d’applications.
Gestion des mises à jour dans les entreprises : les mises à jour doivent être testées avant déploiement pour identifier les éventuels dysfonctionnements liés à l'environnement de travail spécifique à l'entreprise.
Sauvegardes : toujours dupliquer sur plusieurs supports, chiffrer les sauvegardes sensibles et ne pas stocker toutes les copies au même endroit. Les solutions cloud sont utiles mais doivent être sécurisées.

Nous avons tous déjà ignoré une notification de mise à jour en nous disant : "Je le ferai plus tard". C’est un peu comme laisser la porte de sa maison entrebâillée. En cybersécurité, la moindre faille peut devenir une porte d’entrée pour les cyberattaquants. Il est donc essentiel d'appliquer les correctifs sans attendre.

Pour les éditeurs, c'est un cycle sans fin : détecter une vulnérabilité, la corriger, puis déployer rapidement la mise à jour. Et recommencer, car de nouvelles failles apparaissent chaque semaine.

Mais la sécurité ne s’arrête pas là. Elle repose aussi sur des sauvegardes régulières. Pourquoi ? Parce que même avec des logiciels ou des systèmes à jour, un incident peut toujours survenir : panne, cyberattaque, erreur humaine ou sinistre.

Mises à jour et sauvegardes sont donc complémentaires : elles garantissent à la fois la protection et la disponibilité des données, quelle que soit la menace ou l'incident.

→ Vulnérabilité, faille de sécurité, menace, quelles différences ?¶

Dans le cycle d’une cyberattaque, tout commence par une vulnérabilité : un point faible dans un système, une application, un réseau ou un processus. Lorsqu’un attaquant en prend connaissance et l’exploite, elle se transforme en faille de sécurité. La menace, quant à elle, représente l’acteur, l’outil ou l’événement susceptible de déclencher cette exploitation. Cette distinction est fondamentale pour mettre en place une défense en profondeur.

Une vulnérabilité est dite critique lorsqu’elle peut compromettre la confidentialité, l’intégrité ou la disponibilité des données.

Les vulnérabilités peuvent être classées en quatre grandes familles¹ :

Logicielle : vulnérabilités dans les applications, les logiciels ou les systèmes d’exploitation dues à un code défaillant ou une configuration erronée. Elles permettent des attaques par injection(1) par exemple.
1. 🔎 Définition : Une attaque par injection (injection attack) consiste à introduire des commandes ou du code malveillant dans une application afin de modifier son comportement. L'attaquant peut ainsi accéder à des données, modifier une base de données, contourner des protections ou prendre le contrôle de certaines fonctions. Les injections SQL sont parmi les exemples les plus connus de ce type d’attaque.
Matérielle : faiblesses dans les composants physiques (ex : micrologiciels, BIOS, ports). Elles peuvent être exploitées via des périphériques malveillants ou l’exploitation de ports physiques non sécurisés par exemple (voir Partie 4 : Terminaux > Fiche Concept 4.1.1 ; Fiche Concept 4.2.1).
Humaine : erreurs humaines ou comportements à risque (mots de passe faibles ou négligences par exemple). Elles sont souvent exploités via des attaques d’ingénierie sociale(1), (voir Partie 4 : Terminaux > Fiche Concept 4.2.2).
1. 🔎 Définition : L'ingénierie sociale, social engineering en anglais, est un ensemble de méthodes utilisé pour obtenir des informations, des accès ou des autorisations, en exploitant des techniques de manipulation psychologique. Les attaquants tirent parti de traits humains spécifiques, tels que la confiance, la curiosité ou la peur, afin de passer outre la vigilance des utilisateurs.
Organisationnelle : lacunes dans les politiques, processus ou contrôles (gestion inappropriée des droits d’accès par exemple). Elles favorisent les accès non autorisés ou les élévations de privilèges(1).
1. 🔎 Définition : Une élévation de privilèges (privilege escalation ) est une attaque où un pirate exploite des failles (mots de passe faibles, erreurs de configuration, etc.) pour obtenir des droits supérieurs à ceux d'un compte initialement compromis. Cela lui permet, par exemple, de passer d’utilisateur standard à administrateur. Ainsi, il peut accéder à des données sensibles, modifier des paramètres système ou installer des logiciels malveillants, souvent sans être détecté.

Un cas à relever : Heartbleed, une faille logicielle²

Heartbleed³ est une vulnérabilité critique découverte en avril 2014 dans OpenSSL, une bibliothèque open source assurant le chiffrement SSL/TLS. Due à une simple erreur de programmation, elle permettait à un attaquant de lire la mémoire des serveurs vulnérables et d’accéder à des données sensibles telles que clés privées, identifiants et mots de passe. Présente sur des milliers de sites web, elle compromettait la confidentialité et l’intégrité des communications sécurisées sur le web, la messagerie et certains VPN.

La faille provenait d’une mauvaise implémentation de la fonction “Heartbeat” de TLS/SSL, qui maintient les connexions actives via l’échange périodique de données chiffrées. En l’absence de vérification de la taille réelle des messages, un attaquant pouvait demander plus d’informations que celles envoyées, obtenant ainsi des fragments de mémoire du serveur. Ces données pouvaient contenir des informations critiques permettant d’intercepter, déchiffrer ou usurper des communications et des identités.

Pour éliminer le risque, la mise à jour vers la version corrigée d’OpenSSL est indispensable, suivie du remplacement des certificats SSL et du changement des mots de passe utilisateurs afin de contrer toute compromission passée. Bien que la faille ait été corrigée dès 2014, elle reste exploitable sur des systèmes qui n’ont jamais été mis à jour, offrant aux attaquants une cible facile grâce à des outils automatisés de détection et d’exploitation.

Source : Bulletin d'actualité CERTFR-2014-ACT-015, cert.ssi.gouv.fr - Centre gouvernemental de veille, d'alerte et de réponse aux cyberattaques.

Un cas à relever : Meltdown, une faille matérielle⁴^,⁵

Révélée publiquement le 3 janvier 2018, Meltdown⁶ affecte la majorité des microprocesseurs utilisés dans les PC, serveurs, tablettes, smartphones et objets connectés à travers le monde. Son exploitation permettrait à un attaquant d’accéder à des données personnelles sensibles comme des identifiants, mots de passe ou informations bancaires. Bien que connue depuis plusieurs mois par les principaux constructeurs (Intel, AMD, ARM) et éditeurs de logiciels (Microsoft, Apple, Google, Mozilla…), sa divulgation a accéléré la diffusion des correctifs pour limiter le risque d’exploitation par des cybercriminels.

Meltdown exploite une faille dans le mécanisme d’isolation entre les applications et le système d’exploitation, brisant le principe du "bac à sable" qui empêche normalement l’accès direct aux données du système. Cette faille trouve son origine dans des choix d’architecture du CPU datant de plus de 20 ans.

En tant que vulnérabilité matérielle, Meltdown ne peut pas être bloquée comme un logiciel malveillant classique. La protection repose sur l’application régulière des mises à jour système, logicielles et de navigateurs. Plusieurs correctifs ont déjà été publiés pour limiter les risques, même si leur éradication totale nécessiterait des changements plus profonds au niveau matériel.

Source : Bulletin d'alerte du CERT-FR – Multiples vulnérabilités de fuite d'informations dans des processeurs, cert.ssi.gouv.fr - Centre gouvernemental de veille, d'alerte et de réponse aux cyberattaques.

La détection des vulnérabilités repose sur plusieurs approches complémentaires, telles que les tests d’intrusion⁷ (Pentest) pour évaluer la sécurité d’un service ou d’une application, les exercices Red Team/Blue Team⁸ pour simuler et contrer des attaques à grande échelle, ou encore les programmes de Bug Bounty⁹ qui mobilisent des hackers éthiques(1) afin d’identifier de façon proactive des failles¹⁰.

🔎 Définition : Le hacking éthique, ou piratage éthique, en sécurité informatique, décrit l'activité de hacking lorsqu'elle n'est pas malveillante. Les mêmes pratiques (tel que le piratage, l'exploitation de faille, le contournement des limitations) peuvent être utilisées par des white hats ("chapeaux blancs" en français) avec un objectif bienveillant (analyse, information, protection…) ou des black hats ("chapeaux noirs" en français) avec un objectif malveillant (destruction, prise de contrôle, vol...).

La prévention passe par une gestion rigoureuse des mises à jour de sécurité, la suppression des logiciels obsolètes, l’usage d’outils spécialisés ainsi que par la formation aux risques cyber, notamment face à l’ingénierie sociale dont le phishing(1). (Voir Partie 4 : Terminaux > Fiche Concept 4.1.1 ; Fiche Concept 4.2.2 ; Fiche Concept 4.2.4).

🔎 Définition : Contraction des mots phreaking qui veut dire "piratage de lignes téléphoniques" et fishing qui signifie "pêche". Technique frauduleuse destinée à leurrer l’internaute pour l’inciter à communiquer des informations confidentielles (codes d'accès, coordonnées bancaires…) en se faisant passer pour un tiers de confiance (assurance maladie, banque, fournisseur d'énergie, etc.).

→ Si j’ai bien compris, les mises à jour sont cruciales. Comment ça marche ?¶

Comme nous l’avons vu avec les cas de Heartbleed et de Meltdown, la sécurité et la performance des systèmes numériques dépendent en grande partie de leurs mises à jour, qui apportent des correctifs aux failles de sécurité identifiées.

Dans le cadre privé, il nous revient de nous assurer que nos appareils, logiciels et applications reçoivent régulièrement les dernières versions, tandis qu’en entreprise, cette responsabilité est souvent prise en charge par le service informatique.

Les mises à jour concernent aussi bien le système d’exploitation que les logiciels internes de nos objets connectés ou de nos applications web et mobiles. Les installer sans attendre est essentiel pour réduire les risques de cyberattaques. En effet, bien que l’installation des mises à jour puisse sembler longue ou contraignante, la reporter laisse le temps aux cybercriminels de déployer leurs attaques¹¹. Pour les systèmes d’exploitation (PC, Mac, Android, iOS), la durée de vie d’un système est maintenant un enjeu majeur : au-delà d’une certaine période, plus aucun correctif n’est proposé, rendant le matériel obsolète (voir Partie 4 : Terminaux > Fiche Concept 4.1.1).

Les mises à jour se déclinent en plusieurs types : correctifs de sécurité ciblant les vulnérabilités, correctifs de bugs et nouvelles versions majeures apportant des fonctionnalités ou des changements d’architecture. Cette distinction reste souvent floue pour l’utilisateur, qui ne perçoit pas toujours les enjeux derrière chaque intervention. Les correctifs (patchs) agissent généralement comme une protection immédiate contre les vulnérabilités identifiées, tandis que les mises à jour renforcent la sécurité en consolidant la robustesse et la résilience globale des logiciels. Combinées, ces approches offrent une protection complète, permettant de corriger les failles critiques tout en préparant les systèmes aux défis futurs¹².

→ Il y a une méthode à suivre pour appliquer ces mises à jour ?¶

Que l’on soit dans un cadre professionnel ou privé, les mêmes conseils ne s’appliquent pas forcément¹³.

Pour les particuliers, il est recommandé d’activer les mises à jour automatiques quand c’est possible, pour éviter tout oubli ou retard dans l’application des correctifs. Si des mises à jour manuelles sont nécessaires, tout comme lors de l’installation d’applications ou de logiciels, il est indispensable de privilégier les sites officiels des éditeurs ou fabricants pour éviter les mises à jour malveillantes. Il faut également se méfier des alertes trompeuses sur Internet, qui incitent, par exemple, à cliquer pour lancer un antivirus en urgence.
Dans un cadre professionnel, c’est généralement le service informatique qui se charge de la mise à jour des appareils et des logiciels. Il est conseillé de tester les mises à jour avant de les publier pour éviter les incompatibilités avec d'autres systèmes qui peuvent provoquer des disfonctionnements¹⁴. C’est ce qu’on appelle un test de non-régression¹⁵. Formez les collaborateurs à l'importance des mises à jour et aux risques liés à leur négligence.

Pour les pros comme les particuliers, il est préférable de planifier les mises à jour pendant les périodes d'inactivité (la nuit ou pendant des réunions) pour minimiser les interruptions. Sans oublier de réaliser une sauvegarde des données et des logiciels au préalable pour pouvoir revenir en arrière si nécessaire et ne pas perdre les données¹³.

→ Et c'est vraiment nécessaire de tout sauvegarder ?¶

La sauvegarde des données et logiciels avant d’effectuer une mise à jour est conseillée pour pouvoir revenir à une version précédente si la mise à jour échoue ou provoque un dysfonctionnement.

Mais ce n’est pas la seule raison de planifier des sauvegardes. Imaginons :

Perdre son smartphone et tout ce qu’il contient : photos, documents importants, et même codes d’accès si on a la mauvaise habitude de stocker identifiants et mots de passe dans les notes.
Se faire voler son ordinateur portable et tous les documents de travail qui ne sont stockés qu’en local.
Ou tout simplement le disque dur qui rend l'âme…

Bref, il y a mille et une façons de perdre ses données en un claquement de doigts, sans même qu’un cyberattaquant ne soit impliqué ! La sauvegarde constitue alors une solution fiable pour préserver durablement nos données.

→ Ok, je suis convaincu : comment je m’y prends ?¶

→ Posons-nous d’abord la question : qu’est-ce que je veux sauvegarder ?¶

En effet, toutes les informations n’ont pas la même valeur et donc pas les mêmes priorités en matière de sauvegarde. Dans la sphère personnelle, certains contenus comme les photos, vidéos ou carnets de contacts représentent un fort intérêt affectif ou pratique, contrairement à d’autres données facilement remplaçables, comme une brochure commerciale récupérable à tout moment sur le site web de l’entreprise. Par ailleurs, la régularité des sauvegardes dépend du type de fichier : un document de travail quotidien peut exiger plusieurs sauvegardes par jour, alors qu’un dossier d’images stable se contente d’une copie ponctuelle après ajout.

Pour s'organiser efficacement, on peut :

recenser les supports sur lesquels les données sont stockées : ordinateur, smartphone, tablette, disque externe, serveur, etc. ;
puis identifier les données véritablement essentielles en se demandant lesquelles seraient impossibles à recréer ou sont les plus utilisées¹⁶.

→ Ensuite, demandons-nous : comment est-ce que je peux sauvegarder ?¶

Il existe deux grandes catégories de solutions de sauvegarde :

Le stockage externe : disque dur externe, clé USB, carte mémoire, DVD…
Le stockage en ligne via des services de cloud(1), gratuits ou payants selon la capacité et les fonctionnalités.
1. 🔎 Définition : Le cloud (nuage) consiste à utiliser des services informatiques (serveurs, stockage, bases de données, logiciels...) via Internet, pour stocker, gérer et traiter des données, plutôt que de les héberger sur un serveur local ou un ordinateur personnel. L’accès aux données, aux applications et aux ressources informatiques peut se faire de n’importe quel ordinateur connecté à Internet.

Le choix d’une solution dépend de plusieurs critères : la fréquence de sauvegarde, la taille des fichiers, le coût et les risques liés à leur perte. Ainsi, les solutions peuvent être diverses :

Pour les fichiers modifiés régulièrement, les solutions automatisées comme le cloud sont pratiques, car elles permettent des sauvegardes continues ou programmées.
Pour des données stables nécessitant des sauvegardes occasionnelles, les supports externes suffisent souvent et offrent un meilleur rapport espace/prix, surtout pour des fichiers volumineux comme des photos et des vidéos¹⁶.

Dans tous les cas, il est recommandé de suivre la règle 3‑2‑1 :

conserver 3 copies des données,
sur 2 types de supports différents,
avec au moins 1 copie hors site.

Les sauvegardes locales permettent une restauration rapide, mais en cas de catastrophe physique, comme un incendie ou une inondation, elles peuvent être endommagées ou détruites, alors que les sauvegardes hors site (cloud ou autre emplacement) offrent une protection complémentaire¹⁷.

Il apparait donc primordial de mettre en place une planification de ses sauvegardes. Celle-ci va dépendre de plusieurs facteurs : quelles données sauvegarder, à quel moment et à quelle fréquence, surtout si elles ne sont pas automatisées. Différents types de sauvegardes peuvent être réalisées :

Un utilisateur qui copie périodiquement le contenu de son dossier "Documents" va procéder à des sauvegardes dites "complètes".
Pour réduire la volumétrie (c’est-à-dire la place utilisée sur le support de sauvegarde), un système plus évolué de sauvegarde automatique (par exemple TimeMachine sur MacOS) va alterner entre une sauvegarde complète et plusieurs sauvegardes dites incrémentales (c’est-à-dire qui ne copient que les fichiers créés ou modifiés depuis la dernière sauvegarde), ces dernières occupant une place significativement réduite¹⁸.

→ Enfin, posons-nous une dernière question (mais non des moindres) : comment protéger mes sauvegardes ?¶

Comme tout appareil, les supports de sauvegarde sont exposés aux risques de vol, perte ou endommagement.

Voici quelques conseils :

Déconnecter les systèmes de stockage une fois la sauvegarde effectuée : les appareils connectés au réseau peuvent être la cible de ransomwares ou d’accès non autorisés et être corrompus à leur tour.
Protéger les supports physiques : les ranger dans un lieu sûr pour éviter pertes ou dommages. Multiplier les copies sur différents supports et les stocker à des endroits distincts.
Sécuriser les données sauvegardées : chiffrer les fichiers sensibles, protéger l’accès aux sauvegardes par des mots de passe robustes et limiter l’accès aux personnes autorisées. Ces mesures sont particulièrement importantes en contexte professionnel.
Tester les sauvegardes et remplacer les supports obsolètes : vérifier régulièrement ses sauvegardes en restaurant les données sur un autre appareil. Contrôler l’état des supports pour anticiper leur usure/leur obsolescence et migrer les données sur des supports plus récents quand c'est nécessaire. Garder en tête que certains supports ne sont pas faits pour une sauvegarde au long terme : les clés USB, par exemple, n'ont pas la même durée de conservation des données qu'un disque SSD¹⁹. Les solutions en ligne doivent également être surveillées, car leur sécurité dépend des mises à jour des éditeurs.
Sauvegarder les logiciels et systèmes nécessaires : certaines données ne sont exploitables qu’avec des logiciels ou systèmes spécifiques. Sauvegarder également les outils nécessaires à leur lecture, ainsi que les configurations et paramètres, afin de pouvoir restaurer ses données sur un nouvel appareil si besoin¹⁶^,¹⁸.

→ Qu'est-ce qu'on peut conclure ? ¶

En résumé, la sécurité informatique repose sur deux piliers complémentaires : la mise à jour régulière des systèmes et un système de sauvegarde fiable.
Ignorer une notification ou reporter une mise à jour expose nos appareils et nos informations à des vulnérabilités exploitables par des cyberattaquants.
Parallèlement, les sauvegardes assurent la continuité et la résilience face aux pertes accidentelles, aux défaillances matérielles ou aux cyberattaques.
En identifiant les données critiques, en choisissant des supports adaptés et en sécurisant leur accès, il est possible de protéger efficacement son patrimoine numérique.

Qu’avez-vous pensé de ce contenu ? Clair : Utile :

Si vous souhaitez nous faire part de vos suggestions d'amélioration contactez-nous !

Envoyer un email à cyberclass@class-code.fr

¶

Pour aller plus loin ?¶

Fiches concepts liées¶

Licence¶

🎯 Attribution : Une réalisation collective produite par Class’Code dans le cadre du programme TalCyb. Ce travail a bénéficié d’une aide de l’État gérée par l’Agence nationale de la recherche au titre de France 2030 portant la référence ANR-23-CMAS-0020.

Cette ressource éducative a été produite sous licence CC BY-SA Class’Code 4.0 FR (1) - Publication : mars 2026 ; dernière mis à jour : juin 2026.

Créative Commons - Attribution obligatoire et crédit à l’auteur - Liberté d’utilisation et d’adaptation - Pas de restriction spécifique

Sources¶

See this page is the portal