Glossaire Cybersécurité de A à Z — Cybersécurité

Glossaire Cybersécurité — 128 définitions

Tous les termes définis dans les 28 sections du guide, classés par ordre alphabétique.
Astuce : Ctrl + F pour chercher un terme dans la page.

2FA / MFA: Deuxième preuve d'identité après le mot de passe : code, application, clé physique — le facteur qui sauve quand le mot de passe fuite.
33700 / signal-spam: Les plateformes de signalement : SMS frauduleux au 33700, e-mails de phishing à Signal Spam / Phishing Initiative.
Administration du SI: La charte rappelle ce que l'IT peut voir (journaux, filtrage) et dans quel cadre : transparence des deux côtés.
Adresse d'expéditeur usurpée: Le nom affiché est libre : « Votre Banque » peut cacher pirate@domaine-louche.ru — seul le domaine complet fait foi.
Ambassadeur sécurité: Le relais volontaire dans l'équipe : premier contact pour les doutes, courroie avec l'IT — souvent le rôle qui vous attend en finissant ce guide.
ANSSI: L'Agence nationale de la sécurité des systèmes d'information : l'autorité française de cyberdéfense (cyber.gouv.fr), guides et alertes de référence.
Antivirus / EDR: L'outil qui détecte et bloque les malwares connus et comportements suspects (Microsoft Defender intégré à Windows suffit pour la plupart des usages).
Application d'authentification: Génère des codes temporaires hors réseau (Microsoft/Google Authenticator, 2FAS…) : plus sûre que le SMS.
Arnaque au président (FOVI): Le Faux Ordre de VIrement : un fraudeur se fait passer pour un dirigeant et exige un virement urgent et confidentiel.
Attaque à la clé abandonnée: Déposer des clés infectées sur un parking : une proportion étonnante finit branchée par curiosité — testé et documenté.
Attestation ANSSI: La reconnaissance officielle délivrée à la réussite du MOOC : un vrai plus sur un CV et un signal fort en interne.
Bases légales: Le consentement n'est qu'une base parmi six : contrat, obligation légale, intérêt légitime… — tout traitement doit s'appuyer sur l'une d'elles.
Blâme zéro (sur le signalement): Punir celui qui signale son erreur tue la détection : la culture saine sépare l'erreur (humaine) de la dissimulation (fautive).
BYOD: « Bring Your Own Device » : l'usage d'appareils personnels pour le travail, encadré (ou interdit) par des règles d'entreprise.
Cci (copie cachée): L'envoi groupé à des destinataires externes se fait en Cci : la liste des adresses en clair est une violation courante.
Charte informatique: Le document qui fixe les règles d'usage du SI de l'entreprise : outils, mots de passe, messagerie, Internet, télétravail, sanctions.
Chiffrement: Rendre des données illisibles sans la clé : la protection qui survit au vol de l'appareil ou du fichier.
Chiffrement d'un fichier/archive: Protéger un document ou un zip par mot de passe fort (les outils bureautiques et 7-Zip/AES le font) pour un envoi ou un stockage ponctuel.
Chiffrement de bout en bout: Seuls l'émetteur et le destinataire peuvent lire (messageries sécurisées) : même l'opérateur du service ne voit rien.
Chiffrement du disque: BitLocker (Windows) / FileVault (Mac) : tout le disque protégé — le vol du portable ne livre plus rien.
Clé chiffrée: Clé protégée par mot de passe/chiffrement (BitLocker To Go…) : la perte ne devient pas une fuite de données.
Clé de sécurité (FIDO2/passkey): Clé physique USB/NFC ou passkey : le niveau le plus fort, insensible au phishing — l'avenir de l'authentification.
Clé USB piégée: Une clé contenant un malware à exécution automatique ou des fichiers piégés : la clé « trouvée » est un vecteur d'attaque classique.
CNIL: La Commission nationale de l'informatique et des libertés : l'autorité des données personnelles et du RGPD (cnil.fr).
Code SMS: Mieux que rien, mais vulnérable (SIM swapping, interception) : à réserver quand il n'y a pas d'alternative.
Codes de secours: Les codes de récupération fournis à l'activation : à imprimer/stocker en lieu sûr — votre issue si vous perdez le téléphone.
Confidentialité imposée: « N'en parlez à personne » : le signal d'alarme absolu — l'isolement de la victime est la condition de la fraude.
Consentement: L'une des bases légales : libre, spécifique, éclairé, univoque — et retirable aussi facilement qu'il a été donné.
Culture de sécurité: Quand les bons réflexes deviennent des automatismes d'équipe : signaler sans honte, vérifier sans gêne, verrouiller sans y penser.
Culture du doute sain: Douter n'est ni de la paranoïa ni de la défiance : c'est un standard professionnel, comme vérifier un calcul.
Cybermalveillance.gouv.fr: La plateforme nationale d'assistance aux victimes : diagnostic en ligne, mise en relation avec des prestataires, fiches réflexes.
Cybersécurité: L'ensemble des pratiques qui protègent systèmes, données et personnes contre les attaques informatiques — au bureau comme en télétravail.
Domaine sosie: micros0ft.com, impots-gouv.net : des adresses presque justes — la faute d'un caractère qui piège l'œil pressé.
Donnée personnelle: Toute information se rapportant à une personne identifiable : nom, e-mail, téléphone, adresse IP, photo, plaque, voix…
Donnée sensible: Catégories renforcées : santé, opinions, religion, syndicalisme, orientation, biométrie — traitement par principe interdit sauf exceptions strictes.
Double extension: « facture.pdf.exe » : Windows masque parfois la seconde — affichez toujours les extensions de fichiers.
Double validation: La parade organisationnelle : tout virement inhabituel ou changement de RIB exige une seconde validation par un canal différent.
Droit d'accès: « Quelles données avez-vous sur moi ? » : l'organisation doit répondre, généralement sous un mois.
Droits des personnes: Accès, rectification, effacement, opposition, portabilité, limitation : toute personne peut les exercer sur SES données.
Durée de conservation: Chaque donnée a une date de péremption (candidatures : 2 ans max sauf accord, prospects : 3 ans après contact…) : purger fait partie du travail.
Écran de confidentialité: Filtre physique ou vigilance en open space/train : les regards indiscrets sont une fuite de données discrète mais réelle.
Envoi séparé du mot de passe: La règle des échanges chiffrés : le fichier par un canal, le mot de passe par un AUTRE (jamais dans le même e-mail).
Équipement fourni: Le poste professionnel pour le travail, rien d'autre : la famille ne joue pas sur l'ordinateur de l'entreprise.
Erreur d'envoi: Le mauvais destinataire d'un fichier de données personnelles = violation à traiter (voir 4.4), pas simple maladresse.
Espace de travail dédié: Écran non visible des visiteurs, documents rangés, session verrouillée : les règles du bureau s'appliquent au salon.
Exemplarité: La sécurité se propage par l'exemple : le manager qui verrouille sa session et vérifie les demandes légitime tout le monde à le faire.
Extensions à risque: .exe, .scr, .js, .vbs, .bat : exécutables purs — mais aussi .zip (qui les cache) et documents Office à macros (.docm, .xlsm).
Faux conseiller bancaire: Le scénario type : « des opérations frauduleuses sont en cours, validez l'annulation » — en réalité, vous validez LES virements du fraudeur.
Faux point d'accès (evil twin): Un hotspot pirate nommé « WiFi_Gare_Gratuit » : tout votre trafic passe par l'attaquant.
Fin de support: Un système qui ne reçoit plus de correctifs (vieux Windows, applis abandonnées) devient indéfendable : à remplacer.
Formation continue: La menace évolue tous les six mois : la sécurité est un abonnement, pas un diplôme.
Fraude au faux fournisseur: Le « fournisseur » signale un changement de RIB : les paiements suivants partent chez le fraudeur — la variante la plus fréquente.
Fuite de données: Divulgation de données internes ou personnelles — par attaque, erreur d'envoi ou mauvais partage.
Gestionnaire de mots de passe: Coffre-fort chiffré (KeePass — certifié ANSSI, Bitwarden, 1Password…) : un seul mot de passe maître, tous les autres uniques et générés.
Habilitation: Chacun n'accède qu'aux données dont il a besoin : partager un fichier RH « à toute l'organisation » est une violation en puissance.
HTTPS: Le chiffrement entre votre navigateur et le site (cadenas) : il protège le contenu même sur un réseau douteux — vérifiez sa présence.
Incident de sécurité: Compte piraté, poste au comportement anormal, rançongiciel, fraude : tout événement qui compromet (ou semble compromettre) la sécurité.
Information (transparence): Les personnes doivent savoir qui collecte quoi, pourquoi, combien de temps : mentions d'information, politiques de confidentialité.
Information des personnes: Si le risque est élevé (données sensibles, identifiants…), les personnes concernées doivent aussi être prévenues.
Ingénierie sociale: Manipulation psychologique (urgence, autorité, confiance) pour obtenir une action ou une information.
Isoler: Couper le réseau de la machine touchée (Wi-Fi off, câble débranché) SANS l'éteindre : stopper la propagation en préservant les preuves.
Lanceur d'alerte ordinaire: Signaler ce qu'on voit (mail louche, comportement anormal du SI) est un geste d'équipe : les incidents détectés tôt coûtent dix fois moins.
Levier d'autorité: Se faire passer pour un dirigeant, la banque, un service officiel : on obéit avant de vérifier.
Levier d'urgence: « C'est urgent, faites-le maintenant » : court-circuiter la réflexion — le ressort n°1 des fraudes.
Macro malveillante: Le « Activer le contenu » d'un document Office reçu : le clic qui lance le malware — Office le bloque par défaut, ne le débloquez pas.
Maillon humain: Plus de 80 % des incidents impliquent une action humaine (clic, mot de passe faible, manipulation) : la technique ne suffit jamais.
Malware: Terme générique des logiciels malveillants : virus, chevaux de Troie, logiciels espions, rançongiciels.
Messagerie personnelle au travail: Transférer des fichiers pro vers son Gmail : une fuite de données au sens propre — souvent interdite par la charte.
Minimisation: Ne collecter et ne conserver que le nécessaire : le fichier « au cas où » est l'anti-modèle.
Mise à jour automatique: Le réglage qui applique les correctifs sans vous : recommandé partout (système, navigateur, applications).
Mise à jour de la charte: Les chartes évoluent (télétravail, IA générative…) : la version en vigueur est celle à connaître.
Mise à jour de sécurité: Le correctif qui ferme une faille connue : chaque report laisse la porte ouverte à des attaques… documentées publiquement.
Mot de passe fort: Long avant tout : la CNIL recommande une passphrase d'au moins 12-14 caractères — la longueur bat la complexité.
Ne jamais payer: La rançon ne garantit rien, finance le crime et signale un bon payeur : position constante de l'ANSSI et des autorités.
Ne pas éteindre: L'extinction détruit des preuves en mémoire vive utiles à l'analyse : on isole, on n'éteint pas — sauf consigne de l'IT.
Notification CNIL 72 h: L'organisation doit notifier la CNIL sous 72 heures si la violation présente un risque pour les personnes : chaque heure de silence interne compte.
OSINT: Les informations publiques (réseaux sociaux, site, annuaires) que l'attaquant collecte pour personnaliser son attaque.
Page de capture: La fausse page de connexion (copie parfaite de la vraie) où l'on « donne » son mot de passe à l'attaquant.
Partage de connexion (4G/5G): Votre téléphone en modem : souvent plus sûr qu'un Wi-Fi public — le bon réflexe en déplacement.
Passphrase: Une suite de mots faciles à retenir, difficiles à deviner : « Cheval!Tulipe7Nuage-Bleu » vaut mieux que « P@ssw0rd ».
Périmètre de sécurité étendu: En télétravail, votre domicile devient une extension du bureau : box, Wi-Fi, bureau physique entrent dans le périmètre.
Phishing (hameçonnage): Message frauduleux (e-mail, SMS…) imitant un tiers de confiance pour voler identifiants ou données — le vecteur n°1.
Pièce jointe piégée: Fichier qui exécute un code malveillant à l'ouverture : les rançongiciels entrent massivement par là.
Plainte: Fraude, piratage, extorsion : le dépôt de plainte (commissariat ou plainte en ligne THESEE pour certaines e-escroqueries) déclenche l'enquête et sert l'assurance.
Politique du bureau propre: Pas de documents sensibles ni de post-it de mots de passe visibles : le rangement est une mesure de sécurité.
Préserver les preuves: Captures d'écran, e-mails d'origine, horaires : le dossier qui servira à l'analyse, à la plainte et à l'assurance.
Prétexte (pretexting): Un scénario crédible construit avec de vraies informations (site web, LinkedIn, out-of-office) pour endormir la méfiance.
QR code piégé (quishing): Le QR code est un lien qu'on ne peut pas survoler : mêmes règles de méfiance, surtout collé dans l'espace public.
Rançongiciel: Chiffre vos fichiers et exige une rançon. Variante moderne : la double extorsion (menace de publier les données volées).
Rançongiciel (ransomware): Logiciel qui chiffre les données de l'entreprise et exige une rançon : la menace n°1 des organisations françaises.
Rappel au numéro connu: On vérifie auprès du donneur d'ordre via le numéro DÉJÀ connu (annuaire interne) — jamais celui fourni dans la demande.
Rappel maîtrisé: LA parade universelle : raccrocher et rappeler soi-même le numéro officiel (dos de la carte bancaire, site officiel).
Registre des violations: Toute violation, même mineure, se documente en interne : c'est une obligation et une mémoire utile.
Règle 3-2-1: 3 copies de vos données, sur 2 supports différents, dont 1 hors site (ou hors ligne) : le standard recommandé par l'ANSSI.
Responsable de traitement / DPO: L'organisation décide (responsable) ; le délégué à la protection des données (DPO) conseille et contrôle — votre interlocuteur RGPD.
Réutilisation: Le péché capital : un site piraté = tous vos comptes au même mot de passe compromis (attaque par « credential stuffing »).
RGPD: Le règlement européen (2018) qui encadre tout traitement de données personnelles — avec des sanctions jusqu'à 4 % du chiffre d'affaires mondial.
Rituel sécurité: Les 5 minutes régulières (réunion d'équipe, affichage, quiz) qui maintiennent la vigilance : la sécurité s'entretient comme un muscle.
RPO (perte acceptable): Combien d'heures/jours de travail acceptez-vous de perdre ? La réponse dicte la fréquence des sauvegardes.
Sauvegarde hors ligne: Une copie déconnectée (disque débranché) : la seule que le rançongiciel ne peut pas chiffrer.
SecNumacadémie: Le MOOC gratuit de l'ANSSI : la formation cybersécurité de référence, avec attestation (détaillé en 5.5).
Séparation pro/perso: Chaque univers chez soi : comptes, messageries, appareils et mots de passe distincts — une compromission ne contamine pas l'autre.
Session individuelle: Un compte par personne, jamais de session partagée : la traçabilité et la responsabilité en dépendent.
Shadow IT: Utiliser des outils non validés pour le travail (WeTransfer perso, Gmail perso, clé USB maison) : pratique… et hors de tout contrôle de sécurité.
Signalement: Le doute se partage : un e-mail suspect signalé protège toute l'organisation (bouton de signalement ou transfert à l'IT).
Signalement interne: Le canal de votre organisation (bouton, adresse, référent) : TOUJOURS le premier réflexe pour tout ce qui touche au travail.
Signalement interne immédiat: VOTRE rôle : alerter DPO/IT dès la découverte — l'analyse et la notification sont leur travail, la rapidité est le vôtre.
Signaux d'alerte: Urgence, confidentialité, demande inhabituelle, gain inespéré, menace : chacun justifie à lui seul la pause de vérification.
Smishing: Le phishing par SMS : faux colis, fausse vignette Crit'Air, faux compte CPF, fausse alerte bancaire — avec un lien piégé.
Spear phishing: Phishing ciblé et personnalisé (votre nom, vos projets, vos habitudes) : bien plus difficile à repérer que le spam de masse.
Support amovible: Clés, disques externes, cartes SD : mêmes règles — provenance connue, analyse antivirus, chiffrement si données sensibles.
Surface d'attaque: Tout ce par quoi un attaquant peut entrer : comptes, e-mails, appareils, applications… Chaque salarié en fait partie.
Test de phishing interne: Les campagnes de faux phishing organisées par les entreprises : un entraînement, pas un piège — le taux de clic baisse avec la pratique.
Test de restauration: Une sauvegarde ne vaut que si elle se restaure : le test périodique est la moitié de la discipline.
Traitement: Toute opération sur des données : collecter, stocker, consulter, transmettre, supprimer — votre fichier Excel de clients EST un traitement.
Usage personnel résiduel: La plupart des chartes tolèrent un usage personnel « raisonnable » des outils — en le délimitant précisément.
Usurpation d'affichage (spoofing): L'appelant affiche le VRAI numéro de votre banque : le numéro affiché ne prouve plus rien.
Valeur juridique: Annexée au règlement intérieur, la charte est opposable : son non-respect peut fonder une sanction disciplinaire.
Veille sécurité: Rester à jour : alertes CERT-FR (l'actualité des menaces), lettres de Cybermalveillance, rubrique cyber de votre secteur.
Vérification par canal séparé: Confirmer une demande par un AUTRE moyen que celui d'où elle vient : e-mail suspect → appel ; appel suspect → e-mail officiel.
Verrouillage de session: Windows + L en quittant son poste : le geste d'une seconde qui empêche l'accès physique à vos données et votre messagerie.
Versioning: L'historique des versions (OneDrive/SharePoint le font nativement) : revenir au fichier d'avant l'incident ou l'erreur.
Violation de données: Tout incident touchant des données personnelles : fuite, accès non autorisé, perte, destruction — y compris l'e-mail au mauvais destinataire.
Vishing: Le phishing par téléphone : un « conseiller bancaire » ou « technicien » très professionnel vous guide… vers la fraude.
VPN: Le tunnel chiffré qui protège TOUT votre trafic : obligatoire sur réseau non maîtrisé — utilisez celui de l'entreprise.
VPN d'entreprise: Le tunnel systématique vers le réseau de l'entreprise depuis la maison : la règle, pas l'option.
Wi-Fi domestique durci: Mot de passe fort du Wi-Fi, chiffrement WPA2/WPA3, mot de passe d'administration de la box changé : les trois réglages qui comptent.
Wi-Fi public: Gare, hôtel, café : un réseau que vous partagez avec des inconnus — dont d'éventuels curieux outillés.