Épreuve professionnelle
Épreuve écrite de 4 heures, coefficient 4. Elle évalue les cinq compétences du bloc 3 sous la forme d'une étude de cas de production de services informatiques sécurisés.
Objectif
L'épreuve E7 vérifie la capacité à protéger les données à caractère personnel, à préserver l'identité numérique de l'organisation, à sécuriser les équipements et les usages des utilisateurs, à garantir la disponibilité, l'intégrité et la confidentialité des services face à des cyberattaques, et, pour l'option SISR, à assurer la cybersécurité d'une infrastructure réseau, d'un système ou d'un service.
Le bloc 3 est le tronc commun de cybersécurité des deux options du BTS SIO : quatre compétences y sont identiques en SISR et en SLAM, la cinquième étant déclinée selon la spécialité : infrastructure d'un côté, solution applicative et développement de l'autre. Le sujet d'examen est en revanche différencié par option.
Modalités
Correspondance
Vue de synthèse : quelle réalisation illustre quelle compétence de cybersécurité.
| Réalisation | B3.1 | B3.2 | B3.3 | B3.4 | B3.5 |
|---|---|---|---|---|---|
| Kanyro : site vitrine et messagerie auto-hébergée | B3.1 démontrée | B3.2 démontrée | B3.3 non rattachée | B3.4 non rattachée | B3.5 non rattachée |
| ORCA-SERV : serveur de développement distant et d'audit de sécurité | B3.1 non rattachée | B3.2 non rattachée | B3.3 non rattachée | B3.4 démontrée | B3.5 démontrée |
| Réalisations par compétence | 1 | 1 | 0 | 1 | 1 |
Matrice interactive
Sélectionner une compétence pour afficher sa description, ses réalisations et ses preuves.
Par compétence
B3.1
Recenser les traitements de données personnelles, en identifier les risques et appliquer la réglementation qui les encadre.
E7B3.2
Protéger l'identité numérique de l'organisation par des moyens techniques et juridiques, et déployer les moyens de preuve électronique.
E7B3.3
Informer les utilisateurs, mettre en œuvre les défenses adaptées aux menaces identifiées, gérer les accès et vérifier que la protection est efficace.
E7Aucune réalisation ne revendique encore cette compétence.Rattacher une réalisation : ajouter B3.3 au champ skills de son fichier Markdown.
Aucune preuve rattachée à cette compétence.
B3.4
Caractériser les risques d'une utilisation malveillante d'un service, en recenser les conséquences et appliquer les procédures légales qui s'imposent.
E7B3.5
Compétence propre à l'option SISR : intégrer la sécurité à un projet d'infrastructure, prévenir et détecter les attaques, analyser les incidents et mettre en œuvre des contre-mesures.
E7Par réalisation
Personnel
Personnel
Réalisations
Personnel · E5 · E6 · E7 · Système · Réseau · SécuritéEn cours
Conception, mise en production et administration d'un site vitrine statique et de son serveur de messagerie sur un VPS Linux, du nom de domaine jusqu'à la signature DKIM, jusqu'à la bascule du service entier vers un nouveau domaine.
Août 2026, en coursProjet personnel Kanyro9/9 preuvesB1.3 B1.4 B1.5 B2.1 B2.2 B2.3 B3.1 B3.2
Personnel · E5 · E6 · E7 · Système · Réseau · Sécurité · VirtualisationEn cours
Mise en place, sur une instance Oracle Cloud sous Ubuntu, d'un environnement de développement assisté par IA et d'un outil d'audit de sécurité automatisé, accessible depuis tous mes équipements par un réseau privé maillé.
Août 2026, en coursProjet personnel ORCA-SERV2/5 preuvesB1.6 B2.1 B2.2 B2.3 B3.4 B3.5
Preuves
Service réellement mis à disposition, diffusé en HTTPS depuis le serveur administré.
Continuité de service après la bascule : l'ancienne adresse répond toujours et renvoie vers kanyro.fr, sans page d'erreur ni lien mort.
Recensement des traitements de données personnelles du site, base légale de chacun, durée de conservation appliquée par un service de purge, personnes y ayant accès, absence de cookie et de mesure d'audience tierce, exercice des droits.
Identification de l'éditeur et de l'hébergeur telle que l'impose la LCEN, y compris la mention d'attente pendant l'immatriculation.
Historique du projet, de la mise en production et de la bascule de domaine. Dépôt privé, ouvrable pendant la soutenance.
Architecture des services, ports, trajet d'un message, fichiers de configuration, enregistrements DNS requis, ordre de bascule d'un domaine et procédure de purge.
Déposer le fichier dans public/documents/, puis renseigner href et status: "disponible".
Flux de réception et d'émission, position du milter OpenDKIM, socket LMTP, ports exposés et partage du certificat entre Caddy, Postfix et Dovecot.
Sorties réelles et reproductibles : état des services, ports en écoute, enregistrements DNS interrogés sur trois résolveurs, évaluation SPF par famille d'adresses, confirmation du reverse, opendkim-testkey, certificats TLS, journaux de la panne et de sa résolution, historique des trois défauts DNS corrigés, et le contrôle externe de la bascule du 20 septembre 2026.
Verdict des serveurs de Google sur un message réel : dkim=pass, spf=pass et dmarc=pass. Le message est parti en IPv6, ce qui valide en production la correction de l'enregistrement AAAA. Section 9 du relevé de vérification.
Présentation du projet, architecture, pile technique, analyse de sécurité et pistes d'amélioration. Dépôt privé, ouvrable pendant la soutenance.
Trajet d'un accès depuis un équipement jusqu'au serveur et place du réseau privé maillé.
Ports en écoute, règles d'entrée du pare-feu hôte et ports publiés par Docker, présentés pendant la soutenance plutôt que publiés en ligne.
Déposer le fichier dans public/documents/, puis renseigner href et status: "disponible".
Déroulé d'un audit automatisé et nature des résultats rapportés.
Déposer le fichier dans public/documents/, puis renseigner href et status: "disponible".
Désactivation de rpcbind et interdiction de la connexion SSH en root, avec les vérifications avant et après chaque changement.
Déposer le fichier dans public/documents/, puis renseigner href et status: "disponible".
