Expliquez les catégories de contrôles de sécurité avec des exemples de chacune.

Classer les contrôles fait partie du vocabulaire fondamental de la GRC. Les recruteurs posent la question pour vérifier que vous savez relier une protection réelle à son objectif — ce que vous faites exactement quand vous concevez un cadre de contrôle ou comblez une lacune trouvée lors d'un audit.

Classer par type

Cela décrit quelle sorte de chose est le contrôle :

• Administratif (managérial) — politiques, normes, procédures, évaluations des risques, formation à la sensibilisation à la sécurité, vérifications d'antécédents.
• Technique (logique) — pare-feu, MFA, chiffrement, listes de contrôle d'accès, IDS/IPS, protection des terminaux.
• Physique — serrures, clôtures, lecteurs de badges, sas de sécurité, vidéosurveillance, gardiens.

Classer par fonction

Cela décrit ce que fait le contrôle dans la chronologie d'un événement :

• Préventif — empêche un incident avant qu'il ne survienne (contrôle d'accès, MFA, validation des entrées).
• Détectif — identifie un incident en cours ou après coup (SIEM, IDS, journaux d'audit, surveillance de l'intégrité des fichiers).
• Correctif — restaure les systèmes après un incident (restauration à partir d'une sauvegarde, application d'un correctif, réinstallation).
• Dissuasif — décourage un acteur de tenter (bannières d'avertissement, caméras visibles, politique de sanctions).
• Compensatoire — une protection alternative utilisée lorsque le contrôle principal n'est pas faisable, offrant une protection comparable (p. ex. une surveillance renforcée là où l'on ne peut pas corriger un système hérité).

Les superposer

Un contrôle isolé finira par défaillir. La défense en profondeur superpose des contrôles préventifs, détectifs et correctifs à travers les types administratif, technique et physique afin qu'une seule défaillance ne mène pas à une compromission.

Pourquoi c'est important

Le signal le plus clair est un candidat capable de placer une protection donnée dans les deux classifications et d'expliquer correctement les contrôles compensatoires — ils reviennent constamment dans les constats d'audit et les décisions de traitement du risque.