Une opportunité unique au sein des ministères de la Justice et de l’Intérieur
Durant plusieurs semaines, j’ai eu l’opportunité d’intégrer un centre d’étude, de recherche et de développement en sécurité, sûreté et défense des systèmes, un acteur public stratégique. Ce centre est interne à la Procédure Pénale Numérique (PPN), une initiative conjointe du ministère de la Justice et du ministère de l’Intérieur, visant à moderniser le traitement des affaires pénales en France, chargé de dématérialiser l’ensemble de la chaîne pénale, depuis le dépôt de plainte jusqu’au jugement, en passant par l’enquête et l’instruction.
Enjeux et contraintes liés à la protection des données
La dématérialisation des procédures pénales implique la manipulation de données sensibles, telles que des informations personnelles sur les victimes, les suspects et les témoins, ainsi que des éléments de preuve. La protection de ces données est cruciale pour garantir la confidentialité, l’intégrité et la disponibilité des informations, tout en respectant les droits des individus concernés.
Les principaux enjeux incluent la prévention des accès non autorisés, la protection contre les cyberattaques, la conformité aux réglementations en matière de protection des données, telles que le Règlement Général sur la Protection des Données (RGPD), et la gestion sûre du cycle de vie des données, de leur création à leur archivage ou destruction.
Cette immersion au cœur des enjeux de cybersûreté m’a permis de travailler sur des problématiques avancées, en lien avec l’homologation des systèmes critiques et l’industrialisation scientifique des approches de défense.
L’objectif du centre est d’anticiper les cybermenaces en évaluant et en renforçant les mécanismes de sûreté à travers des méthodes rigoureuses, dépassant les standards classiques comme EBIOS Risk Manager. Dans ce cadre, ma mission était de contribuer aux recherches en expérimentant des outils offensifs et en analysant leur impact sur la posture défensive des systèmes étudiés.
Bâtiments du ministère de la Justice 81-115 rue de la Gare 75019 Paris.
Des missions techniques et stratégiques
Mon travail s’est articulé autour de plusieurs axes :
Expérimentation et intégration d’un outil de simulation de brèches et d’attaques (BAS)
- Déploiement et configuration de l’outil
- Intégration et durcissement des agents
- Création de scénarios réalistes reproduisant des techniques adverses issues du MITRE ATT&CK.
Analyse et application des principes de cybersûreté
- Étude approfondie des référentiels ANSSI, des standards IETF et des recommandations CIS Benchmark,
- Appréciation des risques et opportunités de durcissement des communications sur différentes couches du modèle OSI,
- Renforcement des reverse shell et agents offensifs avec des mécanismes avancés de gestion des secrets (Vault).
Mise en œuvre des principes de Défense en Profondeur et de Zéro Confiance
- Mise en place d’une authentification multi-facteurs (MFA) par clé FIDO2,
- Déploiement de mécanismes avancés notamment via la mise en place d’un reverse proxy avec filtrage IP, HTTPS, HSTS et mTLS,
- Automatisation, et rotation des certificats avec un stockage sûr des clés.
Restitution et vulgarisation des résultats
- Présentation hebdomadaire des avancées et résultats expérimentaux,
- Rédaction de rapports détaillés sur l’intérêt et les limites des solutions testées,
- Débats et discussions techniques sur l’évolution des approches en matière de cybersûreté.
Compétences développées
Cette expérience m’a permis d’acquérir des compétences essentielles dans les domaines de la cyber, notamment :
✅ Déploiement et configuration d’outils offensifs liés au BAS : l’objectif étant l’automatisation d’un atelier 4 EBIOS RM
✅ Appréciation et gestion des risques : mise en œuvre de méthodologies avancées en complément d’EBIOS RM,
✅ Durcissement des infrastructures et des communications : renforcement des agents, mise en place d’IPsec, durcissement des proxies, etc.,
✅ Automatisation et gestion des secrets : Vault, rotation de certificats, gestion d’agents sécurisés,
✅ Application des principes de cybersûreté avancés : Défense en profondeur, Zéro Trust, protection des systèmes critiques,
✅ Rigueur scientifique et restitution technique : communication des résultats, vulgarisation et participation à des discussions stratégiques.
Une expérience formatrice et déterminante
Ce stage a représenté bien plus qu’une simple immersion technique. J’ai eu la chance d’évoluer dans un environnement où l’excellence et la rigueur sont au cœur des travaux, en côtoyant des experts engagés dans la défense des systèmes critiques dans un cadre ministériel.
Grâce à cette expérience, j’ai consolidé mes connaissances, affiné ma méthodologie et renforcé ma capacité à analyser, tester et améliorer des systèmes de sûreté de manière proactive. Ces acquis me permettront d’aborder avec encore plus d’ambition mes futures responsabilités dans le domaine de la cybersécurité.
🔹 Ce stage m’a conforté dans mon choix de carrière : contribuer activement à la protection des systèmes face aux menaces évolutives, avec une approche scientifique et stratégique, avec le souhait d’évoluer en gestion des incidents et des crises de sécurité/sûreté.