نموذج الاختبار المهني لمباراة توظيف مهندسو الدولة: الدراسات والتطوير المعلوماتي والأمن - الصندوق الوطني للضمان الاجتماعي CNSS

Ce modèle est l'épreuve écrite du concours de recrutement d'ingénieurs d'État « Études et Développement informatique, Sécurité » de la Caisse Nationale de Sécurité Sociale (CNSS). Il comporte trois parties : un test professionnel (1 h 30) avec une section A sur la CNSS (5 questions) et une section B technique (20 questions), une épreuve de culture générale (30 min, 25 questions) et une épreuve de langue arabe (30 min, 50 points) sous forme de rédaction. Chaque question du QCM vaut un point. Une réponse fausse ou vide vaut 0, et il peut y avoir une ou plusieurs bonnes réponses par question. Voici une correction proposée.

Conseil : une réponse partielle ou en trop donne 0. Ne cochez une deuxième case que si vous êtes sûr qu'elle est juste elle aussi. Les questions « CNSS » se préparent en lisant la page « Notre histoire » du site cnss.ma et le dahir du régime de sécurité sociale.

I. Test professionnel

Section A : 5 questions sur la CNSS

1. b) 1959 : le régime de sécurité sociale a été institué par le dahir n° 1-59-148 du 31 décembre 1959, et sa gestion a été confiée à la CNSS. Attention au piège 1961 : c'est l'année d'entrée en vigueur du régime, pas celle de la création.
2. b) Casablanca : la direction générale de la CNSS se trouve à Casablanca, boulevard Mohammed V.
3. d) Saïd AHMIDOUCH : il était directeur général à la date de l'épreuve. Il a quitté le poste en 2019. Depuis février 2021, le directeur général est Hassan Boubrik. Pour une session récente, il faut donc connaître le nom du titulaire actuel.
4. b) 1942 : la Caisse d'Aide Sociale, ancêtre de la CNSS, a été créée par le patronat en 1942. Elle servait des allocations familiales aux salariés des grandes entreprises et des aides aux femmes en couches.
5. c) a et b : la CNSS gère le régime obligatoire des salariés du secteur privé (a), et sa mission affichée inclut l'amélioration continue de ses prestations et de ses services de protection sociale (b).

Section B : 20 questions techniques

1. c) Façade : la Façade offre une interface unique et simplifiée qui masque un sous-système complexe. Iterator parcourt une collection, Observer notifie des abonnés et Prototype crée des objets par clonage.
2. b) MCT : dans Merise, la synchronisation (condition logique sur les événements qui déclenchent une opération) est un concept du Modèle Conceptuel des Traitements. Le MLD et le MPT relèvent d'autres niveaux.
3. b) La composition est une forme forte d'agrégation, donc un cas particulier de l'association. a) est faux : c'est le diagramme de cas d'utilisation qui regroupe les cas. c) est faux : un cas d'utilisation n'est pas un scénario de test. d) est faux : la destruction des composants avec le composé caractérise la composition, pas l'agrégation.
4. d) OCL : l'Object Constraint Language sert à exprimer des contraintes sur un modèle UML. Ce n'est pas une méthode de modélisation. AXIAL et MERISE sont des méthodes, et MDA est une démarche d'ingénierie dirigée par les modèles.
5. d) Maintenance adaptative : elle adapte le logiciel à un nouvel environnement (système, matériel, réglementation). La maintenance évolutive ajoute des fonctions, la corrective répare les défauts et la préventive anticipe les pannes.
6. d) est l'énoncé faux. Merise n'est pas une méthode du paradigme objet, et c'est UML qui est le plus large (langage utilisable par toute méthode objet). Les énoncés a, b et c sont exacts.
7. c) La gestion financière des services (IT Financial Management) : ce processus budgète, comptabilise et répartit les coûts informatiques, y compris ceux des contrats de sous-traitance.
8. d) Le B2B (Business to Business) est le commerce électronique entre entreprises. Le commerce vers les particuliers s'appelle B2C.
9. a) Le Plan de Continuité d'Activité vise à éviter l'interruption du service (redondance, bascule). Le Plan de Reprise d'Activité organise le redémarrage après une interruption. Les options c et d inversent les rôles.
10. d) Extranet : c'est l'ouverture contrôlée de l'intranet de l'entreprise à des partenaires externes (clients, fournisseurs). L'intranet est réservé aux collaborateurs internes.
11. b) Un stéréotype de classe : en UML, l'interface se note comme une classe portant le stéréotype «interface». Elle ne contient que des opérations abstraites, sans implémentation.
12. d) Proxy : c'est un patron du GoF (patron structurel), pas un patron GRASP. Les GRASP sont Expert, Créateur, Contrôleur, Faible couplage, Forte cohésion, Polymorphisme, Fabrication pure, Indirection et Protection des variations.
13. a) Une base est cohérente quand toutes ses contraintes d'intégrité (de domaine, d'entité, référentielles…) sont respectées. c) est incomplet, car les contraintes référentielles n'en sont qu'une partie.
14. b) Factory (Factory Method, ou Fabrique) : ce patron définit une interface de création et laisse les sous-classes choisir la classe à instancier. Builder construit pas à pas un objet complexe.
15. a) (réponse probable). La viabilité d'un projet ne se réduit ni aux objectifs techniques (b) ni à la seule rentabilité financière (c). Elle dépend de la capacité du produit à être accepté et utilisé par ses utilisateurs et par les parties prenantes.
16. c) Un service d'authentification : avec le Single Sign-On, l'utilisateur s'authentifie une seule fois et accède ensuite à plusieurs applications.
17. a) Data Mining : la fouille de données relève de l'informatique décisionnelle (BI), pas du cœur d'un ERP. Un ERP repose sur une base de données partagée unique, sur le workflow et sur la traçabilité.
18. a) Entrepôt de données : le data warehouse est le socle de toute démarche de BI, car il centralise et historise les données utilisées pour l'analyse.
19. d) Scripts CGI : un script CGI s'exécute sur le serveur avec les droits du serveur web. Mal écrit, il ouvre un accès direct aux fichiers et aux données confidentielles. C'est le risque le plus élevé des options proposées.
20. a) Vulnérabilités : ce sont des faiblesses internes du système qu'une menace peut exploiter. La menace est la cause potentielle d'un incident (pirate, malware) et l'impact est sa conséquence. « Faille » est un synonyme courant, mais le terme normalisé attendu est « vulnérabilité ».

II. Test de culture générale (25 questions)

1. c) Marrakech : c'est la première destination touristique du pays en nombre d'arrivées et de nuitées.
2. d) L'aviculture : l'ostréiculture concerne les huîtres, la cuniculture les lapins et l'apiculture les abeilles.
3. c) Une anagramme : par exemple « chien » et « niche ».
4. c) « Unis dans la diversité » est la devise de l'Union européenne. « Liberté, égalité, fraternité » est celle de la France.
5. a) Le Vatican : environ 0,44 km². La Yougoslavie n'existe plus.
6. d) La Paz : c'est le siège du gouvernement (Sucre est la capitale constitutionnelle). C'est la seule ville bolivienne proposée.
7. b) Philosophique : le syncrétisme est la fusion de doctrines ou de croyances d'origines différentes.
8. b) Basique : un produit alcalin a un pH supérieur à 7.
9. c) 50 États.
10. b) Les scarabées : le nom joue sur le mot anglais beetles (scarabées).
11. a) 5 joueurs sur le terrain, l'effectif inscrit sur la feuille de match allant jusqu'à 12.
12. b) Une monarchie constitutionnelle : l'article 1er de la Constitution de 2011 dispose que le régime est « une monarchie constitutionnelle, démocratique, parlementaire et sociale ». La réponse attendue est b. Comme le texte contient aussi le mot « parlementaire », cochez a en plus seulement si vous êtes sûr que le barème l'accepte.
13. a) Le Jbel Toubkal : 4 167 m, dans le Haut Atlas.
14. b) 710 000 km² : environ 710 850 km² provinces du Sud comprises.
15. c) « L'animal se crée des moyens pour lutter contre le milieu » est une idée de Lamarck (adaptation volontaire, transmission des caractères acquis). Pour Darwin, la sélection naturelle trie des variations dues au hasard. Cette affirmation n'est donc pas darwinienne (réponse probable). L'option b est une formule populaire inexacte (Darwin parle d'un ancêtre commun), mais c'est c que vise la question.
16. a) La TVA : c'est le premier impôt en recettes, TVA intérieure et TVA à l'importation réunies.
17. a) 7 janvier 2015.
18. c) Ford : la marque est américaine. Volkswagen est allemande et Peugeot française.
19. c) De redevances (royalties) : c'est la rémunération de la concession d'un brevet ou d'une licence.
20. c) Une mandarine et une orange (orange douce ou bigarade selon les sources). Les deux autres options contiennent un citron, ce qui est faux.
21. c) Le guépard : plus de 100 km/h en pointe.
22. b) 1826 : la première photographie conservée est le « Point de vue du Gras » de Nicéphore Niépce (1826-1827).
23. c) La protection de l'environnement : le protocole fixe la réduction des émissions de gaz à effet de serre.
24. d) SOS est un signal de détresse en code Morse (· · · — — — · · ·), choisi parce qu'il est simple à transmettre. « Save Our Souls » et « Save Our Ships » sont des explications inventées après coup.
25. b) Amérique du Nord : la dinde (le dindon sauvage) est originaire d'Amérique du Nord et du Mexique.

III. Épreuve de langue arabe : rédaction

Sujet : l'organisme a subi une attaque informatique (piratage, ou « crash » du système d'information). Quelles mesures prenez-vous pour protéger à nouveau le système et vous débarrasser du piratage ?

Conseil : la copie est notée sur 50 points. Le jury évalue d'abord la langue (correction, vocabulaire technique en arabe), puis la démarche. Suivez l'ordre logique de la réponse à incident : contenir, éradiquer, restaurer, renforcer, tirer les leçons.

Introduction (مقدمة)

Rappelez que le système d'information est le cœur de l'activité (données des assurés, déclarations, paiements) et qu'une attaque menace la disponibilité, l'intégrité et la confidentialité des données (التوافر، السلامة، السرية). Annoncez un plan en deux temps : les mesures immédiates, puis les mesures préventives durables.

I. Mesures immédiates (التدابير الفورية)

• Isoler les machines et segments touchés (عزل الأجهزة المصابة عن الشبكة) sans les éteindre brutalement, afin de conserver les traces.
• Activer la cellule de crise et le plan de réponse aux incidents. Informer la direction et, le cas échéant, l'autorité nationale compétente en cybersécurité (maCERT / DGSSI).
• Analyser : identifier le vecteur d'entrée (compte compromis, faille non corrigée, pièce jointe piégée) à partir des journaux (سجلات الأحداث).
• Éradiquer : supprimer les logiciels malveillants, fermer les accès créés par l'attaquant, réinitialiser tous les mots de passe et révoquer les comptes compromis.
• Restaurer à partir de sauvegardes saines et vérifiées (النسخ الاحتياطية), puis remettre les services en ligne progressivement sous surveillance renforcée (PRA).

II. Mesures préventives (التدابير الوقائية)

• Techniques : mises à jour et correctifs réguliers, pare-feu et IDS/IPS, antivirus et EDR, segmentation du réseau, chiffrement, authentification forte (MFA), principe du moindre privilège.
• Organisationnelles : politique de sécurité (PSSI), sauvegardes régulières hors ligne, tests d'intrusion et audits périodiques, plan de continuité (PCA).
• Humaines : sensibilisation du personnel à l'hameçonnage (التصيد الاحتيالي) et à la gestion des mots de passe, car la plupart des attaques passent par l'erreur humaine.
• Retour d'expérience : rapport d'incident et mise à jour des procédures pour éviter qu'une attaque semblable se reproduise.

Conclusion (خاتمة)

La sécurité n'est pas un état mais un processus continu qui combine technique, organisation et vigilance humaine. Ouvrez sur l'importance de la culture de la cybersécurité dans un organisme qui gère des données personnelles sensibles.

Exemple d'ouverture en arabe : «يُعدّ النظام المعلوماتي العمود الفقري لأي مؤسسة حديثة، إذ تمرّ عبره المعطيات والخدمات اليومية، ولذلك فإن تعرّضه لهجوم قرصنة يستلزم تدخّلاً سريعاً ومنظّماً يقوم على مرحلتين: احتواء الهجوم ومعالجة آثاره، ثم تحصين النظام ضد أي اختراق مستقبلي.»