Ne découvrez pas l'examen
le jour J

Réponse : Réduction du time-to-market / Remplacement du CAPEX par l’OPEX.
Explication : AWS permet d’aller plus vite sur le marché et de transformer des investissements lourds en coûts variables faibles.

Réponse : Le transfert de données de l'appareil Snowball Edge vers Amazon S3. Explication : AWS facture les jours d'utilisation de l'appareil Snowball Edge et les transferts de données sortant d'AWS, mais le transfert de données vers Amazon S3 à partir d'un appareil Snowball est gratuit. Cela rend les migrations de données volumineuses vers le cloud rentables.

Réponse : Ajouter plus d’instances EC2 de même taille pour gérer une augmentation de trafic.
Explication : La scalabilité horizontale consiste à ajouter plusieurs instances similaires pour augmenter la capacité globale, contrairement à la scalabilité verticale.

Réponse : Amazon SQS.
Explication : Amazon SQS (Simple Queue Service) assure la transmission fiable des messages, même en cas de panne d’un composant applicatif.

Réponse : Dedicated Hosts.
Explication : Les Dedicated Hosts sont conçus pour la conformité logicielle et le BYOL, permettant la gestion des licences personnalisées.

Réponse : Implémenter l’élasticité.
Explication : L’élasticité permet d’ajuster automatiquement les ressources selon la demande, ce qui réduit les coûts.

Réponse : A) AWS WAF. AWS WAF (Web Application Firewall) protège les applications web contre les exploits courants, notamment l'injection SQL et les attaques XSS. Les règles peuvent être configurées pour inspecter les requêtes HTTP/S et bloquer les modèles malveillants correspondants, offrant une protection au niveau applicatif.

GuardDuty : service de détection de menaces managé qui utilise le machine learning pour analyser les événements de sécurité. Il examine CloudTrail, VPC Flow Logs et DNS logs sans configuration requise.

Réponse : AWS TCO Calculator.
Explication : Le TCO Calculator permet d’estimer et comparer le coût total de possession sur AWS versus sur site, sans être client AWS.

Réponse : Automatiser autant que possible. / Éliminer les points uniques de défaillance.
Explication : L’automatisation et l’élimination des SPOF sont des pratiques clés pour la robustesse et l’efficacité de l’architecture cloud.

Prompt engineering : c'est la technique qui contrôle directement le style, la longueur et la langue des réponses sans modifier le modèle. Une instruction explicite ("Réponds en 2 phrases, en français") guide la génération. À l'inverse, la température affecte la créativité (non la langue), Top-K modifie la diversité lexicale, et la taille du FM change le modèle entier.

Génération de code : Les modèles fondations spécialisés en code (CodeLlama, Claude) via Bedrock génèrent syntaxe valide et patterns idomatiques. Intégration dans IDE ou pipelines CI/CD pour productivité développeurs accrue.

Température et Few-shot : réduire la température (ex: 0.1 vs 1.0) diminue l'aléatoire dans les tokens générés, assurant des prédictions cohérentes. Les exemples few-shot calibrent le LLM sur le style d'étiquetage attendu. À l'inverse, augmenter Top-K introduit plus de variation, et ignorer les exemples perd l'alignement contextuel nécessaire pour la classification stable.

Guardrails for Amazon Bedrock : service de sécurité qui implémente des politiques de filtrage personnalisables pour les modèles d'IA. Il détecte et bloque le contenu toxique, les thèmes sensibles (violence, langage adulte) et applique des listes de blocage (deny lists). Cela protège les applications destinées aux enfants en garantissant que les réponses générées respectent les normes de sécurité définies par l'entreprise, indépendamment du modèle utilisé.

Decision Trees : modèles qui segmentent les données via des règles IF-THEN hiérarchiques et visuelles. Chaque nœud représente une décision, chaque branche un résultat, permettant de tracer exactement le chemin décisionnel emprunté. Contrairement aux Deep Neural Networks (boîtes noires), Random Forest (ensembles opaques) ou Logistic Regression (poids abstraits), les arbres offrent une interprétabilité native et intuitive sans post-hoc.

Average Response Time : métrique mesurant le délai moyen entre la requête et la réponse du modèle en production. Elle évalue directement la performance opérationnelle et l'expérience utilisateur. Contrairement au temps d'entraînement (phase offline) ou au CSAT (satisfaction subjective), elle quantifie précisément la rapidité d'exécution du modèle déployé.

Le watermarking (tatouage numérique) dans le contexte GenAI consiste à intégrer des signaux imperceptibles dans les contenus générés (texte, image, audio) pour identifier leur origine IA. Il répond au problème de la désinformation et des deepfakes — permettre à des tiers de vérifier si un contenu a été généré par une IA spécifique. Des organismes comme le NIST et des réglementations (EU AI Act) encouragent son adoption. Amazon Bedrock Guardrails inclut des options de watermarking de contenu généré.

Interprétabilité des arbres de décision : Les arbres de décision suivent un chemin linéaire de conditions (if-then) lisibles à chaque nœud, permettant de tracer exactement pourquoi une prédiction est faite. À l'inverse, les réseaux profonds (deep learning) fonctionnent comme des "boîtes noires" avec des milliers de paramètres non interprétables, rendant impossible d'expliquer chaque décision précisément.

AWS CloudTrail : service de journalisation centralisée qui enregistre tous les appels API AWS, y compris les requêtes Bedrock autorisées et non autorisées. Pour l'audit de sécurité, CloudTrail capture l'identité de l'appelant, l'horodatage et le statut de chaque requête, permettant de détecter les accès non autorisés. Audit Manager gère la conformité réglementaire, Fraud Detector détecte les fraudes transactionnelles, et Trusted Advisor optimise les coûts—aucun n'assure l'audit des appels API.

Apprentissage supervisé vs non supervisé : La classification supervisée nécessite des données étiquetées (labels) pour entraîner le modèle. Sans labels, on utilise l'apprentissage non supervisé comme le clustering (K-means, DBSCAN) pour découvrir des patterns cachés. C'est une distinction fondamentale en ML.

Scrum Team Attendance: The Sprint Retrospective requires the entire Scrum Team—Product Owner, Scrum Master, and Developers—to inspect and adapt their processes. All three roles bring essential perspectives: developers share technical insights, the PO provides business context, and the SM facilitates improvement. Stakeholders don't attend, keeping focus internal on team dynamics.

Answer: Teach them it is their responsibility to work with other teams to create an integrated Increment.
Explanation: The Scrum Master coaches teams on self-management and integration. Multiple teams must coordinate to produce a single, integrated Increment; this is a team responsibility, not the SM's job to coordinate for them.

Answer: Creates transparency at Sprint Review; guides Sprint Planning forecast; defines release readiness.
Explanation: The Definition of Done serves multiple purposes: it provides a transparent measure of completeness for inspection, guides capacity forecasting during planning, and defines when an Increment is potentially releasable.

Answer: Level of uncertainty over technology; risk of being disconnected from stakeholders.
Explanation: Shorter Sprints reduce risk by providing more frequent inspection and adaptation opportunities. Higher technical uncertainty or need for frequent stakeholder feedback both favor shorter Sprints.

Sprint as a Mini-Project: Each Sprint functions as a self-contained iteration with defined objectives (Sprint Goal), a structured plan (Sprint Backlog), and concrete deliverables (Increment). This time-boxed container mirrors project characteristics: fixed duration, clear outcomes, and measurable progress. Understanding Sprints as projects helps teams embrace iterative delivery and accountability.

Courage in Scrum: Scrum Team members have courage to do the right thing and work on tough problems. This means speaking up about impediments, challenging ineffective practices, and tackling complex issues rather than avoiding them. Courage enables psychological safety and trust within the team, unlike working long hours or individual bravery.

Product Owner's Sprint Role: The PO remains actively engaged throughout the Sprint, providing clarifications on requirements, refining backlog items based on team questions, and collaborating with Developers to ensure shared understanding. Unlike Sprint Planning where they present priorities, the PO's Sprint work is responsive and continuous. They don't manage the team (that's the Scrum Master's role) nor write code, but stay available to unblock work.

Empiricism's Three Pillars: Transparency (making work visible), Inspection (examining progress), and Adaptation (adjusting based on findings). These enable Scrum teams to respond to change through facts rather than assumptions, distinguishing empirical from predictive approaches.

Answer: When it makes sense to release it.
Explanation: The Scrum Guide does not mandate a release schedule. The Product Owner decides when to release an Increment based on business value, user needs, and market conditions — not on a fixed Sprint-by-Sprint basis.

Answer: The competencies and skills needed to deliver an Increment in a Sprint.
Explanation: Every Scrum Team must be cross-functional — collectively possessing all necessary skills to create value each Sprint without depending on external resources.

Product Goal commitment: The Product Goal is the overarching commitment associated with the Product Backlog, serving as the long-term objective that guides all backlog refinement and sprint planning. The Product Backlog exists to support the realization of the Product Goal, which describes a future state of the product and provides direction for the entire Scrum Team. Unlike the Sprint Goal (which is a shorter-term commitment for a single sprint) or Definition of Done (which is a quality standard), the Product Goal represents the persistent, strategic vision that evolves as the product develops and stakeholder needs change.

Why this answer is correct: In Scrum, the Product Owner is accountable for maximizing product value, which is measured through business outcomes like customer satisfaction, revenue impact, and market share—not merely output metrics. These outcomes reflect whether the product actually solves customer problems and delivers real business value.

Why the others are incorrect: Team velocity, number of features delivered, and Sprint completion rates are activity metrics that measure team output, not product success. A team can deliver many features quickly while failing to achieve meaningful business results or customer value, making these metrics poor indicators of true product success.

Answer: Feature flag / progressive release, A/B experiment, user interview.
Explanation: Empirical learning through experimentation and user feedback is central to validating product hypotheses.

Answer: The Sprint length is unchanged and the Scrum Team continuously learns and adapts.
Explanation: Sprints are never extended when work is incomplete. Unfinished items return to the Product Backlog. The team uses the Retrospective to understand why the Sprint was not completed and improve for next time.

Sprint Planning requires a clear enough Product Backlog for the Developers to create a Sprint forecast they are confident in. If top-ordered items are vague, poorly sized, or have unclear acceptance criteria, Developers cannot reliably commit to a Sprint Goal. The Scrum Master should help prevent this through regular refinement — but canceling Sprint Planning is not standard practice; instead, the team should refine in the moment or pick items that are sufficiently clear.

Key concept: Velocity versus Product Value. Velocity is a descriptive metric that measures the amount of work (story points or items) a Scrum Team completes in a Sprint—it reflects output or capacity, not the value delivered. Product value encompasses business outcomes, customer satisfaction, revenue impact, and strategic goal achievement. A team might have high velocity while delivering low-value features, or lower velocity while delivering high-impact work. As a PSPO, you must distinguish between team throughput (velocity) and actual value delivery when making backlog prioritization decisions and communicating with stakeholders about product success.

Answer: Product Backlog → Product Goal, Sprint Backlog → Sprint Goal, Increment → Definition of Done.
Explanation: Per the Scrum Guide 2020, each artifact has a corresponding commitment to enhance transparency and focus.

Key concept: Sprint Goal immutability. The Sprint Goal is established during Sprint Planning and remains fixed throughout the Sprint. While the Scrum Team may negotiate which Product Backlog items to include or remove (adjusting scope), the overarching objective—the Sprint Goal itself—cannot be changed. This distinction is crucial: flexibility applies to implementation details and tasks, not to the strategic direction. Allowing arbitrary Sprint Goal changes mid-Sprint would undermine team focus, commitment, and the ability to measure success. Only extraordinary circumstances warrant Sprint Goal revision, decided collaboratively with stakeholders, not as a routine adjustment. This principle enforces accountability and prevents scope creep disguised as objective refinement.

One for the entire product is correct because the Scrum Guide 2020 states that there is one Product Backlog per product, regardless of how many Scrum Teams are working on it. Multiple teams may work from the same Product Backlog, with the Product Owner responsible for ordering all items to maximize value across the entire product. Having separate backlogs per team, stakeholder group, or sprint would fragment the product vision and create conflicting priorities.

Le domaine Incertitude dans le PMBOK 7e édition : Ce domaine représente une évolution majeure par rapport aux éditions précédentes, passant d'une approche traditionnelle centrée uniquement sur les "risques négatifs" à une vision holistique de l'incertitude. L'incertitude englobe tous les événements ou conditions dont l'occurrence est imprévisible et qui peuvent affecter les objectifs du projet, qu'ils soient négatifs (menaces) ou positifs (opportunités). Cette approche reflète la réalité des projets modernes où les opportunités sont aussi importantes à gérer que les menaces. Par exemple, une avancée technologique inattendue peut créer une opportunité de réduire les délais, tout comme un fournisseur défaillant crée une menace. Les autres réponses sont incorrectes car : celle mentionnant "uniquement les menaces identifiées au démarrage" ignore les opportunités et limite la gestion des risques à une seule phase ; celle excluant les risques des parties prenantes externes contredit le principe d'inclusion totale de l'incertitude ; et celle se limitant aux risques techniques exclut les risques organisationnels, externes et autres dimensions critiques. Cette distinction est fondamentale pour l'examen PMP et la pratique professionnelle.

Rétrospective agile : moment structuré où l'équipe examine ses pratiques pour identifier améliorations, résoudre problèmes et renforcer collaboration. Ces trois bénéfices directs augmentent efficacité et maturité. Le budget n'augmente pas automatiquement ; c'est un distracteur sans lien causal avec les rétrospectives.

Planning Poker et estimation par Story Points : L'estimation agile par points de story suit un processus structuré appelé "Planning Poker" qui garantit une estimation collaborative et précise. Première étape - Présentation : Le Product Owner ou Scrum Master présente d'abord la user story au complet pour que tous les membres de l'équipe comprennent les objectifs généraux. Deuxième étape - Clarification des critères : Ensuite, on discute explicitement des critères d'acceptation qui définissent "done", permettant à chacun d'avoir la même compréhension de ce qui doit être livré. Troisième étape - Estimation individuelle : Chaque membre estime indépendamment en secret sur la suite de Fibonacci (1, 2, 3, 5, 8, 13...) sans influence des autres, réduisant les biais cognitifs et les effets d'ancrage. Quatrième étape - Révélation synchrone : Les estimations sont révélées simultanément pour éviter que les estimations antérieures ne biaisent les suivantes. Cinquième étape - Discussion et consensus : Les divergences importantes sont débattues (pourquoi quelqu'un a-t-il estimé 3 points tandis qu'un autre en estime

Réponse : Définir clairement les attentes et les livrables avec rapports périodiques. Cela permet au prestataire de travailler efficacement tout en gardant de la visibilité.

Rôle du Product Owner : Le Product Owner est responsable de la vision produit et maximise la valeur métier en gérant le backlog produit, en définissant les priorités et en clarifiant les exigences. Contrairement au Scrum Master (facilitateur des cérémonies), il n'assigne pas les tâches : c'est l'équipe auto-organisée qui s'engage. Il ne valide pas les estimations, mais collabore avec l'équipe pour affiner les user stories.

Estimation bottom-up : décomposition progressive des livrables en éléments élémentaires mesurables. Cette approche élimine les biais d'estimation globale en analysant chaque tâche en détail, d'où sa précision supérieure pour les projets complexes. Contrairement à l'analogique (subjective) ou paramétrique (données macro), elle révèle les vraies durées.

Diagramme de Pareto : outil statistique appliquant le principe 80/20 pour identifier les causes majeures générant 80% des problèmes. Utilisant les données collectées, il classe les défauts par fréquence décroissante. Contrairement au diagramme d'Ishikawa (analyse structurée des causes) ou aux graphiques temporels, Pareto priorise les actions correctives en ciblant les causes principales.

Concept clé : L'adaptation (Tailoring) des processus : selon le PMBOK 7e édition, l'adaptation est le processus de sélection, d'interprétation et de personnalisation des pratiques de gestion de projet en fonction des caractéristiques spécifiques du projet, de l'organisation et de l'environnement. C'est un principe fondamental qui reconnaît qu'aucun projet n'est identique et qu'une approche unique ne convient pas à tous les contextes. Pourquoi cette réponse est correcte : L'adaptation permet d'ajuster les pratiques les plus pertinentes pour maximiser la valeur du projet en tenant compte de facteurs tels que la taille du projet, le secteur d'activité, le niveau de complexité, les contraintes organisationnelles et les préférences des parties prenantes. Elle favorise l'équilibre entre la structure nécessaire et la flexibilité requise. Une équipe agile n'aura pas besoin des mêmes processus qu'un projet traditionnel en cascade ; une petite startup ne déploiera pas les mêmes pratiques de gouvernance qu'une grande entreprise. L'adaptation reconnaît la diversité des contextes et optimise l'efficacité opérationnelle. Distinction des autres options : La deuxième option confond adaptation et standardisation bureaucratique—l'

Analyse des causes racines : technique systématique pour identifier les origines profondes d'un problème, pas seulement ses symptômes. Elle utilise des outils comme les 5 Pourquoi (questionnement itératif) ou le diagramme d'Ishikawa (causes par catégories). Contrairement au Benchmarking (comparaison) ou à la simulation de Monte Carlo (analyse probabiliste), elle cible spécifiquement la compréhension des véritables causes.

Cette question correspond à l’objectif d’apprentissage FL-4.4.3 (K2) – Expliquer le test basé
sur des checklists.
● a) Faux → Une checklist ne garantit pas une couverture exhaustive.
● b) Correct → Les checklists servent à structurer le travail et éviter d’oublier des
éléments essentiels.
● c) Faux → Elles ne remplacent pas les tests exploratoires, mais peuvent être
complémentaires.
● d) Faux → Elles ne permettent pas d’automatiser entièrement le test

Cette question correspond à l’objectif d’apprentissage FL-5.1.3 (K2) – Comparer et opposer
les critères d’entrée et les critères de sortie dans les tests.

● a) Faux → Ces critères sont inversés : l’exigence approuvée est un critère d’entrée.
● b) Faux → L’environnement de test est un critère d’entrée, pas de sortie.
● c) Correct → La disponibilité des données est bien une condition préalable (entrée), et le taux d’échec peut être utilisé comme condition de sortie (ex. : “moins de 5 % d’échecs”).
● d) Faux → Développement et revues ne sont pas liés directement aux phases
d’entrée/sortie du test.

Cette question correspond à l’objectif d’apprentissage FL-4.2.3 (K3) - Utiliser les tests par tables de décisions pour dériver les cas de test.
● a) Faux → R4 : Possible – Un abonné Premium peut avoir accès anticipé aux films et recevoir un mois gratuit après 12 mois d’abonnement.
● b) Faux → R2 : Possible – Un abonné Premium ayant 12 mois d’abonnement actif reçoit un mois gratuit, sans contradiction.
● c) Faux → R6 : Possible – Cette règle concerne un non-abonné, il n’y a pas d’erreur.
● d) Correct → R8 : Impossible – Un non-abonné ne devrait pas recevoir un mois gratuit après 12 mois, car seuls les abonnés Premium y ont droit selon les règles
définies.

Cette question correspond à l’objectif FL-5.2.4 (K2) – Expliquer les mesures qui peuvent être prises en réponse à l\'analyse des risques produit.

La réponse correcte est a) 1B, 2D, 3A, 4C

● 1B) Correct →Risque de plantage dû à la charge → test de performance pour valider le comportement du système en situation de stress.

● 2D) Correct → Changement imposé par une source externe (nouvelle règle) → ce risque peut être transféré (ex. vers les juristes ou MOA).

● 3A) Correct → Une panne électrique peut être rare et incontrôlable → acceptation du risque si aucune action n’est envisageable en test.

4C) Correct → Mauvaise attribution de droits → peut être testé avecpartitionnement d’équivalence (groupes autorisés vs interdits).

Cette question correspond à l\'objectif d\'apprentissage FL-4.1.1 (K2) - Distinguer les  techniques de test boîte noire, boîte blanche et basées sur l\'expérience.
● a) Faux - Cette combinaison mélange des techniques basées sur l\'expérience (tests exploratoires) avec des techniques de test boîte noire (analyses de valeurs limites et tests par paires). Les tests par paires et les analyses de valeurs limites sont des
techniques systématiques basées sur les spécifications, pas sur l\'expérience.
● b) Correct - Cette combinaison contient uniquement des techniques basées sur l\'expérience :

○ Tests basés sur l\'intuition : utilisation de l\'expérience et de l\'intuition du testeur pour identifier les zones problématiques
○ Tests exploratoires : apprentissage, conception et exécution des tests simultanément
○ Tests basés sur les check-lists : utilisation de listes de contrôle développées à partir de l\'expérience pour guider les tests
● c) Faux - Cette combinaison contient principalement des techniques de test boîte blanche (tests de chemins et tests de couverture d\'instructions), avec une technique basée sur l\'expérience (tests basés sur les défauts). Les tests de structure interne sont clairement des techniques boîte blanche.
● d) Faux - Cette combinaison mélange des techniques de test boîte noire (partitionnement d\'équivalence), des techniques basées sur l\'expérience (tests basés sur les risques), et des techniques de test boîte blanche (tests de structure de
contrôle). Ce n\'est donc pas une liste de techniques uniquement basées sur
l\'expérience.

Cette question correspond à l’objectif d’apprentissage FL-5.5.1 (K3) – Préparer un rapport de défaut.

Les réponses correctes sont a) et b)
● a) Correct → La sévérité aide à prioriser la correction. Elle est essentielle dans un contexte bancaire.

● b) Correct → La version de l’application est critique pour reproduire et vérifier le défaut.

● c) Faux → Le testeur n’a pas besoin de savoir qui a codé : c’est un détail organisationnel, pas nécessaire dans le rapport.

● d) Faux → Le résultat attendu est bien présent

● e) Faux → Les références croisées sont utiles mais pas obligatoires, surtout si la
situation est bien décrite.

Cette question correspond à l’objectif d\'apprentissage FL-4.2.2 (K3) – Appliquer l’analyse des valeurs limites pour identifier les cas de test.
● a) Faux → 23 et 27 : limites extérieures uniquement
● b) Faux → 24 et 26 : limites valides, pas d’extérieures
● c) Correct → 23, 24, 26, 27 : couvre toutes les limites valides et invalides
● d) Faux → 22, 24, 26, 28 : trop éloigné des limites directes

Cette question correspond à l’objectif d’apprentissage FL-5.1.2 (K1) – Reconnaître la valeur ajoutée d’un testeur dans la planification des itérations et des releases.
● a) Faux → La réécriture des exigences n’est pas une responsabilité directe du testeur.
● b) Faux → Le testeur contribue à l’estimation de l’effort de test, pas à celle des sprints de développement.
● c) Faux → Le testeur ne choisit pas comment le code est développé.
● d) Correct → Le testeur apporte une perspective qualité dès le début : il aide à identifier les risques, à définir ce qui doit être testé en priorité.

Cette question correspond à l\'objectif d\'apprentissage FL-4.2.4 - Utiliser les tests de transition d\'état pour dériver les cas de test..

Analysons les transitions possibles à partir de l\'état \"En attente\" :
● Disponible : En attente → Réservé
● Non Disponible : En attente → En attente
● Changer Véhicule : En attente → En attente
● Annuler : En attente → Terminé

À partir de l\'état \"Réservé\" :
● Disponible : Réservé → Réservé
● Non Disponible : Réservé → En attente
● Changer Véhicule : Réservé → Réservé
● Payer : Réservé → Confirmé
● Annuler : Réservé → Terminé

À partir de l\'état \"Confirmé\" :
● Changer Véhicule : Confirmé → Réservé
● Annuler : Confirmé → Terminé
Maintenant, analysons le chemin de chaque option en partant de l\'état \"

En attente\" :
a) Non Disponible, Disponible, Changer Véhicule, Non Disponible, Annuler : En attente →En attente → Réservé → Réservé → En attente → Terminé Couvre 5 transitions mais aucune transition depuis Réservé vers Confirmé ou depuis Confirmé vers Terminé

b) Disponible, Changer Véhicule, Non Disponible, Disponible, Payer : En attente → Réservé → Réservé → En attente → Réservé → Confirmé. Couvre 5 transitions incluant l\'état
Confirmé

c) Disponible, Changer Véhicule, Disponible, Changer Véhicule, Non Disponible : En attente → Réservé → Réservé → Réservé → Réservé → En attente Couvre seulement 3
transitions uniques

d) Non Disponible, Annuler, Changer Véhicule, Disponible, Payer : En attente → En attente → Terminé → (impossible de continuer car Terminé est un état final) Séquence invalide après la deuxième transition

L\'option b) offre la meilleure couverture car elle couvre 5 transitions et atteint l\'état \"Confirmé\", qui n\'est pas couvert par les autres options valides.

Cette question correspond à l’objectif d’apprentissage FL-1.5.2 (K1) – Rappeler les avantages de l’approche intégrée.

● a) Faux → L’intégration réduit la séparation
● b) Correct → Une équipe intégrée = collaboration renforcée
● c) Faux → Le testeur reste essentiel même dans une équipe Agile
● d) Faux → La documentation existe, même si elle est plus légère

Chain of Custody: A documented record tracking evidence possession, handling, and transfer from collection through analysis. Maintains integrity and admissibility by proving evidence wasn't tampered with. While forensic imaging, evidence tagging, and data hashing support the process, chain of custody is the overarching procedure documenting the entire evidence lifecycle.

Answer: Modify the content of recurring training.
Explanation: Transitioning from remote to in-office work introduces new physical security threats (tailgating, shoulder surfing, printed document security). Updating recurring security awareness training to address in-office-specific risks is the most targeted and effective approach.

Honeypot: a decoy system mimicking production assets to attract attackers while isolating them from real infrastructure. This enables threat intelligence gathering and behavior analysis without operational impact. Unlike sandboxing (executes suspicious files safely), geofencing (location-based access), or Zero Trust (verification model), honeypots specifically function as monitored bait for identifying attacker tactics and techniques.

Risk Assessment: A systematic process of identifying, analyzing, and evaluating potential threats and vulnerabilities to organizational assets. This foundational activity enables prioritization of security controls by determining likelihood and impact. Unlike threat modeling (theoretical analysis), penetration testing (hands-on validation), or incident response (reactive management), risk assessment provides the strategic foundation for security planning.

Answer: An attacker is attempting to brute force jsmith's account.
Explanation: Multiple failed login attempts against the same account from the same or various IP addresses is characteristic of a brute force attack. The logs would show repeated authentication failures for jsmith within a short timeframe.

Network Segmentation: isolating legacy IoT devices into separate network zones restricts lateral movement of attacks. This is optimal for legacy systems because patching may be unavailable, replacement takes time, and insurance doesn't prevent breaches. Segmentation provides immediate containment without modifying vulnerable devices.

Brute-force attack: A systematic attempt to gain unauthorized access by trying multiple password combinations repeatedly until successful. Multiple failed login attempts logged sequentially indicate automated credential guessing. This differs from a forgotten password (single user error), privilege escalation (post-authentication exploitation), or failed audits (compliance checks), all leaving distinct log signatures.

Subject in Data Protection: The Subject is the individual to whom personal data refers—in this case, the customer whose information is being collected and processed. The marketing department handles the data, while the infrastructure team secures it, but the customer remains the data subject. This differs from the Owner (who controls data handling), Custodian (who physically secures it), and Processor (who processes it on behalf of others).

CVSS (Common Vulnerability Scoring System): A standardized numerical framework (0-10 scale) that quantitatively measures vulnerability severity based on exploitability, impact, and environmental factors. CVE identifies vulnerabilities by name, CIA describes security principles, and CERT is an organization—none provide quantitative scoring like CVSS does.

Least privilege means granting users, processes, and systems only the minimum permissions required to perform their specific function — nothing more. This limits the blast radius of a compromise: a hijacked account with minimal rights can cause limited damage. It applies to users (read-only access to files they only read), service accounts (no admin rights), and processes (restricted system calls). Separation of duties requires multiple people for sensitive tasks. Need-to-know restricts information access. Zero trust verifies every request regardless of location.

APIs natives d'Azure Cosmos DB : Cosmos DB supporte nativement 5 APIs : SQL Core, MongoDB, Cassandra, Gremlin et Table. MySQL n'en fait pas partie. Bien que Azure propose un service MySQL séparé (Azure Database for MySQL), Cosmos DB ne l'implémente pas. Les trois autres options (MongoDB, Cassandra, Gremlin) sont toutes supportées nativement par Cosmos DB pour différents modèles de données.

GRS (Geo-Redundant Storage) : option qui réplique vos données dans deux régions géographiquement distantes (région primaire + région secondaire distante de centaines de km). Cela protège contre les défaillances régionales majeures. À l'inverse, LRS reste local (une seule région) et ZRS se limite à une seule région avec distribution entre zones.

Réponse : UPDATE. Explication : Pour modifier une valeur existante dans une table de base de données, utilisez l'instruction DML UPDATE : UPDATE [tableau] SET [colonne] = [valeur] WHERE [condition]. INSERT ajoute de nouvelles lignes, SELECT lit les données, et DELETE supprime les lignes.

Base NoSQL orientée documents : stocke des données semi-structurées (JSON, XML) sans schéma fixe, idéale pour les structures variables comme les profils utilisateurs. Contrairement aux bases relationnelles (rigides avec clés étrangères), elle offre flexibilité. Différente du stockage multimédia (Blob Storage) et des transactions bancaires (bases ACID relationnelles obligatoires).

Azure Machine Learning : plateforme complète dédiée à la création, l'entraînement et le déploiement de modèles d'IA/ML. Elle offre des outils pour l'expérimentation et l'automatisation du machine learning. À ne pas confondre avec Azure Databricks (analytics distribuée), Azure Synapse (data warehouse) ou Azure Functions (exécution serverless de code).

Azure Stream Analytics : service spécialisé dans le traitement en temps réel de flux d'événements continus (IoT, logs, données financières). Contrairement à Data Lake Storage (stockage), Data Factory (orchestration ETL) ou Synapse Analytics (entrepôt de données), Stream Analytics ingère et analyse les données à la volée sans les persister d'abord, idéal pour alertes et décisions instantanées.

Un Data Engineer conçoit, construit et maintient les pipelines de données : ingestion, transformation, stockage et accès aux données. Il déploie et configure les services Azure Data (Azure Data Factory, Synapse, Databricks, ADLS Gen2). Il s'assure de la qualité, de la disponibilité et de la sécurité des données. Il est distinct du Data Scientist (qui construit des modèles ML) et du Data Analyst (qui crée des rapports et visualisations). Le Data Engineer produit les pipelines que les autres consomment.

La normalisation est le processus d'organisation des données relationnelles pour réduire la redondance et améliorer l'intégrité. Elle décompose les tables en formes normales (1NF, 2NF, 3NF, BCNF) : élimination des données dupliquées, chaque donnée stockée à un seul endroit. Problèmes résolus : anomalies d'insertion (impossibilité d'insérer sans données non pertinentes), anomalies de mise à jour (modifier la même valeur à plusieurs endroits), anomalies de suppression (perdre des informations importantes par cascade). La dénormalisation est parfois choisie pour les data warehouses OLAP (performance de lecture).

Réponse : Platform as a service (PaaS). Explication : Azure Database for PostgreSQL est une offre PaaS — Microsoft gère l'infrastructure sous-jacente, les mises à jour du système d'exploitation, les mises à jour du moteur de base de données et la haute disponibilité. Les clients gèrent uniquement leurs données et leurs applications, et non l'infrastructure du serveur.

Normalisation en base de données : processus d'organisation structurée des données en tables pour éliminer la redondance et garantir l'intégrité. Elle prévient les anomalies de données (insertions, mises à jour, suppressions), améliore la cohérence et facilite la maintenance. Contrairement aux idées reçues, elle n'accélère pas toutes les requêtes ni ne chiffre les données, elle les structure simplement de manière logique et fiable.

Réponse correcte : La Controlling Area est une unité organisationnelle qui peut englober un ou plusieurs Company Codes et constitue le cadre pour la comptabilité analytique interne (Controlling). Elle permet de regrouper les coûts et les performances indépendamment de la structure juridique/financière. Pourquoi les autres réponses sont incorrectes : La première option est fausse car la Controlling Area n'est pas identique au Company Code - elle peut le chevaucher ou en englober plusieurs. La troisième option confond avec le Plant, qui est une unité de production distincte. La quatrième option est incorrecte car la Controlling Area concerne la comptabilité de gestion interne, non la consolidation de groupe.

La création d'une réception de marchandises (GR) ou d'une sortie de stock déclenche automatiquement un document de comptabilité financière car ces mouvements modifient les stocks et les comptes de bilan. SAP enregistre immédiatement ces transactions dans le grand livre général. La création d'une commande d'achat, l'enregistrement d'un fournisseur et la libération d'une commande sont des étapes administratives qui ne génèrent pas de documents comptables, car elles ne représentent pas des mouvements physiques de marchandises affectant les actifs de l'entreprise.

Réponse : Code société. Explication : Un établissement permanent ayant ses propres exigences de reporting financier statutaire est représenté comme un code société distinct dans SAP. Cela fournit à l'entité juridique son propre bilan, compte de résultat et la capacité à produire des états financiers autonomes comme requis par la loi suisse.

Ordre correct clôture AA :

1. Vérifier les acquisitions et cessions de la période
2. Traiter les AUC et les règlements d'ordres
3. Exécuter l'amortissement (AFAB)
4. Contrôler l'Asset History Sheet (AS02/S_ALR)
5. Justifier les écarts et effectuer les corrections si nécessaire

Réponse : 30 = Devise du groupe ; 40 = Devise stable ; 10 = Devise du code société. Explication : Les types de devises SAP pour la configuration du grand livre incluent : 10 (devise du code société — devise locale), 30 (devise du groupe — pour le reporting consolidé) et 40 (devise stable — utilisée dans les pays à forte inflation pour la valorisation en devise stable).

Réponse correcte : La 'Variante de Période de Saisie' contrôle précisément quelles périodes comptables sont ouvertes ou fermées pour la saisie d'écritures dans chaque société. C'est un mécanisme de contrôle d'accès aux périodes qui permet de bloquer les saisies dans certaines périodes tout en gardant d'autres ouvertes pour les ajustements ou corrections. Pourquoi les autres réponses sont incorrectes : L'assignation d'une variante d'exercice fiscal à une société est le rôle de la 'Variante d'Exercice Fiscal', non de la Variante de Période de Saisie. La définition de la séquence des activités de clôture concerne le processus de clôture lui-même, non cette variante. Enfin, le lien entre la société et la zone de contrôle de gestion s'établit dans la configuration organisationnelle, indépendamment de la Variante de Période de Saisie.

Réponse : Écritures périodiques (accruals/deferrals) ; Valorisation de change ; Nettoyage GR/IR ; Lettrage automatique F.13 ; Revue des comptes et justification des variations.
Explication : Ces actions sécurisent l’exhaustivité et la fiabilité des états financiers.

Réponse correcte : L'Affectation de Compte dans SAP FI représente l'allocation des montants comptables à des objets de contrôle de gestion (centres de coûts, centres de profit, commandes internes), permettant un suivi analytique détaillé des dépenses. Cette réponse reflète le processus d'affectation des dimensions analytiques au document. Pourquoi les autres réponses sont incorrectes : L'affectation à un utilisateur concerne le flux d'approbation, la méthode de paiement concerne la gestion des fournisseurs, et la liaison à une commande d'achat est la traçabilité documentaire — aucune de ces actions ne constitue une véritable Affectation de Compte au sens SAP FI.

FBL3N est la transaction d'affichage détaillé des postes de compte grand livre. Elle affiche tous les postes individuels (écritures) enregistrés pour un compte spécifique, qu'ils soient ouverts ou rapprochés, permettant une analyse ligne par ligne. Les autres options sont incorrectes : la première décrit la transaction FS10N (soldes résumés), la troisième concerne les écritures de régularisation (transactions comme F.32), et la quatrième correspond à la maintenance des données principales (FD10N).

Réponse : Une cession peut être avec (vente) ou sans produit (mise au rebut) ; Impacte ACDOCA via écritures AA/GL ; Les cessions inter-sociétés utilisent des transactions dédiées.
Explication : Les cessions génèrent écritures de sortie/produit/perte ; interco suit des flux spécifiques.

Les femmes françaises obtiennent le droit de vote par l'ordonnance du 21 avril 1944 du Gouvernement provisoire de la République française (GPRF), signé par le général de Gaulle à Alger. Elles l'exercent pour la première fois lors des élections municipales d'avril 1945. La France fut l'un des derniers pays d'Europe occidentale à accorder ce droit, malgré les revendications suffragettes depuis le XIXe siècle. Simone de Beauvoir et d'autres intellectuelles avaient milité pour ce droit.

Le Conseil constitutionnel est la juridiction constitutionnelle française. Il contrôle la conformité des lois à la Constitution (avant promulgation sur saisine, ou après via la QPC — Question Prioritaire de Constitutionnalité depuis 2008). Il valide aussi les élections et référendums. Il est composé de 9 membres nommés pour 9 ans non renouvelables : 3 nommés par le Président de la République, 3 par le Président de l'Assemblée nationale, 3 par le Président du Sénat. Les anciens Présidents de la République en sont membres de droit à vie.

Fondateur de la Ve République : Charles de Gaulle, général et homme d'État, fonde la Ve République en 1958 lors d'une grave crise politique. Il en devient le premier président jusqu'en 1969. Chirac et Mitterrand, bien que présidents ultérieurs, arrivent après l'établissement de ce régime constitutionnel qui renforce les pouvoirs exécutifs.

La Première Guerre mondiale (1914-1918) : conflit majeur opposant principalement les Alliés (France, Royaume-Uni, États-Unis) à l'Allemagne et l'Autriche-Hongrie. Elle a transformé la France et marqué profondément ses institutions. À ne pas confondre avec la Seconde Guerre mondiale (1939-1945).

L'euro : monnaie officielle de 20 États membres de l'Union Européenne depuis 2002. Symbole d'intégration économique et politique européenne, l'euro facilite les échanges commerciaux et les voyages. Le franc français et la livre sterling sont des monnaies nationales (disparue ou non-euro), le dollar américain appartient aux États-Unis.

Continuité de la nationalité française : Le conjoint français doit avoir conservé sans interruption sa nationalité française pendant toute la durée de la vie commune. Cette exigence garantit une stabilité juridique et un engagement durable dans la communauté française. Si le conjoint avait perdu ou renoncé à sa nationalité à un moment quelconque, les conditions d'accélération de naturalisation ne s'appliqueraient plus, car elles supposent un lien de nationalité ininterrompu.

Le mandat présidentiel est de 5 ans (quinquennat) depuis la révision constitutionnelle de 2000 (référendum approuvé par 73% des votants). Avant, il était de 7 ans (septennat). La Constitution limite à 2 mandats consécutifs (article 6), mais sans limitation des mandats non consécutifs (de Gaulle et Mitterrand ont exercé deux mandats). Le Président est élu au suffrage universel direct depuis 1962 (révision initiée par de Gaulle, adoptée par référendum). L'élection se fait en 2 tours si aucun candidat n'obtient la majorité absolue au premier tour.

Organisation territoriale de la France : La France métropolitaine est divisée en 13 régions depuis la réforme de 2016, qui a fusionné certaines régions pour améliorer l'efficacité administrative. Les distracteurs (12, 18, 22) correspondent à d'anciens découpages ou à des comptages incluant les collectivités d'outre-mer.

Le Premier ministre est nommé par le Président de la République (article 8 de la Constitution), sans investiture parlementaire obligatoire, mais le Premier ministre doit disposer d'une majorité à l'Assemblée nationale pour gouverner. La cohabitation survient lorsque le Président et la majorité parlementaire sont de bords politiques opposés (ex. : Mitterrand-Chirac 1986-88, Chirac-Jospin 1997-2002). Dans ce cas, le Président est contraint de nommer un Premier ministre de la majorité adverse. La cohabitation crée un « pouvoir bicéphale » qui redéfinit l'équilibre exécutif prévu par la Ve République.

La Prise de la Bastille (14 juillet 1789) : cet événement symbolise le début de la Révolution française. La Bastille, forteresse-prison représentant l'absolutisme royal, est stormiée par le peuple parisien. Le 5 mai 1789 marque l'ouverture des États généraux (réunion consultative), et le 4 août 1789 correspond à l'abolition des privilèges féodaux. C'est le 14 juillet qui reste la date fondatrice, d'où son statut de fête nationale française.

Concept clé : Cadre réglementaire RGPD. Le RGPD est le règlement complet de protection des données de l'UE s'appliquant aux systèmes AI. Les testeurs doivent s'assurer que les systèmes AI sont conformes aux exigences du RGPD, incluant le consentement, la minimisation des données, la limitation de la finalité, ainsi que les droits des utilisateurs à l'accès et à la suppression de leurs données.

Réponse : protéger.
Explication : La pratique de gestion de la sécurité de l\'information a pour but de protéger les informations de l\'organisation contre les menaces, en assurant confidentialité, intégrité et disponibilité.

Réponse : Progresser par itérations avec des retours.
Explication : Le principe \'Progresser par itérations avec des retours\' recommande de diviser le travail en petites étapes gérables avec des boucles de feedback fréquentes pour s\'adapter et corriger rapidement.

Réponse : Maximiser le nombre de changements informatiques réussis en vérifiant que les risques sont correctement évalués.
Explication : Maximiser les changements informatiques réussis en évaluant correctement les risques est un objectif central de la gestion des services, que le centre de services contribue à atteindre en coordonnant les demandes.

Réponse : Le centre de services.
Explication : Le centre de services constitue le point de contact unique (SPOC) entre le fournisseur de services et les utilisateurs pour toutes les communications, demandes et incidents.

Réponse : Comprendre comment chaque élément contribue à la création de valeur.
Explication : Le principe \'Opter pour la simplicité\' demande de comprendre comment chaque élément contribue à la valeur, en éliminant ce qui n\'en apporte pas et en évitant la complexité inutile.

Réponse : Ajouter, modifier ou supprimer tout ce qui pourrait avoir un effet direct ou indirect sur les services.
Explication : En ITIL 4, un changement est l\'ajout, la modification ou la suppression de tout élément pouvant avoir un effet direct ou indirect sur les services, qu\'il soit matériel, logiciel ou organisationnel.

Réponse : La gestion des mises en production.
Explication : La gestion des mises en production a pour but de mettre à disposition des services et fonctionnalités nouveaux ou modifiés, en coordonnant le packaging et le déploiement des releases.

Réponse : Chaque activité de la chaîne de valeur contribue à la chaîne de valeur en transformant des entrées spécifiques en livrables.
Explication : Chaque activité de la chaîne de valeur transforme des entrées en livrables spécifiques. Les activités ne sont pas séquentielles mais s\'interconnectent selon les besoins pour créer de la valeur.

Réponse : les résultats.
Explication : Selon ITIL 4, un service est un moyen de co-créer de la valeur en facilitant les résultats que les clients souhaitent atteindre, sans qu\'ils aient à gérer les coûts et risques spécifiques.

Réponse : Une demande d\'un utilisateur concernant quelque chose qui fait partie intégrante de la fourniture normale des services.
Explication : La gestion des demandes de services prend en charge les demandes standard faisant partie de la fourniture normale des services, comme une réinitialisation de mot de passe ou la commande d\'un équipement.

Windows Autopatch est un service Microsoft qui automatise les mises à jour de Windows, Microsoft 365 Apps, Edge et Teams. Il requiert obligatoirement une licence Windows 10/11 Enterprise E3 ou E5 — incluse dans Microsoft 365 E3/E5 ou disponible séparément via Windows Enterprise E3/E5.

Microsoft 365 Business Premium ne contient pas de licence Windows Enterprise et ne donne pas accès à Autopatch. Intune seul permet la gestion des appareils mais n'active pas Autopatch. Windows Pro avec EMS E3 est insuffisant car Autopatch exige la version Enterprise, pas Pro.

• La section Token Usage :

  • Montre le nombre total de tokens AI utilisés par votre organisation sur une période donnée.

  • Permet de suivre l’utilisation et estimer les coûts liés à l’usage de Copilot.

• Les autres sections ne fournissent pas cette information :

  • User Engagement → suit l’activité des utilisateurs avec Copilot.

  • Prompt Library → contient les prompts enregistrés et réutilisables.

  • Security Insights → fournit des informations de sécurité et de conformité.

    🎯 À retenir pour l’examen MS-900 :

    • Token Usage = suivi de la consommation de tokens et des coûts Copilot

    • Les autres sections se concentrent sur activité utilisateur, sécurité ou prompts.

• Azure SQL Managed Instance :

  • Fournit une compatibilité quasi totale avec SQL Server (fonctionnalités, T-SQL, logins, agent SQL).

  • Permet de déplacer des bases SQL Server existantes vers le cloud avec très peu de modifications d’applications.

• Les autres options :

  • Azure SQL Database / Hyperscale → PaaS “single database” ou “scale-out”, certaines fonctionnalités SQL Server ne sont pas supportées, ce qui peut nécessiter des changements.

  • Azure Database for PostgreSQL → Base de données différente, non compatible SQL Server.

Le portail My Account permet aux utilisateurs de :

• Voir leurs informations personnelles et licences attribuées

• Gérer leurs méthodes d’authentification (MFA)

• Se déconnecter des sessions actives

• Gérer leurs appareils

⚠️ En revanche, attribuer des licences à d’autres utilisateurs est une tâche administrative réservée aux administrateurs via le centre d’administration Microsoft 365.

❌ Pourquoi les autres réponses sont incorrectes :

• A. Viewing license assignments → Oui, les utilisateurs peuvent voir les licences qui leur sont attribuées.

• B. Updating phone number for MFA → Oui, ils peuvent modifier leurs informations de sécurité.

• D. Signing out of all sessions → Oui, ils peuvent se déconnecter de toutes leurs sessions.

🎯 À retenir pour l’examen MS-900 :

• My Account = gestion personnelle du compte

• Attribution de licences = rôle administrateur uniquement

• PaaS fournit un environnement cloud prêt à l’emploi pour développer, exécuter et gérer des applications ou traitements, sans gérer l’infrastructure sous-jacente (VM, stockage, réseau).

• Dans ce scénario :

  • L’équipe peut créer et exécuter des jobs big-data

  • Tout l’environnement est géré par le fournisseur (ex. Azure Synapse Analytics, Azure Databricks)
    
    

    🎯 À retenir pour l’examen MS-900 :

    • PaaS = plateforme gérée pour créer et exécuter des applications ou jobs sans gérer l’infrastructure

    • IaaS = gérer l’infrastructure

    • SaaS = utiliser l’application

    • Hybrid = combinaison cloud et on-prem

• Privileged Identity Management (PIM) permet :

  • D’attribuer des rôles à durée limitée (ex : Intune Service Administrator)

  • De respecter le principe du moindre privilège, car le technicien n’a les droits élevés que pendant le dépannage

• Les autres options ne donnent pas un accès temporaire contrôlé :

  • Conditional Access → contrôle l’accès, pas la durée des droits

  • Defender for Endpoint → gère la sécurité des appareils, pas les permissions

  • Access Reviews / Global Reader permanent → donne un accès permanent, contraire au principe du moindre privilège

🎯 À retenir pour l’examen MS-900 :

• PIM = droits élevés temporaires pour dépannage ou administration

• Toujours attribuer des permissions limitées dans le temps, plutôt que permanentes, pour sécuriser les comptes administrateurs.

• Rédiger avec Copilot permet de :

  • Analyser le message précédent

  • Générer automatiquement un email de réponse ou de refus poli

  • Accélérer la rédaction tout en restant professionnel

• Les autres options n’impliquent pas Copilot :

  • Réponse rapide → simplement un raccourci pour répondre rapidement

  • Focused Inbox → organise les emails, ne rédige rien

  • Schedule Send → planifie l’envoi, ne crée pas de contenu

    🎯 À retenir pour l’examen MS-900 :

    • Copilot dans Outlook = générer des brouillons intelligents basés sur le contexte du message

    • Tout ce qui est filtre, calendrier ou planification n’utilise pas Copilot.

• Azure Virtual Desktop permet de configurer l’autoscaling des session host VMs selon la demande :

  • Réduire les VMs pendant les heures creuses

  • Augmenter automatiquement pendant les périodes de forte utilisation

• Les autres options ne fournissent pas d’autoscaling intégré :

  • B : Windows 365 Cloud PCs fournit des PC persistants, mais l’autoscaling n’est pas automatique.

  • C : Microsoft Endpoint Manager gère la configuration et les mises à jour, pas l’autoscaling.

  • D : Azure Automation peut automatiser des tâches, mais nécessite une configuration manuelle pour l’autoscaling.

• Proactive Remediations permet de :

  • Détecter les appareils affectés par un problème spécifique (via des scripts de détection)

  • Appliquer automatiquement des scripts de correction ou empêcher l’installation d’un pilote problématique

• Les autres options ne bloquent pas activement les mises à jour problématiques :

  • A : Startup Performance report analyse les temps de démarrage, pas les pilotes

  • C : Health Metrics fournit des scores de santé des appareils mais ne permet pas de remediation proactive

  • D : Recommended Actions exporte des suggestions, mais ne bloque rien automatiquement

• Les abonnements Microsoft 365 peuvent être renouvelés automatiquement avec des méthodes de paiement directes comme :

  • Carte de crédit

  • Prélèvement bancaire

  • PayPal

• La facturation par invoice (facture) nécessite un paiement manuel pour chaque période, donc le renouvellement automatique n’est pas possible.

• Microsoft Entra Internet Access (EIA) : solution SSE qui fournit :

  • Filtrage d’accès Internet

  • Protection contre les applications non approuvées

  • Application des politiques d’usage acceptable

• Intégration avec Microsoft Defender for Cloud Apps :

  • Permet de détecter et contrôler l’usage des applications SaaS

  • Active les politiques Conditional Access pour :

    • Bloquer les connexions à des applications non sanctionnées

    • Appliquer des restrictions ou des alertes pour les applications approuvées

  • Assure visibilité, contrôle et gouvernance centralisée

• C’est la meilleure pratique Microsoft SSE pour sécuriser l’accès SaaS et Internet.

• Azure AD / Entra PIM distingue :

  • Attribution de rôle : l’administrateur se voit attribuer un rôle (souvent par IT ou via JIT)

  • Activation de rôle : l’utilisateur active le rôle pour l’utiliser

• Exiger MFA sur l’activation de rôle :

  • Garantit que chaque activation est sécurisée par MFA, indépendamment de l’état de session existant

  • Respecte le principe du moindre privilège et de Zero Trust pour les rôles privilégiés

• Sécurité renforcée pour les comptes administratifs, même avec sessions existantes

L’organisation demande :

• Visibilité centralisée et monitoring sur tous les environnements

• Alertes automatisées pour les ressources non conformes

Dans le Cloud Adoption Framework (CAF) pour Azure :

• Le domaine Management se concentre sur la supervision opérationnelle, le monitoring, la collecte de logs et la configuration d’alertes automatisées.

• Bien que la conformité et les standards fassent partie de la gouvernance, cette exigence met l’accent sur la gestion opérationnelle et la surveillance continue.

✅ Donc, le domaine CAF approprié pour cette exigence est : Management.

• GitHub Advanced Security permet de :

  • Analyser automatiquement les dépendances dans les projets (npm, NuGet, Maven, etc.)

  • Identifier les vulnérabilités à haute gravité

  • Proposer ou appliquer automatiquement les mises à jour de sécurité via Dependabot

• Cette approche préventive empêche que du code vulnérable atteigne les environnements de production.

Azure Update Manager (anciennement Azure Automation Update Management) permet :

• La gestion centralisée des mises à jour pour :

  • Machines virtuelles Azure

  • Serveurs on-premises

  • Environnements multi-cloud (via Azure Arc)

• Le suivi de la conformité des correctifs

• La génération de rapports détaillés

• L’intégration avec Log Analytics pour :

  • Requêtes avancées

  • Tableaux de bord personnalisés

  • Export des données pour audit

👉 C’est une solution native conçue spécifiquement pour la gestion et le reporting des mises à jour dans des environnements hybrides.

Cela correspond exactement au besoin :
✔ Hybride
✔ État des patches
✔ Rapports audit-ready

• Fusion detection :

  • Fonctionnalité native de Sentinel pour corréler automatiquement les alertes provenant de différentes sources

  • Regroupe des alertes apparemment indépendantes mais liées à un même incident ou attaquant

  • Réduit le bruit (alert fatigue) et facilite le triage rapide par les analystes SOC

• Avantages :

  • Détecte des attaques avancées persistantes (APT) et chaînes d’attaques multi-sources

  • Crée des incidents uniques regroupant plusieurs alertes, plutôt que d’avoir des centaines d’alertes isolées

• Mailbox Intelligence : analyse le comportement des utilisateurs pour identifier des emails suspects envoyés ou reçus

• Spoof Intelligence : détecte les tentatives d’usurpation d’identité (spoofing), notamment des domaines ou adresses similaires aux comptes internes

• Ensemble, ils permettent à Defender for Office 365 de :

  • Bloquer ou marquer les emails imitant des comptes internes ou exécutifs

  • Réduire les risques d’account takeover via phishing ciblé

• Immutable vaults (coffres immuables) dans Azure Backup :

  • Empêchent toute modification ou suppression des points de récupération pendant une période définie

  • Garantissent la récupération fiable après ransomware ou suppression accidentelle

  • Permettent de fournir une preuve de conformité aux audits et metrics MCSB

• Complément :

  • MCSB (Microsoft Cloud Security Benchmark) recommande des backups immuables pour les données critiques, en particulier pour le secteur de la santé

• CAF DevSecOps recommande d’intégrer la sécurité et la conformité dès la phase de conception et de déploiement.

• Azure Blueprints permet de :

  • Appliquer des politiques et des contrôles RBAC cohérents sur plusieurs souscriptions

  • Garantir que toutes les ressources déployées respectent les standards internes et réglementaires

  • Automatiser la conformité dès la création de l’infrastructure (Infrastructure as Code)

• Cela offre une remédiation et un contrôle centralisé, ce qui répond directement aux exigences de gouvernance DevSecOps.

La bonne pratique est d'ajouter un tag réseau à l'instance puis de créer une règle de pare-feu ingress qui autorise UDP 636 sur ce tag. Simplement ajouter un tag sans règle de pare-feu n'ouvre aucun port. Les routes ne contrôlent pas les ports.

Google Cloud Directory Sync (GCDS) est l'outil officiel Google pour synchroniser automatiquement les utilisateurs et groupes depuis Active Directory (ou LDAP) vers Cloud Identity. Il maintient AD comme source de vérité et synchronise de façon continue.

Un Service LoadBalancer avec externalTrafficPolicy=Cluster expose l'application GKE via une IP externe, accessible depuis l'autre VPC. C'est la solution la plus simple : pas besoin de VPC peering, pas d'instance proxy intermédiaire.

Cloud Run (fully managed) est idéal pour les applications avec peu de trafic : il scale à zéro quand il n'y a pas de requêtes (aucun coût), facture uniquement les ressources utilisées, et ne nécessite pas de gestion de cluster. C'est la solution la moins chère pour ce cas.

Attribuer le rôle BigQuery User à un groupe Google permet à tous les membres d'exécuter des requêtes SQL directement sur BigQuery. C'est la bonne pratique : groupes pour la gestion facilitée, rôle minimal pour les requêtes.

La région d'une application App Engine est immuable après la création. Il n'est pas possible de changer la région d'une application existante ni d'avoir plusieurs applications App Engine dans le même projet. La seule solution est de créer un nouveau projet GCP.

La méthode recommandée pour l'authentification on-premises est d'utiliser gcloud pour créer un fichier de clé JSON pour le compte de service. Ce fichier est ensuite utilisé via la variable d'environnement GOOGLE_APPLICATION_CREDENTIALS pour l'authentification depuis l'application.

Ajouter un node pool GPU au cluster existant minimise les coûts (GPU uniquement pour l'équipe ML) et l'effort (pas de nouveau cluster). Le nodeSelector garantit que seuls les pods ML sont schedulés sur les noeuds GPU.

Quand le Cloud SDK est installé depuis le dépôt Ubuntu de Google (apt), les composants supplémentaires doivent être installés avec apt get install (pas gcloud components install). La commande correcte est : sudo apt-get install google-cloud-sdk-datastore-emulator.

Les deux méthodes efficaces sont : les quotas personnalisés (limitent les octets traités par utilisateur/projet) et le passage au modèle forfaitaire avec slots (coût fixe prévisible). Créer des copies multiples augmenterait les coûts de stockage.

The Scrum Master should facilitate a discussion with all three teams to collaboratively solve the shared resource challenge rather than managing schedules or reassigning people. This empowers the teams to self-organize solutions—whether shared Dan's time, pulling work differently, or hiring—while maintaining their autonomy and fostering ownership of the outcome.

All four options (0, 1, 2, 3) are correct. The Scrum Guide identifies that Scrum helps teams address: complexity and unpredictability of requirements (A), technology stability and complexity (B), team skills and relationships (C), and work timescale (D). Options E and F are not Scrum-addressed risks—governance structures and HR incentives fall outside Scrum's scope.

Options B and C correctly describe Sprint Goals. The Goal is collaboratively crafted during Sprint Planning and provides focus and flexibility for implementation. Goals can evolve with new insights but remain grounded in a stable business objective. Option A is false—Goals are defined during Planning, not at Sprint's end. Option D is misleading; while implementation approaches adapt, the Goal itself should remain stable unless the business objective changes.

The Development Team ignored a new member's ideas and viewpoints, violating three Scrum Values: Respect (valuing individuals), Openness (welcoming different perspectives), and Courage (creating psychological safety to speak up). Commitment and Focus relate to the team's dedication to work, not interpersonal inclusion. Transparency concerns information visibility, not team dynamics.

When multiple Scrum Teams work from a shared Product Backlog, coordination happens through self-organization and agreement, not top-down assignment. Teams should pull work in collaboration with the Product Owner and each other, respecting capacity and dependencies. The other options violate Scrum's emphasis on team self-organization and the Product Owner's authority over backlog ordering.

This statement is False. Scrum does not define a Project Manager role. The Scrum Master facilitates Scrum processes but is not a project manager. This distinction reflects Scrum's self-managing team model rather than traditional command-and-control management.

The three pillars of empiricism in Scrum are Transparency, Inspection, and Adaptation. These enable evidence-based decision-making in complex environments. Planning, Demonstration, and Retrospective are Sprint events; Respect For People and Kaizen come from Lean—not Scrum's foundational pillars.

The Daily Scrum is a timeboxed event essential for team synchronization, not optional. Options A and C are correct: Steven should coach the team on the Daily Scrum's purpose for self-organization and Sprint plan updates (A), and help them understand that reduced communication frequency increases disconnect (C). Options B and D are inappropriate—voting doesn't validate Scrum principles, and simply accepting the proposal abdicates the Scrum Master's coaching responsibility.

The Scrum Master should emphasize working software over velocity metrics (a Scrum principle) and facilitate discussion on quality improvement even if velocity decreases. High velocity without releasable Increments is a false metric; recognizing hard work without addressing quality enables dysfunction and contradicts the Definition of Done.

All three factors impact Sprint outcomes. The Scrum Guide emphasizes that Sprint results depend on team composition, skills, working relationships, technology complexity, and requirement clarity. These are interdependent variables that collectively determine what a team can accomplish in a given Sprint.

Réponse : Test de composant: test de décision; Test système: test de table de décision.
Explication : B est correct car il combine une technique structurelle à haute sensibilité au niveau composant (test de décision) avec une technique de spécification combinatoire axée sur les exigences au niveau système (test de table de décision), maximisant ainsi la détection des défauts logiques et des interactions complexes de règles métier.

Réponse : Un aperçu détaillé de l\'approche de test basée sur les risques utilisée pour assurer la réalisation des critères de sortie..
Explication : D est correct car les cadres supérieurs non-spécialistes ont besoin d\'informations concises et orientées résultats, non d\'une exposition détaillée opérationnelle de l\'approche basée sur les risques. Un rapport doit prioriser l\'état versus objectifs, risques clés et atténuations, tendances et actions managériales recommandées pour décisions efficaces.

Réponse : Pourcentage de couverture des exigences.
Explication : B est correct car le pourcentage de couverture des exigences quantifie directement l\'adéquation des tests par rapport à l\'objectif déclaré de valider que le système satisfait ses exigences. L\'efficacité du test dans un contexte piloté par les exigences repose sur la mesure objective de la complétude de la couverture des exigences et de la détection des non-conformités.

Réponse : Portabilité.
Explication : C est correct car la portabilité est un attribut non-fonctionnel de faible priorité pour un système de surveillance médicale critique pour la sécurité, normalement lié à des piles matériel/système d\'exploitation certifiées. La disponibilité, la sécurité et la fiabilité ont un impact direct sur le risque patient et les preuves réglementaires.

Réponse : 720.
Explication : Avec un taux de défaut constant et tous les retests réussis, le calcul du nombre de tests restants tient compte de la densité de défauts. Sur 800 tests initiaux avec 10% de défauts, 80 tests échouent. Après correction et retest réussi, 720 tests restent à exécuter pour atteindre la couverture complète.

Réponse : Les métriques enregistrées lors du test de l\'outil de capture-rejouer..
Explication : C est correct car les métriques mesurées de l\'outil de capture-rejouer fournissent les données empiriques directes (taux d\'exécution, temps de création et maintenance des scripts, taux de faux positifs/négatifs, surcharge de configuration/nettoyage) nécessaires pour convertir les tâches de test spécifiées en estimations temporelles fiables et réduire l\'incertitude.

Réponse : Une approche des tests de régression.
Explication : Le plan directeur de test est un document stratégique de haut niveau qui définit l\'approche globale, la portée, les objectifs et les risques. L\'approche des tests de régression est une décision stratégique appropriée à couvrir en détail, contrairement aux détails tactiques comme les valeurs limites ou l\'organisation des cas de test.

Réponse : Le pourcentage de couverture de décision atteint durant les tests unitaires. / La disponibilité de la dernière version de l\'outil d\'enregistrement-rejoue (pour tester l\'interface avec le nouvel outil de gestion des tests)..
Explication : Les critères d\'entrée sont des conditions préalables concrètes et vérifiables avant l\'exécution. La couverture de décision des tests unitaires (A) et la disponibilité des outils requis (B) sont des critères d\'entrée classiques, mesurables et directs pour l\'intégration.

Réponse : Les développeurs perdent le sens des responsabilités et les testeurs indépendants peuvent devenir un goulot d\'étranglement..
Explication : Le test indépendant sépare la vérification du développement, ce qui peut diminuer le sens de la responsabilité des développeurs tandis que la coordination des tests et le triage des incidents se concentrent dans une équipe distincte qui peut devenir un goulot d\'étranglement processus.

Réponse : Prévoir un environnement de test de secours en cas de défaillance de l\'environnement existant pendant les tests.
Explication : C est correct car prévoir un environnement de test de secours est une mesure d\'atténuation proactive et au niveau du projet qui réduit la probabilité et l\'impact d\'une défaillance d\'environnement. L\'atténuation des risques projet consiste en actions anticipées et délibérées réduisant l\'exposition aux menaces identifiées. Un environnement redondant est une mesure classique car une défaillance d\'environnement est un point de défaillance unique fréquent pouvant arrêter complètement les tests et augmenter les coûts.

A. Create a new "Focus" playlist with curated tracks and notify the user it's ready. Incorrect. This assumes intent and may do the wrong action, frustrating users. B. Ask one clarifying question about action type: play now or configure for later Correct. This minimizes friction while resolving ambiguity, enabling the assistant to take the right action quickly. C. Play popular focus tracks immediately and let the user redirect if needed Incorrect. Acts prematurely and may not match user intent. D. Start preference configuration by asking about genres, tempo, and artists Incorrect. Too heavy upfront--adds unnecessary friction before confirming intent.

A. Claude's memory retention is limited to two conversational turns by default, requiring explicit configuration to extend it. Incorrect. There is no fixed "two-turn memory limit" like this; context is determined by what the application sends, not a built-in short memory window. B. The prompt lacks instructions telling Claude to remember information across multiple exchanges. Incorrect. System prompts don't control memory persistence. The model does not "forget" within context unless information is missing from input. C. The verification tool is clearing the agent's internal state after each successful validation step. Incorrect. Tools do not automatically reset conversational context unless explicitly designed to do so--and that would be an application-level bug, not the most likely general cause. D. The conversation history isn't being passed in subsequent API requests. Correct. This is the most likely cause. The model is stateless, so if prior messages aren't included in each request, it behaves as if earlier verification steps never happened--leading to repeated questions like asking for the name again.

A. Immediately send an API request with the update as a synthetic user message, generating an unsolicited assistant response. Incorrect. This creates an unsolicited interruption, which can feel unnatural and confusing in an active conversation. B. Append the status update as a prefix to the next user message before calling the API. Incorrect. This pollutes the user message and mixes system state with user intent, which can lead to misinterpretation. C. Configure the assistant to call a get_order_status tool at the start of every response. Incorrect. This is inefficient and unnecessary, especially when you already have the update via webhook. D. Add the current shipping status to the system prompt before the next API call. Correct. This cleanly injects up-to-date system state into context, allowing the assistant to naturally incorporate it into the next response without disrupting the conversation flow.

A. Structured JSON consumes significantly fewer tokens than natural language, substantially reducing API costs. Incorrect. Token usage depends on the content; JSON is not inherently more compact than text and may sometimes use more tokens. B. The agent can reliably extract specific values without parsing free form text, reducing errors in subsequent operations. Correct. Structured output provides clear, predictable fields, making it easy for the agent to use the data accurately in downstream steps. C. Structured JSON is processed deterministically by the model, significantly improving accuracy when extracting values. Incorrect. The model is still probabilistic; JSON improves structure, but not deterministic processing. D. JSON schemas automatically validate that the underlying API returned correct data before the agent processes it. Incorrect. Schemas define structure, but they do not guarantee correctness of the actual data returned by the API.

A. Provide the subagent with tool definitions that allow it to request outputs from other subagents via callbacks. Incorrect. This introduces unnecessary coupling and complexity. Subagents shouldn't need to actively fetch data from others. B. Include the complete findings from both subagents directly in the synthesis subagent's prompt. Incorrect. While simple, this approach does not scale well for large outputs and can exceed context limits, reducing efficiency. C. Pass reference identifiers and configure the subagent with read access to a shared memory store where other subagents deposited their results. Correct. This is the most scalable and production-ready approach. It preserves information fidelity while avoiding context bloat, allowing the synthesis agent to retrieve exactly what it needs. D. Spawn the subagent with only a brief task description, relying on automatic context inheritance from the coordinator. Incorrect. There is no automatic context inheritance--without explicit data access, the synthesis agent cannot function properly.

A. Submit all documents to the Batch API with custom ids for tracking. When results arrive, immediately process urgent documents and trigger delayed alerts for exceptions. Incorrect. Batch processing introduces delays that can exceed the 30-minute requirement, making it unsuitable for urgent reports. B. Submit all documents to the real-time Messages API to ensure consistent processing latency across document types. Incorrect. This meets latency needs but is unnecessarily expensive for standard reports that don't require real-time processing. C. Queue all documents and submit hourly batches, flagging urgent documents for expedited handling when batch results return. Incorrect. Hourly batching further increases delay and cannot meet urgent processing requirements. D. Route standard reports to the Batch API for 50% cost savings, and route urgent exception reports to the real-time Messages API. Correct. This balances cost efficiency and latency requirements, ensuring urgent reports are processed quickly while optimizing cost for non-urgent ones.

A. Implement post-processing to detect and strip common greeting phrases from response beginnings Incorrect. This is a fragile fix and can accidentally remove useful or context-specific language. B. Add system prompt instructions specifying phrases to avoid, such as "Never begin responses with 'Certainly' or similar affirmations" Correct. This directly addresses the root cause by guiding generation behavior consistently across all turns. It prevents repetition before it happens, rather than cleaning it up afterward. C. Lower the temperature parameter to make response openings more deterministic and less variable Incorrect. Lower temperature reduces variability but often increases repetition patterns, not reduces them. D. Append a partial assistant message with a direct response opening that the model will continue from Incorrect. This can shape a single response style, but it does not reliably eliminate repetitive openings across an entire conversation.

A. Return an empty flight list as if the search succeeded but found no matching flights. Incorrect. This hides the failure and misleads the system into thinking no flights exist, which can lead to incorrect conclusions. B. Log the error internally and return an empty response, letting the model continue without the flight data. Incorrect. This still suppresses the failure signal, preventing the agent from taking corrective action. C. Return an error message in the tool result explaining the service is temporarily unavailable. Incorrect. While transparent, this alone doesn't attempt recovery and may degrade user experience unnecessarily. D. Automatically retry the request up to five times with exponential backoff before returning results to the agent. Correct. This is the most effective approach--handles transient failures gracefully, improves reliability, and only surfaces errors if retries fail.

A. Define a tool with your target schema as input parameters and have Claude call it with the extracted data. Correct. Tool use enforces strict schema compliance at generation time, ensuring valid, structured JSON that downstream systems can reliably consume. B. Pre-fill Claude's response with an opening brace to force JSON output, then complete and parse the response. Incorrect. This is a fragile workaround and does not guarantee valid or schema-compliant JSON. C. Append instructions like "Output only valid JSON matching the schema exactly" and implement retry logic to re-prompt when JSON parsing fails. Incorrect. Helpful but not reliable--models can still produce malformed or non-conformant JSON. D. Include detailed JSON formatting instructions and the target schema in your prompt, then parse Claude's text response as JSON. Incorrect. Prompt-based formatting alone cannot guarantee strict compliance, especially in edge cases.

A. Verify that 97% accuracy meets requirements for all downstream systems that consume the extracted data. Incorrect. Important, but it doesn't ensure the confidence signal is reliable across different cases--it only checks overall acceptability. B. Analyze accuracy by document type and field to verify high-confidence extractions perform consistently across all segments, not just in aggregate. Correct. Aggregate accuracy can hide weak spots. You need to ensure confidence >90% is trustworthy across all segments, otherwise automation may introduce systematic errors. C. Compare accuracy at different confidence thresholds (85%, 90%, 95%) to find the optimal cutoff that maximizes automation while minimizing errors. Incorrect. Useful for tuning, but only after confirming the confidence signal is consistent and reliable across segments. D. Run a two-week pilot routing 25% of high-confidence extractions directly to downstream systems and monitor error reports. Incorrect. A pilot is valuable, but deploying without validating segment-level reliability first introduces avoidable risk.