Comment éliminer les mauvaises réponses aux questions du CISSP

Deux options sur quatre s’écartent souvent dès la première lecture : un absolu, un terme inventé, ou une réponse qui relève d’une autre phase que celle demandée. La typologie qui suit est reconstituée à partir de 138 questions d’entraînement partagées par des candidats entre 2023 et 2026 et des justifications données pour écarter chaque option — des avis de candidats, jamais des corrections officielles d’ISC2, et aucun énoncé n’est reproduit ici.

Comment éliminer deux réponses en une seule lecture ?

En cherchant des défauts de forme avant de juger le fond. Trois signaux suffisent souvent à écarter la moitié des options, et aucun ne demande de connaissance approfondie du domaine.

Le premier est l’absolu. Une option qui contient all, always ou never est presque toujours fausse — les témoignages en font une règle d’élimination de premier tri. La raison est conceptuelle : la sécurité gère le risque, elle ne l’élimine pas. Toute option qui promet une garantie totale, une couverture exhaustive ou une interdiction sans exception heurte ce principe, et la plupart des affirmations universelles sur des systèmes réels se réfutent par un contre-exemple. Une question demandant les exigences minimales de protection d’un canal de communication élimine ainsi mécaniquement l’option qui propose de tout chiffrer sans distinction.

Deux précautions accompagnent cette règle. Elle sert à écarter vite, jamais à désigner la bonne réponse : une option absolue éliminée ne dit rien des trois autres. Et elle souffre des exceptions légitimes, que le témoignage des candidats signale lui-même — certaines obligations, notamment éthiques et légales, sont effectivement sans nuance, et une option qui les énonce en termes absolus est alors exacte.

Le deuxième est le terme qui n’existe pas. Le témoignage des candidats documente une option construite sur une expression très proche d’un principe fondamental mais introuvable dans le référentiel : elle sonne juste et n’est rattachée à rien.

Le troisième est la mauvaise phase. Une option qui décrit la notification quand la question porte sur le confinement, ou la réponse quand la question porte sur la détection, est correcte en soi et fausse ici. C’est d’ailleurs le seul usage du fameux mantra managérial que le témoignage des candidats valide encore :

« I coach my study group that "think like a manager" is a way to eliminate 2 out of the 4 answer choices. »

« J’enseigne à mon groupe de travail que "penser comme un manager" est une façon d’éliminer 2 réponses sur 4. »

Un quatrième signal s’auto-annule : appliquer un correctif éditeur à une vulnérabilité inconnue de l’éditeur, ou détecter par signature une attaque qui n’en a pas.

Quels sont les distracteurs les plus fréquents ?

Le témoignage des candidats fait apparaître une dizaine de familles récurrentes. Elles se reconnaissent vite une fois nommées.

Famille	Comment elle se présente	Comment l’écarter
Le terme inventé	Une expression proche d’un principe connu, absente du référentiel	Vérifier que le terme exact figure dans une source
L’absolu	all, always, never	Confronter à « minimum », « proportionné », « sans casser les délais »
La bonne pratique hors sujet	Une affirmation vraie qui ne traite pas le risque énoncé	Reformuler le risque et vérifier qu’elle y répond
La mauvaise phase	Détection quand on demande la réponse, rapport quand on demande le confinement	Nommer la phase avant de lire les options
Le hors-périmètre du rôle	Une action qui n’appartient pas au personnage de l’énoncé	Vérifier l’autorité réelle de la persona
Le critère violé	Techniquement supérieure, mais contraire à une contrainte écrite	Relire chaque critère explicite
Le réflexe de catégorie	« Politique d’abord », « vie humaine d’abord », « escalader »	Vérifier que la question demande ce niveau de décision
L’option impossible	Corriger l’incorrigeable, détecter l’indétectable	Tester la faisabilité dans le scénario écrit
Le doublon de catégorie	Deux contrôles du même type présentés comme complémentaires	Compter les catégories réellement distinctes
L’englobante creuse	Le but général au lieu du mécanisme demandé	Distinguer objectif et moyen

Une famille mérite un mot de plus, la plus élégante : le hors-périmètre du rôle. Une question place le répondant en position de professionnel de la sécurité face à une demande d’accès à un document classifié au-dessus du niveau du demandeur. Deux options sont techniquement réalisables — reclasser le document, élever le niveau d’accès — et toutes deux sont fausses, parce que ni l’une ni l’autre ne relève de ce rôle. Le distracteur ne teste pas le contrôle d’accès, il teste les responsabilités.

Comment repérer une option qui répond à une autre question ?

En reformulant la demande en une phrase courte, puis en confrontant chaque option à cette phrase seule. Les options qui répondent à côté sont souvent les plus séduisantes, parce qu’elles sont vraies.

Exemple limpide des témoignages, sur un envoi de données sensibles vers un partenaire externe : le risque écrit dans l’énoncé est l’interception pendant le transfert. Une option propose de renforcer la classification et l’étiquetage — excellente pratique, sans effet sur l’interception, et déjà acquise puisque l’énoncé qualifie les données de sensibles. Une autre propose de protéger le stockage : bonne réponse à une autre question. Une seule traite le transit.

Même piège sur le verbe. Une question qui demande comment éviter une exposition n’appelle pas les mêmes options qu’une question qui demande comment la réduire : la surveillance et la formation réduisent, seule la minimisation des données évite.

Le test rapide consiste à relire la dernière phrase de l’énoncé en y insérant l’option : si la phrase obtenue est vraie mais ne parle plus du problème posé, l’option est un distracteur.

Que faire quand deux réponses restent défendables ?

C’est la situation normale, pas l’exception. C’est aussi là que se joue le temps, puisque ces arbitrages consomment l’essentiel des minutes disponibles — voir la gestion du temps à l’examen.

Vérifier d’abord qu’aucun critère explicite n’est violé. C’est le départage le plus fiable et le plus souvent ignoré : coût le plus bas, exigence minimale, maintien des délais, absence de coûts récurrents. Une option supérieure sur le fond mais contraire à un critère écrit est fausse.

Appliquer ensuite deux tests de projection. Le premier est l’inversion : formulez l’option à la négative et demandez-vous si vous la retiendriez encore. Sur une question de sélection d’un site d’hébergement, inverser l’option « niveau de risque acceptable » suffit à montrer que ce critère commande tous les autres. Le second est l’exclusivité :

« Assume the other good answers will never be done — what if this is the only action taken? »

« Supposez que les autres bonnes réponses ne seront jamais mises en œuvre — et si celle-ci était la seule action entreprise ? »

Recourir enfin, et seulement enfin, aux départages hérités du raisonnement de gestion — hiérarchie des priorités, ordre personnes, processus, technologie — dont notre article sur le mindset manager donne la formulation complète et les fréquences relevées. Ces règles ne sont pas des vérités, ce sont des arbitres : elles ne s’activent que quand les deux options restantes satisfont également tous les critères de l’énoncé, ce qui est rare.

La réponse la plus englobante est-elle toujours la bonne ?

Non, et c’est le point le plus important de cet article. La règle circule dans le témoignage des candidats sous une forme séduisante :

« If answer A looks right but answer A is a step in Answer C, choose answer C. »

« Si la réponse A semble juste mais que A n’est qu’une étape de la réponse C, choisissez C. »

Elle fonctionne réellement dans un cas de figure précis : quand l’option large contient l’option étroite sans rien ajouter de faux. Le témoignage des candidats en donne un exemple sur les comptes de service, où l’option « retirer les droits inutiles » englobe l’option « désactiver la connexion interactive », cette dernière n’étant qu’un droit parmi d’autres.

Mais la même règle produit des erreurs dans au moins trois configurations, et elles sont documentées.

Elle échoue quand un seul mot de l’option large la rend fausse. Sur une question expliquant pourquoi une organisation attend avant de déployer des correctifs, l’option la plus englobante invoque la réduction de l’impact métier — un objectif qui contient tous les autres. Mais elle mentionne l’impact de l’installation, et attendre ne change rien à cet impact : la fenêtre de maintenance est la même. Ce qu’on gagne en attendant, c’est que les défauts du correctif soient découverts ailleurs.

Elle échoue quand la question demande un mécanisme et non un objectif : sur une question de réduction du risque lié aux logiciels téléchargés, l’option la plus générale est jugée correcte mais insuffisamment spécifique face à celle qui décrit le mécanisme d’évaluation attendu.

Elle échoue enfin quand l’option englobante décrit autre chose que ce qu’elle paraît décrire. Sur une question de définition de la gouvernance de sécurité, revenue trois fois dans les témoignages, l’option qui parle d’alignement sur les objectifs métier semble la plus large — et c’est justement celle que les corrigés écartent, parce qu’elle décrit un référentiel documenté.

Comment tester une option avant de la valider ?

Par une liste de contrôle courte, appliquée uniquement à l’option finaliste. Cinq vérifications suffisent, et chacune prend quelques secondes : chaque mot de l’option est-il exact, un seul terme faux suffisant à l’invalider ? L’option suppose-t-elle quelque chose d’absent de l’énoncé — budget, engagement de service, architecture implicite ? Relève-t-elle de l’autorité du personnage ? Respecte-t-elle tous les critères explicites, y compris le second, celui qu’on oublie ? Traite-t-elle le problème énoncé, et non un problème voisin ?

C’est l’exercice de révision que le témoignage des candidats recommande, et celui que Cybridia a systématisé : pour chacune de ses 4 298 questions, l’explication indique pourquoi chaque mauvaise réponse est fausse. Savoir énoncer les trois raisons d’écarter est le seul indicateur de progression que le témoignage des candidats valide — bien davantage qu’un pourcentage, dont notre repère sur les scores d’examens blancs rappelle le pouvoir prédictif limité. Le critère de choix d’un support découle directement de là : une banque qui n’explique pas ses corrigés ne sert à rien, et c’est la grille appliquée dans notre comparatif des ressources CISSP.

Pourquoi deux énoncés jumeaux peuvent-ils avoir des réponses opposées ?

Parce que le critère discriminant a changé, souvent d’un seul mot. Les candidats qui découvrent ces paires concluent d’abord à une incohérence des banques de questions ; c’est rarement le cas.

La paire la plus nette concerne la consommation de bande passante. Dans un premier scénario, la saturation survient en dehors des heures ouvrées, dans une entreprise de services, et le répondant est le responsable de la sécurité : la réponse attendue est une politique d’usage assortie de surveillance, parce que rien ne prouve encore quel trafic est en cause et qu’agrandir le tuyau récompenserait le gaspillage. Dans un second scénario, la saturation survient aux heures de pointe dans un établissement où l’interruption des systèmes touche la sécurité des personnes : la réponse attendue est l’augmentation de capacité. Deux critères discriminants différents — le moment et l’enjeu.

Une seconde paire, tirée du même chapitre d’un même ouvrage, oppose deux questions de contrôle d’accès physique. Dans l’une, un code confidentiel ajouté au badge est jugé insuffisant pour garantir l’identité du porteur, parce que la question demande explicitement la meilleure garantie d’identité. Dans l’autre, la même combinaison est retenue, parce que la question ajoute une contrainte d’absence de coûts récurrents qui élimine toute solution reposant sur du personnel. Les deux corrigés sont cohérents : seuls les critères diffèrent.

La leçon vaut conclusion. Le témoignage des candidats la formule sur un tout autre exemple — une question de gestion de flotte mobile où le réflexe managérial poussait vers une solution d’administration des terminaux qui, en elle-même, ne chiffre rien :

« Why are you "thinking like a manager"? Just. Answer. The. Question. »

« Pourquoi êtes-vous en train de "penser comme un manager" ? Répondez. Simplement. À. La. Question. »

D’où la consigne finale : traiter chaque question dans son propre vide, sans chercher de cohérence avec la précédente. Pour la lecture de l’énoncé qui précède cette élimination, voir la méthode de réponse ; et quand ce sont les corrigés eux-mêmes qui divergent, voir l’arbitrage entre banques de questions.