Une entreprise de services numériques a récemment renforcé sa politique de sécurité en imposant une longueur minimale de 8 caractères pour tous les mots de passe. L’équipe de cybersécurité souhaite vérifier si les utilisateurs suivent les recommandations de bonnes pratiques en matière de longueur de mots de passe.
D’après les études comportementales en cybersécurité, lorsqu’une politique impose un minimum de 8 caractères, la distribution des longueurs de mots de passe choisis par les utilisateurs suit généralement la répartition suivante :
| Longueur | Proportion théorique |
|---|---|
| 8 caractères | 35% |
| 9-11 caractères | 30% |
| 12-14 caractères | 20% |
| 15-19 caractères | 10% |
| 20 caractères ou plus | 5% |
Lors d’un audit de sécurité, l’équipe a analysé un échantillon de 200 mots de passe (anonymisés et hachés) stockés dans la base de données. Voici la répartition observée :
| Longueur | Effectif observé |
|---|---|
| 8 caractères | 85 |
| 9-11 caractères | 58 |
| 12-14 caractères | 32 |
| 15-19 caractères | 18 |
| 20 caractères ou plus | 7 |
| Total | 200 |
On souhaite tester, au seuil de signification \(\alpha = 5\%\), si la distribution observée des longueurs de mots de passe est conforme à la distribution théorique attendue.
Si les proportions théoriques étaient parfaitement respectées, combien de mots de passe de 8 caractères devrait-on observer dans l’échantillon ?
En raisonnant sur l’échantillon de taille \(200\), estimer à l’aide d’un intervalle de confiance à 95% la proportion \(p\) de mots de passe de 8 caractères dans la population des utilisateurs. La proportion théorique de 35% est-elle compatible avec cet intervalle ?
Effectuer un test au seuil de première espèce \(\alpha = 5\%\) de l’adéquation de la distribution de la longueur des mots de passe de l’échantillon avec la distribution théorique. Quelle conclusion l’équipe de cybersécurité doit-elle en tirer ?
Calculer la p-valeur du test. Quelle information supplémentaire apporte-t-elle par rapport au résultat de la question précédente ?