Fondamentaux de la sécurité des SI : gestion des risques, normes et solutions

Module 1 — Gestion des risques et objectifs de sécurité

• Définition du risque : potentialité, impact, gravité
• Types de risques : accident, erreur, malveillance
• Classification DIC : Disponibilité, Intégrité, Confidentialité
• Contre-mesures : prévention, protection, report de risque, externalisation

Module 2 — Rôle et missions du RSSI

• Responsabilités du Responsable Sécurité SI et organisation associée
• Rôle des Asset Owners et gestion des ressources allouées
• Positionnement du Risk Manager face au RSSI

Module 3 — Normes et réglementations

• Réglementations SOX, COSO, COBIT : périmètre et enjeux
• Gouvernance du SI : liens avec ITIL et CMMI
• Norme ISO 27001 et système de management de la sécurité de l'information
• Liens avec ISO 15408 (critères communs), ITSEC et TCSEC
• Bénéfices de la certification ISO 27001 pour les organisations

Module 4 — Analyse des risques informatiques

• Démarche d'identification et de classification des risques (opérationnels, physiques, logiques)
• Construction d'une base de connaissances des menaces et vulnérabilités
• Méthodes EBIOS et MEHARI : présentation et application
• Analyse des risques dans le cadre ISO 27001 et approche PDCA
• Du standard ISO 27005 au plan de traitement des risques

Module 5 — Démarche d'audit de sécurité

• Catégories d'audits : organisationnel, technique, test d'intrusion
• Bonnes pratiques de la norme ISO 19011 appliquées à la sécurité
• Création d'un programme d'audit interne et qualification des auditeurs
• Sensibilisation à la sécurité et charte d'utilisation des SI

Module 6 — Continuité d'activité et coût de la sécurité

• Plans de secours, de continuité et de reprise d'activité (PCA/PRA, RTO/RPO)
• Intégration de la continuité dans une démarche qualité
• Définition des budgets sécurité et calcul du ROSI
• TCO et méthodes d'évaluation des coûts

Module 7 — Solutions et architectures de sécurité

• Sélection des solutions adaptées à chaque contexte et définition d'une architecture cible
• Choix entre IDS et IPS ; contrôle de contenu
• Déploiement d'une infrastructure PKI et gestion des pièges courants
• Techniques d'authentification, SSO et fédération d'identité
• Intégration de la sécurité dans le cycle de vie des projets SI

Module 8 — Supervision de la sécurité

• Mise en place d'une démarche de surveillance des risques
• Indicateurs clés et tableaux de bord de sécurité
• Externalisation : avantages, limites et points de vigilance

Module 9 — Aspects juridiques

• Définition du Système de Traitement Automatique des Données (STAD)
• Types d'atteintes, contexte européen et loi LCEN
• Risques juridiques pour l'entreprise, ses dirigeants et le RSSI

Module 10 — Bonnes pratiques

• Protection des données à caractère personnel et sanctions applicables
• Encadrement de l'usage de la biométrie
• Cybersurveillance des collaborateurs : limites légales et droits des salariés