Sécurité des SI, vue d'ensemble : gouvernance, risques, conformité et solutions techniques

Module 1 — Fondamentaux de la sécurité du SI

• Définition des actifs (processus, informations, supports informatiques)
• Classification DICT/P : Disponibilité, Intégrité, Confidentialité, Traçabilité/Preuve
• Risque SSI : vulnérabilités, menaces, types (accident, erreur, malveillance)
• Émergence du cyber-risque, APT et préparation à une cybercrise
• Sources d'information de référence : CCB/CERT.be, CLUSIF, ENISA…

Module 2 — La task force SSI : profils et organisation

• Rôle et responsabilités du RSSI/CISO ; relation avec la DSI
• Organisation structurée de la sécurité et identification des compétences
• Rôle des Asset Owners et implication de la direction
• Profils clés : architecte, intégrateur, auditeur, pen-testeur, superviseur, risk manager
• Constituer une équipe réactive aux évolutions du cyberespace

Module 3 — Cadres normatifs et réglementaires

• Exigences métiers, légales et contractuelles ; approche par la conformité
• PCI DSS pour la protection des données sensibles
• Directive NIS et Loi de Programmation Militaire (LPM)
• Les 4 axes de la cybersécurité (CCB/ANSSI) : Gouvernance, Protection, Défense, Résilience
• ISO 27001 (SMSI/PDCA), ISO 27002 (bonnes pratiques) et plan d'assurance sécurité

Module 4 — Processus d'analyse des risques

• Intégration de l'analyse des risques à la gouvernance de la sécurité
• Identification et classification des risques (accidentels et cyberrisques)
• ISO 31000 et ISO 27005 ; lien avec le SMSI ISO 27001
• Méthodes de référence : EBIOS RM (FR) et NIST (US)
• Du plan d'appréciation au plan de traitement des risques

Module 5 — Audits de sécurité et sensibilisation

• Catégories d'audits : organisationnel, technique, test d'intrusion
• Bonnes pratiques ISO 19011 et qualification des auditeurs (label PASSI)
• Formats de sensibilisation : présentiel, distanciel, serious game, e-learning
• Charte de sécurité : existence légale, contenu et sanctions

Module 6 — Coût de la sécurité et plans de continuité

• Budgets sécurité, ROSI et TCO
• Stratégie de couverture des risques et de continuité d'activité
• Plans de secours, de continuité et de reprise (PCA/PRA, RTO/RPO)
• Intégration du plan de continuité dans la démarche sécurité globale

Module 7 — Conception des solutions techniques

• Protection logique et physique ; défense en profondeur
• Trois grands axes : réseaux, données, logiciels
• Cloisonnement réseau : firewalls applicatifs et réseaux
• Chiffrement des données au repos et en transit
• Durcissement logiciel et gestion des vulnérabilités (CVE/CVSS)

Module 8 — Supervision de la sécurité

• Indicateurs opérationnels de gouvernance et tableau de bord cyber ISO-compliant
• Détection des incidents : IDS et outils associés
• Traitement des alertes, cyber forensics et rôle des CERT

Module 9 — Aspects juridiques liés aux SI

• Définition du Système de Traitement Automatique des Données (STAD)
• Types d'atteintes, contexte européen, loi LCEN et règlement RGPD
• Risques juridiques pour l'entreprise, ses dirigeants et le RSSI

Module 10 — Recommandations pour une sécurisation conforme

• Protection des données à caractère personnel et sanctions applicables
• Encadrement de l'usage de la biométrie
• Cybersurveillance des collaborateurs : limites légales et droits des salariés