Formation Cybersécurité : synthèse et état de l'art, de la gouvernance des risques aux solutions techniques.

Programme de formation Cybersécurité : synthèse et état de l'art, de la gouvernance des risques aux solutions techniques.

Menaces, cybercriminalité et enjeux de sécurité

– Panorama de la menace : motivations et professionnalisation des attaquants (cybercriminalité, hacktivisme, espionnage, États)
– Typologie des attaques : ransomware, APT, phishing et spear phishing, déni de service, fraude
– Anatomie d’une cyberattaque : la Kill Chain, vulnérabilités, failles 0day et kits d’exploitation
– Tendances et statistiques : évolution des incidents, surface d’attaque (Cloud, mobilité, supply chain)
– Sources de veille et d’information : ANSSI, CERT, CLUSIF, ENISA

**Exemples d’activités pratiques :**

– Décryptage d’une attaque par ransomware récente, étape par étape
– Construction d’une cartographie des menaces pesant sur une organisation type

Gouvernance et organisation de la sécurité

– Enjeux DICP (Disponibilité, Intégrité, Confidentialité, Preuve) et alignement avec les enjeux métiers
– Rôle et responsabilités du RSSI/CISO, relation avec la DSI et la direction générale
– La task force SSI : profils et compétences (architectes, auditeurs, pen-testeurs, superviseurs, risk managers)
– Implication de la direction et rôle des « asset owners »
– Modèle de maturité de la sécurité et structuration d’une politique de sécurité (PSSI)

**Exemples d’activités pratiques :**

– Cartographie des acteurs et des responsabilités sécurité d’une organisation
– Auto-évaluation du niveau de maturité SSI

Analyse et maîtrise des risques

– Notions clés : actif, vulnérabilité, menace, impact, risque résiduel
– Cartographie des risques : appréciation par gravité × vraisemblance, niveaux et traitement
– Normes de gestion des risques : ISO 31000, ISO 27005
– Méthodes d’analyse : EBIOS Risk Manager (approche FR/ANSSI), aperçu NIST
– Du plan de traitement à la décision : acceptation, réduction, transfert, évitement

**Exemples d’activités pratiques :**

– Atelier d’appréciation des risques sur un cas métier (cartographie gravité/vraisemblance)
– Élaboration d’un plan de traitement priorisé

Normes, référentiels et cadre juridique

– La série ISO 2700x : SMSI et démarche d’amélioration continue (PDCA), ISO 27001 et bonnes pratiques ISO 27002
– Règles d’hygiène et recommandations de l’ANSSI, référentiels métiers (ex. PCI DSS)
– Protection des données personnelles : RGPD, rôle de la CNIL, sanctions
– Cadre réglementaire européen : directive NIS2 (élargissement des entités concernées), règlement DORA (résilience du secteur financier), Loi de Programmation Militaire
– Responsabilités juridiques : entreprise, dirigeants, RSSI ; charte de sécurité et cybersurveillance des salariés

**Exemples d’activités pratiques :**

– Positionnement d’une organisation vis-à-vis des obligations NIS2 / RGPD
– Revue des clauses de sécurité d’une charte informatique

Panorama des solutions techniques de sécurité

– Défense en profondeur : protection logique et physique, cloisonnement, DMZ
– Filtrage et protection réseau : firewall (UTM, NG), IPS, sécurisation du Cloud (responsabilité partagée, CASB)
– Cryptographie appliquée : chiffrement symétrique/asymétrique, fonctions de hachage, infrastructures à clés publiques (PKI)
– Authentification et habilitation : MFA, authentification forte (FIDO, OTP), gestion des identités et des accès (IAM, SSO)
– Sécurisation des flux : TLS, IPsec, VPN, SSH
– Sécurité des endpoints et des applications : durcissement des postes et serveurs, mobilité (MDM), risques OWASP, pare-feu applicatif (WAF)

**Exemples d’activités pratiques :**

– Lecture critique d’une architecture réseau sécurisée (identification des défauts de cloisonnement)
– Atelier : choisir les mécanismes d’authentification adaptés à différents cas d’usage

Supervision, audits et réaction aux incidents

– Audits de sécurité : audit organisationnel, audit de configuration, tests d’intrusion (black/grey/white box), bug bounty
– Détection et supervision : indicateurs et tableaux de bord, journalisation, SIEM, SOC (et SOC 2.0 : EDR, UEBA, SOAR)
– Réponse à incident : organisation, CERT, forensics, référentiels ISO 27035 et NIST SP 800-61
– Continuité d’activité : PCA/PRA, RTO/RPO, gestion de crise cyber
– Sensibilisation et facteur humain : programmes de sensibilisation, serious games, charte

**Exemples d’activités pratiques :**

– Simulation de gestion d’un incident de sécurité (de la détection à la communication)
– Construction d’un tableau de bord d’indicateurs de sécurité