But du cours
Maîtriser les démarches de gestion des risques, de réponse aux incidents et de mise en conformité réglementaire d'un système d'information. À travers une approche à la fois méthodologique et pratique, les étudiants apprendront à identifier et qualifier les risques cyber, à piloter la réponse à un incident de sécurité, et à mettre en œuvre les exigences des référentiels et réglementations en vigueur (RGPD, NIS2, ISO 27001).
Acquis d'apprentissage visés
- Réaliser une analyse de risque complète en s’appuyant sur une méthodologie reconnue (EBIOS Risk Manager, ISO 27005) et le cadre réglementaire applicable
- Concevoir et mettre en œuvre des mécanismes de protection des données, du réseau et du cloud conformément aux exigences de sécurité identifiées
- Définir et appliquer une politique de sécurité du système d’information (PSSI) adaptée aux risques et aux contraintes de l’organisation
- Piloter la détection, l’analyse et la réponse à un incident de sécurité en s’appuyant sur des outils de corrélation (SIEM) et des procédures formalisées
- Identifier les obligations légales et réglementaires applicables (RGPD, NIS2, LPM) et en déduire les mesures de conformité à mettre en place
- Rédiger les documents techniques et organisationnels associés (PSSI, plan de réponse aux incidents, rapport d’analyse de risque) en français et en anglais
Prérequis
- SEC502 - Cybersécurité : Principes, Pratiques et Menaces : modèles CIA, classification des menaces, introduction aux politiques de sécurité.
- SEC602 - Cryptographie et applications : chiffrement, PKI, TLS/SSL — bases des mécanismes de protection des données exigés par les référentiels.
- SEC701 - Architecture et Infrastructure Sécurisées : conception d’architectures sécurisées, firewalls, DMZ — contexte technique des analyses de risque.
- SEC702 - Cybersécurité : Méthodologies de Sécurité Offensive : connaissance des techniques d’attaque et des vulnérabilités — indispensable pour évaluer la vraisemblance des risques.
- SEC801 - Exfiltration, Évasion et Malwares : analyse de malwares, IoC, techniques d’évasion — nécessaires pour qualifier et traiter les incidents de sécurité.
- SYSRES 501 - Principes des réseaux et de l’IoT : protocoles réseau, adressage — base pour comprendre les périmètres et la cartographie du SI.
- Compétences transversales attendues :
- Capacité à rédiger des documents techniques et organisationnels structurés
- Lecture et compréhension de normes et de textes réglementaires en français et en anglais
- Sens de l’analyse et de la synthèse pour la modélisation des risques
- Notions de gestion de projet et de travail en équipe
Programme
- Introduction à la gestion des risques cyber : concepts fondamentaux (menace, vulnérabilité, impact, vraisemblance), cycle de vie du risque, articulation risque / politique de sécurité.
- Méthodologies d’analyse de risque : EBIOS Risk Manager (ANSSI), ISO/IEC 27005, comparaison avec MEHARI et OCTAVE ; ateliers de modélisation des risques.
- Politique de sécurité du système d’information (PSSI) : élaboration, gouvernance, indicateurs de suivi, intégration dans la stratégie de l’entreprise.
- Cadre réglementaire et normatif : RGPD (obligations, rôle du DPO, notifications de violations), directive NIS2, Loi de Programmation Militaire (LPM), ISO/IEC 27001 et 27002.
- Gestion des incidents de sécurité : cycle de vie d’un incident (détection, confinement, éradication, rétablissement), procédures de réponse, rôle du SOC et du CERT.
- Continuité d’activité et résilience : Plan de Continuité d’Activité (PCA), Plan de Reprise d’Activité (PRA), tests et exercices de crise (tabletop exercises).
- Audit et conformité : audit interne de sécurité, référentiels ANSSI (SecNumCloud, visa de sécurité), mise en œuvre d’un SMSI selon ISO 27001.
- Rédaction des livrables : rapport d’analyse de risque, PSSI, fiche de notification d’incident CNIL/ANSSI, plan de traitement des risques.
Modalités d'évaluation
Contrôles continus et travaux pratiques évalués.
Bibliographie
- Laurent Bloch & Christophe Wolfhugel - Sécurité informatique — Principes et méthodes - Eyrolles, 3^(e) éd., 2013
- Solange Ghernaouti - Sécurité informatique et réseaux - Éditions Dunod
- Alexandre Fernandez-Toro - Management de la sécurité de l’information — Implémentation ISO 27001 - Eyrolles, 2012
- ANSSI - La méthode EBIOS Risk Manager : <https://www.ssi.gouv.fr/guide/ebios-risk-manager/>
- ANSSI - Référentiel d’exigences pour les OIV/OSE : <https://www.ssi.gouv.fr>
- ISO/IEC 27001:2022 - Systèmes de management de la sécurité de l’information
- ISO/IEC 27005:2022 - Gestion des risques liés à la sécurité de l’information
- CNIL - Guide RGPD pour les développeurs et les DPO : <https://www.cnil.fr/fr/rgpd-de-quoi-parle-t-on>
- NIST SP 800-61 - Computer Security Incident Handling Guide : <https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final>
- MITRE ATT&CK - Matrice des tactiques et techniques : <https://attack.mitre.org>
Supports
Diaporamas, fiches de travaux dirigés et de travaux pratiques.