Description

Ce cycle vous apportera toutes les connaissances nécessaires à la définition et la mise en oeuvre de la politique de sécurité de l'entreprise. Vous apprendrez à répondre aux impératifs de sécurité dans les communications IT et l'architecture du système d'information. Ce cycle traitera aussi des normes ISO relatives à ce domaine, avec un focus particulier sur l'analyse de risques et la mise en place d'un plan de secours et de continuité.

À qui s'adresse cette formation ?

Pour qui ?

Ingénieurs, experts, consultants en informatique.

Prérequis

Bonnes connaissances en systèmes et réseaux informatiques.

Les objectifs de la formation

Connaître les différents domaines de la sécurité SI
Faire une analyse des risques de sécurité
Sécuriser le réseau et les applications
Définir un plan de secours et de continuité

Programme de la formation

• La sécurité des systèmes d'information
  • La notion et les types de risque (potentialité, impact, accident, erreur, malveillance).
  • La classification DIC.
  • La gestion du risque (prévention, protection, report de risque, externalisation).
  • RSSI, chef d'orchestre de la sécurité.
  • Rôle et responsabilité.
  • Les cadres normatifs et réglementaires.
  • Vers la gouvernance informatique, les liens avec ITIL et CMMI.
  • La norme ISO dans une démarche Systèmes de management.
  • La certification ISO 27001.
  • L'analyse de risque.
  • Comment constituer sa propre base de connaissances menaces/vulnérabilités ? Les méthodes en activité : EBIOS/FEROS, MEHARI.
  • Les audits de sécurité.
  • Les bonnes pratiques de la norme 19011 appliquées à la sécurité.
• Sensibilisation et communication
  • Mettre en place un plan de sensibilisation et de communication.
  • La charte de sécurité, son existence légale, son contenu, sa validation.
  • Couverture des risques.
  • Plans de secours, de continuité, de reprise et de gestion de crise.
  • Concevoir des solutions optimales.
  • Démarche pour les solutions de sécurisation adaptées pour chaque action.
  • Définition d'une architecture cible.
  • Choisir entre IDS et IPS, le contrôle de contenu comme nécessité.
  • Déployer un projet PKI, les pièges à éviter.
  • Les techniques d'authentification, SSO, fédération d'identité.
  • Les principes juridiques applicables au SI.
  • La responsabilité civile délictuelle et contractuelle.
  • Recommandations pour une sécurisation légale du SI.
  • La cybersurveillance des salariés, limites et contraintes légales.
• La sécurité des réseaux et de l'Internet
  • Evolution de la cybercriminalité. Nouveaux usages (Web 2.0, virtualisation, Cloud Computing...) et risques associés.
  • - Outils et méthodes d'intrusion par TCP-IP. Les attaques applicatives (DNS, HTTP, SMTP, etc.).
  • - Sécurité des postes clients. Les menaces : backdoor, virus, rootkit... Le rôle du firewall personnel et ses limites.
  • - Sécurité du sans-fil (Wi-Fi et Bluetooth). Attaques spécifiques (Wardriving, failles WEP et EAP).
  • - Technologie firewall et proxy. Evolution de l'offre Firewall (appliance, VPN, IPS, UTM...).
  • - Techniques cryptographiques. Algorithmes à clé publique : Diffie Hellman, RSA... Scellement et signature électronique.
  • - Sécurité pour l'Intranet/Extranet. Les attaques sur SSL/TLS (sslstrip, sslnif...). Annuaire LDAP et sécurité. - Réseaux Privés Virtuels (VPN). IPSec. Les modes AH et ESP, IKE et la gestion des clés.
• La sécurité des applications et la supervision
  • Les principales techniques d'attaque des applications (buffer overflow, XSS, SQL Injection, vol de session).
  • Le processus SDL (Security Development Lifecycle).
  • Utilisation de la technique de "fuzzing".
  • Les outils de revue de code orientés sécurité.
  • Le Firewall applicatif (WAF).
  • Hardening et vérification d'intégrité.
  • Gestion et supervision active de la sécurité.
  • Les tableaux de bord Sécurité.
  • La norme ISO 27004.
  • Les missions du RSSI dans le suivi de la sécurité.
  • Les audits de sécurité (techniques ou organisationnels).
  • Les tests de vulnérabilité ou tests d'intrusion.
  • Les outils Sondes IDS, Scanner VDS, Firewall IPS.
  • Consigner les preuves et riposter efficacement.
  • Se tenir informé des nouvelles vulnérabilités.
  • Gérer les mises à niveaux.
  • Savoir réagir en cas d'incidents.
  • Les services indispensables : où les trouver ?
• L'analyse de risques
  • Rappels sur les terminologies ISO 27000.
  • Identification et classification des risques.
  • L'analyse de risques selon l'ISO.
  • Les méthodes d'analyse de risques EBIOS 2010 et MEHARI 2010.
  • Les autres méthodes internationales.
  • Comment choisir la meilleure méthode sur la base d'exemples et étude de cas pratiques ? Une méthode globale ou une méthode par projet.
  • Le vrai coût d'une analyse de risques.
• Le plan de secours et de continuité
  • Les enjeux pour l'entreprise d'une stratégie de continuité : lois et réglementations, normes et standards.
  • Définir la stratégie de continuité.
  • Les phases d'un projet plan de continuité.
  • L'analyse des risques pour le plan de continuité.
  • L'identification des activités critiques.
  • Les éléments et le budget pour élaborer les scénarios.
  • Les équipes de secours : constitution, rôles.
  • Les principes de déclenchement du plan de secours.