Formation certification ISSAP – Information Systems Security Architecture Professional

Programme de formation ISSAP – Information Systems Security Architecture Professional

[Jour 1 – Matin]

Fondamentaux de l’architecture de sécurité

• Positionnement ISSAP, lien avec l’architecture SI et la cybersécurité
• Rôle et périmètre de l’architecte sécurité
• Vue d’ensemble des domaines ISSAP
• Alignement sécurité vs stratégie d’entreprise
• Livrables et gouvernance d’architecture
• Atelier pratique : Cartographier rôles et responsabilités d’un architecte sécurité.

[Jour 1 – Après-midi]

Cadres et méthodes d’architecture

• Référentiels : TOGAF, SABSA, Zachman
• Méthode orientée risque et conformité
• Artefacts d’architecture (vues, modèles, glossaire)
• Traçabilité exigences – contrôles
• Gouvernance et cohérence multi-projets
• Atelier pratique : Carte d’architecture sécurité de haut niveau.

Gouvernance, risque et conformité

• Politiques, standards, normes (ISO, NIST)
• Cadres réglementaires clés (RGPD, sectoriels)
• Processus décisionnel et accountability
• Mesure de maturité et KPI/KRI
• Intégration GRC dans l’architecture
• Atelier pratique : Mini-policy et critères d’acceptation sécurité.

[Jour 2 – Matin]

Modélisation d’architecture de sécurité

• Principes de conception et patterns
• Vues logique / physique / opérationnelle
• Menaces et hypothèses de confiance
• Modèles Zero-Trust et segmentation
• End-to-end et defense-in-depth
• Atelier pratique : Modéliser une zone sensible.

[Jour 2 – Après-midi]

Réseaux et périmètres modernes

• Segmentation, IDS/IPS, firewalls, proxys
• VPN, SD-WAN, filtrage, inspection TLS
• Réseaux hybrides et multi-cloud
• Contrôles réseau vs exigences métiers
• Observabilité et supervision
• Atelier pratique : Design d’un réseau sécurisé multi-zones.

Infrastructures et systèmes

• Durcissement OS/virtualisation/conteneurs
• Plan de contrôle, secrets, bastions
• Sécurité plateformes et workloads
• Chaîne d’approvisionnement
• Intégration aux opérations
• Atelier pratique : Schéma d’infra sécurisée avec bastion et logs.

[Jour 3 – Matin]

Cryptographie et gestion des clés

• Concepts appliqués (symétrique, asymétrique, hachage)
• PKI, certificats, HSM, rotation
• Protocoles : TLS, IPsec, SSH
• Data-at-rest / in-transit / in-use
• Modèles de confiance et délégation
• Atelier pratique : Architecture PKI et politique de certificats.

[Jour 3 – Après-midi]

Sécurité applicative et SDLC

• Intégration sécurité au SDLC / DevSecOps
• API, microservices, secrets management
• Menaces OWASP et contrôles d’architecture
• Revues d’architecture et gates
• Qualité, tests et conformité
• Atelier pratique : Évaluer l’architecture d’une appli web.

Cloud et responsabilité partagée

• Modèles IaaS/PaaS/SaaS et shared-responsibility
• Atterrissage sécurisé (landing zones)
• Réseaux, identités et données dans le Cloud
• Multi-cloud et interco
• Guardrails et policy as code
• Atelier pratique : Blueprint d’architecture Cloud sécurisée.

[Jour 4 – Matin]

Gestion des identités et des accès

• Fédération : SAML, OAuth2, OIDC
• Gestion des accès : comptes privilégiés, authentification forte et droits utilisateurs
• Contexte, risque et accès adaptatif
• Intégration IAM vers SI et SaaS
• Logs, audit et conformité
• Atelier pratique : Concevoir une architecture IAM de bout en bout.

[Jour 4 – Après-midi]

Données et gouvernance

• Classification, rétention, cycle de vie
• Chiffrement, masquage, tokenisation
• Data mesh / data lake : exigences sécurité
• Traçabilité, preuves et audits
• Vie privée et principes RGPD
• Atelier pratique : Politique de classification et contrôles associés.

Résilience, continuité et crise

• HA, PRA/PCA, dépendances critiques
• Plans de réponse et exercices
• Anti-fragilité et « secure-by-default »
• Plans d’amélioration continue
• Budget d’erreur et SLO
• Atelier pratique : Runbook PRA/PCA et tests périodiques.

[Jour 5 – Matin]

Sécurité physique et environnementale

• Contrôles physiques & datacenters
• Convergence physique/logique
• Normes et conformité locale
• Surveillance, accès, preuves
• Intégration au modèle de menaces
• Atelier pratique : Évaluer un site critique (zones & contrôles).

[Jour 5 – Après-midi]

Architecture sécurisée orientée projets

• Agile/DevSecOps : « shift-left »
• Critères d’acceptation sécurité et gates
• Docs d’architecture : vues et standards
• Fournisseurs et tier risk
• Coûts, priorisation et arbitrages
• Atelier pratique : Checklist d’architecture sécurité pour un produit.

Préparation à l’examen ISSAP

• Structure de l’examen
• Plan de révision
• QCM types, pièges et gestion du temps
• Ressources officielles ISC2
• Atelier pratique : Passage de l’examen blanc + correction.