Formation Responsable de la Sécurité des Systèmes d’Information

Programme de Notre Formation Responsable de la Sécurité des systèmes d’Information (RSSI)

[Jour 1 – Matin]

Le rôle du RSSI dans l’organisation

• Définir les missions clés du RSSI
• Identifier les parties prenantes internes et externes
• Cartographier le périmètre d’action sécurité
• Positionner la fonction dans la gouvernance de l’entreprise
• Décrypter les attentes de la direction et des métiers
• Atelier pratique : Reconstitution d’un organigramme sécurité d’entreprise.

L’écosystème cybersécurité national et international

• ANSSI : autorité nationale, référentiels & supervision des OIV/OSE
• CERT-FR : centre d’alerte et de réponse aux incidents
• CNIL : protection des données et conformité RGPD
• ENISA : agence européenne, coordination NIS2
• OIV/OSE : opérateurs critiques soumis à obligations renforcées
• Prestataires qualifiés (PASSI, SecNumCloud, PDIS/PRIS) : audits, cloud et réponse aux incidents certifiés.

[Jour 1 – Après-midi]

Fondamentaux de la sécurité des systèmes d’information

• Définir les concepts clés : disponibilité, intégrité, confidentialité, traçabilité
• Comprendre les menaces actuelles (malwares, phishing, ransomware, etc.)
• Identifier les principales vulnérabilités techniques
• Revoir les couches de défense (réseau, système, applicatif)
• Intégrer la notion de sécurité dès la conception
• Atelier pratique : Cartographier les grandes menaces macro : cybercriminalité, cyberdéfense étatique, espionnage, enjeux géopolitiques et économiques.

Panorama des cadres et référentiels

• Politique de sécurité vs. charte informatique
• Articuler gouvernance sécurité et pilotage opérationnel
• Maîtriser les bonnes pratiques du guide d’hygiène numérique
• Initier une feuille de route sécurité réaliste
• Atelier pratique : Diagnostic de maturité SSI simplifié.

[Jour 2 – Matin]

Norme ISO 27001

• Principes et objectifs de l’ISO 27001
• Les domaines de contrôle (Annexe A)
• Processus de certification et cycle PDCA
• Conduire une gap analysis (analyse d’écart)
• Rôles et responsabilités dans la mise en conformité
• Comparatif ISO 27001 vs. NIST Cybersecurity Framework : convergences et différences
• Atelier pratique : Cartographie des exigences ISO 27001 sur un cas d’entreprise.

[Jour 2 – Après-midi]

Mise en œuvre d’un SMSI (Système de Management de la Sécurité de l’Information)

• Définition et périmètre d’un SMSI
• Gouvernance et intégration dans l’organisation
• Politique de sécurité et gestion documentaire
• Gestion des risques dans un SMSI
• Indicateurs de performance et amélioration continue
• Gestion documentaire (PSSI, procédures, preuves d’audit) et les outils de pilotage
• Atelier pratique : Élaboration d’un mini-plan SMSI pour une organisation fictive.

Sécurité de l’utilisateur et posture défensive

• Sensibilisation à la cybersécurité : leviers de communication
• Ingénierie sociale : tactiques et contremesures
• MFA, mots de passe, SSO : arbitrer entre sécurité et ergonomie
• Détection et remontée d’incidents par les utilisateurs
• Rôles des RH, managers et collaborateurs dans l’hygiène numérique

[Jour 3 – Matin]

Élaborer une politique de sécurité adaptée

• Objectifs d’une politique SSI
• Intégrer la SSI dans les processus métiers
• Rédiger une politique claire, communicable et opérationnelle
• Définir des niveaux de criticité et d’exposition aux risques
• Mettre en place des indicateurs de suivi : KPI/KRI de sécurité et leur valorisation auprès de la direction
• Atelier pratique : Rédaction collective d’un extrait de politique SSI.

[Jour 3 – Après-midi]

Mettre en œuvre une gouvernance SSI efficace

• Structure de gouvernance : comité, reporting, délégation
• Budget, ressources et priorisation des actions
• Gérer l’externalisation (infogérance, cloud, prestataires)
• Assurer la conformité RGPD côté sécurité
• Gouvernance internationale : SOX, PCI-DSS, DORA (finance), HIPAA (santé)
• Instaurer une culture sécurité partagée

Planifier et piloter les actions de sécurité

• Établir une feuille de route SSI annuelle
• Suivre les projets SSI : outils, jalons, revues
• Arbitrer entre urgence et long terme (projets, incidents)
• Mettre en place des revues de sécurité périodiques
• Dialoguer avec les métiers et la direction

[Jour 4 – Matin]

Appliquer une démarche de gestion des risques

• Identifier les actifs critiques à protéger
• Cartographier les menaces et les vulnérabilités
• Évaluer la vraisemblance et l’impact des scénarios
• Choisir des mesures de traitement pertinentes
• Suivre les risques et communiquer aux décideurs
• Introduction à la méthode EBIOS Risk Manager (EBIOS-RM)
• Atelier pratique : Cartographie des risques sur cas simulé.

[Jour 4 – Après-midi]

Juridique : Répondre aux exigences réglementaires

• Obligations légales et réglementaires (RGPD, LPM, NIS2, DORA)
• Revue des clauses contractuelles sécurité (clients/fournisseurs)
• Traçabilité, preuves et responsabilités
• Coopération avec le DPO, RSSI groupe, prestataires
• Responsabilité pénale et civile du RSSI et délégation de responsabilités
• Conventions internationales (Convention de Budapest, extraterritorialité, conformité hors UE)
• Préparer un audit ou une inspection sécurité

Évaluer et auditer la sécurité du SI

• Typologie des audits (interne, tiers, technique, organisationnel)
• Méthodes d’audit et outils associés
• Recueillir, analyser et valoriser les écarts
• Suivi des plans d’actions correctifs
• Préparer une restitution pédagogique au management

[Jour 5 – Matin]

Organiser la réponse aux incidents de sécurité

• Typologie des incidents (intrusion, fraude, compromission…)
• Processus de détection, qualification, escalade
• Constitution et rôle d’une cellule de crise
• Contenir, éradiquer, rétablir
• Communication de crise interne et externe : management, presse, autorités (ANSSI, CNIL)
• Post-mortem et retour d’expérience
• Atelier pratique : Simulation d’un incident cyber.

[Jour 5 – Après-midi]

Construire un plan de continuité et de reprise (PCA/PRA)

• Différences PCA / PRA : enjeux, contenus, méthodes
• Identifier les processus critiques et les ressources associées
• Définir les RTO/RPO et scénarios de reprise
• Tester et maintenir son PCA/PRA
• Impliquer les métiers et la direction dans la résilience

Valoriser et faire vivre la fonction de RSSI

• Établir une communication adaptée (tableaux de bord, indicateurs, rapports)
• Valoriser les actions du RSSI auprès de la direction
• Développer les soft skills du RSSI : leadership, pédagogie, gestion de conflits, influence stratégique
• Maintenir la posture d’alerte sans générer la peur
• Former, co-responsabiliser, fédérer les acteurs
• S’inscrire dans une dynamique d’amélioration continue
• Atelier pratique : Présenter un bilan SSI fictif au COMEX.