Analyse de risques des données, réseaux et systèmes

Bac+2 Informatique

Lorsqu'une organisation vise l’amélioration continue de sa sécurité informatique, elle peut, en conformité avec le bouquet de norme ISO 27., mettre en place un système de management de la sécurité de l'information (SMSI) et un système de management de la continuité d'activité (SMCA) en s'appuyant sur une méthodologie d'analyse des risques.

Au cœur de l’analyse de risque, l’identification des actifs constitue une étape essentielle. Les données sont un cas d’actifs précieux dont les propriétés relèvent également d’une analyse spécifique vis à vis de la vie privée. Cette analyse peut suivre la méthode PIA proposée par la CNIL.

Une fois les actifs identifiés, l'analyse de risque permet d’appréhender les enjeux de l'organisation et d’identifier un ensemble d'exigences qui font appel à des connaissances organisationnelles et techniques en vue d’élaborer un Système de Management de la Sécurité de l’Information (SMSI). Pour ce faire, l’analyse de risque fait appel à une méthodologie qui en  première intention contribue à une maitrise des risques connus et visera à appréhender ces risques avec une bonne connaissance de ses enjeux et menaces, en menant une démarche en alignement avec les autres directions de l’organisation et en mettant en place un plan de traitement des risques. Cette première intention ne prend pas toujours en compte les risques dans l’incertain, qui requièrent une amélioration continue de cette première mise en place.

Les enjeux d’un dispositif de continuité d’activité sont de de survivre à un sinistre et de préserver l’activité de l’organisation, la norme ISO 22301 en décrit les contours qui reposent sur un Système de Management de la Continuité d’Activité (SMCA).

L'objectif de ce cours est de fournir aux apprenants de SEC104 les outils et socles de connaissances pour parvenir à réaliser des missions (fiches métiers génériques).

• Introduction Présentation de la boucle d'analyse et AC de la sécurité informatique d'un SI (AR et CA)
  • Travail personnel : recherche bibliographique sur les analyses de risque
• Temps 1 : Analyse de risques : enjeux, processus et bien informationnels (AR)
  • Cours 1 : Analyse de risques (AR)
  • Cours 2 : Classification
  • TD 1 : Cartographies
  • Cours 3 : Classes de menaces
  • Cours 4 : Audit
  • TD 2 : Audit d’un composant du SI
• Temps 2 : Analyse de risques  : SI (AR)
  • Cours 5 : Méthode EBIOS
  • Cours 6 : Application spécifique
  • TD3 : Application spécifique et étude de cas EBIOS
• Temps 3 : Analyse de risques  : données (AR)
  • Cours 7 : Méthode PIA
  • TD4 : Application spécifique et cas d’étude PIA
• Temps 4 : AR et CA  (CA)
  • Cours 8 : continuité d’activité - incertain
  • Cours 9 : CA et services informatiques
  • Travail personnel : Recherche bibliographique sur une thématique de la continuité d'activité
• Temps 5 : AR et tests (CA)
  • Cours 10 : Réaction aux incidents
  • Cours 11 : Suivi et revue du processus - Amélioration continue (AC)
  • Cours 12 : Essai et exercice
  • TD ou Cyberchallenge