Sécurité de l’information

Managers

Professionnels IT

RSSI

Personnes désirant diriger des audits de certification ISO 27001en tant que responsable d’une équipe d’audit

Consultants désirant préparer et accompagner une organisation lors d’un audit de certification ISO 27001

Auditeurs internes désirant préparer et accompagner leur organisation vers l’audit de certification ISO 27001

Une connaissance préalable des normes ISO 27001 et ISO 27002 est recommandée.

1. Introduction à la gestion d'un système de management de la sécurité de l'information selon ISO 27001
   • Objectifs et structure du cours.
   • Cadre normatif et réglementaire.
   • Processus de certification ISO 27001.
   • Principes fondamentaux de la sécurité de l’information et de la gestion du risque.
   • Système de management de la sécurité de l’information (SMSI).
   • Présentation des clauses 4 à 8 de l’ISO 27001.
2. Démarrer un audit ISO 27001
   • Concepts et principes fondamentaux d’audit.
   • Éthique et déontologie d’audit.
   • L’approche d’audit fondée sur la preuve et sur le risque.
   • Préparation d’un audit de certification ISO 27001.
   • L’audit documentaire.
   • Préparation du plan d’audit.
   • Conduite d’une réunion d’ouverture.
3. Conduire un audit ISO 27001
   • Communication durant l’audit.
   • Les procédures d’audit (observation, entrevue, techniques d’échantillonnage).
   • Rédaction des conclusions d’audit et des rapports de non-conformité.
4. Conclure un audit ISO 27001
   • Documentation d’audit.
   • Revue des notes d’audit.
   • Conclusion d’un audit ISO 27001.
   • Gestion d’un programme d’audit.
   • La compétence et l’évaluation des auditeurs.
   • Clôture de la formation.
5. Examen

Manager.

Professionnel IT.

RSSI.

DSI.

Personne responsable de services opérationnels.

Responsable méthodes et qualité.

Une connaissance préalable des normes ISO 27001 et ISO 27002 est recommandée.

1. Introduction au concept du Système de Management de la Sécur ité de l'Information (SMSI) tel que défini par l'ISO 27001
   • Introduction aux systèmes de management et à l’approche processus.
   • Présentation des normes ISO 27001, ISO 27002 et ISO 27003, ainsi que le cadre normatif, légal et réglementaire.
   • Principes fondamentaux de la sécurité de l’information.
   • Analyse préliminaire et détermination du niveau de maturité d’un système de management de sécurité de l’information existant d’après l’ISO 21827.
   • Rédaction d’une étude de faisabilité et d’un plan projet pour la mise en oeuvre d’un SMSI.
2. Planifier la mise en oeuvre d'un SMSI basé sur l'ISO 27001
   • Définition du périmètre (domaine d’application) du SMSI.
   • Développement de la politique et des objectifs du SMSI.
   • Sélection de l’approche et de la méthode d’évaluation des risques.
   • Gestion des risques: identification, analyse et traitement du risque (d’après les dispositions de l’ISO 27005).
   • Rédaction de la Déclaration d’Applicabilité
3. Mettre en place un SMSI basé sur l'ISO 27001
   • Mise en place d’une structure de gestion de la documentation.
   • Conception des mesures de sécurité et rédaction des procédures.
   • Implémentation des mesures de sécurité.
   • Développement d’un programme de formation, de sensibilisation et communication autours de la sécurité de l’information.
   • Gestion des incidents (selon les dispositions de l’ISO 27035).
   • Gestion des opérations d’un SMSI.
4. Contrôler, surveiller, mesurer et améliorer un SMSI ; audit de certification d'un SMSI
   • Contrôler et surveiller un SMSI.
   • Développement de métriques, d’indicateurs de performance et de tableaux de bord conformes à l’ISO 27004.
   • Audit interne ISO 27001.
   • Revue de direction du SMSI.
   • Mise en oeuvre d’un programme d’amélioration continue.
   • Préparation à l’audit de certification ISO 27001.
5. Examen

• Membre d’équipe de sécurité de l’information.
• Professionnel IT.
• Consultant IT.
• Conseiller expert IT.

Aucun.

1. Introduction aux concepts d’un système de management de sécurité d’information tel que requis par la norme ISO 27002
   • Comprendre et expliquer les opérations de l'organisation ISO et l'élaboration de normes de sécurité de l'information.
   • Capacité d’identifier, d’analyser et d’évaluer les exigences de conformité de sécurité de l'information pour une organisation.
   • Capacité d’expliquer et d’illustrer les principaux concepts de la sécurité de l'information et de gestion des risques de sécurité de l’information.
   • Capacité de distinguer et d’expliquer la différence entre les informations, les données et les enregistrements.
   • Comprendre, interpréter et illustrer la relation entre les concepts de l'actif, de la vulnérabilité, de la menace, d'impact et de contrôles.
2. Contrôles de la sécurité d’identification, d'évaluation et d’ analyses selon la norme ISO 27002 et l'examen de certification
   • Capacité d’identifier, de comprendre, de classer et d'expliquer les clauses, les catégories de sécurité et des contrôles de la norme ISO 27002.
   • Capacité de détailler et d'illustrer les contrôles de sécurité des meilleures pratiques par des exemples concrets.
   • Capacité de comparer les solutions possibles à un problème de sécurité réel d'une organisation et d'identifier / analyser les forces et les faiblesses de chaque solution.
   • Capacité de sélectionner et de démontrer les meilleurs contrôles de sécurité afin de répondre aux objectifs de contrôle de la sécurité de l'information formulés par l'organisation.
   • Capacité de créer et de justifier un plan d'actions détaillé pour mettre en oeuvre un contrôle de sécurité en énumérant les activités liées.
   • Capacité d'analyser, évaluer et valider des plans d'actions pour mettre en oeuvre un contrôle spécifique.