Programme de la formation
Gérer les Risques Sécurité de l'Information : Certification ISO/IEC 27005

• Introduction ISO/IEC 27005 et concepts fondamentaux

  - Présentation de la norme ISO/IEC 27005 et son rôle
  - Comparaison avec ISO/IEC 27001 et 27002
  - Définitions clés : risque, vulnérabilité, menace, impact, actif
  - Historique et évolution des standards de gestion des risques sécurité

• Cadre et processus de gestion des risques sécurité

  - Principes et objectifs de la gestion des risques sécurité
  - Les phases du processus ISO/IEC 27005
  - Rôles et responsabilités dans la gestion des risques
  - Intégration aux processus métier et à la gouvernance IT

• Établissement du contexte de la gestion des risques

  - Définition du périmètre et de la portée de l'évaluation
  - Identification des objectifs de l'organisation
  - Cadre organisationnel, légal et réglementaire
  - Critères d'acceptation des risques et niveaux de risque

• Identification des actifs de sécurité

  - Méthodologies d'inventaire des actifs informationnels
  - Classification et valorisation des actifs (confidentialité, intégrité, disponibilité)
  - Identification des propriétaires et utilisateurs des actifs
  - Outils et techniques d'identification des actifs

• Identification des menaces et vulnérabilités

  - Typologie des menaces (techniques, humaines, naturelles)
  - Sources de menaces et scénarios d'attaque
  - Identification des vulnérabilités (systèmes, processus, personnes)
  - Lien entre menaces, vulnérabilités et actifs

• Analyse et évaluation des risques (méthode qualitative)

  - Principes de l'analyse qualitative des risques
  - Grilles de cotation (probabilité/impact)
  - Scénarisation des risques et identification des causes profondes
  - Atelier pratique : analyse qualitative de risques cyber

• Analyse et évaluation des risques (méthode quantitative)

  - Principes de l'analyse quantitative des risques
  - Calcul des valeurs de risque (ALE, SLE, ARO)
  - Outils et modèles d'aide à la décision quantitative
  - Limites et avantages des approches quantitatives

• Traitement et réponse aux risques

  - Stratégies de traitement des risques (éviter, réduire, transférer, accepter)
  - Sélection des mesures de sécurité (contrôles ISO/IEC 27002)
  - Planification et mise en œuvre du traitement des risques
  - Coût/bénéfice des mesures de sécurité

• Acceptation, gestion des risques résiduels et revues

  - Critères d'acceptation des risques et tolérance
  - Enregistrement des risques résiduels
  - Surveillance et revue régulière de l'efficacité des traitements
  - Rôles et responsabilités dans l'acceptation des risques

• Communication et consultation des risques

  - Importance de la communication interne et externe
  - Rapports sur l'état des risques et alertes
  - Stratégies de communication adaptées aux parties prenantes
  - Gérer les attentes et la perception des risques

• Surveillance et revue continue des risques

  - Établir un cycle de revue et d'amélioration continue
  - Indicateurs de performance et de suivi des risques (KPI, KRI)
  - Gestion des incidents et leur impact sur l'évaluation des risques
  - Audit de la gestion des risques et plans d'actions

• Préparation à l'examen de certification PECB ISO/IEC 27005

  - Rappel des concepts clés et pièges à éviter
  - Stratégies de gestion du temps durant l'examen
  - Questions types et exercices de mise en situation
  - Derniers conseils pour maximiser ses chances de réussite