Formation Formation Risk Manager : Maîtriser EBIOS pour la Sécurité des Systèmes

Programme de la formation
Formation Risk Manager : Maîtriser EBIOS pour la Sécurité des Systèmes

• Introduction à la gestion des risques SSI et EBIOS Risk Manager

  - Le contexte de la cybersécurité et l'importance de la gestion des risques
  - Définition et concepts clés : risque, menace, vulnérabilité, actif, attaque
  - Présentation de la méthode EBIOS Risk Manager : objectifs, principes et historique
  - Positionnement d'EBIOS RM dans le cadre normatif (ISO 27005, RGS)
  - Les différentes étapes du processus EBIOS RM

• Phase 1 : Cadrage et compréhension du contexte

  - Définir le périmètre de l'étude de risque (système, organisme, projet)
  - Identifier et caractériser les acteurs clés (parties prenantes)
  - Recueillir les informations nécessaires à l'analyse (politique de sécurité, contraintes)
  - Établir le glossaire et la documentation de référence
  - Les livrables de la phase de cadrage

• Phase 2 : Identification et caractérisation des actifs

  - Qu'est-ce qu'un actif de sécurité de l'information ?
  - Méthodes d'identification et de classification des actifs (information, matériel, logiciel, humain)
  - Évaluation de la valeur des actifs (criticité, impact métier)
  - Identification des propriétaires d'actifs et de leurs responsabilités
  - Cartographie des actifs au sein du système d'information

• Phase 3 : Identification des Scénarios de menaces

  - Comprendre les sources de menaces (humaines, techniques, naturelles)
  - Classification des menaces et des types d'attaques courant (phishing, rançongiciel, DDoS)
  - Construction des scénarios de menaces : couples événement redouté/source de menace
  - L'approche par scénarios d'EBIOS RM
  - Ateliers pratiques de construction de scénarios

• Phase 4 : Détermination des Risques Bruts (Scénarios Redoutés)

  - Évaluation de la vraisemblance des scénarios de menaces
  - Évaluation de l'impact des scénarios sur les actifs et métiers
  - Calcul du niveau de risque brut (méthode de scoring EBIOS RM)
  - Matrice de criticité des risques : visualisation et interprétation
  - Exercices d'évaluation de risques bruts

• Phase 5 : Identification et évaluation des mesures de sécurité existantes

  - Inventaire des mesures de sécurité déjà en place
  - Typologie des mesures : préventives, détectives, curatives
  - Évaluation de l'efficacité et de l'adéquation des mesures existantes
  - Analyse des faiblesses et des lacunes des mesures
  - Documentation des mesures et de leur couverture

• Analyse des Risques Résiduels

  - Impact des mesures existantes sur les scénarios de risques bruts
  - Réévaluation de la vraisemblance et de l'impact des scénarios après traitement
  - Calcul du niveau de risque résiduel
  - Comparaison Risque Brut vs Risque Résiduel
  - Identification des risques inacceptables

• Stratégie de traitement des risques : Traitement et partage

  - Les différentes options de traitement : réduire, transférer, accepter, éviter
  - Définition du plan de traitement des risques (PTR)
  - Priorisation des actions de réduction des risques
  - Choix des contre-mesures additionnelles : approche par objectifs de sécurité
  - Cas pratiques de décision de traitement

• Mise en œuvre des mesures de sécurité complémentaires

  - Sélection des mesures de sécurité adaptées (ISO 27002, ANSSI)
  - Planification et déploiement des nouvelles mesures
  - Intégration des mesures au sein de l'architecture SSI
  - Suivi de la mise en œuvre et vérification d'efficacité
  - Gestion du budget et des ressources allouées

• Communication et reporting des risques SSI

  - Présentation des résultats de l'analyse de risques aux décideurs
  - Rédaction du rapport de risques EBIOS RM
  - Préparation des tableaux de bord de suivi des risques
  - Sensibilisation et communication auprès des parties prenantes
  - L'importance de la transparence et de la traçabilité

• Suivi et amélioration continue de la gestion des risques

  - La démarche PDCA (Plan-Do-Check-Act) appliquée à la SSI
  - Mise en place d'un processus de suivi régulier des risques
  - Gestion des nouvelles menaces et des changements du contexte
  - Audits et revues périodiques de l'analyse de risques
  - Intégration de la gestion des risques dans un SMSI

• Examen et cas pratique global EBIOS Risk Manager

  - Révision des concepts clés et des étapes de la méthode
  - Résolution d'un cas pratique complet de bout en bout
  - Mise en situation et travail en groupe sur un scénario
  - Présentation des analyses et débats sur les stratégies de traitement
  - Questions/Réponses et préparation à l'examen de certification (si applicable)