1. Formations régulières

1.1 Responsable / auditeur des services essentiels

Durée : 3 jours

Format de formation : Formation en ligne, français/anglais

Profil du participant idéal : RSSI, Auditeur de sécurité, DSI, Spécialiste de la sécurité, Responsable de la sécurité

Objectifs de la formation:

La formation vous permet de comprendre : 

• Les services essentiels, objectifs et risques ;
• Conformité, exigences SMSI et PCA/PRA ;
• Les objectifs, les défis de la mise en œuvre et le fonctionnement du SMSI, du PCA /PRA et de l’équipe de réponse aux incidents dans une organisation ;
• La conception et le fonctionnement du PCA, de l’équipe de réponse aux incidents et des contrôles de sécurité de l’information ;
• Cadre de gouvernance des risques informatiques et processus de gestion des risques ;
• Les rôles de la haute direction, de la direction opérationnelle ainsi que du service d’audit interne ;
• Le processus de certification.

Ce cours couvre également les questions relatives à la réglementation togolaise et à la famille de normes ISO/CEI 27000 et 22301.

Public cible:

La formation s’adresse aux personnes suivantes :

• Responsable des technologies de l’information, des services essentiels, du traitement de l’information, de la sécurité de l’information, de la continuité des activités, de la gestion des incidents, de la conformité ainsi que du système de gestion dans l’organisation ;
• Personnes délivrant une assurance professionnelle par des processus d’audit informatique, de gestion des risques informatiques ou de sécurité de l’information. 

Contenu du cours pendant 3 jours:

• Les services essentiels ;
• Systèmes de gestion ISO ;
• Sécurité et continuité de l’information – vocabulaire ;
• Système de gestion ISO – architecture ;
• Objectifs de conformité, systèmes de gestion ISO, continuité et sécurité de l’information ;
• Gestion des risques dans les services essentiels ;
• Notification ;
• Exigences ;
• Mise en œuvre ;
• Maintenance ;
• Suivi, audit, rapports.

Autres informations:

Méthode de formation : présentation en ligne, questions et réponses – Plate-forme de formation Webex.

Matériel de formation : chaque participant reçoit un ensemble de matériel de formation électronique.

Certification : les participants reçoivent un diplôme électronique de l’Académie Asseco.

1.2 Mise en œuvre de la politique de sécurité de l’information dans l’organisation

Durée : 5 jours

Format de formation : Formation en ligne / en présentiel, anglais/français

Profil du participant idéal : CISO, Auditeur de sécurité, DSI, Responsable de la sécurité, Responsables de la sécurité de l’information

Premier jour – Base de la sécurité de l’information

1. Aperçu – Comment mettre en œuvre les principales techniques de sécurité de l’information (SI) :
   • Audit de sécurité/analyse des lacunes ;
   • Tests de pénétration ;
   • Gestion des risques ;
   • Mise en œuvre des contrôles techniques (besoins par rapport aux coûts), types de contrôles ;
   • Création et modification de la politique de sécurité de l’information (ISP) ;
   • Processus de réponse aux incidents ;
   • Gestion permanent des SI – continuité des techniques mentionnées ci-dessus et amélioration ;
   • Relation avec d’autres processus de gestion des TIC (gestion des services informatiques, gestion de la continuité des activités).
2. Exigence de conformité :
   • Exemple de loi existant au Togo et dans l’UE (GDPR, loi sur le système national de cybersécurité, protection des informations commerciales) ;
   • Exemple de recommandations/exigences de l’industrie (PCI DSS).
3. Révision des normes les plus populaires en matière de SI :
   • ISO/IEC 27001 – Technologies de l’information – Techniques de sécurité – Systèmes de gestion de la sécurité de l’information – Exigences ;
   • ISO/IEC 27002 – Technologies de l’information – Techniques de sécurité – Codes de pratique pour les contrôles de sécurité de l’information ;
   • ISO/IEC 27005 – Technologies de l’information – Techniques de sécurité – Gestion des risques liés à la sécurité de l’information ;
   • ISO/IEC 29134 Technologies de l’information – Techniques de sécurité – Lignes directrices pour l’évaluation de l’impact sur la vie privée ;
   • Lignes directrices de l’ENISA sur l’évaluation de la conformité de la DSP et de l’OES aux exigences de sécurité du NISD ;
   • OWASP Top 10.

Deuxième jour – Audit de sécurité et gestion des risques – Les deux faces d’une même médaille

1. ISO 19011 et ISO 17021 – base de l’audit :
   • Principales règles d’audit, techniques, risques et pièges ;
   • Comment créer un plan d’audit basé sur la norme ISO/IEC 27001 en utilisant la recommandation ISO/IEC 27006.
2. Approche de gestion des risques recommandée dans la norme ISO/CEI 27005 (actifs, menaces, vulnérabilités, force des contrôles, impacts, probabilité d’incidents).
3. Approche de gestion des risques recommandée dans la norme ISO/CEI 29134.
4. Révision de la procédure d’évaluation des risques (basée sur la norme ISO/IEC 27005).
5. Révision de la procédure de traitement des risques (basée sur la norme ISO/IEC 27005).
6. Examen de la feuille de calcul Excel utilisée pour l’évaluation et le traitement des risques.
7. Examen des outils de gestion des risques.

Troisième jour – Pratique de l’audit et de la gestion des risques

1. Définition de l’organisation pour les exercices suivants – type d’activité, parties prenantes, droit, relation avec les clients et les fournisseurs, structure de l’organisation.
2. Exercice 1 – création d’un plan d’audit et d’une liste de contrôle de l’audit.
3. Évaluation et discussion.
4. Exercice 2 – réalisation de la base d’évaluation des risques du tableur Excel proposé :
   • Analyse des risques;
   • Évaluation des risques.
5. Évaluation et discussion.
6. Exercice 3 – effectuer un traitement des risques.
7. Évaluation et discussion.

Quatrième jour – Politique de sécurité de l’information

1. Hiérarchie du document de la PSI – politiques, normes, lignes directrices, procédures, instructions. Comment adapter le PSI au client actuel.
2. Exemples de déclaration de PSI.
3. Exemple de politique de sécurité des TIC.
4. Exemple de politique de sécurité de l’utilisateur.
5. Approche par processus :
   • Gestion de l’accès ;
   • Processus de contrôle ;
   • Gestion des incidents de sécurité ;
   • Gestion du changement ;
   • Gestion de la configuration ;
   • Gestion de la continuité des activités ;
   • Gestion de la conformité ;
   • Audit de sécurité et test de pénétration ;
   • Identification et classification des actifs ;
   • Gestion des ressources humaines ;
   • Gestion de la documentation des PSI.
6. Exemples de procédures/normes:
   • Procédure de gestion de l’accès des utilisateurs ;
   • Procédure de surveillance des solutions de Gestion des incidents et événements de sécurité (SIEM);
   • Procédure de signalement des événements de sécurité ;
   • Incidents de sécurité et procédure de réponse aux violations ;
   • Procédure de gestion des changements ;
   • Procédure de documentation de la configuration ;
   • Procédure de sauvegarde avec instructions techniques ;
   • Procédure de planification et de documentation des audits de sécurité ;
   • Norme de classification ;
   • Procédure de gestion des changements de PSI.

Jour V – Pratique de la création de PSI

1. Définition de l’organisation – type d’activité, parties prenantes, droit, relation avec les clients, structure de l’organisation.
2. Exercice – Création de documents PSI par les apprenants :
   • Document du PSI ;
   • Procédures.
3. Évaluation et discussion.