Risques et protection des SI

Comprendre et analyser les risques des systèmes informatiques

Com­prendre les enjeux de la cybersécurité

• His­toire de la sécu­ri­té infor­ma­tique, expli­ca­tion de quelques affaires récentes ;
• Évo­lu­tion et coûts de la cybercriminalité ;
• Lutte contre la cybercriminalité ;
• Tour d’horizon, prin­ci­pales défi­ni­tions, auto­ri­tés com­pé­tentes, acteurs majeurs ;
• Démarche sécu­ri­té en entre­prise, PSSI, trai­te­ment des incidents.

Com­prendre les vul­né­ra­bi­li­tés intrin­sèques des sys­tèmes informatiques

• Rap­pels sur les archi­tec­tures infor­ma­tiques (OS, réseaux, applications…) ;
• Évo­lu­tion des archi­tec­tures des SI, ten­dances actuelles, menaces associées.

Com­prendre les enjeux de l’intelligence économique

• His­toire de l’intelligence éco­no­mique, orga­ni­sa­tion par pays, enjeux et menaces ;
• Grands prin­cipes (cycle du ren­sei­gne­ment, approche moderne, fonc­tions de l’IE).

Com­prendre et pra­ti­quer l’analyse de risque d’un SI

• Méthodes d’analyse d’un SI, enjeux humains ;
• Défi­ni­tions du risque ; concept de menace, de vul­né­ra­bi­li­té, de sensibilité ;
• Clas­se­ment des menaces, cycle de l’information, menaces génériques.

Com­prendre une poli­tique de sécurité

• Prin­ci­pales exi­gences de sécu­ri­té (CIDP), métriques ; fonc­tions de sécurité ;
• Éla­bo­ra­tion d’une PSSI.

Connaître les réfé­ren­tiels pour la sécurité

• Des­crip­tion des prin­ci­pales méthodes ;
• Familles de normes ISO 27k ; cri­tères com­muns ; certification ;
• Réfé­ren­tiel géné­ral de sécu­ri­té, règle­ment géné­ral de pro­tec­tion des données.

Connaître les grands prin­cipes du droit infor­ma­tique français

• Rap­pels sur le droit et son orga­ni­sa­tion en France ;
• Prin­ci­pales lois (LIL, God­frain, bases de don­nées, preuve, LCEN, LCI, LPM…) ;
• Droit d’auteur ; pro­tec­tion des oeuvres ; pro­tec­tion des logiciels.

Sécu­ri­sa­tion de sys­tèmes (tra­vaux pratiques)

• Rap­pels sur Linux ;
• Sécu­ri­sa­tion de Linux ;
• Sécu­ri­sa­tion des ser­vices Linux ;
• Sécu­ri­sa­tion Windows.

Comprendre et utiliser les moyens cryptographiques pour sécuriser un SI

Com­prendre la cryptanalyse

• His­toire de la cryp­to­gra­phie ; rap­pels mathématiques ;
• Cryp­to­gra­phie, sté­ga­no­gra­phie, cryp­ta­na­lyse, cryp­to­gra­phie quan­tique (BB84) ;
• Pra­ti­quer la cryp­ta­na­lyse sur un exemple simple.

Maî­tri­ser les tech­niques de chiffrement

• Chif­fre­ments asy­mé­triques et symétriques ;
• Prin­ci­paux algo­rithmes (RC4, DES, AES, Dif­fie-Hel­mann, RSA, courbes elliptiques) ;
• Chif­fre­ment des don­nées sur place, chif­fre­ment de par­ti­tions (crypt, encrypt, scrypt, luks, GPG, SMIME) ;
• Chif­fre­ment de flux de don­nées (SSH, SSL, négo­cia­tion TLS, HTTPS).

Uti­li­ser la signa­ture électronique

• Fonc­tions de hachage (md5sum, SHA) ;
• Mise en oeuvre de la signa­ture numé­rique (OpenSSL), best practices.

Com­prendre et déployer des archi­tec­tures à clé publique

• Cer­ti­fi­cats (norme X509v3), stan­dard PKCS ;
• Mise en oeuvre d’une PKI.

Com­prendre la mise en place d’écosystèmes de confiance

• Pro­tec­tion des données ;
• Best prac­tices

Prévenir et protéger les systèmes informatiques

Connaître et pra­ti­quer les méthodes de déve­lop­pe­ment robuste

• Déve­lop­pe­ment robuste en C ; bonnes pra­tiques et études de cas ;
• Déve­lop­pe­ment web robuste ; dur­cis­se­ment de code ;
• Choix des appli­ca­tifs, détec­tion de vul­né­ra­bi­li­tés applicatives.

Connaître les fonc­tion­na­li­tés de sécurité

• Tech­niques d’authentification, de contrôle d’accès (locaux, réseaux, systèmes…) ;
• Tech­niques de filtrages ;
• Iso­la­tion des sys­tèmes, DMZ.

Pro­té­ger les sys­tèmes d’information

• Métho­do­lo­gie de pro­tec­tion des SI ; actions avant/pendant/après ;
• Ges­tion des incidents ;
• Plan de reprise d’activité ; plan de conti­nui­té d’activité ; rési­lience du SI.

Orga­ni­ser la sécu­ri­té en entreprise

• Com­prendre le mana­ge­ment de la sécurité ;
• Audits, ges­tion de crises, s’initier à la cyber-résilience ;
• Plan de com­mu­ni­ca­tion et sen­si­bi­li­sa­tion des personnels ;
• Com­prendre les enjeux de la cybersécurité.