La formation

Cette formation est basée sur le référentiel « RÉFÉRENTIEL PÉDAGOGIQUE DE FORMATION À LA CYBERSÉCURITÉ DES TPE ET DES PME » qui a été élaboré conjointement par le Service de l’Information Stratégique et de la Sécurité Economiques (SISSE) et l’Agence nationale de la sécurité des systèmes d’information (ANSSI – www.ssi.gouv.fr). Cette formation est destinée à former des « référents cybersécurité » au profit des les TPE / PME.

Avec une évolution vers la digitalisation des entreprises, la cyber-délinquance et les délits numériques sont une nouvelle forme de criminalité en croissance. Les entreprises ou les organisations publiques doivent être sensibilisées au problème et y faire face.

On parle de cybercriminalité, cybersécurité, ou encore cyberattaque mais le principe reste le même : les entreprises ont l’obligation d’assurer la protection de leurs données. Grâce à notre formation sur la cybersécurité en entreprise, vous connaîtrez toutes les armes pour lutter contre la cybercriminalité

Objectifs pédagogiques

L’objectif général de la formation est de faire du participant un référent cybersécurité interne. À la fin de la formation, le participant devra être en mesure de maîtriser les enjeux de la cybersécurité pour l’entreprise et d’utiliser les outils nécessaires pour protéger des informations sensibles (personnelles et professionnelles) sur les différents réseaux.

Il sera notamment à même de :

  •  identifier et analyser des problèmes de cybersécurité dans une perspective d’intelligence et de sécurité économiques ;
  •  connaître les obligations et responsabilités juridiques de la cybersécurité ;
  •  identifier et comprendre les menaces liées à l’utilisation de l’informatique et des réseaux internet, réseaux privés d’entreprises ou réseaux publics ;
  • mettre en œuvre les démarches de sécurité inhérentes aux besoins fonctionnels ;
  • savoir présenter les précautions techniques et juridiques à mettre en place pour faire face aux attaques éventuelles.

Le tronc commun est constitué de trois modules obligatoires :

  • Cybersécurité : notions de bases, enjeux et droit commun
  • L’hygiène informatique pour les utilisateurs
  • Gestion et organisation de la cybersécurité

Dont les objectifs pédagogiques sont :

  • Identifier l’articulation entre cybersécurité, sécurité économique et intelligence économique
  • Comprendre les motivations et le besoin de sécurité des systèmes d’information (SI)
  • Connaître les définitions et la typologie des menaces
  • Appréhender et adopter les notions d’hygiène de base de la cybersécurité pour les organisations et les individus.
  • Appréhender les multiples facettes de la sécurité au sein d’une organisation.
  • Connaître les métiers directement impactés par la cybersécurité.
  •  Anticiper les difficultés courantes dans la gestion de la sécurité.

Le tronc commun peut être complété par 4 modules optionnels qui peuvent être suivi pour tout ou partie, au choix de l’apprenant. Les fiches détaillés de ces modules sont disponibles aux liens suivants :

Fiche du module Protection de l’innovation et cybersécurité : http://www.afms-formation.fr/formation/innovation-ssi

Fiche du module Administration sécurisée du système d’information (SI) interne d’une entreprise : http://www.afms-formation.fr/formation/admin-ssi/

Fiche du module La cybersécurité des entreprises ayant externalisé tout ou partie de leur SI :  http://www.afms-formation.fr/formation/externalisation-si/

Fiche du module Sécurité des sites internet gérés en interne : http://www.afms-formation.fr/formation/sites/

Documents de référence

Formation à la cybersécurité des TPE et des PME, Référentiel pédagogique pour les organismes de formation de l’ANSSI : https://tinyurl.com/y8jvv5yy

Public concerné

Tout public

Pré-requis

Aucun, avoir suivi le MOOC de l’ANSSI constitue un plus.

Durée de la formation

1,5 jours soit 9 heures

Effectifs de chaque session

6 à 20 participants

Programme de la formation

Définitions

  • Intelligence économique, sécurité économique globale

Cybersécurité (Sécurité des SI (prévention) + Cyberdéfense (réaction) + Cybercriminalité (sanction) = Cybersécurité)

Les enjeux de la sécurité des SI

  • La nouvelle économie de la cybercriminalité

Les déficiences en matière de cybersécurité peuvent engendrer des pertes financières directes ou indirectes (comme lorsqu’un site marchand est rendu indisponible ou lors d’espionnage économique sur des appels d’offres, par exemple).

  • Panorama des menaces selon une typologie

Panel assez large des différentes menaces (attaques intrusives – injection SQL, passive – phishing, destructrices – virus, etc.). Détails sur les Advanced Persistent Threat (APT, Attaque persistante avancée) : rôle des entreprises dans ces attaques.

  • Les vulnérabilités (exemples, détermination, veille)

Vulnérabilité : faiblesse d’un bien, que ce soit à la conception, la réalisation, l’installation, la configuration ou l’utilisation.

  • Focus sur l’ingénierie sociale

Les propriétés de sécurité

  • Présentation du principe de défense en profondeur

Un logiciel spécialisé dans la cybersécurité n’est pas suffisant. La démarche de cybersécurité s’inscrit dans un processus global de sécurité économique (sécurité bâtimentaire, sécurisation des déplacements, contrôle d’accès, etc.). Cf. La sécurité économique au quotidien en fiches thématiques (SISSE).

  • Identification et évaluation des actifs et des objectifs de sécurité

Arriver à identifier précisément le besoin :

Un site internet marchand et un site internet « vitrine » n’ont pas les mêmes besoins en termes de sécurité.

Déterminer les critères (disponibilité, intégrité, confidentialité, preuve / traçabilité) qui permettent d’évaluer le niveau de sécurité des SI.

 Aspects juridiques et assurantiels

  • Responsabilités

Quelles sont les responsabilités des entreprises qui n’ont pas assez sécurisé leurs SI ?

Quels recours sont possibles vers les prestataires ?

Réglementation européenne : analyse de risque obligatoire pour une entreprise dès qu’il y a une déclaration à la Commission nationale de l’informatique et des libertés (CNIL). 

  • Préservation de la preuve

Que faire en cas d’attaques informatiques ?

Comment préserver la preuve tout en restant opérationnel ?

Qui faut-il contacter ?

Le rôle de l’huissier.

  • L’offre assurantielle

Le paysage institutionnel de la cybersécurité

  • La prévention

Rôle et missions des acteurs étatiques en charge de l’accompagnement des entreprises en matière de cyber.

  • Le traitement des cyberattaques et la réponse judiciaire

L’agence nationale de la sécurité des systèmes informatiques (ANSSI), la Direction générale de la sécurité intérieure (DGSI), la Gendarmerie nationale, etc.

  • Rôle et missions des acteurs étatiques chargés du traitement technique et judiciaire des attaques cybers

L’ANSSI, la Direction centrale de la police judiciaire, sous-direction de la lutte contre la cybercriminalité (SDLC-OCLCTIC), la brigade d’enquêtes sur les fraudes aux technologies de l’information (BEFTI), la gendarmerie nationale (C3N, NTECH), etc.

  • Connaître le système d’information et ses utilisateurs

Faire une cartographie des SI de l’entreprise.

  • Identifier le patrimoine informationnel de son ordinateur (brevets, recettes, codes source, algorithmes…)

Connaître la valeur des informations contenues dans son ordinateur pour appliquer les différentes procédures de sécurité en fonction des documents utilisés.

  • Maîtriser le réseau de partage de documents (en interne ou sur internet)

Identifier précisément les passerelles qui existent entre internet et le réseau interne pour éviter les failles qui permettront ou faciliteront une intrusion non détectée.

  • Mettre à niveau les logiciels

Définir une véritable politique de mise-à-jour des logiciels (qui est en charge ? À quel moment ? etc.).

  • Authentifier l’utilisateur

Présentation des différentes méthodes permettant d’authentifier les utilisateurs et ainsi de leur attribuer la méthode qui correspond le mieux aux documents qu’ils utilisent.

Evoquer les bonnes pratiques pour les mots/phrases de passe (conception, fréquences d’utilisation, etc.).

  • Nomadisme – Problématiques liées au BYOD (Bring your Own Devices)

Évoquer les risques liés à l’utilisation des terminaux mobiles personnels (PC et/ou Smartphone) dans la chaîne de sécurité de l’entreprise.

Présentation des publications/recommandations

  • Guides de l’ANSSI
  • Recommandations de la CNIL
  • Recommandations de la police et de la gendarmerie
  • Club de la Sécurité de l’information Français, Club des experts de la sécurité de l’information et du numérique (CLUSIF/CESIN), etc.
  • Observatoires zonaux de la Sécurité des systèmes d’information (SSI)
  • Les CERTs (Computer Emergency Response Team)

Il s’agit ici de sensibiliser les PME à l’importance de la veille sur les différentes documentations disponibles.

Présentation des différents métiers de l’informatique (infogérance, hébergement, développement, juriste, etc.)

Méthodologie pédagogique pour responsabiliser et diffuser les connaissances ainsi que les bonnes pratiques internes (management, sensibilisation, positionnement du référent en cybersécurité, chartes, etc.)

Insister sur les messages que le référent en cybersécurité doit transmettre aux utilisateurs finaux des entreprises. Présenter le principe des chartes informatiques que chaque utilisateur doit connaitre.

Maîtriser le rôle de l’image et de la communication dans la cybersécurité

  • Surveillance de l’e-réputation
  • Communication externe
  • Usage des réseaux sociaux, professionnel et personnel
  • Méthodologie d’évaluation du niveau de sécurité

Présentation d‘un audit de sécurité (réglementation, avantages, coût etc.).

  • Actualisation du savoir du référent en cybersécurité

Les découvertes en matière de cybersécurité sont nombreuses, rapides et les méthodes d’attaques évoluent en permanence. Il est donc nécessaire que le référent en cybersécurité connaisse les grandes actualités du domaine.

  • Gérer un incident / Procédures judiciaires

Identifier clairement le point de contact dans l’entreprise ainsi que son rôle (lien avec les services de police, résilience du SI de l’entreprise etc.).


Moyens pédagogiques

Formation présentielle (Exposés, cas pratiques, synthèse)