1

Introduction

• Terminologie ISO 27000, définitions de la menace. Vulnérabilité. Risques...
• Les exigences disponibilité, intégrité et confidentialité.
• La prise en compte de la traçabilité/preuve.
• Rappel des contraintes réglementaires et normatives (RGPD, LPM/NIS, PCI DSS...).
• Le rôle du RSSI versus le Risk Manager.
• La norme 31000, de l’intérêt de la norme “chapeau” en référentiel universel.

2

Le concept “risque SI”

• Identification et classification des risques.
• Origine des menaces (accidentelle, délibérée, environnementale).
• Les conséquences du risque (financier, juridique, humain...).
• La gestion du risque (réduction / diminution, évitement de risque, partage).
• Le cas particulier du risque numérique en "persistance" (APT).
• Comment agir sur le risque (avant, pendant, après l’incident).

3

Le management de risques selon l’ISO

• La méthode de la norme 27001:2022 et son processus de gouvernance par le risque.
• L’appréciation initiale en phase plan de la section 6 - Planification.
• L’évolution majeure de la norme 27005:2022 : Information Security Risk Management.
• La mise en œuvre d’un processus PDCA de management des risques.
• Le contexte, l’appréciation, le traitement, l’acceptation et la revue des risques.
• Les étapes de l’appréciation des risques (identification, analyse et évaluation).
• L’élaboration du plan de traitement sur la base des mesures de la norme ISO 27002.
• Le processus de sélection des mesures sur la base de attributs (Préventive, détective ou corrective).
• La choix des mesures de sécurité pour la déclaration d’applicabilité (SoA).

4

La norme ISO 27005:2022

• Introduction à la nouvelle norme ISO 27005:2022, l’influence de EBIOS RM.
• Le lien des processus de gestion des risques avec les processus du SMSI.
• L’analyse du risque cyber ciblé, comment analyser les APT.
• La cyber kill chain, les nouvelles sources de risques et leurs objectifs.
• Exemple d’échelle de calcul de vraisemblance/conséquences.
• L’approche de la gestion des risques par événement versus par actif.
• La description des scénarios stratégiques et opérationnels.
• La prise en compte du risque à travers l’écosystème.

5

Préparation et révision finale

• Mise en situation, tests de connaissance de type QCM, études de cas.
• Inventaire d'actifs, évaluation des menaces et vulnérabilités.
• Élaboration de plans de traitement des risques, etc.
• Examen blanc et corrigé interactif.
• Les astuces pour éviter les pièges.

6

Passage de l’examen

• Le déroulement de l'examen en ligne sera présenté la première journée de formation : contenu et règles à respecter.
• Les pré-requis techniques pour l’examen en ligne (webcam activée, connexion Internet).
• Le privilège administrateur pour installer le logiciel anti-triche, etc.
• Cet examen se déroule sur la plateforme d’examen en ligne TESTWE (testwe.eu).
• Si cet examen est passé dans les locaux d’Orsys, Orsys prend en charge la préparation du poste de travail du candidat.
• Le passage de l'examen chez Orsys s’accompagne du prêt au format papier des normes décrites durant la formation.
• Pour passer cet examen à distance, le candidat doit acquérir lui-même l’ensemble des normes au format papier.