Formation ISO 27001 Foundation

Leçon 1 • Facteurs commerciaux pour la sécurité de l'information

Examine la pression réglementaire, le risque de réputation et l'avantage concurrentiel comme motivateurs de sécurité. Prépare les étudiants à articuler le business case pour l'adoption de l'ISO 27001.

Leçon 2 • Menaces, vulnérabilités et risque

Explique la relation entre les menaces, les vulnérabilités et le risque en termes pratiques. Fournit le langage du risque nécessaire pour toutes les discussions ultérieures sur l'ISO 27001.

Leçon 3 • Qu'est-ce que la sécurité de l'information ?

Définit la sécurité de l'information et la distingue de la cybersécurité et de la sécurité informatique. Ancre le chapitre en établissant un vocabulaire partagé utilisé tout au long du cours.

Leçon 1 • Qu'est-ce qu'un SMSI ?

Définit le Système de Management de la Sécurité de l'Information comme un ensemble de politiques, processus et mesures. Établit le SMSI comme l'artefact central que les étudiants apprendront à construire et à auditer.

Leçon 2 • Historique et objectif de l'ISO 27001

Retrace l'évolution de la norme depuis les premiers codes de pratique jusqu'à la version actuelle. Contextualise pourquoi la norme existe et à qui elle est destinée.

Leçon 3 • Structure de la norme ISO 27001

Cartographie la disposition clause par clause de la norme, du périmètre à l'amélioration. Donne aux étudiants un cadre de navigation pour toute l'étude détaillée des clauses à venir.

Leçon 1 • Clause 4 : Contexte de l'organisme

Couvre l'analyse des questions internes et externes et l'identification des parties intéressées. Enseigne aux étudiants à définir le périmètre du SMSI en fonction des réalités organisationnelles.

Leçon 2 • Le cycle PDCA dans le contexte d'un SMSI

Cartographie les étapes Planifier, Dérouler, Vérifier et Agir avec les activités du SMSI et les clauses de l'ISO 27001. Fournit le modèle d'amélioration itérative qui sous-tend chaque chapitre suivant.

Leçon 3 • Clause 6 : Planification

Aborde l'identification des risques et opportunités, la méthodologie d'évaluation des risques et la fixation des objectifs. Relie les sorties de la planification aux activités de traitement du risque dans le chapitre suivant.

Leçon 1 • Options de traitement du risque

Couvre les quatre stratégies de traitement : modifier, éviter, partager et conserver. Relie chaque option à la sélection des contrôles de l'Annexe A et d'autres sources.

Leçon 2 • Conception du processus d'évaluation des risques

Établit des critères pour l'identification, l'analyse et l'évaluation des risques avant le début de toute évaluation. Garantit que les étudiants peuvent documenter une méthodologie reproductible et vérifiable.

Leçon 3 • Déclaration d'applicabilité

Explique l'objectif, le contenu requis et la maintenance de la Déclaration d'applicabilité. Démontre comment elle fait le pont entre les décisions de traitement du risque et la sélection des contrôles de l'Annexe A.

Leçon 4 • Identification et analyse des risques

Guide les étudiants à travers l'inventaire des actifs, le couplage menace-vulnérabilité et la notation du risque. Produit le registre brut des risques qui alimente les décisions de traitement.

Leçon 1 • Sensibilisation et communication

Aborde ce que le personnel doit savoir sur le SMSI et comment les plans de communication sont structurés. Garantit que le SMSI est compris et soutenu dans toute l'organisation.

Leçon 2 • Clause 8 : Planification et maîtrise opérationnelles

Couvre la planification et la maîtrise des processus qui mettent en œuvre les décisions de traitement du risque. Relie les contrôles opérationnels au plan de traitement du risque produit au chapitre 4.

Leçon 3 • Gestion des informations documentées

Explique les exigences de création, de contrôle et de conservation des documents et enregistrements du SMSI. Prépare les étudiants à construire un système de contrôle documentaire qui satisfait les auditeurs.

Leçon 1 • Contrôles technologiques

Analyse le contrôle d'accès, la cryptographie, la journalisation, la gestion des vulnérabilités et le masquage des données. Fournit le vocabulaire des contrôles techniques nécessaire pour les décisions de traitement du risque.

Leçon 2 • Contrôles organisationnels

Examine la politique, les rôles, le renseignement sur les menaces et les contrôles de sécurité des fournisseurs. Établit la couche de gouvernance qui permet à tous les contrôles techniques de fonctionner efficacement.

Leçon 3 • Contrôles physiques

Examine les contrôles de périmètre de sécurité, de protection des équipements, de bureau et écran clairs, et d'élimination sécurisée. Relie les mesures de protection physiques aux objectifs de protection des actifs informationnels.

Leçon 1 • Réalisation de l'audit interne

Parcourt les réunions d'ouverture, la collecte de preuves, la classification des constats et les réunions de clôture. Donne aux étudiants des compétences pratiques pour exécuter un audit de SMSI conforme.

Leçon 2 • Clause 9 : Surveillance et mesure

Définit quoi mesurer, comment le mesurer et quand analyser les résultats. Établit la base de métriques qui alimente la revue de direction et l'amélioration continue.

Leçon 3 • Conception du programme d'audit interne

Couvre la planification du programme d'audit, la définition du périmètre, la fréquence et la compétence des auditeurs. Prépare les étudiants à établir une fonction d'audit interne crédible et basée sur les risques.

Leçon 1 • Techniques d'analyse des causes racines

Présente les cinq pourquoi, les diagrammes d'Ishikawa et l'analyse par arbre de défaillances pour les non-conformités du SMSI. Garantit que les actions correctives s'attaquent aux causes plutôt qu'aux symptômes.

Leçon 2 • Comprendre les non-conformités

Distingue les non-conformités majeures des mineures et explique leur impact sur la certification. Fournit les connaissances de classification nécessaires avant que l'action corrective puisse commencer.

Leçon 3 • Processus d'action corrective

Structure le flux de travail de l'action corrective, du constat à la vérification de l'efficacité. Relie les actions correctives au registre des risques et aux mises à jour des contrôles.