Formation Sécurité des systèmes d’information

  • Durée

    1 jour
  • Pré-requis

    Aucun
  • Public

    Le Responsable de la Sécurité du Système d’Information (RSSI) de l’établissement de santé, les Chefs de Projet informatique et utilisateur, Le Directeur des Systèmes d’Information, Le Directeur de l’Informatique Médical (DIM)
  • Objectif

    Identifier les différents domaines de la sécurité et de la maîtrise des risques liés aux informations

    Disposer d’information sur les tendances actuelles, que ce soit dans les menaces ou dans les solutions à notre disposition.

    Connaître les principaux outils et acteurs du marché (y compris logiciels libres), avec à chaque étape une présentation des forces et des faiblesses des solutions existantes

  • Contenu

    1. Introduction :
    • Trois messages fondamentaux, « véritables piliers » de l’architecture de sécurité
    1. Approche globale
    • La gestion de l’urgence
    • La réponse Best Practice standardisée et/ou institutionnelle ASIP
    • La mise en place de la séparation des pouvoirs : la mise en place de la voie fonctionnelle de sécurité
    1. L’approche best practices ISO 27002
    • La structure de la norme 27002
    • Les thèmes
    • La consolidation dans le référentiel et la PGSSI S
    1. Rappel rapide des enjeux juridiques
    • Métier, Professionnels de santé et RGS
    • Civil
    • Pénal et plus particulièrement Informatique et libertés
    • Contractuel, ASIP
    • Disciplinaire
    • Les principes, obligations, potentialités et limites de la délégation
    1. La formalisation des enjeux métier
    • L’identification des informations et processus métier
    • La formalisation des sensibilités et la classification DIC(T)
    • L’héritage des besoins sur les ressources du SI
    • La réutilisation dans les projets et l’expression des besoins par les maîtrises d’ouvrage
    • Les erreurs classiques
    • Exercice
    1. L’identification des menaces et des risques
    • L’identification des risques inhérents à la mission de l’entité et aux maîtrises d’ouvrage
    • L’analyse de risque, norme 27005
    • Les menaces et les vulnérabilités
    • Les erreurs
    • Les accidents
    • La malveillance
    • Les caractéristiques (compétences, temps, motivations, moyens, connaissance au préalable du contexte, et ignorance)
    • L’utilisation détournée des outils
    • L’exploitation malveillante des vulnérabilités
    • La formalisation d’une échelle de valeurs sur les plausibilités/vraisemblance
    • La formalisation d’une échelle de valeurs sur les impacts/gravité
    • La cartographie des risques
    • Le rôle des managers et des RSSI sur l’identification des risques et la validation des risques résiduels
    • Exemples
    • L’évocation de la sensibilisation des utilisateurs aux bonnes pratiques dans la diminution de la plausibilité et de l’impact

     

    1. La phase de conception, l’intégration native dans les projets
    • La mise en œuvre de la sécurité dans un projet (27003, 27004)
    • La mise en production
    • Les règles de maintenance
    1. La phase d’audit
    • Les audits de sécurité, contrôles de conformité
    • L’utilisation des checklists de vulnérabilités identifiées
    • L’utilisation des tests d’intrusion
    1. Le plan de sécurité où comment répondre aux besoins ?
    • Modélisation du volet technique du SI
    • Les domaines (organisationnels et techniques)
    • La cible
    • Les étapes et leurs corrélations pour atteindre la cible
    • Vision détaillée des étapes et des mesures
    • Elaboration des tableaux de bord
    • Comment concevoir la sensibilisation
    1. La sécurité des accès, vulgarisation
    • Le filtrage réseau
    • Le filtrage applicatif
    • Les profils d’habilitation
    • L’identification, authentification forte, mutuelle et non re-jouable
    • Les VPN de télé accès et pair à pair
    • Les SSO
    • Les IDS / IPS
    • L’audit et le logging
    • Les interconnexions avec DMZ et FIREWALL
    • Les architectures déclinées périmétriques puis en profondeur
    1. La sécurité des échanges, vulgarisation technique
    • Objectifs
    • L’anti spam
    • Les fonctions symétriques (forces et faiblesses)
    • Les fonctions asymétriques (forces et faiblesses)
    • Les combinaisons type SSL, TLS, …
    • Les architectures de certificat et les questions organisationnelles
    1. La sécurité des Stations et Serveurs
    • Le cas des programmes pernicieux
    • Les virus
    • Les vers
    • Les spywares
    • Les malwares
    • Les bombes logiques
    • Les chevaux de Troie
    • Les hoax
    • Les typologies de solution
    • Les bases de signatures
    • Les contrôles de checksum
    • Les heuristiques
    • Les boites à sable
    • Les filtres
    • Les bonnes pratiques et procédures
    • Linux, Unix
    • Windows
    • Les smartphones et tablettes
    • Les évolutions
    1. Synthèse, plans d’actions et conclusion

     

  • Méthodes pédagogiques

    L’approche méthodologique participative permet des échanges entre les participants et le formateur sur des retours d’expériences concrets. Le formateur pressenti accompagne les RSSI de plusieurs établissements de santé dans l’accomplissement de leurs missions
Télécharger le programme