Certification professionnelle

1. Identifier et collecter les enjeux de la sécurité d'un système d'information en prenant en compte toutes les dimensions (technique, organisationnelle, humaine, juridique, réglementaire) de la problématique SSI.

   
   1.1 Identifier les problématiques de sécurité spécifiques à un système d'information sous l'aspect technique et organisationnel ; 
   1.2 Poser les questions pertinentes sur la sécurité d'un système d'information afin de capturer au mieux les besoins auprès des différents interlocuteurs ;
   1.3 Recenser les contraintes d'ordre technique, organisationnel, juridique et réglementaire pouvant impacter la SSI ;

   Mener, de manière formelle, l'analyse de risque d'un projet relatif à un système d'information complexe afin d'identifier les besoins en sécurité, les menaces et les risques, et d'en déduire les objectifs de sécurité.

   1.4 Identifier et définir les besoins de sécurité propres à un système d'information complexe ;
   1.5 Mener une analyse de risque complète, de manière rationnelle, sur un système complexe ;
   1.6 Mettre en pratique une méthode d'analyse de risque (par exemple la méthode EBIOS) ;
   1.7 Rédiger, en respectant le formalisme retenu, les documents synthétisant les besoins de sécurité, les menaces, les objectifs de sécurité ;   

   Conseiller ou convaincre un donneur d'ordre (autorité, chef de projet, chef DSI...) dans le domaine de la SSI;

   1.8 Présenter une analyse de sécurité à un non-expert en SSI et le convaincre ;
   1.9 Synthétiser les documents formels sous la forme de fiches brèves accessibles à un non-expert, ne conservant que les points saillants(risques résiduels, points durs techniques, impacts opérationnels).

Exercices (écrits ou oraux) qui portent sur les enjeux de sécurité d’un système d'information. Évaluation du candidat sous la forme d’une mise en situation d’analyse de risque (réalisée en groupe) avec restitution des résultats (sous forme orale). Enfin, le candidat effectue une mise en situation professionnelle (sur plusieurs mois) sur un sujet SSI, dont la problématique contient une composante technique importante, et donnant lieu à la rédaction d'un mémoire et d'une soutenance orale devant un jury. Ce dernier est composé d'experts SSI, de représentants de divers ministères, et de responsables de la formation.

Identifier et préciser les risques liés à un système d’information. Analyser les forces et faiblesses des produits de sécurité, notamment ceux mettant en œuvre des mécanismes cryptographiques.

2.1 Identifier et recenser sur un système d'information les principes et les mécanismes mis en œuvre pouvant remettre en cause les besoins de sécurité. Identifier les vulnérabilités techniques et les menaces les exploitant applicables au système d'information étudié ; 
2.2 Mettre en œuvre ou faire mettre en œuvre de manière appropriée les mécanismes de sécurité, notamment en définissant les contraintes d'installation, de configuration et d'utilisation ; 
2.3 Analyser les vulnérabilités d'un système d'information et en dégager les causes. Porter un regard critique sur un système informatique et sur ses mécanismes de sécurité, afin d'évaluer le niveau de risque et de faire des propositions d'amélioration. Établir une architecture et définir un ensemble de solutions techniques pour protéger un système d’information selon des besoins de sécurité connus et selon les grands axes de la défense en profondeur. Faire des recommandations relatives à la SSI auprès d’un spécialiste technique d’un système d’information ;
2.4 Étudier la satisfaction des besoins dans les mécanismes de sécurité mis en œuvre. Proposer des équipements et des dispositifs (techniques ou non) pour réduire les risques pour le système d'information en fonction des besoins de sécurité identifiés ; 
2.5 Appliquer le principe de défense en profondeur (notamment selon les 5 axes : prévenir, bloquer, limiter, détecter, réparer) dans une architecture de sécurité ; 
2.6 Améliorer la sécurité d'un système informatique dans son ensemble et dans chacune de ses différentes composantes ; 
2.7 Concevoir et faire appliquer les bonnes pratiques.

Le candidat est évalué sur ses compétences en cryptographie, sécurité des systèmes, et des réseaux au moyen d'examens écrits et de questions orales portant sur des sujets techniques en SSI.
Le candidat effectue également un mini-projet en sécurité logicielle. Enfin le candidat effectue une mise en situation professionnelle (sur plusieurs mois) sur un sujet SSI, dont la problématique contient une composante technique importante, et donnant lieu à la rédaction d'un mémoire et d'une soutenance orale devant un jury.

Estimer soi-même le niveau de sécurité d’un système d’information.

3.1 Identifier les vulnérabilités d'un système d'information, notamment par l'emploi d'outils.
3.2 Juger du niveau de sécurité d'un système d'information sur la base d'une analyse de son architecture, des composants le constituant, et des informations obtenues par audits et inspections.
3.3 Utiliser des outils d'audit.
3.4 Rédiger un rapport sur l'audit mené, recensant les vulnérabilités identifiées et proposant des mesures accompagnées d'une analyse d'efficacité. Diriger et préparer un audit. Prendre en compte les résultats d’un audit. Élaborer et conduire un plan d’action.
3.5 Définir et faire appliquer une stratégie d'audit.
3.6 Appliquer de manière pertinente les recommandations émises à la suite d'un audit, après en avoir analysé l'efficacité et les conséquences opérationnelles.
3.7 Élaborer un plan d'action. Élaborer une démarche d’homologation et bien la conduire.
3.8 Définir une démarche d'homologation détaillée et rédiger le dossier associé.
3.9 Conduire une démarche d'homologation conformément à un plan établi, et en restituer l'avancement et les résultats dans des documents formels.
3.10 : Conseiller l'autorité d'homologation.

Réalisation d'audits sous forme de travaux pratiques. L'objectif est de superviser la réalisation d’un audit technique, d’organiser et choisir différentes prestations d’audit (type de prestation, contour retenu, etc.). Les candidats doivent ensuite appliquer la méthodologie d’audit, ainsi que des méthodes plus détaillées selon les domaines. On évalue également les candidats par le biais de la réalisation d'un mini-projet sur une étude de cas portant sur une analyse de risque et une homologation (avec restitution orale).

Contribuer à maintenir la sécurité d’un système, en relation avec les acteurs du projet, les spécialistes informatiques, les administrateurs et les RSSI.
 

4.1 Identifier les acteurs d'un projet, leur rôle et leurs besoins.
4.2 Sensibiliser à la SSI, à un niveau approprié, chacun des acteurs identifiés.
4.3 Situer une action SSI et agir dans le cycle de vie d'un projet de manière pertinente.
 

Veiller sur les dernières vulnérabilités, menaces et produits de sécurité et les analyser. Évaluer les impacts d’une vulnérabilité ou d’une menace.
 

4.4 Veiller sur les évolutions techniques, technologiques, les offres de produits et de services dans le domaine de la SSI, ainsi que sur les nouvelles menaces.
4.5 Porter un regard critique et pertinent sur des articles publiés ou des communications dans le domaine de la SSI.
4.6 Analyser l'impact de nouvelles vulnérabilités sur le système d'information considéré, ainsi que l'efficacité et les impacts opérationnels des éventuelles contre-mesures proposées.
 

Gérer un incident de sécurité.
 

4.7 Faire appliquer la réglementation et les bonnes pratiques dans la gestion des incidents.
4.8 Mettre en place des mesures pertinentes pour limiter les impacts d'un incident

Le candidat est évalué sur la réalisation d'un mini-projet sur le thème « management de la sécurité » et sa restitution orale. Le candidat doit écrire et soutenir à l’oral une étude bibliographique sur une vulnérabilité liée à la SSI, identifiée par des articles scientifiques et/ou grand public.