Gérer les risques et la continuité métier : ISO27005 et ISO 22301

Programme : ISO/CEI 27005 – Security Risk Manager

Chapitre 1 – Cas pratiques : analyses d’accident

• Exemples : un accident impliquant un SCADA, une cyberattaque
• Analyse des causes des accidents : contexte, environnement, organisation, équipements, Système d’Informations
• Conclusion sur les risques pris
• Réflexion sur les leçons à tirer de ces événements

Chapitre 2 : Présentation de l’ISO 27005

• Place de l’ISO 27005 dans la famille des ISO 27000 et parallèle avec l’ISO 31000
• Définitions utilisées (ISO 27000)
• Logique d’exploitation de l’ISO 27005 (contexte, domaine d’étude, implication de la direction)
• L’établissement des échelles d’évaluation
• Introduction de la méthode EBIOS RM pour renforcer l’analyse de risques
• Utilisation de cas pratiques pour appuyer les éléments traités ci-dessus

Chapitre 3 : L’appréciation des risques

• Identifier, analyser, évaluer les risques
• S’appuyer sur les annexes de l’ISO 27005
• Traiter les risques
• S’appuyer sur des outils d’analyse de type AMDEC, Bow Tie Analysis
• Utilisation de cas pratiques pour appuyer les thématiques vues ci-dessus

Chapitre 4 : Le traitement des risques

• Introduction au facteur humain et aux organisations : aspects de vulnérabilité et aspects de rattrapage d’erreurs
• Réflexions sur les possibilités que cela offre en matière de traitement des risques
• Utilisation de l’ISO 27002 pour rechercher des solutions
• Contrôler le risque en assurant un suivi de l’efficacité des mesures – Utilisation de l’ISO 27004 pour définir des métriques

Chapitre 5 : Étude de cas

• Récapitulatif autour d’un cas pratique : effectuer une analyse de risques dirigée, rechercher des moyens de traitement, les justifier
• Organiser le recueil des incidents et les traiter
• Organiser le retour d’expérience et l’exploiter dans l’analyse de risques, le traitement des risques et la démarche d’amélioration continue
• Repérer les « signaux faibles » pour renforcer la démarche d’amélioration continue et anticiper les risques
• Réflexions sur la culture de sécurité dans les SI

Programme : Continuité d’activité et préparation à la gestion de crise – ISO 22301

Présentation de l’ISO 22301 :

• Introduction à la continuité des activités
• Études de cas
• Le SMCA – Généralités

Dérouler l’ISO 22301 :

• L’organisme et son contexte externe et interne
• Mise en place du SMCA
• Le Bilan d’Impact sur les Activités
• Apprécier les risques
• Construire les solutions
• Plans et procédures
• Contrôler le SMCA

Le guide SGDSN :

• Généralités
• Le contexte
• Se fixer les objectifs de continuité
• Apprécier et traiter les risques
• La stratégie de continuité d’activité
• Mise en œuvre du PCA

Se préparer à une crise :

• L’organisation dans les turbulences
• Responsabilité et subsidiarité
• Retour sur le guide SGDSN
• Agir sur la crise

Prérequis incontournable dans le cadre de la certification RS6399 :

• Une bonne connaissance des systèmes d’information des organisations est nécessaire.
• Le candidat devra produire un CV justifiant d’une expérience d’au moins trois ans dans la gestion des systèmes d’information dont au moins 1 an en tant que participant à une démarche d’analyse des risques et cela dans les 5 dernières années

Si vous souhaitez passer la certification en lien avec la continuité d’activité (non obligatoire), les participants doivent disposer en plus des compétences et expériences suivantes :

Expérience professionnelle

• Une expérience d’au moins un an dans une fonction managériale est recommandée pour la partie gestion de crise et continuité d’activité.

Connaissances requises

• Connaissance des différents processus métiers liés à la gestion de la continuité des activités.
• Connaissances générales sur la gestion des risques et les principes de qualité en entreprise.

Projet professionnel

• Un projet d’implication dans la mise en œuvre d’un plan de continuité des activités au sein de l’organisation est un atout.

Certification ISO 22301 – Continuité d’activité et préparation à la gestion de crise

La certification Bescertifs ISO 22301 se déroule en distanciel via la plateforme exam.bestcertifs.com et dure 2 heures. Elle comprend :

1. Enregistrement vidéo de présentation individuelle (1 à 3 minutes) :

   • Présentation de votre carte d’identité pour identification.
   • Présentation personnelle : Nom, Prénom, situation professionnelle actuelle et lien avec la certification.

2. Examen écrit :

   • 50 questions à choix multiple (QCM) évaluant la maîtrise des concepts liés à l’ISO 22301 et à la gestion de crise.

Certification ISO 27005 – Security Risk Manager

Cette certification, inscrite au Répertoire Spécifique sous le numéro RS 6399 (SKILLS4ALL), évalue la capacité à évaluer et traiter les risques de sécurité de l’information selon l’ISO 27005.

L’examen se déroule en distanciel et dure 2 heures. Il comprend :

1. Questionnaire écrit :

   • Questions à choix multiple (QCM) et questions ouvertes sur l’analyse et la gestion des risques liés aux systèmes d’information.
2. 
   

   Production de livrables :

   • Stratégie d’évaluation et de traitement des risques (références aux exigences ISO 27005 et au cas étudié).
   • Plans de traitement des risques et analyse des ressources nécessaires.
   • Programme de mise en œuvre du plan de traitement (définition des ressources et actions à mobiliser).
3. 
   

   Présentation orale au format vidéo :

   • Le candidat présent et défend son travail comme devant un comité de direction.
   • L’évaluation porte sur la capacité à agir en situation et à proposer des solutions adaptées.

Informations supplémentaires pour la certification ISO 27005

• Avant de passer l’examen, le candidat devra renseigner des informations personnelles (nom, prénom, expérience professionnelle, poste actuel, etc.).
• Ces données sont collectées pour éditer le certificat et évaluer l’impact économique et social de la certification.
• L’évaluation repose sur une mise en situation professionnelle reconstituée, basée sur un cas réel anonymisé d’une organisation souhaitant mettre en place une analyse des risques pour protéger ses activités essentielles.
• Les normes associées incluent plusieurs standards de la famille ISO 27000 (27001, 27002, 27003, 27004, 27005, 27006, 27007, 27008).

Cette formation certifiante permet de préparer la certification inscrite au Répertoire Spécifique de France Compétence “Évaluer et traiter les risques de sécurité de l’information en s’appuyant sur la norme NF ISO 27005 (ISO/CEI 27005 – Security Risk Manager)” sous le numéro RS6399.

De manière plus large, cette formation complète permet de maîtriser la gestion des risques et la continuité d’activité afin d’assurer la sécurité et la résilience de l’organisation face aux menaces.

À l’issue de cette formation, les participants seront capables de :

• Identifier, évaluer et traiter les risques liés aux systèmes d’information en s’appuyant sur l’ISO 27005 et la méthodologie RM Ebios.
• Comprendre et appliquer l’ISO 22301 pour mettre en place un plan de continuité d’activité efficace.
• Anticiper et gérer les crises en analysant les vulnérabilités, en élaborant des plans d’urgence et en assurant une reprise rapide des opérations.
• Coordonner les équipes en situation de crise, mettre en place des systèmes de surveillance et effectuer des tests pour garantir l’efficacité des plans de continuité.
• Sensibiliser et former les collaborateurs afin d’adopter une culture de résilience et de gestion des risques.
• Assurer le suivi et l’amélioration continue des dispositifs en réalisant des audits et en s’adaptant aux évolutions technologiques et normatives.

Ce programme s’adresse aux professionnels souhaitant développer leurs compétences en gestion des risques et en continuité d’activité pour mieux protéger leur organisation et assurer son bon fonctionnement en cas de crise.

La certification RS6399 Évaluer et traiter les risques de sécurité de l’information en s’appuyant sur la norme NF ISO 27005 (ISO/CEI 27005 – Security Risk Manager) permet de valider les compétences suivantes :

C1. Identifier les processus métiers sensibles et stratégiques et leur système d’information associé en s’appuyant sur une analyse SWOT de l’environnement et de l’entreprise afin de garantir la cohérence des décisions de traitements des risques avec la stratégie de l’entreprise

C2. Délimiter le domaine d’application (périmètre d’action) sur lequel s’exerce l’analyse de risque en synthétisant toutes les informations collectées issus de groupes de travail collaboratifs et de la documentation de l’entreprise afin de définir la stratégie d’évaluation et de traitement des risques

C3. Construire et hiérarchiser par criticité des scenarii de dysfonctionnement ou d’agression en s’appuyant sur les personnes ressources compétentes afin de retenir les scénarii les plus critiques en fonction de leur probabilité et de leurs impacts

C4. Elaborer les plans de traitement des risques (intégrant l’impact, la probabilité et les risques résiduels) en s’appuyant sur l’analyse des scenarii afin de permettre à la direction de l’entreprise de choisir les plus pertinents au regard de la stratégie de l’entreprise

C5. Accompagner l’entreprise dans la mise en œuvre du plan de traitement en s’appuyant sur des indicateurs de suivi des dysfonctionnements et en collectant de retours d’expérience afin de s’assurer de son efficacité dans le temps

C6. Favoriser une culture de la gestion du risque lié au système d’information dans l’organisation en facilitant les remontées d’incidents de sécurité de l’information et leur analyse afin de pérenniser les bénéfices obtenus de la démarche

Plus d’information : https://www.francecompetences.fr/recherche/rs/6399/

Formation en digital-learning, 100% en ligne, formée de vidéos, de quiz, de lectures et contenus complémentaires, d’un forum et selon les cas, de webinaires.

– conformément aux CGU du CPF (https://www.moncompteformation.gouv.fr/espace-public/conditions-generales-dutilisation) votre formation a une date de début et une date de fin contractuelle et convenues au moment de votre demande auprès du CPF. La formation doit avoir été réalisée entièrement à la date de fin de la formation.

– conformément aux CGU du CPF, vous serez présenté automatiquement à la fin de la période de formation au certificateur français inscrit au CPF. La planification de l’examen sera réalisée avec le certificateur français directement.

– si votre formation comprend une ou plusieurs certifications internationales, vous devrez nous en passer commande au maximum 1 mois après la date de fin de votre formation. Cette demande se fait par mail à l’adresse contact@skills4all.com. Si cette date est dépassée, il ne sera plus possible de passer commande de(s) la certification(s) internationale(s).

– nous vous encourageons à lire attentivement nos conditions d’usage de notre plateforme disponibles ici (https://lms.skills4all.com/admin/tool/policy/viewall.php). Ces conditions rappellent également les cas de force majeure acceptables en cas d’impossibilité de suivre la formation ou de passer sa certification.

Skills4All est le spécialiste des formations certifiantes sur les métiers du digital :

• Cybersécurité
• Intelligence artificielle
• Agilité
• Gestion de projet
• Automatisation
• Marketing digital
• Développement Web
• etc…

Notre spécificité : vous apprenez où vous voulez, quand vous voulez, grâce à une plateforme accessible 24/7/365 et un accompagnement spécifique. Nos formations ciblent les besoins du marché d’aujourd’hui et vous permettent d’acquérir les compétences clés des secteurs en pleine expansion.

Skills4All est accrédité par le COFRAC (Comité Français d’Accréditation) dans le domaine de la sécurité de l’information, selon la norme ISO 17024, la plus exigeante aujourd’hui. Cette reconnaissance garantit la qualité et la fiabilité de nos offres.

Le monde actuel n’a jamais eu autant besoin de compétences certifiées ; nous avons les cursus adaptés à vos ambitions.