Gouvernance de la cybersécurité - Stratégie, conformité et gestion des risques
0/10
(0 avis)
Formation créée le 22/05/2025. Dernière mise à jour le 23/05/2025.
Version du programme : 1
Programme de la formation
Objectif de la formation : Acquérir les compétences nécessaires pour piloter la gouvernance de la cybersécurité au sein d'une organisation, en alignant les stratégies de sécurité sur les objectifs d'affaires, en assurant la conformité réglementaire et en gérant efficacement les risques liés aux systèmes d'information.
Objectifs de la formation
- Comprendre les principes fondamentaux de la gouvernance de la cybersécurité.
- Identifier et évaluer les risques liés à la sécurité des systèmes d'information.
- Mettre en œuvre des politiques et des procédures de sécurité conformes aux normes et réglementations en vigueur.
- Superviser la gestion des incidents de sécurité et assurer la continuité des activités.
- Communiquer efficacement avec les parties prenantes sur les enjeux de cybersécurité.
Profil des bénéficiaires
Pour qui
- Responsables de la sécurité des systèmes d'information (RSSI)
- Directeurs des systèmes d'information (DSI)
- Responsables de la conformité et du contrôle interne
- Chefs de projet IT et sécurité
- Consultants en cybersécurité
- Membres de la direction générale impliqués dans la gouvernance IT
Prérequis
- Connaissances de base en systèmes d'information et en gestion des risques.
- Expérience professionnelle dans le domaine de l'IT ou de la sécurité souhaitée.
Contenu de la formation
-
Définir la gouvernance de la cybersécurité (2h)
- Concepts fondamentaux : cybersécurité, gouvernance, SSI vs cybersécurité
- Gouvernance IT vs gouvernance cyber : périmètre, objectifs, interactions
- Enjeux stratégiques, réputationnels, opérationnels et juridiques
- Rattachement hiérarchique du RSSI, rôles du COMEX
- Activité pratique : Décryptage d’une organisation cible fictive et analyse des failles de gouvernance. Proposition d’une chaîne de gouvernance adaptée.
-
Cadres normatifs et référentiels de la cybersécurité (2h)
- Normes ISO 27001, ISO 27002, NIST CSF, COBIT 5, EBIOS RM
- Cybersécurité et responsabilité juridique : principes de redevabilité, traçabilité, preuve
- Panorama des lois sectorielles : santé, finance, industrie
- Activité pratique : Cartographie des référentiels adaptés à un secteur d’activité. Identification des écarts et recommandations de mise en conformité.
-
Définir les rôles, responsabilités et acteurs (3h)
- Parties prenantes : COMEX, DSI, métiers, prestataires, utilisateurs
- RACI cybersécurité : formalisation des responsabilités
- Intégrer la sécurité dans les comités projet et les processus métiers
- Activité pratique : Création d’un schéma de gouvernance opérationnelle adapté à une PME ou à une collectivité. Jeu de rôles autour d’un comité de pilotage cybersécurité fictif.
-
Évaluer les risques cyber de manière structurée (2h)
- Définition d’un risque cyber et ses composantes (menace, vulnérabilité, impact)
- Méthodologies : ISO 27005, EBIOS RM, approche pragmatique
- Matrice de criticité, cartographie des risques et plans de traitement
- Activité pratique : Application d’une démarche de cartographie sur un cas concret (entreprise fictive). Discussion collective sur les stratégies de traitement retenues.
-
Assurer la conformité réglementaire (2h30)
- Obligations légales en matière de SSI : RGPD, LPM, NIS2
- Notions clés : accountability, privacy by design, notification d’incident
- Exigences spécifiques : auditabilité, log, gestion des accès, droit du travail
- Activité pratique : Réalisation d’un mini-audit de conformité RGPD et SSI à partir d’un scénario. Évaluation des écarts et rédaction de recommandations concrètes.
-
Déployer une politique cybersécurité efficace (2h30)
- Structure type d’une politique SSI (charte, PSSI, référentiels associés)
- Intégration dans les processus RH, achats, gestion des accès, etc.
- Mécanismes de sensibilisation et formation
- Activité pratique : Co-construction en groupe d’un plan de communication cybersécurité interne. Simulation d’une réunion de lancement de PSSI auprès de managers.
-
Réagir aux incidents et organiser la continuité (3h)
- Détection, qualification, escalade : rôle du SOC et du CERT
- Plans de réponse aux incidents, PCA/PRA, exercices de crise
- Retour d’expérience et capitalisation
- Activité pratique : Simulation de gestion de crise : attaque par ransomware en pleine période critique. Débrief collectif, identification des points forts et faiblesses de la réponse.
-
Piloter la performance de la cybersécurité (2h)
- Définir des indicateurs de pilotage (KPI/KRI)
- Tableaux de bord, reporting à la direction, scorecards
- Organisation des revues SSI périodiques
- Activité pratique : Construction d’un tableau de bord cyber avec 5 indicateurs pertinents pour un comité exécutif. Argumentation sur les choix retenus et les messages associés.
-
Instaurer une culture cybersécurité (2h)
- Freins culturels, silos métiers, sous-estimation des risques
- Bonnes pratiques pour mobiliser durablement les équipes
- Leviers managériaux et communicationnels
- Activité pratique : Création d’un programme de sensibilisation sur 6 mois (cibles, supports, planning). Présentation orale et feedback croisé entre groupes.
Équipe pédagogique
Professionnel expert technique et pédagogique.
Accessibilité
17 au 19 septembre 2025