Implémenter et gérer un projet ISO 27001:2013

Ref: DO 07

RSSI, Risk Managers, directeurs ou responsables informatiques, MOE/ MOA, ingénieurs ou correspondants Sécurité, chefs de projets, auditeurs internes et externes, futurs « audités ».

Expliquer les composants d’un système de management de la sécurité de l’information (SMSI) conforme à ISO 27001.
Expliquer le contenu et la corrélation entre ISO 27001 et 27002 ainsi qu’avec d’autres normes et cadres réglementaires.
Adapter les exigences de la norme ISO 27001 au contexte spécifique d’un organisme
Interpréter les exigences d’ISO 27001 dans

Alternance d’exposés et d’applications pratiques.
Les moyens pédagogiques et les méthodes d’enseignement utilisés sont principalement : aides audiovisuelles, documentation et support de cours, exercices pratiques d’application et corrigés des exercices pour les stages pratiques, études de cas ou présentation de cas réels pour les séminaires de formation.

Terminologie ISO 27000 et ISO Guide 73.
Définitions : menace, vulnérabilité, protection.
La notion de risque (potentialité, impact, gravité).
La classification CAID (Confidentialité, Auditabilité, Intégrité, Disponibilité).
La gestion du risque (prévention, protection, report, externalisation).
Analyse de la sinistralité. Tendances. Enjeux.
Les réglementations SOX, PCI-DSS, COBIT. Pour qui ? Pourquoi ? Interaction avec l’ISO.

Définition d’un Système de Gestion de la Sécurité des Systèmes (ISMS).
Objectifs à atteindre par votre SMSI.
L’approche « amélioration continue » comme principe fondateur, le modèle PDCA (roue de Deming).
La norme ISO 27001 intégrée à une démarche qualité type SMQ.
Détails des phases Plan-Do-Check-Act.
De la spécification du périmètre SMSI au SoA (Statement of Applicability).
Les recommandations de l’ISO 27001 pour le management des risques.
De l’importance de l’appréciation des risques. Choix d’une méthode type ISO 27005:2011.
L’apport des méthodes EBIOS et MEHARI dans leur démarche d’appréciation.
L’adoption de mesures de sécurité techniques et organisationnelles efficientes.
Les audits internes obligatoires du SMSI. Construction d’un programme.
L’amélioration SMSI. La mise en œuvre d’actions correctives et préventives.
Les mesures et contre-mesures des actions correctives et préventives.
L’annexe A en lien avec la norme 27002.

Objectifs de sécurité : Disponibilité, Intégrité et Confidentialité.
Structuration en domaine/chapitres (niveau 1), objectifs de contrôles (niveau 2) et contrôles (niveau 3).
Les nouvelles bonnes pratiques ISO 27002:2013, les mesures supprimées de la norme ISO 27001:2005. Les modifications.
La norme ISO 27002:2013 : les 14 domaines et 113 bonnes pratiques.
Exemples d’application du référentiel à son entreprise : les mesures de sécurité clés indispensables.

Des spécifications sécurité à la recette sécurité.
Comment respecter la PSSI et les exigences de sécurité du client/MOA ?
De l’analyse de risques à la construction de la déclaration d’applicabilité.
Les normes ISO 27003, 15408 comme aide à la mise en œuvre.
Intégration de mesures de sécurité au sein des développements spécifiques.
Les règles à respecter pour l’externalisation.
Assurer un suivi du projet dans sa mise en œuvre puis sa mise en exploitation.
Les rendez-vous « Sécurité » avant la recette.
Intégrer le cycle PDCA dans le cycle de vie du projet.
La recette du projet, comment la réaliser ? Test d’intrusion et/ou audit technique ?
Préparer les indicateurs. L’amélioration continue.
Mettre en place un tableau de bord. Exemples.
L’apport de la norme 27004.
La gestion des vulnérabilités dans un SMSI : scans réguliers, Patch Management..

La propriété intellectuelle des logiciels, la responsabilité civile délictuelle et contractuelle.
La responsabilité pénale, les responsabilités des dirigeants, la délégation de pouvoir, les sanctions. La loi LCEN.
Conformité ISO et conformité juridique : le nouveau domaine 18 de la norme ISO 27002:2013.

Intérêt de cette démarche, la recherche du « label ».
Les critères de choix du périmètre. Domaine d’application. Implication des parties prenantes.
L’ISO : complément indispensable des cadres réglementaires et standards (SOX, ITIL®…).
Les enjeux économiques escomptés.
Organismes certificateurs, choix en France et en Europe.
Démarche d’audit, étapes et charges de travail.
Norme ISO 27006, obligations pour les certificateurs.