Cours de scurit avance

La scurit de linformation et la cyber-scurit sont des sujets qui font partie intgrante
des organisations et deviennent un enjeu incontournable pour les auditeurs. Ces derniers
doivent comprendre les risques lis la scurit de linformation et les approches pour
auditer ces risques afin de sassurer que lorganisation les gre correctement.

laide de prsentations, de discussions et de dmonstrations, ce cours permettra aux

auditeurs de dvelopper une stratgie daudit pour plusieurs enjeux de scurit de
linformation, surtout les nouveaux enjeux touchant la cyber-scurit.

Les participants pourront galement connaitre les diffrents outils utiliss pour faire une
valuation adquate de ltat de la scurit de linformation dans les organisations.

Proposition de cours
Dure : Deux jours
Connaissance : Intermdiaire
Pr-requis : Aucun
Prparation : Aucune
Format de livraison : Sminaire sur place
Titre du cours : Scurit de linformation, lments avancs

1
Rappel des concepts de base de la scurit
Notions dactifs informationnels
Rles et responsabilits en scurit de linformation
Classification de linformation
Le rle de lhumain dans la protection de linformation
Considrations pour les auditeurs

Gestion des identits et des accs (GIA)

Les processus de la GIA

Larchitecture fonctionnelle et logique de la GIA
Les outils disponibles
La gestion du programme GIA avec diffrents modles (RBAC, ABAC,
fdrations)
Considrations pour les auditeurs

Scurit des systmes dexploitation et des serveurs

Types de systmes dexploitation et fonctionnement (Unix, Windows, Linux,

Android, etc_
Vulnrabilits des systmes dexploitation
Configuration
Virtualisation
Considrations pour les auditeurs

Scurit des bases de donnes

Installation scuritaire
Configuration scuritaire
Gestion de la scurit dune base de donnes
Considrations pour les auditeurs

La scurit des applications WEB

Architecture des applications WEB et sparation logique des services
Notion de zone dmilitarise
Concepts de bastion
Classification des rseaux
Scurit des serveurs et des postes clients
Principales attaques sur les applications WEB
Contrles et scurit des applications WEB et gestion du code source
Considrations pour les auditeurs

2
Attaques de scurit
Deni de services
numration
Lhomme du milieu
Injection SQL
Rootkits
Etc.
Considrations pour les auditeurs

Mthodologies dattaque
Mthodes dattaques
Techniques non destructives et techniques destructives
Exemples dune attaque rseau
Outils utiliss par les hackers
Vulnrabilits contrler et dtection par des outils scan
Considrations pour les auditeurs

Surveillance du rseau
Dtection dattaques
Suivi de la performance
Mtriques de gestion
Outils de diagnostic, de surveillance et de performance
Considrations pour les auditeurs

Gestion des incidents-lments avancs

Rseaux sans fils et VoIP-lments avancs

Protocoles et modles
Authentification et encryption
Rseaux ad-hoc et Rogue
Trojan AP
Attaques sur les rseaux sans fil (scanning, probing, attaques actives, SSID, etc)
Considrations pour les auditeurs

Enjeux lis au thme Bring your own device (BYOD)

Infonuagique-Les enjeux de scurit

Linternet des objets et les enjeux de scurit

Architecture conceptuelle de lInternet des objets
Les menaces selon le type dindustrie
Modles de menaces de scurit

3
 Les lments de gestion et de protection
Considrations pour les auditeurs

Cyber-scurit
Cyber-attaques : exemples
Scurit de linformation vs Cyber-Scurit
Normes en Cyber-Scurit
o ISO 27032
o Cadre de cyber scurit du NIST
o Autres normes :
COBIT
Famille ISO 27000
Concept de Red team , reconnaissance et Weaponization et outils associs
(Directory, Metasploit, ZapProxy, PowerShell, etc)
Le concept de rsilience
Aprs la dcouverte dune intrusion : amliorer la gestion des incidents
Dvelopper un programme qui permet de se diriger vers la rsilience
Crer un cosystme de rsilience digital
Considrations pour les auditeurs

Plans de relve et de continuit des affaires

Les diffrences
Les tapes de dveloppement
Les phases de maintenance
Considrations pour les auditeurs

lments dactualit

volution des maliciels (ex :Ransomware)

Le wake-up call de WannaCry
Menaces mondiales