Les TPE/PME évoluent aujourd’hui dans un environnement de plus en plus numérique, qui favorise incontestablement leur compétitivité et leur croissance.

Cependant, on assiste aujourd’hui à une montée en puissance des cyberattaques visant les entreprises et ce quelle que soit leur taille.

Ainsi, il est essentiel de prendre conscience que, si elle n’est pas bien organisée et pensée par l’entreprise, la dépendance au « tout numérique » peut s’avérer dramatique en cas d’attaques (vol de données, mise hors service du système informatique, rançongiciel…).

Pour y faire face, les TPE/PME n’ont pas toujours la possibilité de recruter des profils dédiés uniquement à la sécurité informatique.

Qui plus est, leur approche de la gestion des infrastructures informatiques varie en fonction de l’utilisation qui en est faite, de leur taille, du secteur économique et du budget qui y est consacré.

De fait, à l’exception de certains secteurs très spécifiques, le niveau de perception et de prise en charge du « cyber-risque » dans les TPE/PME est souvent insuffisant.

Afin de les aider à maîtriser ce nouvel environnement, à aborder du mieux possible leur transformation numérique et à préserver leur patrimoine immatériel, il convient de mettre en place, dans une approche de sécurité économique globale, des solutions humaines et techniques de cybersécurité spécialement adaptées.

La formation de référents en cybersécurité au sein des TPE/PME permettra de répondre en partie à ce défi.

Objectif

L’objectif général de la formation est de faire du participant un référent cybersécurité interne.

À la fin de la formation, le participant devra être en mesure de maîtriser les enjeux de la cybersécurité pour l’entreprise et d’utiliser les outils nécessaires pour protéger des informations sensibles (personnelles et professionnelles) sur les différents réseaux.

Il sera notamment à même de :

identifier et analyser des problèmes de cybersécurité dans une perspective d’intelligence et de sécurité économiques ;

connaître les obligations et responsabilités juridiques de la cybersécurité ;

identifier et comprendre les menaces liées à l’utilisation de l’informatique et des réseaux internet, réseaux privés d’entreprises ou réseaux publics ;

mettre en œuvre les démarches de sécurité inhérentes aux besoins fonctionnels ;

savoir présenter les précautions techniques et juridiques à mettre en place pour faire face aux attaques éventuelles.

Pré-requis

Connaissances générales en informatique

Public

Dirigeants TPE/PME

Cadres dirigeants

Professions libérales

Collaborateurs ayant pour mission la prévention et le maintien de la sécurité de l’information

Durée

2 à 5 jours de formation totalisant, à titre indicatif, de 9 heures à 36 heures de formation selon les modules choisis.

Sachant que les modules 1, 2 et 3 sont obligatoires pour une durée totale de ces trois modules de 9 heures.

En effet, les organisations sont libres, après les 3 premiers modules, de choisir les modules qui seraient les plus adaptés à leurs enjeux.

Supports

Support de cours

Guides méthodologiques

Programme

Présentation du référentiel

MODULE 1 – Cybersécurité : notions de bases, enjeux et droit commun (Durée 3 heures)

Objectifs

• Identifier l’articulation entre cybersécurité, sécurité économique et intelligence économique
• Comprendre les motivations et le besoin de sécurité des systèmes d’information (SI).
• Connaître les définitions et la typologie des menaces.

Les enjeux de la sécurité des SI

• La nouvelle économie de la cybercriminalité
• Panorama des menaces selon une typologie
• Les vulnérabilités

Les propriétés de sécurité

• Présentation du principe de défense en profondeur
• Identification et évaluation des actifs et des objectifs de sécurité

Aspects juridiques et assurantiels

• Responsabilités
• Préservation de la preuve
• L’offre assurantielle

Le paysage institutionnel de la cybersécurité

• La prévention
• Le traitement des cyberattaques et la réponse judiciaire
• Rôle et missions des acteurs étatiques chargés du traitement technique et judiciaire des attaques cybers

MODULE 2 – L’hygiène informatique pour les utilisateurs (Durée 3 heures)

Objectifs

Appréhender et adopter les notions d’hygiène de base de la cybersécurité pour les organisations et les individus.

• Connaître le système d’information et ses utilisateurs
• Identifier le patrimoine informationnel de son ordinateu
• Maîtriser le réseau de partage de documents (en interne ou sur internet)
• Mettre à niveau les logiciels
• Authentifier l’utilisateur
• Nomadisme – Problématiques liées au BYOD (Bring your Own Devices)

MODULE 3 – Gestion et organisation de la cybersécurité (Durée 3 heures)

Objectifs

• Appréhender les multiples facettes de la sécurité au sein d’une organisation.
• Connaître les métiers directement impactés par la cybersécurité.
• Anticiper les difficultés courantes dans la gestion de la sécurité.

Présentation des publications/recommandations

• Guides de l’ANSSI
• Recommandations de la CNIL
• Recommandations de la police et de la gendarmerie
• Club de la Sécurité de l’information Français, Club des experts de la sécurité de l’information et du numérique (CLUSIF/CESIN), etc.
• Observatoires zonaux de la Sécurité des systèmes d’information (SSI)
• Les CERTs (Computer Emergency Response Team)

Présentation des différents métiers de l’informatique

Méthodologie pédagogique pour responsabiliser et diffuser les connaissances ainsi que les bonnes pratiques internes

Maîtriser le rôle de l’image et de la communication dans la cybersécurité

• Surveillance de l’e-réputation
• Communication externe
• Usage des réseaux sociaux, professionnel et personnel

Méthodologie d’évaluation du niveau de sécurité

Actualisation du savoir du référent en cybersécurité

Gérer un incident / Procédures judiciaires

MODULE 4 – Protection de l’innovation et cybersécurité (Durée 3 heures)

Objectif

• Appréhender la protection de l’innovation à travers les outils informatiques

Les modalités de protection du patrimoine immatériel de l’entreprise

Droit de la propriété intellectuelle lié aux outils informatiques

Cyber-assurances

Cas pratiques

MODULE 5 – Administration sécurisée du système d’information (SI) interne (Durée 6 à 9 heures)

Objectifs

• Savoir sécuriser le SI interne
• Savoir détecter puis traiter les incidents
• Connaître les responsabilités juridiques liées à la gestion d’un SI

Analyse de risque

Principes et domaines de la SSI afin de sécuriser les réseaux internes

• Politique et stratégie de sécurité
• Gestion des flux, notamment réseaux sans fil / architecture réseaux (cloisonnement du réseau)
• Gestion des comptes, des utilisateurs, des privilèges selon le besoin d’en connaître
• Gestion des mots de passe
• Gestion des mises à jour
• Journalisation et analyse
• Gestion des procédures
• Plan de continuité d’activité (PCA) / Plan de reprise d’activité (PRA)
• Virtualisation / cloisonnement

Détecter un incident

Gestion de crise

• Traitement technique de l’incident
• Procédure organisationnelle et communication
• Reprise d’activité

Méthodologie de résilience de l’entreprise

Traitement et recyclage du matériel informatique en fin de vie

Aspects juridiques

• Responsabilité en l’absence de conformité des infrastructures
• Cyber-assurances

MODULE 6 – La cybersécurité des entreprises ayant externalisé leur SI (Durée 3 heures)

Objectif

• Connaître les techniques de sécurisation d’un SI, partiellement ou intégralement externalisé.

Les différentes formes d’externalisation

• Les contrats de services « classiques »
• Enjeux du Cloud Computing
• Techniques de sécurité lors de l’externalisation (chiffrement des données…)

Comment choisir son prestataire de service ?

• Présentation du référentiel de l’ANSSI Maîtriser les risques de l’infogérance
• Présentation de la qualification SecNumCloud applicable aux prestataires de services d’informatique en nuage

Aspects juridiques et contractuels

• Connaître les bases juridiques pour protéger son patrimoine économique lors de l’externalisation d’un SI
• Obligations en matière d’utilisation, de localisation et de transfert de données

MODULE 7 – Sécurité des sites internet gérés en interne (Durée 9 à 12 heures)

Objectif

• Connaître les règles de sécurité pour gérer un site internet

Menaces propres aux sites internet

Approche systémique de la sécurité

Configuration des serveurs et services

HTTPS et Infrastructure de gestion de clés (IGC)

Services tiers

Avantages et limites de l’utilisation d’un Content Management System (CMS ou Gestion des contenus) et / ou développement web

Sécurité des bases de données

Utilisateurs et sessions

Obligations juridiques réglementaires

• Le e-commerce
• La loi pour la confiance dans l’économie numérique
• Règlement général sur la protection des données (RGPD)