catalogue des stages 2018-2019 du cfssi - ssi.gouv.fr · cours, démonstrations et travaux...

sur 28

Catalogue des stages 2018-2019 du CFSSI

Le CFSSI propose des stages strictement réservés aux personnels de l’administration française – État,

collectivités territoriales, fonction publique hospitalière. Ils sont organisés dans les locaux de l’ANSSI.

Les stages du CFSSI ne sont ni certifiants ni diplômants.

Les formations du CFSSI sont gratuites. Les demandes d’inscription doivent être transmises par

l’organisme d’emploi, impérativement signées par une autorité de validation reconnue par le CFSSI.

Le CFSSI n’assure aucune prestation relative à la restauration ou à l’hébergement.

Le CFSSI vous propose une vingtaine de stages de niveaux de technicité très différents. D’une durée

d’une journée à plusieurs semaines, les stages abordent tous les aspects de la sécurité des systèmes

d’information. En vue de faciliter votre choix et profiter pleinement de la formation, une fiche définit

pour chaque stage son objectif, son contenu, le public visé, les prérequis.

Il vous est demandé de vous munir d’une pièce d’identité et de votre convocation afin de pouvoir accéder

aux salles de formation. Pour certains stages, un certificat d’habilitation est demandé.

- Calendrier des stages Page 2

- Liste des stages Page 4

- Accès à l’ANSSI (site « Mercure ») Page 28

Pour tout renseignement, contacter Mme

Isabelle LENORMAND [email protected]

Tél. : 01 71 76 85 15

CFSSI, 31 quai de Grenelle – 75015 Paris (adresse postale : 51 bd de la Tour-Maubourg, 75700 Paris 07 SP)

mailto:[email protected]

sur 28

Calendrier des stages 2018-2019 du CFSSI

2nd

semestre 2018

1er

semestre 2019

sur 28

MODIFICATION DE LA NOMENCLATURE DES STAGES

STAGES 5 ET 7

En 2016, les stages 5a, 5b, 7a et 7b ont été renommés, afin d’avoir une cohérence pour l’ensemble de la

nomenclature des stages proposés et identifier les stages avec le suffixe « a » comme l’étude de la théorie

et avec le suffixe « b » la mise en pratique, les stages 5 et 7 sont répertoriés comme suit :

5a « Utiliser l’outil informatique de manière sécurisée (théorie) »,

5b « Utiliser l’outil informatique de manière sécurisée (pratique) »

7a « Internet et la sécurité (administrateurs) » et

7b « Pratique de SSI (administrateurs) ».

ÉVOLUTION NOTABLE DE CONTENU

STAGE 12

Le stage 12 (« Homologation de sécurité »), passe d’une durée d’un jour à deux jours, pour inclure des

retours d’expérience et des mises en situation professionnelles.

STAGE 13

Le stage 13 (« Audit des systèmes industriels »), un stage de 3 jours mêlant théorie et pratique, apparaît

au catalogue cette année.

STAGE 26

Le stage 26 (« Sécurité des architectures virtualisées ») est allongé d’une journée (trois jours au lieu de

deux).

sur 28

CENTRE DE FORMATION À LA SÉCURITÉ DES SYSTÈMES

D’INFORMATION

PANORAMA DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

OBJECTIF

Proposer un bref tour d'horizon des différents domaines de la sécurité

des systèmes d'information et fournir quelques clés de

compréhension.

CONTENU

- Principaux risques.

- Notions SSI.

- Organisation nationale de la SSI.

- Obligations juridiques.

- Description succincte des composantes techniques de la SSI.

MÉTHODES PÉDAGOGIQUES

Cours théorique

PUBLIC

Décideurs conscients des enjeux et soucieux de s'informer. Autorités

en charge de la SSI, nouvellement affectées.

Identifiant du stage

1

Niveau

Initiation

Prérequis

Aucun

Type

Cours

Durée en jours

1

Sessions en 2018-2019

5

1 : le 28 septembre 2018

2 : le 11 décembre 2018

3 : le 18 février 2019

4 : le 18 avril 2019

5 : le 14 juin 2019

sur 28


D’INFORMATION

SÉCURITÉ ÉLECTROMAGNÉTIQUE ET TEMPEST

OBJECTIF

Comprendre les menaces que font peser les ondes

électromagnétiques sur la sécurité des systèmes d'information.

Être apte à identifier les menaces pour pouvoir déterminer les

mesures à prendre pour préserver la confidentialité, l'intégrité et la

disponibilité des systèmes d'information.

CONTENU

- Sensibilisation aux signaux compromettants.

- Sensibilisation aux agressions électromagnétiques

intentionnelles.

- Sensibilisation aux canaux cachés physiques.

- Réglementation interministérielle et OTAN.

- Applications pratiques.


Cours, démonstrations et travaux pratiques (mesures) en cage.

PUBLIC

Personnels appelés à assurer la protection des systèmes d'information

contre les émissions de signaux compromettants.

Les stagiaires doivent être habilités au niveau Confidentiel Défense

ou supérieur. Ils doivent être munis de leur certificat d'habilitation

dès le premier jour du stage. Dans le cas contraire, ils ne seront pas

acceptés à l'ensemble du stage.

INFORMATIONS COMPLEMENTAIRES

Ce stage concerne principalement le TEMPEST ainsi que la

protection contre les agressions électromagnétiques intentionnelles

(AGREMI) ; d'autres éléments relatifs à la sécurité dans le domaine

électromagnétique sont fournis dans le cadre des stages 11a («

Sécurité des réseaux sans fil »), 23 (« Sécurité des composants ») et

25 (« Sécurité des systèmes embarqués »).


2

Niveau

Application/Maitrise

Prérequis

Électronique

Type

Cours et

démonstrations

Durée en jours

5


2

1 : du 19 au 23 novembre 2018

2 : du 17 au 21 juin 2019

sur 28


D’INFORMATION

LA MÉTHODE EBIOS

OBJECTIF

Mettre en œuvre la méthode EBIOS en tant qu'outil complet de

gestion des risques et/ou superviser des utilisateurs d'EBIOS.

CONTENU

- Risques et gestion des risques en sécurité des systèmes

d'information (terminologie, concepts et processus).

- Étude du contexte.

- Expression des besoins de sécurité.

- Étude des événements redoutés et des scénarios de menaces.

- Évaluation et cartographie des risques.

- Traitement des risques et mesures de sécurité.


Cours, exposés de cas, travaux de groupe pour la mise en situation.

PUBLIC

Ce stage vise principalement à former à la méthode EBIOS les

agents qui exercent leurs fonctions dans le domaine de la sécurité des

systèmes d'information.


4

Niveau


Prérequis

Pratique de la SSI

Type

Cours

Durée en jours

2


6

1 : du 4 au 5 décembre 2018

2 : du 15 au 16 janvier 2019

3 : du 18 au 19 février 2019

4 : du 11 au 12 mars 2019

5 : du 15 au 16 avril 2019

6 : du 12 au 13 juin 2019

sur 28


D’INFORMATION

UTILISER L'OUTIL INFORMATIQUE DE MANIÈRE SÉCURISÉE (THÉORIE)

OBJECTIF

Donner des conseils pratiques pour utiliser l'outil informatique

(postes utilisateurs) de manière sécurisée.

Informer sur les risques associés à Internet et sur les moyens d'y faire

face.

CONTENU

- Architectures personnelles et professionnelles et notions

associées (internet, intranet, extranet, serveurs, pare-feu).

- Notions de sécurité des systèmes d'information, risques,

cryptographie, certificats et racines de confiance.

- Sécurité du poste de travail, notion de périphérique.

- Outils de sécurité : mécanismes des systèmes d'exploitation, pare-

feu personnel, anti-virus.

- Architecture simple de TCP/IP (notions) : adresse IP, routage.

- Présentation d'internet : modes de communication, outils,

services et sécurité.

- Le service de noms (DNS).

- Le transfert de fichiers (FTP).

- Le service de bavardage (IRC, IM).

- L'accès à distance (Telnet).

- Le courrier électronique (POP et SMTP), pièces jointes,

identification, confidentialité, S/MIME.

- Le web, la navigation, SSL/TLS, cookies, codes mobiles, les

navigateurs.


Cours et démonstrations. Ce stage n'abordera les détails techniques

de réalisation que dans les aspects nécessaires à une bonne

compréhension des conseils et des outils présentés.

PUBLIC

Formateurs, correspondants SSI, et autres personnels pouvant jouer

le rôle de relais auprès des utilisateurs (prioritaires pour l'inscription).


Ce stage peut être complété par le stage 05b : « Utiliser l'outil

informatique de manière sécurisée (pratique) ».


5a

Niveau


Prérequis

Informatique

(utilisation)

Type

Cours

Durée en jours

2


6

1 : du 24 au 25 septembre 2018

2 : du 8 au 9 octobre 2018


4 : du 28 au 29 janvier 2019

5 : du 13 au 14 mars 2019

6 : du 20 au 21 mai 2019

sur 28


D’INFORMATION

UTILISER L'OUTIL INFORMATIQUE DE MANIÈRE SÉCURISÉE (PRATIQUE)

OBJECTIF

Présenter les techniques de sécurisation des postes de travail à travers

l'exploration des fonctions indispensables à un travail partagé.

Sensibiliser aux menaces principales et donner un certain nombre de

réflexes notamment dans la configuration et l'utilisation quotidienne

des postes de travail.

CONTENU

- Administration des paramètres de sécurité d'un poste de travail

sous Windows : gestion des comptes utilisateurs, journaux et

traces, mise à jour des logiciels et application des correctifs.

- Installation et utilisation d'outils de sécurité (analyse, anti-virus,

pare-feu personnel).

- Clients de messagerie électronique : savoir installer, configurer et

utiliser son client de messagerie électronique (Outlook Express,

Thunderbird),

- Navigation Web : bonne configuration de sécurité d'un navigateur

(notamment cookies, codes mobiles, JavaScript).

- Cryptologie appliquée : utilisation des certificats, solutions de

chiffrement.

- Cas du poste nomade.


Rappels, démonstrations et travaux pratiques.

PUBLIC

Formateurs, correspondants SSI, et autres personnels pouvant jouer

le rôle de relais auprès des utilisateurs.


Ce stage correspond au volet pratique du stage 05a : « Utiliser l'outil

informatique de manière sécurisée (théorie) ».


5b

Niveau


Prérequis

Stage 5a ou équivalent

Type

Pratique

Durée en jours

3


4



3 : du 30 janvier au 1 février 2019

4 : du 17 au 19 avril 2019

sur 28


D’INFORMATION

CERTIFICATS ÉLECTRONIQUES

OBJECTIF

Comprendre la place des certificats électroniques dans la sécurité des

systèmes d'information et les mécanismes à la base des

infrastructures de gestion de clés.

Connaître les règles de l'art et les obligations légales et

réglementaires.

Découvrir les principaux écueils dans la mise en œuvre d'une

infrastructure de gestion de clés et l'intégration des certificats

électroniques dans les systèmes d'information.

CONTENU

- Fondements techniques (cryptographie, infrastructure de gestion

de clés).

- Justification du besoin en IGC (dématérialisation des actes

authentiques, obligations légales et réglementaires).

- Disposer de certificats électroniques (recours aux prestataires de

services de certification tiers ou mise en œuvre d'une IGC propre

à l'organisme).

- Mise en œuvre d'une IGC (méthodologie, maquette, référentiel

documentaire, retours d'expériences).

- L'organisation des IGC dans l'administration française (certificats

dédiés ou polyvalents, urbanisation des autorités de certification

de l'administration).


Cours et retours d'expérience.

PUBLIC

RSSI ou chefs de projet appelés à déterminer le besoin d'utiliser des

certificats électroniques ou à piloter la mise en œuvre d'une

infrastructure de gestion de clés.


6

Niveau


Prérequis

Gestion de projet

Type

Cours

Durée en jours

3


3


2 : du 18 au 20 mars 2019

3 : du 22 au 24 mai 2019

sur 28


D’INFORMATION

INTERNET ET LA SÉCURITÉ

OBJECTIF

Savoir mettre en œuvre des bonnes pratiques d'administration

sécurisée d'un système d'information ;

Connaître les principes de sécurisation liés aux différents éléments

d'un système d'information : protocoles et filtrage réseau, systèmes

d'exploitation et applications ;

Appréhender les mécanismes de sécurité proposés par la

cryptographie afin de savoir faire les bons choix dans la mise en

œuvre de protocoles sécurisés.

CONTENU

- Pratiques d'administration : sécurité des postes et des réseaux

d'administration, gestion des mots de passe, bonnes pratiques

générales, cas concrets ;

- Sécurité des protocoles réseau TCP/IP et durcissement

d'équipements réseau de type commutateur ou routeur ;

- Filtrage réseau et applicatif : pare-feu, relais (proxy) ;

- Architecture : principes et exemples d'architectures sécurisées ;

- Cryptologie appliquée : chiffrement, protection en intégrité,

authentification et échange de secrets ;

- Protocoles sécurisés (TLS, IPsec et SSH) : objectifs et

mécanismes de sécurité, cas d'usage pratiques ;

- Téléphonie et voix sur IP : architecture, protocoles et

durcissement ;

- Web : protocoles et risques liés, exemples de vulnérabilités,

mécanismes d'authentification, sécurisation d'un serveur ;

- Systèmes d'exploitation (Windows et Linux) : mécanismes de

sécurité intégrés, durcissement et administration ;

- Active Directory : risques liés à l'administration, modèle de

délégation de droits, GPO et durcissement.


Cours magistraux et démonstrations autour de cas concrets.

PUBLIC

Administrateurs système et réseau, confrontés aux problématiques de

sécurisation des systèmes d'information.


Ce stage peut être complété par le stage pratique 07b : « Pratique de

la sécurité des systèmes d'information (administrateurs) ».


7a

Niveau


Prérequis

Administration système

et réseau

Type

Cours

Durée en jours

5


6


2 : du 15 au 19 octobre 2018


4 : du 14 au 18 janvier 2019

5 : du 18 au 22 mars 2019

6 : du 17 au 21 juin 2019

sur 28


D’INFORMATION

PRATIQUE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

OBJECTIF

Apprendre à monter une infrastructure réseau sécurisée : mise en

place d'une zone démilitarisée (DMZ), configuration de pare-feu, des

services réseaux (DNS, messagerie) et mise en place de mécanismes

de protection cryptographique (TLS, S/MIME, IPsec).

Former les administrateurs système aux techniques récentes de

sécurité dans un environnement hétérogène (Linux, OpenBSD et

Windows).

CONTENU

- L'installation d'un pare-feu Linux (installation et configuration

Linux, recompilation noyau, configuration iptables).

- Mise en place de services dans une DMZ sous OpenBSD

(installation et présentation d'OpenBSD, serveur DNS avec NSD

et Unbound, SMTP avec Postfix, IMAP avec Cyrus).

- Gestion d'une IGC (ou PKI) pour sécuriser les échanges de mails

avec S/MIME et les connexions clients/serveurs avec TLS.

- Mise en œuvre de tunnels IPsec entre des passerelles Linux et

entre un poste nomade Windows et une passerelle Linux.


Stagiaires travaillant en binôme dans le cadre de travaux pratiques.

PUBLIC

Ce stage s'adresse aux administrateurs (système et réseau), ayant déjà

une expérience de déploiement d'une architecture réseau. La

connaissance des protocoles TCP/IP et des environnements Unix et

Windows est nécessaire.

Les stagiaires doivent être familiers avec les outils du monde Unix,

en particulier avec les outils en ligne de commandes suivants : vi, ftp,

ping, tcpdump.


Les candidats sont préalablement soumis à un questionnaire

d'évaluation de connaissances. L'inscription ne sera possible que pour

les candidats ayant répondu de manière satisfaisante.


7b

Niveau


Prérequis

Informatique

(administration) et

stage 07a ou équivalent

Type

Pratique

Durée en jours

5


3


2 : du 25 au 29 mars 2019

3 : du 13 au 17 mai 2019

sur 28


D’INFORMATION

PRINCIPES ET ORGANISATION DES AUDITS EN SÉCURITÉ DES SYSTÈMES

D'INFORMATION

OBJECTIF

Introduction aux méthodes d'audit technique de la sécurité d'un

système d'information (expertise sécurité).

Apprentissage d'une méthodologie d'audit générique ainsi que des

procédures.

Fourniture des listes techniques de points à vérifier pour les

différents domaines.

Les compétences méthodologiques et pratiques obtenues en fin de

stage doivent permettre de superviser la réalisation d'un audit

technique, et de pouvoir organiser et choisir différentes prestations

d'audit (type de prestation, contour retenu, etc.).

CONTENU

- Méthodologie générale des audits en SSI.

- Approche organisationnelle.

- Analyse de la sécurité physique et logique d'un système

d'information (y compris les autocommutateurs téléphoniques par

exemple).



PUBLIC

Auditeurs SSI, Responsables de sécurité devant superviser des audits

de sécurité de système d'information.

Responsables administratifs soucieux d'utiliser les résultats des

audits.


8a

Niveau


Prérequis

Stage 05a, 05b ou

équivalent

Type

Cours

Durée en jours

2


6




4 : du 10 au 11 janvier 2019

5 : du 21 au 22 mars 2019

6 : du 27 au 28 mai 2019

sur 28


D’INFORMATION

PRINCIPE ET ORGANISATION DES AUDITS EN SÉCURITÉ DES SYSTÈMES

D'INFORMATION (ASPECT SYSTÈMES)

OBJECTIF

Pouvoir appliquer la méthodologie d'audit (stage 8a) ainsi que des

méthodes plus détaillées pour différents domaines afin de réaliser

concrètement un audit technique de sécurité des systèmes

d'information.

Les compétences méthodologiques et pratiques obtenues en fin de

stage doivent permettre de mener de façon autonome un audit

technique élémentaire.

CONTENU

- Techniques et procédures particulières : découverte d'un réseau,

analyse de sécurisation de systèmes d'exploitation Windows et

Linux (Debian), d'applications (messagerie, serveur internet,

etc.).

- Outils spécifiques : scanneurs de vulnérabilités, outils de

vérification de la force de mots de passe, etc.


Travaux pratiques.

PUBLIC

Auditeurs SSI, RSSI et correspondants sécurité, techniciens des

chaînes fonctionnelles de sécurité (rattachés aux FSSI) appelés à

réaliser des audits techniques de la sécurité de systèmes

d'information.

Des connaissances en administration de systèmes Windows et Linux

sont nécessaires.


Ce stage n'est pas une formation à l'administration informatique ou

aux bonnes pratiques.

Il constitue le pendant pratique de certains des points abordés dans le

stage 2014-08a : « Principes et organisation des audits en SSI ».

Les candidats sont préalablement soumis à un questionnaire

d'évaluation de connaissances. L'inscription ne sera possible que pour

les candidats ayant répondu de manière satisfaisante.


8b

Niveau


Prérequis

Informatique

(administration) et

stage 08a

Type

Pratique

Durée en jours

5


4



3 : du 11 au 15 février 2019

4 : du 24 au 28 juin 2019

sur 28


D’INFORMATION

SÉCURITÉ DES APPLICATIONS WEB

OBJECTIF

Améliorer la sécurité des applications web par une sensibilisation

aux risques liés aux applications web, ainsi que par une prise de

connaissance des bonnes pratiques de la SSI et de leurs déclinaisons

dans le contexte web.

CONTENU

- Sensibilisation aux différents risques et techniques d'attaques.

- Revue de la sécurité des infrastructures d'hébergements et de

l'architecture système.

- Sécurisation des bases de données (contrôles d'accès et de

cohérence des données).

- Les bonnes pratiques dans le développement web.

- Structure et modèle d'un code.

- Création d'un formulaire sécurisé.

- Filtrage et traitement des saisies utilisateurs.

- Transfert et protection des fichiers.

- Méthodes d'identification, authentification et chiffrement.

- Filtrage des requêtes sur un serveur web.

- Architecture logicielle et emploi de services web.

- Sécurité des navigateurs avec HTML5, CORS, et autres entêtes

HTTP de sécurité.

- Conseils et bonnes pratiques sur les frameworks et CMS.


Cours, démonstrations, quizz.

PUBLIC

Ce stage s'adresse aux développeurs d'applications web.


Les démonstrations et exemples du stage sont généralement rédigés

en PHP et Javascript. Une connaissance superficielle de PHP est

souhaitable, mais les recommandations fournies ne sont pas

spécifiques à ce langage et sont applicables dans d'autres langages.


9

Niveau


Prérequis

Serveurs web, base de

données,

développement, Linux

Type

Cours et

démonstrations

Durée en jours

5


2


2 : du 25 au 29 mars 2019

sur 28


D’INFORMATION

CRYPTOGRAPHIE

OBJECTIF

Former des personnels destinés à assurer le déploiement de

technologies de sécurisation basées sur la cryptographie.

Aider à comprendre la nature des menaces, les raisonnements

cryptographiques, et la justification des pratiques et des règles.

CONTENU

- Rappels mathématiques, notion de sécurité, algorithmique pour la

cryptographie, problèmes difficiles.

- Chiffrement par bloc, chiffrement par flot, chiffrement à clé

publique, fonctions de hachage, signature électronique,

authentification et échange de clés, modes opératoires de

chiffrement, MAC, aléa.

- Présentation du référentiel cryptographique, droit et

réglementation de la SSI, la CNIL, droit et réglementation de la

cryptologie.

- Gestion des clés, infrastructure de gestion de clés publiques.

- Critères et schéma d'évaluation/certification, évaluation des

équipements cryptographiques.

- Produits cryptographiques, protocoles cryptographiques.

- Notions de cryptanalyse, cryptologie et signaux compromettants.

- protocoles « zero-knowledge », protocoles avancés,

cryptographie quantique.


Cours

PUBLIC

Le stage s'adresse à des personnes disposant d'une formation

scientifique devant développer une connaissance fine en

cryptographie.


ou supérieur. Ils doivent être munis de leur certificat d'habilitation

dès le début du stage. Dans le cas contraire, ils ne seront pas acceptés

à l'ensemble du stage.


Ce stage peut être complété par le stage 23 « Sécurité physique et

logique des composants » pour aborder la question de l'implantation

sécurisée des algorithmes cryptographiques.


10

Niveau

Expertise

Prérequis

Connaissances en

cryptologie

Type

Cours

Durée en jours

19


1

1 : du 19 au 22 février 2019

1 : du 11 au 15 mars 2019

1 : du 25 au 29 mars 2019

1 : du 8 au 12 avril 2019

sur 28


D’INFORMATION

SÉCURITÉ DES RÉSEAUX SANS FILS

OBJECTIF

Présenter :

- les technologies sans-fil et les architectures associées ;

- les risques relatifs à l'usage de réseau sans fil ;

- les contre-mesures disponibles et leurs limites.

CONTENU

- Wifi (IEEE 802.11) : les diverses normes, les architectures de

réseaux, les évolutions, les vulnérabilités et parades.

- Sécurisation d'un réseau Wifi : organisation, déploiement,

configurations, serveurs d'authentification (Radius), protocoles de

sécurité, politique de sécurité.

- Divers : Bluetooth, RFID, géo-positionnement, réseaux mobiles.


Exposés théoriques, démonstrations.

PUBLIC

Administrateurs réseau et informaticiens possédant une expérience

du déploiement de réseaux.


11a

Niveau


Prérequis

Informatique

(administration)

Type

Cours

Durée en jours

3


3


2 : du 23 au 25 janvier 2019

3 : du 2 au 4 avril 2019

sur 28


D’INFORMATION

PRATIQUE DE LA SÉCURISATION DES RÉSEAUX WI-FI

OBJECTIF

Savoir mettre en place des architectures sécurisées WIFI et identifier

les risques liés à de telles architectures.

CONTENU

- Déploiement progressif d'architectures de niveaux de sécurité

croissants jusqu'à la mise en œuvre d'une infrastructure Wi-Fi

complète (PKI, Client, AP, Serveur d'authentification) en mode

WPA2-EAP (protocoles 802.1X, RADIUS, EAP-TLS)...

- Outils d'administration du Wi-Fi sous Linux (modes client,

moniteur, point d'accès, découverte réseau).

- Étude pratique des problématiques de sécurité liées aux

architectures déployées par analyse et compléments de

sécurisation : segmentation réseau (VLAN), VPN Ipsec, règles de

filtrage (iptables), etc.


Travaux pratiques.

PUBLIC

Administrateurs réseau et informaticiens possédant une expérience

du déploiement de réseaux et des connaissances des mécanismes de

sécurité des réseaux sans-fil.


11b

Niveau


Prérequis

Administration Linux,

stages 05b (PKI, VPN

IPsec) et 11a ou

équivalents

Type

Pratique

Durée en jours

3


2

1 : du 16 au 18 octobre 2018

2 : du 27 au 29 mai 2019

sur 28


D’INFORMATION

HOMOLOGATION SÉCURITÉ

OBJECTIF

Savoir bâtir et conduire un processus d'homologation.

Savoir constituer un dossier d'homologation.

Savoir motiver la prise de décision d'homologation.

Comprendre la démarche d'homologation et son inscription dans le

cadre réglementaire.

CONTENU

- Le processus d'homologation. Ce stage inclut un rappel sur la

méthode EBIOS.


Cours, retour d'expérience et mise en situation professionnelle.

PUBLIC

Ce stage s'adresse aux personnes devant mener ou accompagner un

processus d'homologation, et qui pilotent en maîtrise d'ouvrage le

management du risque. Il s'adresse en particulier aux RSSI.


12

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

2


3


2 : du 14 au 15 février 2019

3 : du 6 au 7 mai 2019

sur 28


D’INFORMATION

AUDIT DES SYSTÈMES INDUSTRIELS

OBJECTIF

Maîtriser les spécificités des systèmes, protocoles et des équipements

industriels afin d'en réaliser un audit ou une expertise technique.

Appliquer les techniques de test d'intrusion aux systèmes industriels

en prenant toutes les précautions nécessaires.

CONTENU

- Introduction aux équipements industriels, systèmes SCADA,

protocoles et usages.

- Programmation d'automates industriels.

- Test d'intrusion et précautions sur plateforme.

- Analyse des communications réseau.

- Retour d'expérience, points d'attention et recommandations.


Cours théorique d'introduction (15%), démonstrations et travaux

pratiques sur plateforme réelle (70%), retour d'expérience (15%).

PUBLIC

Ce stage s'adresse aux auditeurs techniques en sécurité qui sont

familiers des techniques de test d'intrusion de réseaux bureautiques,

ainsi qu'aux personnes en charge de l'intégration de systèmes

industriels ou de leur accompagnement.


13

Niveau


Prérequis

Stage 8b ou 19

Type

Cours et pratique

Durée en jours

3


1

1 : du 2 au 4 avril 2019

sur 28


D’INFORMATION

INCIDENTS DE SÉCURITÉ

OBJECTIF

Être capable de mettre en œuvre une surveillance efficace des

attaques sur le système d'information et d'avoir les bons réflexes en

cas d'incident de sécurité.

CONTENU

- Types d'incidents de sécurité.

- Journalisation et collecte des logs.

- TP d'analyse de journaux et d'un système compromis

- TP d'analyse de documents malveillants

- Chaînes de déclaration d'incidents et de circulation d'information.

- Bons réflexes en cas d'incident de sécurité.

- Aspects juridiques d'un incident de sécurité.


Cours, retours d'expérience et travaux pratiques en environnement

Windows.

PUBLIC

Administrateur de systèmes et réseaux.


14

Niveau


Prérequis

Informatique

(administration)

Type

Pratique

Durée en jours

4


5



3 : du 15 au 18 janvier 2019

4 : du 8 au 11 avril 2019

5 : du 17 au 20 juin 2019

sur 28


D’INFORMATION

INTÉGRER LA SÉCURITÉ NUMÉRIQUE DANS LES PROJETS SI DE L'ETAT

OBJECTIF

Donner les clés de compréhension, éléments de langage et outils

méthodologiques pour intégrer les enjeux de la cybersécurité sur tout

le cycle de vie d'un projet numérique, et ce dès la phase de cadrage et

de faisabilité. Cette formation se veut concrète et pratique, et propose

une boite à outils à destination des chefs de projets ou des directions

de projets, désireux d'intégrer la composante cybersécurité dans leur

démarche de gestion de projet et d'analyse de la valeur.

CONTENU

- Les enjeux de la cybersécurité pour un SI de l'État

- Le rôle du chef de projet comme garant de leur déclinaison et de

leur juste valorisation

- L'organisation de l'État pour la sécurité du numérique et les

acteurs clés sur un projet type

- Les différents textes réglementaires et leurs cas d'usage selon la

nature du projet

- Les éléments essentiels de cadrage du volet sécurité du

numérique en phase initiale d'un projet

- Déployer la démarche sur tout le cycle de vie projet/système dans

le cadre d'une homologation de sécurité

- Adapter la démarche à une approche Agile

- Les guides et outils ANSSI à votre disposition.


Cours, exposés de cas, fiches méthodes illustrées, travaux de groupe

pour la mise en situation.

PUBLIC

Chefs de projet, responsables de directions de projets ou ingénieurs

SIC amenés à intégrer le volet cybersécurité dans leur organisation

projet ou dans leur processus de conduite de projet, que ce soit par

obligation réglementaire dans le cadre d'une homologation, ou par

nécessité liée à des enjeux sécuritaires particuliers. Ce stage s'adresse

également aux représentants d'autorités administratives ou qualifiées

de la SSI qui souhaitent affiner leurs connaissances et pratiques de

l'homologation.


16

Niveau


Prérequis

Gestion de projet

Type

Cours

Durée en jours

2


2


2 : du 20 au 21 février 2019

sur 28


D’INFORMATION

RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION (RSSI) -

ASPECTS THÉORIQUES ET RÉGLEMENTAIRES

OBJECTIF

Faire comprendre les problématiques liées à la SSI, donner les

principales notions sur la SSI, les principales réglementations et

mesures de sécurité.

Faire prendre conscience de l'importance de la fonction RSSI et

fournir des méthodes utiles à la fonction.

CONTENU

- RETEX RSSI.

- Introduction au droit (droit relatif à l'information et aux systèmes

d'information), cybercriminalité, aspects légaux de l'audit.

- Système de management de la sécurité et de l'information

(SMSI).

- Démarche d'homologation et EBIOS.

- Gestion des incidents de sécurité.

- Évaluation et certification

- Qualification.



PUBLIC

RSSI, chef de projet, DSI.


17a

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

5


4



3 : du 21 au 25 janvier 2019

4 : du 3 au 7 juin 2019

sur 28


D’INFORMATION

RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION (RSSI) -

ASPECTS TECHNIQUES

OBJECTIF

Approfondir les connaissances dans la gestion de la sécurité des

systèmes d'informations.

Prendre davantage en compte le contexte juridique et réglementaire

et les risques dans l'intégration de la SSI dans les projets.

CONTENU

- -Architecture sécurisée.

- -VOIP.

- Sécurité des systèmes industriels.

- Sécurité et développement logiciel.

- Déploiement IGC.

- Audit SSI.

- Codes malveillants et les traces informatiques.

- Système de détection d'intrusion.


Cours théoriques.

PUBLIC

RSSI, chef de projets, DSI.


Le stage est complémentaire du stage 17a.


17b

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

5


4



3 : du 4 au 8 février 2019

4 : du 24 au 28 juin 2019

sur 28


D’INFORMATION

SÉCURITÉ DES SYSTÈMES INDUSTRIELS

OBJECTIF

Comprendre les enjeux liés à la cyber-sécurité des systèmes

industriels et les particularités de ce domaine.

Être capable de mettre en œuvre un projet de renforcement du niveau

de sécurité d'un système industriel.

CONTENU

- Introduction aux systèmes industriels : définitions et

particularités des systèmes, composants d'un système industriel,

architectures, panorama des normes et standards, etc.

- Sécurité des systèmes industriels : enjeux, cyber-sécurité pour les

systèmes industriels, sûreté de fonctionnement et cyber-sécurité,

exemples d'incidents et vulnérabilités/vecteur d'attaques

classiques.

- Projet de cyber-sécurité du système industriel : méthodes de

classification des systèmes.

- Recommandations d'architectures et bonnes pratiques.


Cours, théoriques avec exposés de cas et travaux pratiques en

environnement industriel.

PUBLIC

Ce stage s'adresse aux personnes en charge de la conception, du

développement, de l'intégration, de l'exploitation ou de la

maintenance de systèmes industriels (maîtrise d'ouvrage, maîtrise

d'œuvre, exploitants, intégrateurs, etc.) ainsi qu'aux personnes

amenées à réaliser des audits ou à accompagner des industriels dans

leurs projets de renforcement de la sécurité des systèmes industriels.


19

Niveau


Prérequis

Connaissances basiques

de la SSI

Type

Cours et

démonstrations

Durée en jours

3


3


2 : du 11 au 13 février 2019

3 : du 11 au 13 juin 2019

sur 28


D’INFORMATION

SÉCURITÉ PHYSIQUE ET LOGIQUE DES COMPOSANTS

OBJECTIF

Comprendre les menaces qui pèsent sur les implantations matérielles

(cartes à puce, microcontrôleurs, systèmes embarqués, etc.).

Suivre l'état de l'art sur les protections ou les contre-mesures

existantes et connaître les outils permettant d'évaluer leur efficacité.

CONTENU

- Aperçu des spécificités des différents systèmes embarqués

(FPGA, ASIC, processeur, etc.).

- Menaces logicielles sur cartes à puce (Javacards, etc.).

- Menaces aux interfaces des systèmes embarqués (JTAG, etc.)

- Présentation des outils (sondes, oscilloscopes, analyseurs

logiques, FIB).

- Menaces liées à des fuites d'information observables (SPA, DPA,

EMA, etc.).

- Menaces liées à la perturbation des calculs cryptographiques

(attaques par injection de fautes).

- Contre-mesures matérielles (shield, capteurs, jitters, etc.) et

logicielles (masquage, randomisation, etc.) les plus fréquentes.

- Notions d'évaluation et de certification des composants.


Cours et démonstrations.

PUBLIC

Spécialistes en électronique, en cryptographie, intégrateurs,

architectes ou spécialistes d'une maîtrise d'ouvrage devant prendre en

compte les questions de sécurité des implantations matérielles.


ou supérieur ; ils doivent être munis du certificat d'habilitation dès le

premier cours. Dans le cas contraire, ils ne seront pas acceptés à

l'ensemble du stage.


23

Niveau

Expertise

Prérequis

Électronique et/ou

cryptographie

Type

Cours

Durée en jours

5


1

1 : du 13 au 17 mai 2019

sur 28


D’INFORMATION

SÉCURITÉ DES SYSTÈMES EMBARQUÉS

OBJECTIF

Comprendre les menaces (physiques et logiques) qui pèsent sur les

implantations matérielles (systèmes embarqués, etc.).

Identifier les vecteurs de compromission de la sécurité des systèmes

embarqués pour mieux en appréhender la conception ou l'analyse.

Suivre l'état de l'art sur les protections ou les contre-mesures

existantes et connaître les outils permettant d'évaluer leur efficacité.

CONTENU

- Analyse détaillée de la surface d'attaque spécifique aux systèmes

embarqués ;

- une introduction pratique aux interfaces exploitables sur ce type

d'équipements ;

- Présentation des outils pratiques et techniques nécessaires à

l'analyse et l'exploitation de la surface d'attaque ;

- Illustration de l'évolution de la menace et de sa prise en compte à

travers des exemples concrets ;

- Définition de la démarche de conception de systèmes embarqués

sécurisés via la mise en œuvre d'une chaîne de démarrage

sécurisée ;

- Bonnes pratiques et vulnérabilités résiduelles.


PUBLIC


Parallèlement à l'évolution des capacités matérielles des technologies

de l'information et des systèmes de communication, on assiste à un

déploiement croissant de systèmes embarqués (réseaux de capteurs,

objets connectés, ordiphones, etc.) qui manipulent et échangent de

l'information critique. Ce déploiement impliquant la possibilité d'un

accès physique malveillant, le profil d'attaquant est spécifique et les

pratiques de sécurité « classiques » ne sont plus suffisantes.

Cette formation ne concerne pas les systèmes Android.


25

Niveau


Prérequis

Type

Cours

Durée en jours

3


1

1 : du 5 au 7 février 2019

sur 28


D’INFORMATION

SÉCURITÉ DES ARCHITECTURES VIRTUALISÉES

OBJECTIF

Connaître les principes et technologies sous-jacents à la

virtualisation.

Être sensibilisé aux risques inhérents à l'usage de la virtualisation.

Appréhender les concepts d'architectures sécurisées reposant sur la

virtualisation.

CONTENU

- Introduction aux principes de la virtualisation : émulation, para-

virtualisation, virtualisation complète, hyperviseurs (types 1 et 2),

containers

- Virtualisation assistée par le matériel : VT-x, VT-d (IOMMU),

VT-c, etc.

- Prise en compte de la sécurité dans les architectures virtualisées,

limites de la consolidation

- Virtualisation du poste de travail : environnements de travail

virtuels locaux ou distants, VDI

- Organisation et administration d'un datacenter virtualisé

- Virtualisation de serveurs : cas d'emploi, containers

- Virtualisation du stockage : NAS, SAN et chiffrement

- Virtualisation du réseau : vSwitch, D-vSwitch, SDN, VXLAN,

NSX

- Introduction aux architectures de cloud computing


Cours illustrés avec des cas pratiques.

PUBLIC

RSSI avec de bonnes connaissances techniques.

Administrateurs réseau/systèmes.


26

Niveau


Prérequis

Connaissances

techniques (réseau,

système)

Type

Cours

Durée en jours

3


4



3 : du 30 janvier au 1 février 2019

4 : du 15 au 17 avril 2019

sur 28

Accès à l’ANSSI (site Mercure)

31 quai de Grenelle, 75015 Paris

Accès au bâtiment

L’accès au bâtiment s’effectue par

l’esplanade située entre le quai de

Grenelle et la rue Émeriau.

catalogue des stages 2018-2019 du cfssi - ssi.gouv.fr · cours, démonstrations et travaux...

Documents