ISO 27001 - Lead Implementer - Avec certification

Objectif : Comprendre le cadre réglementaire de l'ISO 27001.

• Identifier les exigences de la structure HLS.
• Analyser le contexte de l'organisation (Clause 4).
• Définir le périmètre exact du SMSI.

Atelier pratique : Analyse de l'écosystème d'une entreprise témoin et formalisation des limites du SMSI.

Cas métier : Définition du périmètre du SMSI pour un éditeur de logiciels SaaS hébergeant des données financières critiques.

Compétence acquise : Être capable de rédiger la clause de périmètre d'un SMSI de manière irréprochable.

Livrable : Document officiel de définition du domaine d'application du SMSI.

Objectif : Structurer la gouvernance du projet (Clause 5).

• Rédiger les principes directeurs d'une Politique de Sécurité (PSSI).
• Définir les rôles, responsabilités et autorités au sein du SMSI.
• Planifier l'allocation des ressources.

Atelier pratique : Rédaction des chapitres clés d'une PSSI à partir d'une charte de gouvernance d'entreprise.

Cas métier : Simulation d'une présentation de PSSI face à un Directeur Général réticent au changement organisationnel.

Compétence acquise : Savoir formaliser et vendre l'engagement de la direction dans la démarche de sécurité.

Livrable : Trame de PSSI validée et matrice RACI des rôles de sécurité.

Objectif : Planifier les actions face aux risques et opportunités (Clause 6).

• Aligner l'analyse de risques (ISO 27005) avec les exigences ISO 27001.
• Définir les objectifs de sécurité de l'information quantifiables.
• Structurer le plan de traitement des risques opérationnel.

Atelier pratique : Traduction des risques majeurs d'une cartographie en objectifs de sécurité mesurables.

Cas métier : Déclinaison d'une analyse de risques ISO 27005 en plan d'action opérationnel pour une plateforme logistique internationale.

Compétence acquise : Savoir lier la gestion des risques aux objectifs stratégiques du SMSI.

Livrable : Fiche de suivi des objectifs de sécurité et matrice des risques du SMSI.

Objectif : Gérer les moyens nécessaires au SMSI (Clause 7).

• Définir les besoins en compétences et planifier les formations.
• Concevoir un plan de sensibilisation du personnel à la cybersécurité.
• Maîtriser la gestion des « informations documentées » (création, mise à jour, contrôle).

Atelier pratique : Élaboration d'une procédure de gestion documentaire et d'un plan de sensibilisation pour des équipes RH et Commerciales.

Cas métier : Conception du programme de sensibilisation d'urgence suite à une recrudescence d'attaques par phishing au sein d'une entreprise.

Compétence acquise : Savoir structurer le support documentaire et humain nécessaire au fonctionnement du SMSI.

Livrable : Plan de sensibilisation annuel et procédure de maîtrise des informations documentées.

Objectif : Maîtriser et implémenter les contrôles organisationnels et humains de l'Annexe A (Thèmes 5 et 6).

• Mettre en œuvre la sécurité liée aux ressources humaines (avant, pendant, après l'emploi).
• Structurer la gestion des actifs et le contrôle des accès.
• Organiser la sécurité dans les relations avec les fournisseurs.

Atelier pratique : Rédaction d'une clause de sécurité pour les tiers et d'une procédure d'arrivée/départ des salariés.

Cas métier : Restructuration du processus de gestion des accès d'une entreprise sous-traitant une partie de son support client à l'international.

Compétence acquise : Être capable de déployer les contrôles organisationnels et RH de l'ISO 27001.

Livrable : Politique de sécurité des relations fournisseurs et check-list RH d'intégration/départ.

Objectif : Choisir et implémenter les contrôles physiques et techniques de l'Annexe A (Thèmes 7 et 8).

• Définir les périmètres de sécurité physique et la protection des infrastructures.
• Structurer la sécurité technique : gestion des vulnérabilités, chiffrement, sauvegardes, journalisation.
• Intégrer les concepts de « Secure Coding » et de développement sécurisé.

Atelier pratique : Sélection et spécification des mesures techniques de protection des postes de travail et serveurs d'une infrastructure cible.

Cas métier : Déploiement des contrôles techniques de l'Annexe A pour sécuriser le déploiement d'une application Web grand public.

Compétence acquise : Savoir traduire les exigences normatives techniques en spécifications opérationnelles pour les équipes système et réseau.

Livrable : Spécification technique des contrôles de l'Annexe A appliqués aux infrastructures.

Objectif : Finaliser la planification opérationnelle (Clause 8) et formaliser la SoA.

• Justifier l'inclusion et l'exclusion des 93 mesures de l'Annexe A.
• Concevoir la Déclaration d'Applicabilité (Statement of Applicability - SoA).
• Planifier la mise en œuvre opérationnelle des contrôles retenus.

Atelier pratique : Construction complète d'une matrice SoA automatisée sur la base des risques évalués au Jour 2.

Cas métier : Rédaction des justifications d'exclusion des mesures physiques pour une entreprise fonctionnant à 100% en télétravail et dans le Cloud.

Compétence acquise : Maîtriser la création du document le plus critique de l'audit de certification : la SoA.

Livrable : Document de Déclaration d'Applicabilité (SoA) finalisé et exploitable.

Objectif : Piloter la surveillance, la mesure et l'évaluation du SMSI (Clause 9).

• Définir les indicateurs de performance de la sécurité (KPI).
• Planifier et structurer le programme d'audit interne du SMSI.
• Organiser et mener une Revue de Direction.

Atelier pratique : Simulation d'une revue de direction : rédaction de l'ordre du jour et saisie du compte-rendu officiel.

Cas métier : Construction du tableau de bord de pilotage du SMSI pour un RSSI devant reporter trimestriellement au Comité d'Audit.

Compétence acquise : Savoir mesurer l'efficacité réelle d'un SMSI et préparer les éléments de preuve pour la certification.

Livrable : Modèle de rapport de Revue de Direction et tableau de bord KPI Cybersécurité.

Objectif : Gérer les écarts et préparer l'accueil de l'auditeur de certification (Clause 10).

• Réagir aux non-conformités et mettre en œuvre des actions correctives.
• Comprendre le déroulement des phases 1 et 2 de l'audit de certification.
• Adopter la bonne posture face aux questions de l'auditeur externe.

Atelier pratique : Traitement d'un cas de non-conformité majeure détectée lors d'un pré-audit (ex : absence de tests de restauration des sauvegardes).

Cas métier : Jeu de rôle : simulation d'un entretien d'audit de certification réel entre un auditeur exigeant et le responsable du SMSI.

Compétence acquise : Savoir gérer les crises de conformité et piloter sereinement un audit de certification.

Livrable : Fiche de suivi des non-conformités et plan d'actions correctives (CAPA) type.

Objectif : Valider les acquis du parcours et obtenir le titre international de Lead Implementer.

• Réaliser un examen blanc complet chronométré.
• Revue critique des pièges sémantiques classiques de l'examen.
• Passage de l'examen officiel de certification.

Atelier pratique : Examen blanc général, correction interactive menée par le formateur-expert, puis session d'examen officiel de certification.

Cas métier : Feuille de route des 90 premiers jours - Plan d'action d'implémentation de retour au bureau.

Compétence acquise : Validation officielle et internationale des compétences de Lead Implementer ISO 27001.

Livrable : Passage de l'examen officiel de certification.