ISO 27005 - Risk Manager - Avec certification

Objectif : Assimiler les concepts de la famille ISO 27000 et définir le cadre de la gestion des risques ISO 27005.

• Vue d'ensemble des normes ISO/IEC 27001, 27002 et 27005.
• Définitions clés : Actifs, Menaces, Vulnérabilités, Impacts, Vraisemblance et Risque résiduel.
• Délimitation du périmètre d'analyse de risques et alignement sur les objectifs stratégiques d'entreprise.
• Définition des critères d'évaluation, d'impact et d'acceptation des risques par la Direction.

Atelier pratique : Définition de la grille des critères d'impact et d'acceptation des risques pour une entreprise modèle.

Cas métier : Cadrage du périmètre d'une filiale bancaire - Délimitation des actifs critiques et rédaction des règles d'acceptation.

Compétence acquise : Poser le cadre gouvernance et les critères d'évaluation d'une analyse de risques ISO 27005.

Livrable : Matrice des critères d'impact et d'acceptabilité des risques.

Objectif : Recenser les actifs informatiques/métiers et identifier les scénarios de menaces associés.

• Méthodologie de cartographie des actifs primaires (processus, données) et supports (serveurs, réseaux, personnes).
• Identification et typologie des menaces : d'origine humaine (interne/externe), environnementale ou technique.
• Recensement des vulnérabilités organisationnelles, physiques et logicielles.

Atelier pratique : Établissement de la cartographie des actifs et des menaces sur une plateforme e-commerce.

Cas métier : Cartographie des risques d'un SI de santé - Recensement des données médicales et des flux d'accès associés.

Compétence acquise : Cartographier rigoureusement les actifs et le catalogue des menaces d'un périmètre d'entreprise.

Livrable : Le registre des actifs et du catalogue des menaces.

Objectif : Évaluer la vraisemblance, l'impact et calculer le niveau de risque brut des scénarios cyber.

• Méthodes d'estimation quantitative et qualitative des risques.
• Évaluation des contrôles et mesures de sécurité existants (Efficacité organisationnelle et technique).
• Calcul et niveau du risque brut vs risque net.
• Hiérarchisation des risques et inscription dans la cartographie globale de l'entreprise.

Atelier pratique : Cotation en sous-groupes de 5 scénarios d'attaque majeurs (Ransomware, Phishing, Sabotage).

Cas métier : Analyse d'une attaque par Ransomware sur un site industriel - Calcul des impacts financiers et opérationnels.

Compétence acquise : Évaluer le niveau réel de risque cyber et sérier les priorités de traitement.

Livrable : La cartographie des risques bruts hiérarchisée.

Objectif : Définir les stratégies de traitement des risques et concevoir le plan d'action sécurité.

• Les 4 options de traitement du risque : Réduction, Transfert (Assurance), Acceptation et Évitement.
• Sélection des mesures de sécurité de l'ISO 27001 Annexe A en réponse aux risques identifiés.
• Établissement du Plan de Traitement des Risques (PTR) et calcul du risque résiduel.
• Communication et reporting des risques auprès de la Direction et des comités d'audit.

Atelier pratique : Rédaction d'un Plan de Traitement des Risques et sélection des mesures ISO 27001 associées.

Cas métier : Présentation du plan de sécurité devant le Comex - Arbitrage budgétaire sur les mesures d'atténuation.

Compétence acquise : Élaborer un plan de traitement des risques réaliste et argumenté.

Livrable : Le Plan de Traitement des Risques (PTR) et le modèle de rapport Comex.

Objectif : Intégrer l'amélioration continue de la gestion des risques et passer l'examen blanc.

• Surveillance continue, revue des risques et gestion des changements du SI.
• Intégration de l'ISO 27005 au sein du SMSI ISO 27001 et synergie avec EBIOS RM.
• Session de révision générale des concepts clés du référentiel d'examen.
• Passage et correction détaillée de l'examen blanc ISO 27005 Risk Manager.

Atelier pratique : Correction commentée de 40 questions types d'examen et levée des doutes méthodologiques.

Cas métier : Revue annuelle de la cartographie des risques - Actualisation pour donner suite à l'ouverture d'une filiale.

Compétence acquise : Maîtriser le déroulement de l'examen de certification et le suivi d'un processus de risque.

Livrable : Grille de correction de l'examen blanc et fiches mémos de synthèse.

Objectif : Passer l'examen de certification officiel « ISO 27005 Risk Manager » et formaliser son plan de retour en entreprise.

• Consignes officielles et modalités d'examen de certification (Format QCM / Durée 1 heure).
• Passage de l'examen de certification officiel en ligne sous la surveillance d'un examinateur certifié.
• Débriefing à chaud et formalisation des premières actions d'application de retour en entreprise.

Atelier pratique : Passage officiel de l'examen de certification ISO 27005 Risk Manager.

Cas métier : Feuille de route de retour en entreprise - Définition des 3 premières étapes de mise en place de la démarche.

Compétence acquise : Validation officielle de la certification internationale ISO 27005 Risk Manager.

Livrable : Attestation de réussite à l'examen de certification et feuille de route personnelle.

Objectif : Réutiliser en autonomie les critères, la cartographie des actifs et la cotation des risques des journées ESSENTIEL pour mener une analyse complète sur un périmètre d'entreprise.

• Réactiver les acquis des journées ESSENTIEL : rappel visuel et quiz sur les critères d'impact et d'acceptation, les actifs, les menaces et la cotation des scénarios.
• Enchaîner toutes les étapes de la démarche : contexte et critères, actifs et menaces, cotation des scénarios et hiérarchisation des risques.

Atelier pratique : Entraînement en binômes : vérifier la cotation d'une série de scénarios volontairement incohérente et la corriger, avec correction croisée entre binômes.

Cas métier : Le système d'information d'une entreprise multisite (cas fil rouge) - Les participants définissent les critères, recensent les actifs et les menaces, cotent les scénarios et produisent la cartographie hiérarchisée des risques, puis la présentent au groupe.

Compétence acquise : Savoir mener en autonomie une analyse de risques complète.

Livrable : Le registre des risques et la cartographie hiérarchisée, construits avec les matrices des journées ESSENTIEL.

Objectif : Mettre à l'épreuve son plan de traitement des risques et sa communication face aux questions d'un auditeur et d'une direction.

• Retour sur les options de traitement, le risque résiduel et la communication vers la direction vus les jours précédents.
• Construire le plan de traitement des risques et le rapport de présentation au comité de direction.

Atelier pratique : Exercice guidé : recalculer le risque résiduel après les mesures retenues et comparer les arbitrages entre participants.

Cas métier : L'audit de la démarche (cas fil rouge) - Chaque participant finalise le plan de traitement et le rapport pour le comité de direction, puis les défend face à un auditeur et à une direction joués par le groupe et le formateur.

Compétence acquise : Savoir présenter et défendre une analyse de risques devant un auditeur et une direction.

Livrable : Le plan de traitement des risques et le rapport pour le comité de direction, issus des modèles des journées ESSENTIEL.