Description du projet
Formation Homologation de la sécurité – RGS 2.0
Avis de l’expert
Dans le cadre de la mise en œuvre de téléservices, les autorités administratives sont soumises à l’obligation légale de respecter l’ordonnance n° 2005-1516 du 8 décembre 2005 relative à leurs échanges électroniques avec leurs usagers. Cette ordonnance introduit le Référentiel Général de Sécurité (article 9) qui fixe les règles auxquelles les SI mis en place par les autorités administratives doivent se conformer pour assurer la sécurité des informations échangées.
Les règles techniques et fonctionnelles imposées par ce référentiel modifient la gouvernance des SI au sein des autorités administratives notamment lors de la conception des nouveaux projets mais également lors du maintien en condition opérationnelle des systèmes numériques opérationnels.
Cette formation Homologation RGS vise à fournir tous les éléments juridiques, fonctionnels et techniques permettant d’intégrer les nouvelles exigences du RGS dans les processus opérationnels (métiers et informatique) et de définir les procédures adaptées au déploiement des mesures de sécurité.
Objectifs de la formation Homologation RGS
- Comprendre comment appliquer les directives de protection des données à caractère personnel (loi sur la protection des données personnelles et RGPD) dans le cadre de la mise en œuvre d’un téléservice
- Savoir mettre en œuvre la démarche permettant d’appliquer la sécurité des SI durant tout le cycle de vie d’un projet informatique (en conformité avec les principes énoncés dans le guide GISSIP de l’ANSSI)
- Connaître et savoir appliquer les directives de l’homologation RGS en matière d’homologation de la sécurité des systèmes d’information
- Être en mesure d’appliquer les directives techniques (certificat, horodatage, authentification, …) définies dans la dernière version du RGS en vigueur
- Savoir conduire une démarche d’appréciation des risques et d’audit conforme aux directives du RGS
- Être capable de définir les objectifs et la politique de sécurité adaptés aux enjeux de l’autorité administrative
Public concerné
Responsable de la Sécurité du Système d’Information (RSSI), DPO, chefs de projet, Directeur des Systèmes d’Information, responsables métiers en charge de la mise en œuvre des téléservices
Pré-requis
Aucun.
Les plus de cette formation Homologation RGS
Une approche méthodologique participative permettant des échanges entre les participants et le formateur sur des retours d’expériences concrets.
Le support de formation est utilisé pour présenter les éléments théoriques des exigences du RGS et les applications pratiques des directives.
Des documents annexes illustrent les cas concrets abordés durant la formation.
Les nombreux exemples concrétisent les modèles théoriques proposés. Toutes les démarches proposées ont été éprouvées et mise en œuvre dans des autorités administratives.
Cette formation ne fait pas l’objet d’une évaluation des acquis.
Support de cours remis sur clé USB ou lien de téléchargement.
| Tarif : sur devis |
|---|
| Renseignements et inscriptions au +33 (0)3 87 62 06 00 ou par courriel via le formulaire de contact. |
|---|
1. Introduction
- Cadre juridique de l’homologation RGS (ordonnance du 8 décembre 2005 et arrêtés d’application) ;
- Périmètre d’éligibilité au RGS (organismes concernés par le RGS, …)
- Historique de la sécurité des systèmes d’information
- Principes généraux relatifs à la protection des données à caractère personnel (Informatique et Libertés)
2. Les principes généraux du Référentiel Général de Sécurité
- Démarche de mise en œuvre de l’homologation RGS pour tous les nouveaux téléservices
- Mise en conformité des téléservices opérationnels avant la parution du RGS
- L’homologation de la sécurité des systèmes d’information
- Prestataires de services de confiance (PSCO)
- Produits de sécurité labellisés ou certifiés
- Fonctions techniques de sécurité
- Prise en compte de la sécurité dans les démarches projets
3. La mise en place d’une filière sécurité au sein de l’autorité administrative
- Les instances de décisions
- L’autorité d’homologation RGS
- Les acteurs de la filière SSI (RSSI, CIL/DPO, Référents SSI, …)
- Les rôles et responsabilités collectives et individuelles de tous les personnels de l’autorité administrative
- Exemple de modèle organisationnel
- Exemple de document décrivant les rôles et les responsabilités
4. L’homologation de la sécurité
- Rôle du chef de projet dans le processus d’homologation
- Création du dossier de sécurité d’un nouveau projet informatique
- Présentation du dossier de sécurité à l’autorité d’homologation
5. L’appréciation des risques et la définition des objectifs de sécurité
- Présentation du guide méthodologique de la CNIL
- Présentation de la méthode EBIOS de l’ANSSI
- Appréciation des risques dans le cadre d’un téléservice
- Analyse de la maturité du SI – présentation du guide de maturité de l’ANSSI
- Étude de cas basée sur l’utilisation du logiciel SCORE Privacy
6. L’audit de la Sécurité des Systèmes d’Information
- Catégories d’audit
- Exigences relatives aux choix d’un prestataire d’audit
- Métriques d’audit et la présentation des résultats
- Présentation du guide de l’auditeur de l’ANSSI
7. La formalisation de la PSSI
- Objectifs de la PSSI, son périmètre
- Sujets à aborder dans le cadre de la politique de sécurité
- Structure document d’une politique de sécurité
- Chartes à destination des personnels internes ou externes
- Exemple de directives de sécurité, de PSSI et de chartes
8. La sensibilisation des personnels
- La démarche de sensibilisation
- Construire son plan de sensibilisation
- Exemple de support et d’outils de sensibilisation
- Le suivi de la sensibilisation
9. La prise en compte de la SSI dans les nouveaux projets
- Présentation du guide GISSIP de l’ANSSI
- Les livrables de sécurité attendus à chaque étape d’un nouveau projet
- La formalisation d’un dossier de sécurité
- Exemple de création d’un dossier de sécurité en utilisant le logiciel SCORE Privacy
10. Les fonctions techniques de sécurité informatique
- Les règles relatives à la cryptographie, à la protection des échanges électroniques, aux accusés d’enregistrement et aux accusés de réception
11. Le plan de traitement des incidents et de reprise d’activité
- Principes généraux relatifs à la gestion des incidents
- Introduction à la mise en œuvre d’un PCA / PRA (basé sur la norme ISO 22301)
- Procédures d’alertes et de gestion d’une cyber-crise
12. La maintenance et le suivi de la sécurité des systèmes d’information
- La mise en place d’une démarche d’amélioration continue basée sur la norme ISO 27001
- La veille technique et juridique de la sécurité des systèmes d’information