Fondations de la sécurité de l'information

Ce que vous saurez faire

À la fin de ce cours, vous saurez :

• Expliquer pourquoi l'information est un actif, distinguer l'actif de son support, et dire qui en est le propriétaire.
• Définir confidentialité, intégrité et disponibilité en termes opérationnels, et nommer les propriétés que le triptyque laisse de côté.
• Construire une échelle de classification tenable et lui associer des règles de manipulation.
• Employer correctement les mots actif, menace, vulnérabilité et risque, et rédiger un énoncé de risque qui se tient.
• Choisir entre une analyse qualitative et une analyse quantitative selon la décision à prendre, et connaître les limites de la matrice.
• Reconnaître les quatre stratégies de traitement du risque et le fait que l'acceptation est une décision qui a un titulaire.
• Classer une mesure par sa nature et par son moment d'action, et reconnaître une défense en profondeur véritable.
• Distinguer identification, authentification et autorisation, et comprendre ce que la cryptographie protège et ne protège pas.
• Situer les rôles de chacun, la séparation des tâches, et le circuit de signalement d'un incident, escalade fonctionnelle comprise.
• Repérer les obligations qui s'imposent à votre organisation, Loi 25 et RGPD en tête, et ce qu'elles exigent en cas d'incident de confidentialité.
• Lire la structure d'un SMSI ISO/IEC 27001, ses clauses 4 à 10, sa déclaration d'applicabilité et les 93 mesures de l'Annexe A.

À qui s'adresse ce module

Ce cours est la porte d'entrée du campus. Il s'adresse à toute personne qui doit comprendre la sécurité de l'information sans être informaticienne : gestionnaire, responsable de processus, personnel administratif, professionnel en reconversion, ou futur praticien de la gouvernance, du risque et de la conformité.

Le fil conducteur suit la question que se pose une organisation qui découvre le sujet. Qu'est-ce que je protège – l'information, sa valeur, ses propriétés, sa classification. Contre quoi – les menaces, les vulnérabilités et le risque, avec le vocabulaire employé correctement. Avec quoi – les familles de mesures, physiques, techniques et organisationnelles. Par qui – l'humain, les rôles, la séparation des tâches et le signalement des incidents. Sous quelles obligations – la conformité, la Loi 25 au Québec, le RGPD en Europe. Et enfin comment tenir tout cela ensemble – le système de management de la sécurité de l'information selon ISO/IEC 27001.

La matière de départ est celle du programme Information Security Foundation fondé sur ISO/IEC 27002. Elle a été actualisée : les éditions 2022 d'ISO/IEC 27001 et 27002, avec leurs 93 mesures en quatre thèmes, remplacent la structure ancienne, et le volet juridique est celui du Québec et de l'Europe. La base de connaissance de référence est le CyBOK, publié en 2019 et librement accessible.

Aucun prérequis technique. Le cours FD02, Introduction à la cybersécurité, prend la suite du côté des systèmes et de l'adversaire ; il peut se suivre avant ou après.

Programme

Évaluations