Analyse et gestion des risques

Ce cours de l’UE4 « Gestion des risques en sécurité de l’information » forme les futurs RSSI adjoints, auditeurs et analystes à conduire une démarche complète de management des risques de sécurité de l’information : établir le contexte, identifier et évaluer les risques, choisir et justifier les traitements, suivre le risque résiduel. Il s’appuie sur les référentiels ISO 31000, ISO/IEC 27005, EBIOS Risk Manager, OCTAVE et NIST SP 800-30, appliqués à des organisations nigériennes : banques de Niamey, opérateurs de téléphonie et de mobile money, administrations fiscales, établissements d’enseignement. Les approches qualitative (matrices) et quantitative (SLE, ALE, ROSI) sont mises en œuvre dans des exercices chiffrés et des TP guidés.

Objectifs d’apprentissage

• Maîtriser le vocabulaire et le processus normalisés du management des risques de sécurité de l’information.
• Identifier et évaluer les risques liés aux systèmes d’information (actifs, sources de risque, scénarios, matrices).
• Mettre en œuvre et comparer les méthodes ISO/IEC 27005, EBIOS RM et OCTAVE.
• Élaborer une stratégie de traitement combinant prévention, détection et réponse.
• Justifier économiquement les mesures (ALE, ROSI) et bâtir un plan de traitement avec indicateurs.

Prérequis

Connaissances de base en gestion de la sécurité informatique (principes DIC, mesures techniques usuelles) ; aisance avec un tableur ou Python pour les TP.

Plan du cours

1. Leçon 1 — Fondements de l’analyse et de la gestion des risques
2. Leçon 2 — Identification et évaluation des risques
3. Leçon 3 — Méthodes d’analyse des risques : ISO 27005, EBIOS RM et OCTAVE
4. Leçon 4 — Stratégies, traitement et mitigation des risques : études de cas

Modalités d’évaluation

Volume horaire : 20 h de CM, 20 h de TD, 20 h de TP et 60 h de travail personnel (TPE) ; 6 crédits. Contrôle continu (40 %) : quiz en ligne, comptes rendus des TP guidés (registre des risques, atelier EBIOS RM, plan de traitement). Examen terminal (60 %) : étude de cas intégrée d’appréciation et de traitement des risques d’une organisation nigérienne.

Bibliographie

• ISO/IEC 27005:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Recommandations pour la gestion des risques liés à la sécurité de l’information. ISO.
• ISO 31000:2018, Management du risque — Lignes directrices. ISO.
• ANSSI (2018). EBIOS Risk Manager — Le guide. Agence nationale de la sécurité des systèmes d’information.
• NIST SP 800-30 Rev. 1 (2012). Guide for Conducting Risk Assessments. National Institute of Standards and Technology.
• Alberts, C. & Dorofee, A. (2002). Managing Information Security Risks: The OCTAVE Approach. Addison-Wesley.
• Freund, J. & Jones, J. (2014). Measuring and Managing Information Risk: A FAIR Approach. Butterworth-Heinemann.