Sécurité Avancée & Audit des SI

Ce cours de fin de licence forme l’étudiant GELO aux métiers d’auditeur et de défenseur des systèmes d’information. Il part de la gouvernance (ISO/IEC 27001, analyse de risques EBIOS Risk Manager, politique de sécurité, continuité d’activité), aborde le test d’intrusion éthique sous l’angle de son cadrage légal, de sa méthodologie et de son rapport, puis la sécurité des applications web (OWASP Top 10, SAST/DAST, divulgation responsable) et enfin la forensique numérique et la réponse aux incidents. Fil rouge : IMF de Maradi, Mobile Money, mairies, pharmacies de Niamey. L’approche est strictement défensive : aucune technique d’exploitation n’est enseignée pas à pas ; toute pratique technique se fait en laboratoire isolé, sur ses propres systèmes ou avec une autorisation écrite. Les références juridiques nationales (protection des données personnelles, cybercriminalité) et régionales (BCEAO, convention de Malabo de l’Union africaine) sont citées à titre indicatif.

Objectifs d’apprentissage

• Réaliser un audit de sécurité complet d’un système d’information selon la méthode EBIOS RM.
• Concevoir et mettre en œuvre une politique de sécurité des SI (PSSI) pour une organisation.
• Conduire un test d’intrusion (pentest) éthique complet : reconnaissance, exploitation, rapport — ici du point de vue de l’auditeur qui le cadre, le pilote et en exploite les résultats.
• Assurer la conformité aux normes de sécurité : ISO 27001, RGPD et textes africains.

Prérequis

Introduction à la Cybersécurité (CYB4142) — GELO S4 ; Sécurité des Réseaux & VPN (SVP5132) — GELO S5.

Plan du cours

1. Leçon 1 — Gouvernance et Politique de Sécurité : ISO 27001 et SMSI, EBIOS RM, PSSI, PCA/PRA (RTO, RPO, tests de bascule).
2. Leçon 2 — Tests d’Intrusion Éthiques : cadre légal et contractuel, PTES, rôle des outils, reporting et CVSS v3.1.
3. Leçon 3 — Sécurité des Applications Web : OWASP Top 10, SAST/DAST, revue de code, bug bounty.
4. Leçon 4 — Forensique Numérique et Réponse aux Incidents : preuves et chaîne de custody, Autopsy, Volatility, CSIRT et communication de crise.

Travaux pratiques

• Mini-audit EBIOS RM d’une mairie et déclaration d’applicabilité (leçon 1).
• Du cadrage au rapport : convention, règles d’engagement, cotation CVSS, plan de remédiation (leçon 2).
• SAST (SonarQube) et DAST (OWASP ZAP) sur sa propre application de recette (leçon 3).
• Challenge forensique : analyse d’artefacts fournis, chronologie et rapport de réponse à incident complet (leçon 4).

Modalités d’évaluation

Volume : CM 20 h, TD 10 h, TP 10 h, TPE 20 h (charge totale 60 h) ; 3 crédits. Évaluation CC + ET : contrôle continu 40 % (comptes rendus de TP, quiz, rapport d’incident) et examen terminal 60 % ; nature mixte (écrit et pratique).

Bibliographie

• Engebretson P., The Basics of Hacking and Penetration Testing, Syngress.
• ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information (AFNOR) ; ISO/IEC 27002:2022.
• ANSSI, EBIOS Risk Manager — Le guide, 2018.
• OWASP, OWASP Top 10:2021 et API Security Top 10:2023 (owasp.org).
• NIST SP 800-61, Computer Security Incident Handling Guide.