Normes et politiques de sécurité

Ce cours de l’UE4 prépare les futurs RSSI adjoints, auditeurs et consultants à concevoir, déployer, auditer et améliorer le dispositif normatif et documentaire de la sécurité de l’information d’une organisation. Il présente les grands référentiels (famille ISO/IEC 27000, NIST CSF, CIS Controls, PCI DSS, COBIT), détaille les exigences d’ISO/IEC 27001:2022 et de son annexe A, puis enseigne l’élaboration de politiques claires et mesurables et leur traduction en configurations vérifiables. Il se termine par l’audit (ISO 19011) et l’amélioration continue. Les exemples portent sur des banques, opérateurs télécoms et administrations du Niger, en tenant compte du cadre légal national (protection des données, cybercriminalité) présenté à titre indicatif. Les TP guidés se déroulent sur les machines virtuelles de l’étudiant.

Objectifs d’apprentissage

• Expliquer le rôle et l’articulation des normes, référentiels, lois et politiques de sécurité.
• Maîtriser les exigences d’ISO/IEC 27001 (clauses 4 à 10, annexe A, déclaration d’applicabilité, certification).
• Élaborer une PSSI et des politiques thématiques adaptées aux besoins de l’organisation.
• Traduire une politique en paramètres techniques vérifiables et en preuves.
• Conduire un audit de conformité et piloter l’amélioration continue par les indicateurs.

Prérequis

Connaissances en sécurité informatique et en gestion des risques (cours d’analyse et gestion des risques suivi en parallèle) ; administration de base Linux et Windows pour les TP.

Plan du cours

1. Leçon 1 — Normes et politiques de sécurité : panorama et fondements
2. Leçon 2 — ISO/IEC 27001 : le système de management de la sécurité de l’information
3. Leçon 3 — Élaboration et mise en œuvre des politiques de sécurité
4. Leçon 4 — Audits, conformité et amélioration continue des politiques

Modalités d’évaluation

Volume horaire : 26 h de CM, 22 h de TD, 22 h de TP et 70 h de TPE ; 7 crédits. Contrôle continu (40 %) : quiz, livrables des TP guidés (déclaration d’applicabilité, configuration conforme à une politique, rapport d’audit de VM). Examen terminal (60 %) : cas intégré de rédaction de politique et d’analyse de constats d’audit.

Bibliographie

• ISO/IEC 27001:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l’information — Exigences. ISO.
• ISO/IEC 27002:2022, Mesures de sécurité de l’information. ISO.
• ISO 19011:2018, Lignes directrices pour l’audit des systèmes de management. ISO.
• NIST (2024). The NIST Cybersecurity Framework (CSF) 2.0. National Institute of Standards and Technology.
• Calder, A. & Watkins, S. IT Governance: An International Guide to Data Security and ISO 27001/ISO 27002. Kogan Page.