École Privée d’Ingénierie du Niger — L’école du nouveau monde

✉ elearning@epiniger.edu.ne    🌐 epiniger.edu.ne

EPI e-Learning

L'école du nouveau monde · Plateforme e-Learning

Unité d’enseignement : Master MCS · S1 · UE4 — Gestion des risques en sécurité de l’information

  • Normes et politiques de sécurité

    Ce cours de l’UE4 prépare les futurs RSSI adjoints, auditeurs et consultants à concevoir, déployer, auditer et améliorer le dispositif normatif et documentaire de la sécurité de l’information d’une organisation. Il présente les grands référentiels (famille ISO/IEC 27000, NIST CSF, CIS Controls, PCI DSS, COBIT), détaille les exigences d’ISO/IEC 27001:2022 et de son annexe A, puis enseigne l’élaboration de politiques claires et mesurables et leur traduction en configurations vérifiables. Il se termine par l’audit (ISO 19011) et l’amélioration continue. Les exemples portent sur des banques, opérateurs télécoms et administrations du Niger, en tenant compte du cadre légal national (protection des données, cybercriminalité) présenté à titre indicatif. Les TP guidés se déroulent sur les machines virtuelles de l’étudiant.

    Objectifs d’apprentissage

    • Expliquer le rôle et l’articulation des normes, référentiels, lois et politiques de sécurité.
    • Maîtriser les exigences d’ISO/IEC 27001 (clauses 4 à 10, annexe A, déclaration d’applicabilité, certification).
    • Élaborer une PSSI et des politiques thématiques adaptées aux besoins de l’organisation.
    • Traduire une politique en paramètres techniques vérifiables et en preuves.
    • Conduire un audit de conformité et piloter l’amélioration continue par les indicateurs.

    Prérequis

    Connaissances en sécurité informatique et en gestion des risques (cours d’analyse et gestion des risques suivi en parallèle) ; administration de base Linux et Windows pour les TP.

    Plan du cours

    1. Leçon 1 — Normes et politiques de sécurité : panorama et fondements
    2. Leçon 2 — ISO/IEC 27001 : le système de management de la sécurité de l’information
    3. Leçon 3 — Élaboration et mise en œuvre des politiques de sécurité
    4. Leçon 4 — Audits, conformité et amélioration continue des politiques

    Modalités d’évaluation

    Volume horaire : 26 h de CM, 22 h de TD, 22 h de TP et 70 h de TPE ; 7 crédits. Contrôle continu (40 %) : quiz, livrables des TP guidés (déclaration d’applicabilité, configuration conforme à une politique, rapport d’audit de VM). Examen terminal (60 %) : cas intégré de rédaction de politique et d’analyse de constats d’audit.

    Bibliographie

    • ISO/IEC 27001:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Systèmes de management de la sécurité de l’information — Exigences. ISO.
    • ISO/IEC 27002:2022, Mesures de sécurité de l’information. ISO.
    • ISO 19011:2018, Lignes directrices pour l’audit des systèmes de management. ISO.
    • NIST (2024). The NIST Cybersecurity Framework (CSF) 2.0. National Institute of Standards and Technology.
    • Calder, A. & Watkins, S. IT Governance: An International Guide to Data Security and ISO 27001/ISO 27002. Kogan Page.

  • Analyse et gestion des risques

    Ce cours de l’UE4 « Gestion des risques en sécurité de l’information » forme les futurs RSSI adjoints, auditeurs et analystes à conduire une démarche complète de management des risques de sécurité de l’information : établir le contexte, identifier et évaluer les risques, choisir et justifier les traitements, suivre le risque résiduel. Il s’appuie sur les référentiels ISO 31000, ISO/IEC 27005, EBIOS Risk Manager, OCTAVE et NIST SP 800-30, appliqués à des organisations nigériennes : banques de Niamey, opérateurs de téléphonie et de mobile money, administrations fiscales, établissements d’enseignement. Les approches qualitative (matrices) et quantitative (SLE, ALE, ROSI) sont mises en œuvre dans des exercices chiffrés et des TP guidés.

    Objectifs d’apprentissage

    • Maîtriser le vocabulaire et le processus normalisés du management des risques de sécurité de l’information.
    • Identifier et évaluer les risques liés aux systèmes d’information (actifs, sources de risque, scénarios, matrices).
    • Mettre en œuvre et comparer les méthodes ISO/IEC 27005, EBIOS RM et OCTAVE.
    • Élaborer une stratégie de traitement combinant prévention, détection et réponse.
    • Justifier économiquement les mesures (ALE, ROSI) et bâtir un plan de traitement avec indicateurs.

    Prérequis

    Connaissances de base en gestion de la sécurité informatique (principes DIC, mesures techniques usuelles) ; aisance avec un tableur ou Python pour les TP.

    Plan du cours

    1. Leçon 1 — Fondements de l’analyse et de la gestion des risques
    2. Leçon 2 — Identification et évaluation des risques
    3. Leçon 3 — Méthodes d’analyse des risques : ISO 27005, EBIOS RM et OCTAVE
    4. Leçon 4 — Stratégies, traitement et mitigation des risques : études de cas

    Modalités d’évaluation

    Volume horaire : 20 h de CM, 20 h de TD, 20 h de TP et 60 h de travail personnel (TPE) ; 6 crédits. Contrôle continu (40 %) : quiz en ligne, comptes rendus des TP guidés (registre des risques, atelier EBIOS RM, plan de traitement). Examen terminal (60 %) : étude de cas intégrée d’appréciation et de traitement des risques d’une organisation nigérienne.

    Bibliographie

    • ISO/IEC 27005:2022, Sécurité de l’information, cybersécurité et protection de la vie privée — Recommandations pour la gestion des risques liés à la sécurité de l’information. ISO.
    • ISO 31000:2018, Management du risque — Lignes directrices. ISO.
    • ANSSI (2018). EBIOS Risk Manager — Le guide. Agence nationale de la sécurité des systèmes d’information.
    • NIST SP 800-30 Rev. 1 (2012). Guide for Conducting Risk Assessments. National Institute of Standards and Technology.
    • Alberts, C. & Dorofee, A. (2002). Managing Information Security Risks: The OCTAVE Approach. Addison-Wesley.
    • Freund, J. & Jones, J. (2014). Measuring and Managing Information Risk: A FAIR Approach. Butterworth-Heinemann.