ISO 27004 : Indicateurs et tableaux de bord cybersécurité
Version 2023

Que ce soit un avion ou un organisme, il est toujours possible de conduire celui-ci avec peu d'informations, mais cela sera moins efficace, voire dangereux. Dans le cas de la gestion de la sécurité de l'information, le pilotage d'une telle activité consiste à prendre des décisions et ce à plusieurs niveaux. Ce peut être la décision de modifier une fréquence de scan antivirus ou encore, à un niveau plus stratégique, l'arbitrage en faveur d'une redistribution des budgets.
Si elles ne relèvent pas du même niveau d'arbitrage, ces décisions ont ceci en commun qu'elles se font de façon plus éclairée si elles sont prises en fonction d'informations fiables et pertinentes. La prise de décision est d'autant meilleure qu'elle peut s'appuyer sur des indicateurs concrets et pertinents.
Les indicateurs stratégiques, regroupés en tableaux de bord, permettent de répondre à ce besoin d'information. Pour ce faire ils doivent être adaptés au profil du lecteur et aux décisions qui sont attendues de lui. En ce sens, les tableaux de bord sont à rapprocher des principes de communication dont la finalité est
d'obtenir une action de la cible de cette communication.
Un tableau de bord pertinent se doit également d'être réaliste, ce qui implique que son coût soit maîtrisé et en rapport avec les enjeux qu'il permet d'arbitrer. L'objectif étant, non pas de construire des indicateurs trop complexes et coûteux à produire, ce qui contribuerait à consommer de la valeur plutôt qu'à sécuriser celle-ci…

 

​

Contenu du cours

​

Introduction

• Qu'est-ce qu'un indicateur ?

• Vocabulaire
   

Indicateurs : pourquoi mesurer une activité ?

• Peut-on piloter sans instruments ?

• Quelle valeur ajoutée
   

Points à mesurer dans le domaine de la SSI

• Efficience de la sécurité

• Coût de la sécurité, ou de l'absence de sécurité

• Conformité aux normes, référentiels, exigences, réglementations

Approches pour gérer les indicateurs 

• Travaux issus du monde de la sécurité : ANSSI, ISO, CLUSIF, CIGREF

• Techniques de communication au service des indicateurs

• Coût des indicateurs

Démarche de mise en oeuvre

• Vue d'ensemble

• Concevoir ses indicateurs

  • Définir ses besoins et ses finalités

  • Définir les moyens de production

• Produire ses indicateurs

• Communiquer ses indicateurs

• Auditer ses indicateurs

Conseils pratiques 

• Principaux indicateurs à mettre en place

  • Pour un Système d'Information

  • Pour un SMSI

• Exemples

• Erreurs à éviter

• Identifier les solutions simples et efficaces (« quick wins »)
   

Présentation de la norme ISO 27004

• Raison d'être de la norme

• Processus de mise en oeuvre

• Quels indicateurs pour quel usage

 

Exercices

​

Méthode Pédagogique (distanciel/confinement)

• Classe virtuelle via l’application ZOOM

•  Formation en direct avec deux instructeurs en permanence présents

• Échanges interactifs : les participants peuvent se voir, voir les formateurs, voir les transparents des instructeurs et poser leurs questions à tout moment

• Notre responsable technique présent en permanence pour assister toutes les personnes qui en auraient besoin : coupure internet, plantage de PC, etc,

• La direction présente pour la surveillance des examens via les webcams des stagiaires.

• Les travaux pratiques sont à faire seul ou en petits groupes. Pour les travaux pratiques en groupe les stagiaires sont dans des sous-réunions. Ils partagent ensuite leur résultat avec l'ensemble du groupe en partageant leur écran.

• Pour les formations techniques, chaque stagiaire dispose d'un PC de travaux pratiques auquel ils accèdent dans un cloud à distance. Les instructeurs ont accès à tous les écrans des stagiaires de travaux pratiques pour suivre leur progression.

• Une messagerie en direct intégrée permet de poser des questions écrites. Elle permet également aux

• instructeurs d'envoyer des messages aux stagiaires comme par exemple la fin d'un exercice en sous- groupes.

​

Pré requis (Via ZOOM)

• Un ordinateur avec webcam, micro, haut-parleur et un navigateur web. Un casque n'est pas nécessaire suivant l'environnement.

• Une connexion internet de type ADSL ou supérieure. Attention, une connexion internet ne permettant pas, par exemple, de recevoir la télévision par internet, ne sera pas suffisante, cela engendrera des déconnexions intempestives du stagiaire et dérange toute la classe.

​

Profil formateur 

 Instructeur certifié par ISO

​

Délai d’accès 

Se référer aux dates figurant au planning

​

Évaluations et sanctions de la formation

• Quizz intermédiaires 

• Lab technique en fin de module

• Évaluation de satisfaction via un questionnaire pré formation, à chaud et à froid

• Attestation de présence et de formation 

​

* Formation distanciel possible :

• de votre entreprise

• de chez vous

• de nos locaux à Sophia Antipolis (équipement Cisco Webex Board)

​

​

Nos formations sont accessibles aux personnes en situation de handicap.

Un questionnaire envoyé en amont de la formation invite les participants à nous contacter s’ils ont besoins d’aménagements spécifiques en lien avec leur situation de handicap. Nous nous employons à rechercher, avec les personnes concernées, les moyens de compensation qui leur seront adaptés.

Pour en valider l'accès merci de nous contacter contact@formation-IT.org