Catalogue des stages 2019-2020 du CFSSI · Cours et retours d'expérience. PUBLIC RSSI ou chefs de projet appelés à déterminer le besoin d'utiliser des certificats électroniques

Page 1 sur 35

Catalogue des stages 2019-2020 du CFSSI

Attention : changement d’adresse courriel

Le CFSSI propose des stages strictement réservés aux personnels de l’administration française

– État, collectivités territoriales, fonction publique hospitalière. Ils sont organisés dans les

locaux de l’ANSSI.

Les stages du CFSSI ne sont ni certifiants ni diplômants.

Les formations du CFSSI sont gratuites. Les demandes d’inscription doivent être transmises

par l’organisme d’emploi, impérativement signées par une autorité de validation reconnue par

le CFSSI.

Le CFSSI n’assure aucune prestation relative à la restauration ou à l’hébergement.

Le CFSSI vous propose une vingtaine de stages de niveaux de technicité très différents. D’une

durée d’une journée à plusieurs semaines, les stages abordent tous les aspects de la sécurité

des systèmes d’information. En vue de faciliter votre choix et profiter pleinement de la

formation, une fiche définit pour chaque stage son objectif, son contenu, le public visé, les

prérequis.

Il vous est demandé de vous munir d’une pièce d’identité et de votre convocation afin de

pouvoir accéder aux salles de formation. Pour certains stages, un certificat d’habilitation est

demandé.

- Calendrier des stages Page 2

- Liste des stages Page 5

- Accès à l’ANSSI (site « Mercure ») Page 35

Pour tout renseignement, contacter Mme

Isabelle

LENORMAND

[email protected]

Tél. : 01 71 76 85 15

CFSSI, 31 quai de Grenelle – 75015 Paris (adresse postale : 51 bd de la Tour-Maubourg, 75700 Paris 07 SP)

mailto:[email protected]

Page 2 sur 35

Calendrier des stages 2019-2020 du CFSSI

2nd

semestre 2019

Page 3 sur 35

1er

semestre 2020

Page 4 sur 35

MODIFICATION DE LA NOMENCLATURE DES STAGES

Néant

ÉVOLUTION NOTABLE DE CONTENU

STAGE 11A

Le stage 11a (« Sécurité des réseaux sans fils »), passe d’une durée de trois jours à quatre

jours et comporte une introduction renforcée et un module sur le Bluetooth.

STAGE 18

Création d’un nouveau stage (n° 18) visant à donner une vision d'ensemble des enjeux

structurants (dits « structurants ») de la cybersécurité et de la cyberdéfense, et en particulier

des questions de politique publique, nationales et internationales, qui lui sont liées.

Page 5 sur 35

CENTRE DE FORMATION À LA SÉCURITÉ DES SYSTÈMES

D’INFORMATION

PANORAMA DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

OBJECTIF

Proposer un bref tour d'horizon des différents domaines de la

sécurité des systèmes d'information et fournir quelques clés de

compréhension.

CONTENU

- Principaux risques.

- Notions SSI.

- Organisation nationale de la SSI.

- Obligations juridiques.

- Description succincte des composantes techniques de la

SSI.

MÉTHODES PÉDAGOGIQUES

Cours théorique

PUBLIC

Décideurs conscients des enjeux et soucieux de s'informer.

Autorités en charge de la SSI, nouvellement affectées.

Identifiant du stage

1

Niveau

Initiation

Prérequis

Aucun

Type

Cours

Durée en jours

1

Sessions en 2019-2020

5

1 : le 23 septembre 2019

3 : le 6 novembre 2019

2 : le 24 février 2020

4 : le 30 mars 2020

5 : le 4 mai 2020

Page 6 sur 35


D’INFORMATION

SÉCURITÉ ÉLECTROMAGNÉTIQUE ET TEMPEST

OBJECTIF

Comprendre les menaces que font peser les ondes

électromagnétiques sur la sécurité des systèmes d'information.

Être apte à identifier les menaces pour pouvoir déterminer les

mesures à prendre pour préserver la confidentialité, l'intégrité

et la disponibilité des systèmes d'information.

CONTENU

- Sensibilisation aux signaux compromettants.

- Sensibilisation aux agressions électromagnétiques

intentionnelles.

- Sensibilisation aux canaux cachés physiques.

- Réglementation interministérielle et OTAN.

- Applications pratiques.


Cours, démonstrations et travaux pratiques (mesures) en cage.

PUBLIC

Personnels appelés à assurer la protection des systèmes

d'information contre les émissions de signaux

compromettants.

Les stagiaires doivent être habilités au niveau Confidentiel

Défense ou supérieur. Ils doivent être munis de leur certificat

d'habilitation dès le premier jour du stage. Dans le cas

contraire, ils ne seront pas acceptés à l'ensemble du stage.

INFORMATIONS COMPLEMENTAIRES

Ce stage concerne principalement le TEMPEST ainsi que la

protection contre les agressions électromagnétiques

intentionnelles (AGREMI) ; d'autres éléments relatifs à la

sécurité dans le domaine électromagnétique sont fournis dans

le cadre des stages 11a (« Sécurité des réseaux sans fil »), 23

(« Sécurité des composants ») et 25 (« Sécurité des systèmes

embarqués »).


2

Niveau

Application/Maitrise

Prérequis

Électronique

Type

Cours et

démonstrations

Durée en jours

5


2

1 : du 25 au 29 novembre 2019

2 : du 8 au 12 juin 2020

Page 7 sur 35


D’INFORMATION

LA MÉTHODE EBIOS

OBJECTIF

Mettre en œuvre la méthode EBIOS-RM en tant qu'outil

complet de gestion des risques et/ou superviser des utilisateurs

d'EBIOS-RM.

CONTENU

- Risques et gestion des risques en sécurité des systèmes

d'information (terminologie, concepts et processus).

- Étude du contexte.

- Expression des besoins de sécurité.

- Étude des événements redoutés et des scénarios de

menaces.

- Évaluation et cartographie des risques.

- Traitement des risques et mesures de sécurité.


Cours, exposés de cas, travaux de groupe pour la mise en

situation.

PUBLIC

Ce stage vise principalement à former à la méthode EBIOS-

RM les agents qui exercent leurs fonctions dans le domaine

de la sécurité des systèmes d'information.


4

Niveau


Prérequis

Pratique de la SSI

Type

Cours

Durée en jours

2


6

1 : du 19 au 20 septembre 2019


3 : du 3 au 4 décembre 2019

4 : du 4 au 5 février 2020

5 : du 18 au 19 mai 2020

6 : du 18 au 19 juin 2020

Page 8 sur 35


D’INFORMATION

UTILISER L'OUTIL INFORMATIQUE DE MANIÈRE SÉCURISÉE

(THÉORIE)

OBJECTIF

Donner des conseils pratiques pour utiliser l'outil informatique

(postes utilisateurs) de manière sécurisée.

Informer sur les risques associés à Internet et sur les moyens

d'y faire face.

CONTENU

- Architectures personnelles et professionnelles et notions

associées (internet, intranet, extranet, serveurs, pare-feu).

- Notions de sécurité des systèmes d'information, risques,

cryptographie, certificats et racines de confiance.

- Sécurité du poste de travail, notion de périphérique.

- Outils de sécurité : mécanismes des systèmes

d'exploitation, pare-feu personnel, anti-virus.

- Architecture simple de TCP/IP (notions) : adresse IP,

routage.

- Présentation d'internet : modes de communication, outils,

services et sécurité.

- Le service de noms (DNS).

- Le transfert de fichiers (FTP).

- Le service de bavardage (IRC, IM).

- L'accès à distance (Telnet).

- Le courrier électronique (POP et SMTP), pièces jointes,

identification, confidentialité, S/MIME.

- Le web, la navigation, SSL/TLS, cookies, codes mobiles,

les navigateurs.


Cours et démonstrations. Ce stage n'abordera les détails

techniques de réalisation que dans les aspects nécessaires à

une bonne compréhension des conseils et des outils présentés.

PUBLIC

Formateurs, correspondants SSI, et autres personnels pouvant

jouer le rôle de relais auprès des utilisateurs (prioritaires pour

l'inscription).


Ce stage peut être complété par le stage 05b : « Utiliser l'outil

informatique de manière sécurisée (pratique) ».


5a

Niveau


Prérequis

Informatique

(utilisation)

Type

Cours

Durée en jours

2


6




4 : du 27 au 28 janvier 2020

5 : du 30 au 31 mars 2020

6 : du 5 au 6 mai 2020

Page 9 sur 35


D’INFORMATION

UTILISER L'OUTIL INFORMATIQUE DE MANIÈRE SÉCURISÉE

(PRATIQUE)

OBJECTIF

Présenter les techniques de sécurisation des postes de travail à

travers l'exploration des fonctions indispensables à un travail

partagé.

Sensibiliser aux menaces principales et donner un certain

nombre de réflexes notamment dans la configuration et

l'utilisation quotidienne des postes de travail.

CONTENU

- Administration des paramètres de sécurité d'un poste de

travail sous Windows : gestion des comptes utilisateurs,

journaux et traces, mise à jour des logiciels et application

des correctifs.

- Installation et utilisation d'outils de sécurité (analyse, anti-

virus, pare-feu personnel).

- Clients de messagerie électronique : savoir installer,

configurer et utiliser son client de messagerie électronique

(Outlook Express, Thunderbird),

- Navigation Web : bonne configuration de sécurité d'un

navigateur (notamment cookies, codes mobiles,

JavaScript).

- Cryptologie appliquée : utilisation des certificats, solutions

de chiffrement.

- Cas du poste nomade.


Rappels, démonstrations et travaux pratiques.

PUBLIC

Formateurs, correspondants SSI, et autres personnels pouvant

jouer le rôle de relais auprès des utilisateurs.


Ce stage correspond au volet pratique du stage 05a : « Utiliser

l'outil informatique de manière sécurisée (théorie) ».


5b

Niveau


Prérequis

Stage 5a ou équivalent

Type

Pratique

Durée en jours

3


4



3 : du 29 au 31 janvier 2020

4 : du 1 au 3 avril 2020

Page 10 sur 35


D’INFORMATION

CERTIFICATS ÉLECTRONIQUES

OBJECTIF

Comprendre la place des certificats électroniques dans la

sécurité des systèmes d'information et les mécanismes à la

base des infrastructures de gestion de clés.

Connaître les règles de l'art et les obligations légales et

réglementaires.

Découvrir les principaux écueils dans la mise en œuvre d'une

infrastructure de gestion de clés et l'intégration des certificats

électroniques dans les systèmes d'information.

CONTENU

- Fondements techniques (cryptographie, infrastructure de

gestion de clés).

- Justification du besoin en IGC (dématérialisation des actes

authentiques, obligations légales et réglementaires).

- Disposer de certificats électroniques (recours aux

prestataires de services de certification tiers ou mise en

œuvre d'une IGC propre à l'organisme).

- Mise en œuvre d'une IGC (méthodologie, maquette,

référentiel documentaire, retours d'expériences).

- L'organisation des IGC dans l'administration française

(certificats dédiés ou polyvalents, urbanisation des

autorités de certification de l'administration).


Cours et retours d'expérience.

PUBLIC

RSSI ou chefs de projet appelés à déterminer le besoin

d'utiliser des certificats électroniques ou à piloter la mise en

œuvre d'une infrastructure de gestion de clés.


6

Niveau


Prérequis

Gestion de projet

Type

Cours

Durée en jours

3


3


2 : du 28 au 30 avril 2020

3 : du 15 au 17 juin 2020

Page 11 sur 35


D’INFORMATION

INTERNET ET LA SÉCURITÉ

OBJECTIF

Savoir mettre en œuvre des bonnes pratiques d'administration

sécurisée d'un système d'information ;

Connaître les principes de sécurisation liés aux différents

éléments d'un système d'information : protocoles et filtrage

réseau, systèmes d'exploitation et applications ;

Appréhender les mécanismes de sécurité proposés par la

cryptographie afin de savoir faire les bons choix dans la mise

en œuvre de protocoles sécurisés.

CONTENU

- Pratiques d'administration : sécurité des postes et des

réseaux d'administration, gestion des mots de passe,

bonnes pratiques générales, cas concrets ;

- Sécurité des protocoles réseau TCP/IP et durcissement

d'équipements réseau de type commutateur ou routeur ;

- Filtrage réseau et applicatif : pare-feu, relais (proxy) ;

- Architecture : principes et exemples d'architectures

sécurisées ;

- Cryptologie appliquée : chiffrement, protection en

intégrité, authentification et échange de secrets ;

- Protocoles sécurisés (TLS, IPsec et SSH) : objectifs et

mécanismes de sécurité, cas d'usage pratiques ;

- Téléphonie et voix sur IP : architecture, protocoles et

durcissement ;

- Web : protocoles et risques liés, exemples de

vulnérabilités, mécanismes d'authentification, sécurisation

d'un serveur ;

- Systèmes d'exploitation (Windows et Linux) : mécanismes

de sécurité intégrés, durcissement et administration ;

- Active Directory : risques liés à l'administration, modèle

de délégation de droits, GPO et durcissement.


Cours magistraux et démonstrations autour de cas concrets.

PUBLIC

Administrateurs système et réseau, confrontés aux

problématiques de sécurisation des systèmes d'information.


Ce stage peut être complété par le stage pratique 07b : «


7a

Niveau


Prérequis

Administration

système et réseau

Type

Cours

Durée en jours

5


6


2 : du 7 au 11 octobre 2019


4 : du 13 au 17 janvier 2020

5 : du 16 au 20 mars 2020

6 : du 15 au 19 juin 2020

Page 12 sur 35

Pratique de la sécurité des systèmes d'information

(administrateurs) ».

Page 13 sur 35


D’INFORMATION

PRATIQUE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

OBJECTIF

Apprendre à monter une infrastructure réseau sécurisée : mise

en place d'une zone démilitarisée (DMZ), configuration de

pare-feu, des services réseaux (DNS, messagerie) et mise en

place de mécanismes de protection cryptographique (TLS,

S/MIME, IPsec).

Former les administrateurs système aux techniques récentes

de sécurité dans un environnement hétérogène (Linux,

OpenBSD et Windows).

CONTENU

- L'installation d'un pare-feu Linux (installation et

configuration Linux, recompilation noyau, configuration

iptables).

- Mise en place de services dans une DMZ sous OpenBSD

(installation et présentation d'OpenBSD, serveur DNS

avec NSD et Unbound, SMTP avec Postfix, IMAP avec

Cyrus).

- Gestion d'une IGC (ou PKI) pour sécuriser les échanges

de mails avec S/MIME et les connexions clients/serveurs

avec TLS.

- Mise en œuvre de tunnels IPsec entre des passerelles

Linux et entre un poste nomade Windows et une passerelle

Linux.


Stagiaires travaillant en binôme dans le cadre de travaux

pratiques.

PUBLIC

Ce stage s'adresse aux administrateurs (système et réseau),

ayant déjà une expérience de déploiement d'une architecture

réseau. La connaissance des protocoles TCP/IP et des

environnements Unix et Windows est nécessaire.

Les stagiaires doivent être familiers avec les outils du monde

Unix, en particulier avec les outils en ligne de commandes

suivants : vi, ftp, ping, tcpdump.


Les candidats sont préalablement soumis à un questionnaire

d'évaluation de connaissances. L'inscription ne sera possible

que pour les candidats ayant répondu de manière satisfaisante.


7b

Niveau


Prérequis

Informatique

(administration) et

stage 07a ou équivalent

Type

Pratique

Durée en jours

5


3


2 : du 23 au 27 mars 2020

3 : du 11 au 15 mai 2020

Page 14 sur 35

Page 15 sur 35


D’INFORMATION

PRINCIPES ET ORGANISATION DES AUDITS EN SÉCURITÉ DES

SYSTÈMES D'INFORMATION

OBJECTIF

Introduction aux méthodes d'audit technique de la sécurité

d'un système d'information (expertise sécurité).

Apprentissage d'une méthodologie d'audit générique ainsi que

des procédures.

Fourniture des listes techniques de points à vérifier pour les

différents domaines.

Les compétences méthodologiques et pratiques obtenues en

fin de stage doivent permettre de superviser la réalisation d'un

audit technique, et de pouvoir organiser et choisir différentes

prestations d'audit (type de prestation, contour retenu, etc.).

CONTENU

- Méthodologie générale des audits en SSI.

- Approche organisationnelle.

- Analyse de la sécurité physique et logique d'un système

d'information (y compris les autocommutateurs

téléphoniques par exemple).



PUBLIC

Auditeurs SSI, Responsables de sécurité devant superviser des

audits de sécurité de système d'information.

Responsables administratifs soucieux d'utiliser les résultats

des audits.


8a

Niveau


Prérequis

Stage 05a, 05b ou

équivalent

Type

Cours

Durée en jours

2


6




4 : du 9 au 10 janvier 2020

5 : du 28 au 29 avril 2020

6 : du 25 au 26 mai 2020

Page 16 sur 35


D’INFORMATION

PRINCIPE ET ORGANISATION DES AUDITS EN SÉCURITÉ DES

SYSTÈMES D'INFORMATION (ASPECT SYSTÈMES)

OBJECTIF

Pouvoir appliquer la méthodologie d'audit (stage 8a) ainsi que

des méthodes plus détaillées pour différents domaines afin de

réaliser concrètement un audit technique de sécurité des

systèmes d'information.

Les compétences méthodologiques et pratiques obtenues en

fin de stage doivent permettre de mener de façon autonome un

audit technique élémentaire.

CONTENU

- Techniques et procédures particulières : découverte d'un

réseau, analyse de sécurisation de systèmes d'exploitation

Windows et Linux (Debian), d'applications (messagerie,

serveur internet, etc.).

- Outils spécifiques : scanneurs de vulnérabilités, outils de

vérification de la force de mots de passe, etc.


Travaux pratiques.

PUBLIC

Auditeurs SSI, RSSI et correspondants sécurité, techniciens

des chaînes fonctionnelles de sécurité (rattachés aux FSSI)

appelés à réaliser des audits techniques de la sécurité de

systèmes d'information.

Des connaissances en administration de systèmes Windows et

Linux sont nécessaires.


Ce stage n'est pas une formation à l'administration

informatique ou aux bonnes pratiques.

Il constitue le pendant pratique de certains des points abordés

dans le stage 2014-08a : « Principes et organisation des audits

en SSI ».

Les candidats sont préalablement soumis à un questionnaire

d'évaluation de connaissances. L'inscription ne sera possible

que pour les candidats ayant répondu de manière satisfaisante.


8b

Niveau


Prérequis

Informatique

(administration) et

stage 08a

Type

Pratique

Durée en jours

5


4



3 : du 2 au 6 mars 2020

4 : du 22 au 26 juin 2020

Page 17 sur 35


D’INFORMATION

SÉCURITÉ DES APPLICATIONS WEB

OBJECTIF

Améliorer la sécurité des applications web par une

sensibilisation aux risques liés aux applications web, ainsi que

par une prise de connaissance des bonnes pratiques de la SSI

et de leurs déclinaisons dans le contexte web.

CONTENU

- Sensibilisation aux différents risques et techniques

d'attaques.

- Revue de la sécurité des infrastructures d'hébergements et

de l'architecture système.

- Sécurisation des bases de données (contrôles d'accès et de

cohérence des données).

- Les bonnes pratiques dans le développement web.

- Structure et modèle d'un code.

- Création d'un formulaire sécurisé.

- Filtrage et traitement des saisies utilisateurs.

- Transfert et protection des fichiers.

- Méthodes d'identification, authentification et chiffrement.

- Filtrage des requêtes sur un serveur web.

- Architecture logicielle et emploi de services web.

- Sécurité des navigateurs avec HTML5, CORS, et autres

entêtes HTTP de sécurité.

- Conseils et bonnes pratiques sur les frameworks et CMS.


Cours, démonstrations, quizz.

PUBLIC

Ce stage s'adresse aux développeurs d'applications web.


Les démonstrations et exemples du stage sont généralement

rédigés en PHP et Javascript. Une connaissance superficielle

de PHP est souhaitable, mais les recommandations fournies ne

sont pas spécifiques à ce langage et sont applicables dans

d'autres langages.


9

Niveau


Prérequis

Serveurs web, base de

données,

développement, Linux

Type

Cours et

démonstrations

Durée en jours

5


2


2 : du 16 au 20 mars 2020

Page 18 sur 35


D’INFORMATION

CRYPTOGRAPHIE

OBJECTIF

Former des personnels destinés à assurer le déploiement de

technologies de sécurisation basées sur la cryptographie.

Aider à comprendre la nature des menaces, les raisonnements

cryptographiques, et la justification des pratiques et des règles.

CONTENU

- Rappels mathématiques, notion de sécurité, algorithmique

pour la cryptographie, problèmes difficiles.

- Chiffrement par bloc, chiffrement par flot, chiffrement à

clé publique, fonctions de hachage, signature électronique,

authentification et échange de clés, modes opératoires de

chiffrement, MAC, aléa.

- Présentation du référentiel cryptographique, droit et

réglementation de la SSI, la CNIL, droit et réglementation

de la cryptologie.

- Gestion des clés, infrastructure de gestion de clés

publiques.

- Critères et schéma d'évaluation/certification, évaluation des

équipements cryptographiques.

- Produits cryptographiques, protocoles cryptographiques.

- Notions de cryptanalyse, cryptologie et signaux

compromettants.

- protocoles « zero-knowledge », protocoles avancés,

cryptographie quantique.


Cours

PUBLIC

Le stage s'adresse à des personnes disposant d'une formation

scientifique devant développer une connaissance fine en

cryptographie.


Défense ou supérieur. Ils doivent être munis de leur certificat

d'habilitation dès le début du stage. Dans le cas contraire, ils ne

seront pas acceptés à l'ensemble du stage.


Ce stage peut être complété par le stage 23 « Sécurité physique

et logique des composants » pour aborder la question de

l'implantation sécurisée des algorithmes cryptographiques.


10

Niveau

Expertise

Prérequis

Connaissances en

cryptologie

Type

Cours

Durée en jours

19


1

1 : du 25 au 28 février 2020

1 : du 9 au 13 mars 2020

1 : du 23 au 27 mars 2020

1 : du 20 au 24 avril 2020

Page 19 sur 35

Page 20 sur 35


D’INFORMATION

SÉCURITÉ DES RÉSEAUX SANS FILS

OBJECTIF

Présenter :

- les technologies sans-fil et les architectures associées ;

- les risques relatifs à l'usage de réseau sans fil ;

- les contre-mesures disponibles et leurs limites.

CONTENU

- Wifi (IEEE 802.11) : les diverses normes, les architectures

de réseaux, les évolutions, les vulnérabilités et parades.

- Sécurisation d'un réseau Wifi : organisation, déploiement,

configurations, serveurs d'authentification (Radius),

protocoles de sécurité, politique de sécurité.

- Divers : Bluetooth, RFID, géo-positionnement, réseaux

mobiles.


Exposés théoriques, démonstrations.

PUBLIC

Administrateurs réseau et informaticiens possédant une

expérience du déploiement de réseaux.


11a

Niveau


Prérequis

Informatique

(administration)

Type

Cours

Durée en jours

4


3


2 : du 21 au 24 janvier 2020

3 : du 31 mars au 3 avril 2020

Page 21 sur 35


D’INFORMATION

PRATIQUE DE LA SÉCURISATION DES RÉSEAUX WI-FI

OBJECTIF

Savoir mettre en place des architectures sécurisées WIFI et

identifier les risques liés à de telles architectures.

CONTENU

- Déploiement progressif d'architectures de niveaux de

sécurité croissants jusqu'à la mise en œuvre d'une

infrastructure Wi-Fi complète (PKI, Client, AP, Serveur

d'authentification) en mode WPA2-EAP (protocoles

802.1X, RADIUS, EAP-TLS)...

- Outils d'administration du Wi-Fi sous Linux (modes

client, moniteur, point d'accès, découverte réseau).

- Étude pratique des problématiques de sécurité liées aux

architectures déployées par analyse et compléments de

sécurisation : segmentation réseau (VLAN), VPN Ipsec,

règles de filtrage (iptables), etc.


Travaux pratiques.

PUBLIC

Administrateurs réseau et informaticiens possédant une

expérience du déploiement de réseaux et des connaissances

des mécanismes de sécurité des réseaux sans-fil.


11b

Niveau


Prérequis

Administration Linux,

stages 05b (PKI, VPN

IPsec) et 11a ou

équivalents

Type

Pratique

Durée en jours

3


1

1 : du 27 au 29 mai 2020

Page 22 sur 35


D’INFORMATION

HOMOLOGATION SÉCURITÉ

OBJECTIF

Savoir bâtir et conduire un processus d'homologation.

Savoir constituer un dossier d'homologation.

Savoir motiver la prise de décision d'homologation.

Comprendre la démarche d'homologation et son inscription

dans le cadre réglementaire.

CONTENU

- Le processus d'homologation. Ce stage inclut un rappel

sur la méthode EBIOS.


Cours, retour d'expérience et mise en situation

professionnelle.

PUBLIC

Ce stage s'adresse aux personnes devant mener ou

accompagner un processus d'homologation, et qui pilotent en

maîtrise d'ouvrage le management du risque. Il s'adresse en

particulier aux RSSI.


12

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

2


3


2 : du 5 au 6 mars 2020

3 : du 29 au 30 juin 2020

Page 23 sur 35


D’INFORMATION

AUDIT DES SYSTÈMES INDUSTRIELS

OBJECTIF

Maîtriser les spécificités des systèmes, protocoles et des

équipements industriels afin d'en réaliser un audit ou une

expertise technique.

Appliquer les techniques de test d'intrusion aux systèmes

industriels en prenant toutes les précautions nécessaires.

CONTENU

- Introduction aux équipements industriels, systèmes

SCADA, protocoles et usages.

- Programmation d'automates industriels.

- Test d'intrusion et précautions sur plateforme.

- Analyse des communications réseau.

- Retour d'expérience, points d'attention et

recommandations.


Cours théorique d'introduction (15%), démonstrations et

travaux pratiques sur plateforme réelle (70%), retour

d'expérience (15%).

PUBLIC

Ce stage s'adresse aux auditeurs techniques en sécurité qui

sont familiers des techniques de test d'intrusion de réseaux

bureautiques, ainsi qu'aux personnes en charge de l'intégration

de systèmes industriels ou de leur accompagnement.


13

Niveau


Prérequis

Stage 8b ou 19

Type

Cours et pratique

Durée en jours

3


2


2 : du 21 au 23 avril 2020

Page 24 sur 35


D’INFORMATION

INCIDENTS DE SÉCURITÉ

OBJECTIF

Être capable de mettre en œuvre une surveillance efficace des

attaques sur le système d'information et d'avoir les bons

réflexes en cas d'incident de sécurité.

CONTENU

- Types d'incidents de sécurité.

- Journalisation et collecte des logs.

- TP d'analyse de journaux et d'un système compromis

- TP d'analyse de documents malveillants

- Chaînes de déclaration d'incidents et de circulation

d'information.

- Bons réflexes en cas d'incident de sécurité.

- Aspects juridiques d'un incident de sécurité.


Cours, retours d'expérience et travaux pratiques en

environnement Windows.

PUBLIC

Administrateur de systèmes et réseaux.


14

Niveau


Prérequis

Informatique

(administration)

Type

Pratique

Durée en jours

4


5



3 : du 14 au 17 janvier 2020

4 : du 10 au 13 mars 2020

5 : du 20 au 23 avril 2020

Page 25 sur 35


D’INFORMATION

INTÉGRER LA SÉCURITÉ NUMÉRIQUE DANS LES PROJETS SI DE

L'ETAT

OBJECTIF

Donner les clés de compréhension, éléments de langage et

outils méthodologiques pour intégrer les enjeux de la

cybersécurité sur tout le cycle de vie d'un projet numérique, et

ce dès la phase de cadrage et de faisabilité. Cette formation se

veut concrète et pratique, et propose une boite à outils à

destination des chefs de projets ou des directions de projets,

désireux d'intégrer la composante cybersécurité dans leur

démarche de gestion de projet et d'analyse de la valeur.

CONTENU

- Les enjeux de la cybersécurité pour un SI de l'État

- Le rôle du chef de projet comme garant de leur

déclinaison et de leur juste valorisation

- L'organisation de l'État pour la sécurité du numérique et

les acteurs clés sur un projet type

- Les différents textes réglementaires et leurs cas d'usage

selon la nature du projet

- Les éléments essentiels de cadrage du volet sécurité du

numérique en phase initiale d'un projet

- Déployer la démarche sur tout le cycle de vie

projet/système dans le cadre d'une homologation de

sécurité

- Adapter la démarche à une approche Agile

- Les guides et outils ANSSI à votre disposition.


Cours, exposés de cas, fiches méthodes illustrées, travaux de

groupe pour la mise en situation.

PUBLIC

Chefs de projet, responsables de directions de projets ou

ingénieurs SIC amenés à intégrer le volet cybersécurité dans

leur organisation projet ou dans leur processus de conduite de

projet, que ce soit par obligation réglementaire dans le cadre

d'une homologation, ou par nécessité liée à des enjeux

sécuritaires particuliers. Ce stage s'adresse également aux

représentants d'autorités administratives ou qualifiées de la

SSI qui souhaitent affiner leurs connaissances et pratiques de

l'homologation.


16

Niveau


Prérequis

Gestion de projet

Type

Cours

Durée en jours

2


2


2 : du 2 au 3 avril 2020

Page 26 sur 35

Page 27 sur 35


D’INFORMATION

RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

(RSSI) - ASPECTS THÉORIQUES ET RÉGLEMENTAIRES

OBJECTIF

Faire comprendre les problématiques liées à la SSI, donner les

principales notions sur la SSI, les principales réglementations

et mesures de sécurité.

Faire prendre conscience de l'importance de la fonction RSSI

et fournir des méthodes utiles à la fonction.

CONTENU

- RETEX RSSI.

- Introduction au droit (droit relatif à l'information et aux

systèmes d'information), cybercriminalité, aspects légaux

de l'audit.

- Système de management de la sécurité et de l'information

(SMSI).

- Démarche d'homologation et EBIOS.

- Gestion des incidents de sécurité.

- Évaluation et certification

- Qualification.



PUBLIC

RSSI, chef de projet, DSI.


17a

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

5


4



3 : du 20 au 24 janvier 2020

4 : du 8 au 12 juin 2020

Page 28 sur 35


D’INFORMATION

RESPONSABLE DE LA SÉCURITÉ DES SYSTÈMES D'INFORMATION

(RSSI) - ASPECTS TECHNIQUES

OBJECTIF

Approfondir les connaissances dans la gestion de la sécurité

des systèmes d'informations.

Prendre davantage en compte le contexte juridique et

réglementaire et les risques dans l'intégration de la SSI dans

les projets.

CONTENU

- -Architecture sécurisée.

- -VOIP.

- Sécurité des systèmes industriels.

- Sécurité et développement logiciel.

- Déploiement IGC.

- Audit SSI.

- Codes malveillants et les traces informatiques.

- Système de détection d'intrusion.


Cours théoriques.

PUBLIC

RSSI, chef de projets, DSI.


Le stage est complémentaire du stage 17a.


17b

Niveau


Prérequis

Aucun

Type

Cours

Durée en jours

5


4

1 : du 14 au 18 octobre 2019


3 : du 3 au 7 février 2020

4 : du 22 au 26 juin 2020

Page 29 sur 35


D’INFORMATION

ENJEUX STRATÉGIQUES DE LA CYBERSÉCURITÉ

OBJECTIF

Dans un contexte de numérisation croissante de la société et de

l'économie, et de montée de la conflictualité dans le

cyberespace, ce stage a vocation à donner une vision

d'ensemble des enjeux structurants (dits « structurants ») de la

cybersécurité et de la cyberdéfense, et en particulier des

questions de politique publique, nationales et internationales,

qui lui sont liées.

CONTENU

- Présentation du cyberespace : topologie, caractéristiques,

tendances

- Etat de la menace d'origine cyber : tendances, attaquants,

motivations, finalités, vulnérabilités, modes opératoires

- Introduction à la cyberdéfense : prévention (sensibilisation,

formation, découragement), protection (gestion des risques,

mécanismes de sécurité), détection, réaction (CERT,

reconstruction, gestion de crise)

- Enjeux de souveraineté numérique : lien avec l'autonomie

stratégique européenne, technologies/produits/services,

visas de sécurité, données

- Modèle français interministériel de cyberdéfense,

documents fondateurs, protection des infrastructures

critiques

- Enjeux internationaux : enjeux de sécurité collective et de

stabilité du cyberespace, coopérations et alliances, rôles des

organisations internationales


Cours

PUBLIC

décideurs, cadres et conseillers intervenant sur des enjeux de

politique publique susceptibles d'inclure un volet de sécurité

numérique, et souhaitant disposer d'un vernis général sur les

enjeux stratégiques liés à la cybersécurité,


18

Niveau

Initiation

Prérequis

Aucun

Type

Cours

Durée en jours

2,5


1

1 : du 3 au 5 juin 2020

Page 30 sur 35


D’INFORMATION

SÉCURITÉ DES SYSTÈMES INDUSTRIELS

OBJECTIF

Comprendre les enjeux liés à la cyber-sécurité des systèmes

industriels et les particularités de ce domaine.

Être capable de mettre en œuvre un projet de renforcement du

niveau de sécurité d'un système industriel.

CONTENU

- Introduction aux systèmes industriels : définitions et

particularités des systèmes, composants d'un système

industriel, architectures, panorama des normes et

standards, etc.

- Sécurité des systèmes industriels : enjeux, cyber-sécurité

pour les systèmes industriels, sûreté de fonctionnement et

cyber-sécurité, exemples d'incidents et

vulnérabilités/vecteur d'attaques classiques.

- Projet de cyber-sécurité du système industriel : méthodes

de classification des systèmes.

- Recommandations d'architectures et bonnes pratiques.


Cours, théoriques avec exposés de cas et travaux pratiques en

environnement industriel.

PUBLIC

Ce stage s'adresse aux personnes en charge de la conception,

du développement, de l'intégration, de l'exploitation ou de la

maintenance de systèmes industriels (maîtrise d'ouvrage,

maîtrise d'œuvre, exploitants, intégrateurs, etc.) ainsi qu'aux

personnes amenées à réaliser des audits ou à accompagner des

industriels dans leurs projets de renforcement de la sécurité

des systèmes industriels.


19

Niveau


Prérequis

Connaissances basiques

de la SSI

Type

Cours et

démonstrations

Durée en jours

3


3


2 : du 2 au 4 mars 2020

3 : du 18 au 20 mai 2020

Page 31 sur 35


D’INFORMATION

SÉCURITÉ PHYSIQUE ET LOGIQUE DES COMPOSANTS

OBJECTIF

Comprendre les menaces qui pèsent sur les implantations

matérielles (cartes à puce, microcontrôleurs, systèmes

embarqués, etc.).

Suivre l'état de l'art sur les protections ou les contre-mesures

existantes et connaître les outils permettant d'évaluer leur

efficacité.

CONTENU

- Aperçu des spécificités des différents systèmes embarqués

(FPGA, ASIC, processeur, etc.).

- Menaces logicielles sur cartes à puce (Javacards, etc.).

- Menaces aux interfaces des systèmes embarqués (JTAG,

etc.)

- Présentation des outils (sondes, oscilloscopes, analyseurs

logiques, FIB).

- Menaces liées à des fuites d'information observables (SPA,

DPA, EMA, etc.).

- Menaces liées à la perturbation des calculs

cryptographiques (attaques par injection de fautes).

- Contre-mesures matérielles (shield, capteurs, jitters, etc.) et

logicielles (masquage, randomisation, etc.) les plus

fréquentes.

- Notions d'évaluation et de certification des composants.


Cours et démonstrations.

PUBLIC

Spécialistes en électronique, en cryptographie, intégrateurs,

architectes ou spécialistes d'une maîtrise d'ouvrage devant

prendre en compte les questions de sécurité des implantations

matérielles.


Défense ou supérieur ; ils doivent être munis du certificat

d'habilitation dès le premier cours. Dans le cas contraire, ils ne

seront pas acceptés à l'ensemble du stage.


23

Niveau

Expertise

Prérequis

Électronique et/ou

cryptographie

Type

Cours

Durée en jours

5


1

1 : du 11 au 15 mai 2020

Page 32 sur 35


D’INFORMATION

SÉCURITÉ DES SYSTÈMES EMBARQUÉS

OBJECTIF

Comprendre les menaces (physiques et logiques) qui pèsent

sur les implantations matérielles (systèmes embarqués, etc.).

Identifier les vecteurs de compromission de la sécurité des

systèmes embarqués pour mieux en appréhender la conception

ou l'analyse.

Suivre l'état de l'art sur les protections ou les contre-mesures

existantes et connaître les outils permettant d'évaluer leur

efficacité.

CONTENU

- Analyse détaillée de la surface d'attaque spécifique aux

systèmes embarqués ;

- une introduction pratique aux interfaces exploitables sur

ce type d'équipements ;

- Présentation des outils pratiques et techniques nécessaires

à l'analyse et l'exploitation de la surface d'attaque ;

- Illustration de l'évolution de la menace et de sa prise en

compte à travers des exemples concrets ;

- Définition de la démarche de conception de systèmes

embarqués sécurisés via la mise en œuvre d'une chaîne de

démarrage sécurisée ;

- Bonnes pratiques et vulnérabilités résiduelles.


PUBLIC


Parallèlement à l'évolution des capacités matérielles des

technologies de l'information et des systèmes de

communication, on assiste à un déploiement croissant de

systèmes embarqués (réseaux de capteurs, objets connectés,

ordiphones, etc.) qui manipulent et échangent de l'information

critique. Ce déploiement impliquant la possibilité d'un accès

physique malveillant, le profil d'attaquant est spécifique et les

pratiques de sécurité « classiques » ne sont plus suffisantes.

Cette formation ne concerne pas les systèmes Android.


25

Niveau


Prérequis

Type

Cours

Durée en jours

3


1

1 : du 10 au 12 mars 2020

Page 33 sur 35

Page 34 sur 35


D’INFORMATION

SÉCURITÉ DES ARCHITECTURES VIRTUALISÉES

OBJECTIF

Connaître les principes et technologies sous-jacents à la

virtualisation.

Être sensibilisé aux risques inhérents à l'usage de la

virtualisation.

Appréhender les concepts d'architectures sécurisées reposant

sur la virtualisation.

CONTENU

- Introduction aux principes de la virtualisation : émulation,

para-virtualisation, virtualisation complète, hyperviseurs

(types 1 et 2), containers

- Virtualisation assistée par le matériel : VT-x, VT-d

(IOMMU), VT-c, etc.

- Prise en compte de la sécurité dans les architectures

virtualisées, limites de la consolidation

- Virtualisation du poste de travail : environnements de

travail virtuels locaux ou distants, VDI

- Organisation et administration d'un datacenter virtualisé

- Virtualisation de serveurs : cas d'emploi, containers

- Virtualisation du stockage : NAS, SAN et chiffrement

- Virtualisation du réseau : vSwitch, D-vSwitch, SDN,

VXLAN, NSX

- Introduction aux architectures de cloud computing


Cours illustrés avec des cas pratiques.

PUBLIC

RSSI avec de bonnes connaissances techniques.

Administrateurs réseau/systèmes.


26

Niveau


Prérequis

Connaissances

techniques (réseau,

système)

Type

Cours

Durée en jours

3


4

1 : du 15 au 17 octobre 2019


3 : du 29 au 31 janvier 2020

4 : du 27 au 29 mai 2020

Page 35 sur 35

Accès à l’ANSSI (site Mercure)

31 quai de Grenelle, 75015 Paris

Accès au bâtiment

L’accès au bâtiment s’effectue par

l’esplanade située entre le quai de

Grenelle et la rue Émeriau.

Documents

Catalogue des stages 2019-2020 du CFSSI · Cours et retours d'expérience. PUBLIC RSSI ou chefs de projet appelés à déterminer le besoin d'utiliser des certificats électroniques