Security by Design Sécurité en SI et IoT

Partie 1 : Introduction et Analyse des Risques

Partie Théorique (TH)

1. Introduction à la Sécurité par la Conception

• Concepts et principes de base de la Sécurité par la Conception.
• Différences entre sécurité intégrée et sécurité ajoutée.
• Importance de la sécurité dans le contexte numérique actuel.
• Concept de la défense en profondeur.

2. Analyse des Risques

• Étapes clés de l’analyse des risques, incluant

• L’identification des actifs, des menaces, des vulnérabilités, l’estimation de la probabilité et de l’impact,
• La priorisation des risques, le développement de stratégies d’atténuation,
• Planification des réponses, la mise en œuvre des contrôles,
• La surveillance et révision.

Atelier Fonctionnel

Études de cas interactives et discussions de groupe.

• TP 1 :
  • Atelier pratique basé sur un mini-projet d’analyse des risques en environnement OT (Technologie Opérationnelle).

 Partie 2 : Sécurité des Données et Authentification

Partie Théorique (TH)

1. Sensibilité et classification des données.
   • Hiérarchisation de la donnée (classification)

3. Mécanismes et techniques de protection des données :
   • Masquage, tokenisation, chiffrement (AES, TLS-SSL),
   • Sauvegarde
   • Double authentification.
4. Choix des méthodes appropriées selon le type de données.
   • Importance du principe du moindre privilège

4. Gestion des données dans le cloud et conformité réglementaire
   • RGPD

Atelier Fonctionnel

• TP3 :
  • Sécurisation des communications entre capteurs et actionneurs / serveur SCADA.
• TP4 :
  • Configuration d’un VPN pour sécuriser les communications entre les systèmes SI et OT.
• TP5 :
  • Application d’analyse de conformité dans différents secteurs (santé, industrie, OIV). 

Partie 3 Conception Modulaire et Validation des Entrées

Partie Théorique

1. Principes de conception modulaire et avantages pour la sécurité et la maintenance.
   • Conception modulaire et à la séparation des actifs

2. Stratégies pour sécuriser chaque module indépendamment
   • Gestion des interactions sécurisées.
   • Validation et vérifications des Accès (Entrées)
     • Vérification de la validité des données

Atelier Fonctionnel

• TP6 :
  • Étude de cas sur une architecture modulaire de capteur et logiciel pour la surveillance de la qualité de l’air, y compris la protection contre les commandes malveillantes ou corrompues.

Partie 4 Gestion des Sessions, Audits, et Amélioration  

Partie Théorique (TH)

1. Gestion des Sessions Sécurisée

• Concepts clés de la gestion des sessions.
• Techniques pour sécuriser les sessions dans des environnements distribués ou cloud.

2. Audits et Tests de Sécurité

• Planification des audits de sécurité.
• Utilisation d’outils tels que OWASP ZAP et Nessus pour les tests automatisés.

3. Feedback et Amélioration Continue

• Processus d’amélioration continue et utilisation des KPIs.
• Gestion des incidents de sécurité et analyse post-incident. 

Atelier Fonctionnel

• TP7 :
  • Tests de sécurité sur un serveur de commande applicatif avec double authentification et mise en place d’indicateurs KPIs de performance.
• TP8 :
  • Analyse post-incident et mise en œuvre d’un plan d’amélioration basé sur un serveur de commande applicatif avec double authentification.

Evaluation et fin de session

• Validation des acquis via QCM post TP
• Apport des correctifs si nécessaire

Autres formations complémentaires

• Security by design
• DevSecOps
• DevOps Security Manager