MAS Sécurité de l'information (MAS-InfoSec) 2019

Cybersécurité : 87 % des attaques ciblées ont été évitées en 2018

Alors que le nombre moyen de cyberattaques ciblées par entreprise a plus que doublé cette année (232 en 2018 contre 106 en 2017), les entreprises ont amélioré leur capacité à identifier et à contrer ces cyber-menaces.

Informations

Période

janvier 2019 - juin 2020
60 Crédits ECTS
360 Heures enseignement en présence

Langue

Français

Format

En présence

Renseignements

Jean-Luc PILLET
+41 (0)22 379 81 35
jean-luc.pillet(at)unige.ch

Lieu

Genève

Inscriptions

Délai d'inscription

30 novembre 2018
Inscriptions par module possible
Une inscription tardive peut être considérée dans la limite des places disponibles.

Finance d'inscription:

CHF 15'000.-

CHF 1'700.- par module

Objectifs

  • Maîtriser des compétences de management de la sécurité au sens large pour gérer les diverses équipes responsables de la sécurité de l’entreprise

Les compétences développées dans ce programme s’apparentent à une fonction de CSO (Chief Security Officer). Il intègre tous les modules du DAS-InfoSec avec une partie additionnelle qui concerne les thèmes tels que les clauses contractuelles, la cybercriminalité et l’intelligence économique, la communication et les principes de la mise en œuvre d’une politique de sécurité

Public

Responsable de la sécurité de l’entreprise et/ou de la gestion des risques, responsable de la sécurité de l’information et du Risk Management, responsable des systèmes d’information, responsable sécurité des réseaux et systèmes, responsable des politiques de protection des ressources liées aux systèmes d’information et de communication, chef de projets d’informatisation et de projets en e-commerce et e-business, conseiller à la protection des données des entreprises ou administrations, consultant en informatique, en sécurité, en Risk Management, responsable chargé de l’évaluation des risques opérationnels, auditeur des systèmes d’information, juriste d’entreprise chargé de sécurité et de conformité de l’information

Compétences visées

  • Identifier les risques nouveaux
  • Planifier et d’assurer le suivi de la mise en place des mesures de prévention, de détection et de correction adéquates pour y faire face
  • Sensibiliser les collaborateurs de manière à ce que chacun puisse acquérir les bons réflexes

Programme

15 modules (+ 1 module optionnel):

  • Fondements de la sécurité de l’information
  • Gestion des risques de l’information
  • Continuité des activités, gestion de crise et sécurité physique
  • Système d’exploitation, composants réseaux et protocoles Internet
  • Bonnes pratiques des dispositifs de sécurité logique
  • Veille et tendances technologiques en sécurité de l’information
  • Gouvernance de la sécurité et processus métiers
  • Aspects juridiques de la sécurité de l’information
  • Audit des systèmes d’information
  • Séminaires sur la sécurité de l’information
  • Protection des données appliquées
  • Intelligence économique
  • Etude des clauses contractuelles en sécurité de l’information
  • Savoir communiquer en entreprise, y compris en cas de crise
  • Cybercriminalité et recherche de preuves
  • Développement et mise en œuvre d’une politique de sécurité de l’information

Mémoire

Direction

Prof. Dimitri KONSTANTAS et Dr Jean-Luc PILLET, Centre universitaire d'informatique (CUI), Université de Genève

Coordination

Dr Jean-Luc PILLET, Université de Genève

Accréditation

Ce programme a reçu l'accréditation de l'AAQ, Agence d´accréditation et d´assurance qualité des hautes écoles suisses (AAQ).

Description

Objectifs du cours

  • Initier les étudiants aux aspects pluridisciplinaires de la sécurité de l’information par un choix non exhaustif de thèmes qui seront repris dans les modules suivants
  • Expliquer les aspects cognitifs qui impactent le comportement des utilisateurs et des internautes
  • Faire le lien entre le domaine théorique et le contexte d’une entreprise
  • Lier la partie d’un cycle de développement à la partie sécuritaire
  • Introduire certaines normes et standards

Contenu du cours

  • La notion d’information
  • La qualité dans l’organisation de la sécurité des informations
  • La notion de risque
  • L’intégration de la sécurité lors d’une gestion de projet dans un contexte systèmes d’information
  • Le management de la sécurité et les liens métiers
  • Les relations de confiance, la connaissance sécuritaire des individus et leur comportement
  • La politique de sécurité en entreprise
  • Les normes existantes et les guides de bonnes pratiques

Les compétences acquises par les participants à l’issue du module

  • Comprendre les notions de systèmes, de dépendance de types de risque et de probabilité dans le domaine de la sécurité de l’information
  • Maitriser les principes généraux de la sécurité de l’information
  • Avoir des connaissances de base permettant d’adapter un référentiel et une norme dans un contexte d’entreprise
  • Être capable de proposer quelques solutions techniques aux contraintes sécuritaires dans un système d’information
  • Comprendre la logique sécuritaire d’un progiciel pris à titre d’exemple
  • Comprendre les liens métiers (administration, hôpitaux) en regard avec les spécificités sécuritaires
  • Connaître les techniques psychologiques de hacking et comment y remédier

Description

Objectifs du cours

  • Initier les étudiants à effectuer une démarche de management des risques selon différentes méthodes
  • Décrire le processus standard de management des risques, y compris les différentes étapes du processus et leurs inputs/outputs respectifs
  • Établir un panorama de diverses méthodes de management des risques. Décrire en détail certaines méthodes et démontrer leur conformité avec les normes ISO
  • Amener les étudiants à savoir choisir une méthode apropriée en regard du contexte de l’entreprise

Contenu du cours

  • Le système de management de la sécurité de l’information selon ISO 27001, et le rôle du management des risques
  • Les principes de la gestion des risques
  • Les normes internationales de management des risques (ISO 27005, ISO 31000)
  • Le processus de management des risques

– L’établissement du contexte

– Différentes approches pour l’identification et l’analyse des risques

– L’évaluation et le traitement du risque

  • La diversité des méthodes et approches orientées « risque », notamment celles applicables à la sécurité des systèmes d’information (ISO 27005, la famille OCTAVE,  CORAS, EBIOS, MEHARI, COBIT for Risk, etc.)
  • Mise en pratique de méthodes compatibles avec ISO 27005

Les compétences acquises par les participants à l’issue du module

  • Maîtriser les concepts et le vocabulaire du management des risques, notamment dans le domaine de la sécurité de l’information
  • Connaître les particularités de diverses méthodes de management des risques
  • Choisir une méthode appropriée et l’adapter au contexte et à la culture de l’entreprise
  • Piloter et appliquer en pratique une méthode complète de management des risques compatible avec ISO 27005. Travailler en équipe et communiquer avec les parties prenantes
  • Valoriser le rôle du management des risques dans l’entreprise, notamment en rapport avec l’informatique et la sécurité des systèmes d’information

Pré-requis

Module 11 : optique sécurité, le développement des applications, l’approche systémique, ISO 27001

Description

Objectifs du cours

  • Amener les étudiants à maîtriser les enjeux de situations à hauts risques ou de crises susceptibles d’affecter l’entreprise
  • Introduire la notion de sécurité physique
  • Décrire le plan de continuité comme solution à certaines situations à hauts risques

Contenu du cours

  • Les situations à hauts risques ou de crise : les enjeux réels pour l’entreprise
  • Les principes de gouvernance, le cadre règlementaire et normatif ainsi que les bonnes pratiques de la continuité des activités
  • Les processus fondamentaux de la gestion de la continuité des activités : la méthodologie et les constituants essentiels (politique, stratégie, scénarios, plans et mesures)
  • L’analyse des risques et l’analyse d’impact (BIA) : l’identification des processus et ressources critiques pour le maintien des activités fondamentales
  • L’anticipation et la conduite des phases de crise, de contingence et de relance : organisation, déroulement et ressources respectives
  • La validation et la maintenance des plans et procédures de continuité des activités
  • Mise à disposition d’études de cas et simulation d’un exercice de crise

Les compétences acquises par les participants à l’issue du module

  • Savoir anticiper les situations à hauts risques et/ou aux situations de crise
  • Identifier et élaborer des stratégies, des scénarios et des plans adaptés de continuité des activités des affaires
  • Décrire le plan d’action d’un plan de continuité
  • Mettre en pratique la méthodologie et les constituants de la gestion de la continuité ainsi que les bonnes pratiques en vigueur
  • Mettre en place un concept de sécurité physique
  • Appliquer les différents processus d’anticipation, de sauvegarde, de contingentement et de relance des activités de l’entreprise
  • Élaborer des plans de réduction de risques en relation avec les ressources

Planning

 

    Description

    Objectifs du cours

    • Introduire la notion de réseau et des divers protocoles
    • Apporter tous les éléments de compréhension des prinicpaux algorithmes de chiffrements modernes
    • Expliquer les principes des attaques et menaces actuelles de type logique
    • Montrer les moyens de protection des réseaux IT et leurs limites

    Contenu du cours

    • Les principaux protocoles: IPv4, IPv6, TCP, UDP, DNS, SMTP, HTTP
    • Les principaux algorithmes de chiffrement, AES, RSA, SHAx, … 
    • Exemple de protocole sécurisé : IPSec
    • Les limites d’un audit de sécurité de type « Ethical Hacking »
    • Méthodologies et outils utilisés pour un audit de sécurité
    • Compréhension des principales failles et menaces d’un système IT
    • Compréhension des malwares, virus, bots, worms, .. 
    • Compréhension des principales attaques des sites WEB
    • Comprendre la sécurité des réseaux sans fils
    • Savoir identifier les limites des Smartphones
    • Quelles sont les limites des authentifications courantes (Mots de passe, OTP, biométrique, …)

    Les compétences acquises par les participants à l’issue du module

    • Comprendre l’ensemble des mécanismes qui sont utilisés par la cryptographie symétrique et asymétrique
    • Avoir un aperçu des principes utilisés dans un protocole comme IPSec, SSL/TLS, SSH, …. 
    • Différencier les bases du modèle OSI, IPv4, IPv6, TCP, UDP
    • Lister les principales menaces sur Internet et les principales vulnérabilités des applications WEB
    • Connaître les principes et limites des réseaux sans fil
    • Témoigner des différentes méthodes d’authentification
    • Proposer des solutions techniques pour contrer les hackers
    • Déterminer le contenu et les limites d’un audit de sécurité IT

    Pré-requis

    • Module 11
    • Cours à option 8 heures : protocoles, routeurs et switch

    Description

    Objectifs du cours

    • Commenter et expliquer les futures tendances concernant la sécurité de l’information
    • Proposer une approche comparative des principales technologies selon des critères d’appropriation et d’impacts dans les organisations
    • Présenter l’importance du rôle de veille technologique sécuritaire au sein d’une entreprise

    Contenu du cours

    • Veille sécuritaire et technologique : le quotidien d’une société spécialisée dans la sécurité
    • Gestion d’identité et contrôle d’accès : Les solutions d’aujourd’hui et de demain
    • Implémentation d’Authentification forte
    • Biometric security tools
    • Quantum Cryptography
    • Cloud Security
    • E-Banking contraintes technologiques, organisationnelles et légales
    • Modern multimedia security and privacy
    • La gestion du Bring Your Own Device et des services Cloud
    • L’écosystème de Hacking et Hackers

    Les compétences acquises par les participants à l’issue du module

    • Comprendre les gestions d’identité et les contrôles d’accès avec les solutions d’aujourd’hui et de demain
    • Maîtriser les principes d’une implémentation d’Authentification forte
    • Evaluer les diverses solutions des « Biometric security tools »
    • Comprendre les fondamentaux de la théorie « Quantum Cryptography »
    • Maîtriser les concepts du « Modern multimedia security and privacy », de la gestion du « Bring Your Own Device » et des services Cloud afin de pouvoir faire des choix éclairés dans le contexte de l’entreprise
    • Analyser l’écosystème de Hacking et Hackers

    Pré-requis

    Modules 11 et 14.

    Description

    Objectifs du cours

    Découvrir les fondements, les constituants et les diverses pratiques de l’intelligence économique. L’intelligence économique est une méthodologie systémique d’aide à la décision stratégique, ou opérationnelle, que doivent s’approprier tous les acteurs économiques. Les mutations technologiques qui s’accélèrent dans le domaine de l’information et de la communication conditionnent chaque jour un peu plus les connaissances et les savoirs-faire stratégiques, technologiques ou industriels des entreprises. Les acteurs économiques doivent donc apprendre à identifier, différencier et activer les informations pertinentes pour favoriser ainsi leurs avantages concurrentiels.

    Les compétences acquises par les participants à l’issue du module

    • Élaborer et mettre en œuvre une stratégie de protection du patrimoine informationnel et cognitif de l’entreprise
    • Comprendre les principes et les outils avancés de recherche actifs d’informations sur des sources ouvertes ou semi-fermées
    • Élaborer et mettre en œuvre une stratégie de veille active en lien avec toutes les parties prenantes de l’entreprise et tenant compte des enjeux humains et business
    • Formuler une stratégie d’influence en choisissant de manière pertinente le mode de communication souhaitable
    • Identifier les enjeux et les techniques du renseignement offensif, concurrentiel ou institutionnel, ainsi que les possibles mesures de contre-renseignement

    Description

    Objectifs du cours

    • Présenter les bases et grands principes juridiques applicables à l’ensemble des contrats
    • Amener les participants à se familiariser aux méthodes alternatives de résolution du litige contractuel

    Contenu du cours

    • Introduction aux principes de la conclusion des contrats, y compris la signature électronique
    • Présentation  des clauses problématiques dans la majorité des contrats
    • Panorama des contrats d’acquisitions et de développement de systèmes d’information
    • Panorama des contrats de service et de coopération, y compris de outsourcing; Etude des clauses essentielles dans les licences de logiciel
    • Survol des différents contrats concernant l’accès et l’usage des réseaux informatiques
    • Contrats du traitement et transfert des données personnelles

    Les compétences acquises par les participants à l’issue du module

    • Posséder une vision globale des différents types de contrats dans le domaine de la sécurité
    • Utiliser les méthodes et « checklists » juridiques
    • Maîtriser l’analyse d’un contrat, sa rédaction et l’interprétation de ses clauses et en évaluer les risques pour l’entreprise
    • Vérifier la présence des clauses essentielles, le cas échéant proposer leur rédaction de manière à diminuer le risque de l’entreprise
    • Éviter toute démarche technique et organisationnelle non sécurisée par des clauses contractuelles adéquates

    Description

    Objectifs du cours

    • Aborder les enjeux de la communication des entreprises lors d’une crise
    • Donner les outils de communication utiles pour faire face à une interview radio et télé
    • Faire comprendre les attentes et besoins des médias lors d’une crise
    • Gérer et protéger son image virtuelle

    Contenu du cours

    • Les règles de base d’une communication efficace
    • Les bonnes pratiques avec les journalistes
    • Les questions les plus fréquentes posées par les médias lors de crises
    • Ce qu’il ne faut surtout pas faire lors d’une crise
    • Comment et pourquoi créer son propre plan de communication
    • Quels sont les objectifs de la communication de crise
    • Le déroulement d’une crise médiatique
    • Les effets médiatiques et leurs retombées sur l’entreprise
    • Transparence et rapidité sont indispensables à toute communication de crise
    • Exercices pratiques de création d’un communiqué de presse
    • Exercices pratiques d’interviews à la radio et à la télévision
    • L’entreprise dans le monde virtuel des réseaux sociaux et sur Internet
    • L’e-reputation, un gage de qualité

    Les compétences acquises par les participants à l’issue du module

    • Anticiper la communication et faire face aux médias lors d’une situation de crise
    • Préparer une interview avec un journaliste et savoir se comporter face au micro ou à la caméra
    • Gérer l’image et le son
    • Protéger proactivement son entreprise dans le monde virtuel
    • Savoir comment, quand et pourquoi préparer un communiqué de presse
    • Sensibiliser les médias à ses préoccupations et développer des messages efficaces

    Description

    Objectifs du cours

    • Aborder les principales menaces et évolutions de la cybercriminalité actuelles et futures
    • Faire découvrir les méthodologies de recherche de preuves conformes aux bonnes pratiques communément admises ainsi que leurs limitations
    • Aborder et appréhender les concepts principaux de threat intelligence et de réponse à incident
    • Introduire des notions de reverse engineering de malwares ainsi que sur leurs fonctionnements et dernières évolutions

    Contenu du cours

    • Introduction à la cybercriminalité et à la recherche de preuves
    • Les différents types de cybercriminalité, leurs objectifs ainsi que les techniques et les outils employés
    • Les principes du digital forensics (méthodologies, outils, traçabilité des preuves, reporting etc.)
    • L’évolution du digital forensics vers le proactive forensics
    • La réponse aux incidents sous sa forme technique (incident response) et organisationnelle (incident handling)
    • La menace que représentent les APT/malwares ainsi que les moyens de s’en prémunir, de les détecter et de les analyser
    • L’utilité de la threat intelligence et du threat modeling ainsi que leur mise en œuvre simplifiée

    Les compétences acquises par les participants à l’issue du module

    • Comprendre les mécanismes de la cybercriminalité et mettre en œuvre les principaux moyens de défense pour s’en protéger
    • Maitriser les processus d’analyse forensiques ainsi que les pièges à éviter
    • Suivre une équipe d’analystes et de comprendre et/ou de rédiger un rapport d’expertise
    • Mettre en place une stratégie de réponse aux incidents comprenant les méthodologies, les outils et les ressources nécessaires
    • Mettre en oeuvre une stratégie simple de veille sur les menaces (threat intelligence) et les modéliser par le biais du threat modeling
    • Comprendre les différence entre un SOC et un CERT, ainsi que les grandes étapes de leur mise en oeuvre
    • Comprendre les principaux enjeux et étapes de l’analyse de malwares
    • Connaître les différentes stratégies et processus de réponse aux incidents, autant sur le plan technique (incident response) que sur le plan organisationnel (incident handling).

    Pré-requis

    Modules 11,12, 14, 15 et 31.

    Description

    Objectifs du cours

    • Faire comprendre les enjeux et les difficultés de mise en œuvre de la politique de sécurité de l’Information (POSI) et des standards et procédures sous-jacents
    • Partager son expérience en matière de Politiques & Procedures (P&P)
    • Pratiquer la rédaction de P&P via des exercice

    Contenu du cours

    • Principes et définitions
    • Choix et justification des contrôles, Indicateurs financiers
    • Structure des P&P de sécurité
    • Rédaction et revue
    • Publication, Communication et Eveil
    • Mise en Œuvre
    • Surveillance et Conformité
    • Gestion des sanctions et litiges, application de la POSI a des tiers

    Les compétences acquises par les participants à l’issue du module

    • Élaborer une politique de sécurité de l’information et la décliner en des standards et procédures visant en la mise en place de mesures organisationnelles et techniques justifiées et applicables
    • Sélectionner les contrôles (mesures) de sécurité en prenant en compte leur impact sur l’organisation et leur efficacité
    • Rédiger les documents de P&P, comprendre leur structure et les intégrer au système de gestion existant
    • Adapter les documents de P&P à la hiérarchie et les communiquer
    • Surveiller la conformité des règles en vigueur et rapporter à la direction
    • Gérer les litiges et les sanctions avec les employés et les tierces partie
    • Savoir justifier la POSI et les «investissements» associés

    Pré-requis

    Modules 11,12, 23 et 32.

    Description

    Objectifs du cours

    • Familiariser les participants au travail de mémoire académique
    • Amener les participants à s’appuyer sur les apports théoriques pour résoudre des questions pratiques
    • Introduire la notion de l’état de l’art

    Les compétences acquises par les participants à l’issue du module

    • Savoir décrire un état de l’art
    • Savoir définir la pertinence d’un sujet défini par rapport à l’état de l’art en sécurité de l’information
    • S’appuyer sur les fondamentaux théoriques pour mettre en oeuvre une solution pratique dans un contexte d’entreprise
    • Rédiger un travail écrit conséquent et structuré
    • Présenter oralement un travail de manière claire

    Conditions d'admission

    • Titulaires d'une maîtrise universitaire de l’Université de Genève, d’un Master d’une Haute Ecole Spécialisée ou d’un titre jugé équivalent, ou titulaires d’un baccalauréat universitaire de l’Université de Genève, d’un bachelor d’une Haute Ecole Spécialisée ou d'un titre jugé équivalent
    • Expérience professionnelle d’au moins 3 ans dans le domaine concerné

    Comité directeur

    Eric Choffat, Global Information Security & Risk Control Lead, JT International

    Anastasija Collen, Computer Scientist, Université de Genève

    Prof. Dimitri Konstantas, Directeur, Université de Genève

    Prof. Jean-Henry Morin, Université de Genève

    Dr. Jean-Luc Pillet, Co-directeur, Adjoint Scientifique, Université de Genève

    Jean-Pierre Therre, CSO, Pictet & Cie Banquiers, Genève

    Comité scientifique

    Eric Choffat, Global Information Security & Risk Control Lead, JT International

    Alessandro Colarusso,
    Directeur Adjoint – Responsable Audit IT, Banque Lombard Odier & Cie

    Prof. Jean-Paul De Blasis, Université de Genève

    Raoul Diez, Directeur, contrôle et sécurité, FER

    Nadji Hamed-Bey, Responsable du Système d’Information et Sécurité, Caisse Cantonale Genevoise de Chômage

    Prof. Eugène Horber, Université de Genève

    Patrick Illouz, IT Compliance, Barclays wealth

    Pierre-Alain Knutti, Responsable du Service Informatique, Haute école de travail social et de la santé

    Prof. Dimitri Konstantas, Directeur de la formation InfoSec, Université de Genève

    Michel MARTI, DCTI – CTI Sécurité et évènements spéciaux, État de Genève

    Prof. Jean-Henry Morin, Université de Genève

    Gérald Page, Avocat, Page & Partners, Genève

    Jean-Luc Pillet, Adjoint scientifique, Co-Directeur de la formation InfoSec, Université de Genève

    Jeff Primus, CEO, ACTAGIS, Senior Security & Business Continuity Consultant

    Victor Polic, IT Security Officer, International Labour Organisation (ILO), Genève

    Isabelle Ravinet, Adjointe au responsable sécurité des SI, Ville de Genève

    Marco Realini, Responsable de l’audit des SI, Ville de Genève

    Kelly Aston Richdale, ID Quantique SA

    Cédric Schmidt, Responsable de la sécurité de l’information, Chancellerie État de Genève

    Prof. Jean-Roland Schuler, Ecole d’ingénieurs et d’architectes de Fribourg

    Jean-Pierre Therre, CSO, Pictet & Cie Banquiers, Genève

    Enrico Vigano, DGSI, Etat de Genève

    Lilia Vogt, CISSP, CISA, CRISC, CISM, Senior security consultant, Kyos

    Nombre de participants

    Le nombre de participants est adapté à la pédagogie choisie.

    Horaires d'enseignement

    17h15-21h

    Les termes utilisés pour désigner des personnes sont pris au sens générique; ils ont à la fois la valeur d'un masculin et d'un féminin.