ESD-DEVSECOPMAN : Manager du DevSecOps (2 jours)

ESD-DEVSECOPSMANAGER

La formation “Management du DevSecOps” proposée par l’ESD est une formation pratique pour les professionnels de la sécurité informatique qui cherchent à acquérir des compétences en matière de gestion de projets de développement sécurisé.

À propos de cette formation

À distance

À partir de 1167€ HT

14 heures

Action de formation

Éligible CPF

Éligible OPCO

Objectifs pédagogiques

Comprendre les concepts de DevOps et DevSecOps ainsi que leurs avantages et leurs limites

Comprendre l’impact de la sécurité sur les pipelines DevOps et comment intégrer la sécurité dès le début du cycle de vie du développement logiciel

Comprendre les différents outils, processus et techniques utilisés dans le cadre de DevSecOps

Savoir mettre en place et gérer des processus DevSecOps efficaces pour les équipes de développement

Comprendre les pratiques de conformité, de gouvernance et de conformité réglementaire en matière de DevSecOps

Savoir communiquer et collaborer efficacement avec les équipes de développement, de sécurité et de gestion pour assurer une approche cohérente de la sécurité dans l’ensemble de l’organisation

Contenu de la formation

Section 1 – Les enjeux du DevSecOps pour les organisations

Comprendre le DevOps et ses enjeux
Différences entre DevOps et modèle classique
Les bénéfices du DevSecOps
La philosophie de l’agile

Section 2 – Les problèmes de compréhension du DevSecOps par les managers de la SSI

Le modèle de sécurité DevSecOps
L’intégration du DevSecOps dans un SMSI
Les approches de défense en profondeur

Section 3 – Les problèmes de compréhension du DevSecOps par les techniciens de la SSI

La perception de la sécurité de l’information comme une contrainte
Donner un sens à la sécurité de l’information

Section 4 – Intégrer le DevSecOps dans la gouvernance d’une organisation

Les missions principales d’un manager en sécurité de l’information
Approche par les risques
Conformité avec le socle normatif
La mise en condition de sécurité (MCS)

Section 5 – Quel modèle, référentiel choisir pour le DevSecOps

Présentation des différents modèles et référentiels
Microsoft SDL
OWASP SAMM
BSIMM
OWASP ASVS

Section 6 – Phase 1 : Préparer un SDLC adapté

Activité 1.1 : Budgétiser un SDLC
Activité 1.2 : Identifier une équipe pour le SDLC

Section 7 – Phase 2 : Former l’équipe au DevSecOps

Activité 2.1 : Créer une formation “tous les profils”
Activité 2.2 : Créer une formation “technique”

Section 8 – Phase 3, Analyser les risques

Fonctionnement d’une analyse de risque
Activité 3.1 : Obtenir les besoins de sécurité et les scénarios graves STRIDE et DIC(T) Spoofing, tampering, repudiation, information disclosure, denial of service, elevation of privilege
Adapter les méthodes d’analyses de risques classiques au DevSecOps avec le Bugs bar
Activité 3.2 : Modéliser les menaces Qu’est-ce que la modélisation des menaces (Threat modeling) Créer un diagramme Identifier les menaces Utilisation de Microsoft Threat modeling tools
Obtenir la vraisemblance des risques avec la modélisation des menaces
Construire la matrice des risques via les objectifs de sécurité et la vraisemblance des menaces
Activité 3.3 : Calcul des risques
Activité 3.4 : Choisir une option de traitement
Activité 3.5 : Créer un plan de traitement des risques
Ne pas oublier les données à caractère personnel

Section 9 – Phase 4, Mise en conformité et intégration d’outils

Aller plus loin avec l’implémentation d’un référentiel de conformité adapté au DevSecOps
Activité 4.1 : Identifier les référentiels, normes, lois
Activité 4.2 : Appliquer l’analyse des écarts
L’OWASP AVSV
Activité 4.3 : Intégration d’un SAST
Activité 4.4 : Intégration d’un DAST

Section 10 – Phase 5, Auditer et améliorer la sécurité

Activité 5.1 : Planifier un test d’intrusion
Activité 5.2 : Adapter le système de suivi des bugs du SDLC à STRIDE
Activité 5.3 : Préparer un tableau de bord
Activité 5.4 : Préparer un plan de réponse à incident
Activité 5.5 : Aller plus loin avec un modèle de maturité
Activité 5.6 : Veille SSI

Parmi les formateurs

Jérôme Thémée

L'organisme de formation

ESD Cybersecurity Academy

Découvrir l'organisme de formation

Public concerné

Manager en sécurité de l’information

Prérequis

Connaissances généralistes en sécurité de l’information, gestion des risques, conformité SSI

Conditions d'accès

Accessibilité

https://esdacademy.eu/accueil-et-handicap/

Délai d'accès

1 semaine

Diplôme / Certification

Niveau de sortie : RNCP36399BC04 - Piloter la sécurité organisationnelle - Certification (dont CQP) ou habilitation enregistrée au Répertoire National des Certifications Professionnelles (RNCP)
Acquisition de Compétences Techniques Maîtrise des outils spécifiques : Les participants seront capables d'utiliser efficacement des outils et logiciels pertinents pour leur domaine de formation, qu'il s'agisse de cybersécurité, de développement, de gestion de projets, etc. Connaissance approfondie des concepts fondamentaux : Les participants comprendront les principes de base et avancés liés à leur domaine, incluant les meilleures pratiques, les normes et les méthodologies appliquées. Opérationnalité Professionnelle Prêt à l'emploi : Les participants seront prêts à intégrer immédiatement des environnements professionnels, en appliquant leurs compétences techniques pour résoudre des problèmes réels et participer activement aux projets de leur entreprise. Adaptabilité aux situations professionnelles : Formation à la gestion efficace des situations courantes et des imprévus dans le milieu professionnel, y compris la gestion des incidents, la communication efficace et le travail en équipe.
Inscription et Admission Candidature : Les participants doivent soumettre une candidature en ligne via le site de l'ESD Cybersecurity Academy. Cela inclut la fourniture de détails personnels et professionnels ainsi que des motivations pour suivre la formation. Validation des prérequis : Les candidats doivent démontrer qu'ils possèdent les connaissances de base en informatique nécessaires pour suivre le programme. Participation aux Modules de Formation Assiduité : Les participants doivent assister à toutes les sessions de formation, y compris les cours théoriques et les ateliers pratiques. Participation active : Une participation active aux discussions, aux exercices pratiques et aux études de cas est requise. Évaluations et Examen Final Tests intermédiaires : Des tests et des évaluations intermédiaires sont organisés tout au long de la formation pour évaluer la compréhension des concepts et la progression des participants. Projet pratique : Les participants doivent réaliser un projet pratique qui simule un environnement de cybersécurité réel, démontrant ainsi leur capacité à appliquer les connaissances acquises. Examen final : Un examen final, qui peut inclure des questions théoriques et des exercices pratiques, est administré pour évaluer la maîtrise complète des sujets couverts dans la formation. Certification Validation des compétences : La certification est délivrée aux participants qui réussissent l'examen final et complètent le projet pratique avec succès. Certificat reconnu : Les participants reçoivent un certificat officiel reconnu par le secteur de la cybersécurité. Suivi Post-Formation Réseautage : Les diplômés peuvent rejoindre des réseaux professionnels et participer à des événements organisés par l'ESD Cybersecurity Academy.

Découvrez ce programme en vidéo !