Cadrer et piloter la gouvernance d’un programme de pentest

Comprendre les tests d’intrusion

• Pentest, audit de vulnérabilité… Quels sont les enjeux-clés ?
• Comment différencier la typologie des black, grey ou white boxes ?
• De la reconnaissance au reporting, quelles sont les différentes étapes d’un cycle pentest ?
• En quoi le test d’intrusion se distingue d’un audit ISO 27001 ou d’un scan automatisé ?

Identifier le cadre légal et contractuel d’un test d’intrusion

• Code pénal : focus le contenu des articles 323-1 à 323-7
• Lettre de mission, autorisation écrite, périmètre signé : quels documents de cadrage préparer ?
• Comment assurer la conformité des tests au RGPD ? Quelles particularités dans un contexte de sous-traitance ?
• Quelles clauses contractuelles, NDA, requièrent une vigilance particulière ?

Piloter l’étape-clé du choix de prestataire qualifié

• Identifier le contenu du référentiel PASSI en matière de portée, niveaux, contrôle
• Quels critères de sélection adopter pour votre entreprise ou organisation ?
• Quels points-clés pour élaborer un cahier des charges ainsi qu’un appel d’offre ?

Exploiter les résultats du test d’intrusion et les intégrer au SMSI

Prendre connaissance d’un rapport de pentest et analyser ses résultats

• Quelle est la structure type d’un rapport PASSI ?
• Vecteur, score temporel : comment est constituée une notation CVSS v4 ?
• Quelle hiérarchisation des vulnérabilités selon le risque métier ?

Mise en pratique : atelier d’un rapport réel anonymisé

Construire et piloter un plan de remédiation

• Elaborer un plan d’action correctives : quels points-clés ? qui désigner comme responsable ? Comment fixer les délais, niveaux de criticité ?
• Comment organiser des tests de retest ? Sur quels critères valider les correctifs ?
• Préparer un reporting à présenter au COMEX : quels indicateurs-clés mettre en avant (KPI/KRI) ?

Intégrer un pentest au sein d’une démarche SMSI

• Quelle articulation avec ISO 27001 (A.8.9, A.8.29, A.5.36) ?
• Quelles exigences NIS 2 / DORA prendre en compte ?
• Où débuter pour construire un plan pluriannuel de tests d’intrusion ?

Mise en pratique : cas fil rouge

• Elaboration du programme pentest au sein d’une PME fictive

- AFNOR Compétences vous propose une formation opérationnelle, avec des modèles de cahiers des charges, de lettres de mission que vous pourrez réutiliser de retour dans votre entreprise ou organisation.

- Durant cette formation, un cas fil rouge vous permettra de prendre en main l’élaboration d’un programme pentest au sein d’une PME fictive.

- Un atelier sera consacré à l’analyse d’un rapport PASSI anonymisé.

- Des temps d’échanges d’expérience entre participants seront prévus tout au long de la formation.

Cet examen de type QCM (en option) vous permet de vérifier l'acquisition des connaissances de la formation. Une attestation vous permettra de faire reconnaître votre réussite à l’examen. En vérifiant l'assimilation des contenus de formation, vous pourrez mieux garantir leur mise en œuvre dans votre organisation.

Détails pratiques de l’examen :

• - Le dernier jour de formation, vous recevrez par mail le lien pour accéder à l’examen en ligne
• - Ce lien ne sera cliquable qu’une seule fois
• - Vous pourrez répondre à ce questionnaire à n’importe quel moment, dans les 7 jours qui suivent votre formation. Pour le passer dans les meilleures conditions, prévoyez un créneau de 30min à 1h
• - Vous devrez obtenir au moins 60% de bonnes réponses pour réussir cet examen

Votre formateur est un consultant expert en cybersécurité.

•  Une grille d’auto-positionnement est également à renseigner par l’apprenant en amont et en aval de la formation, permettant d’évaluer la progression sur les différents objectifs de la formation. Cette grille constitue l’évaluation formative du module.
  
  
•  Un questionnaire à froid est envoyé et permet de mesurer l’utilité de la formation à 3 mois auprès du stagiaire et pose la question de la mise en pratique des connaissances.