Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 2 qui traite de la sécurité des biens (ou actifs) et représente 10% du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 3 qui traite de la sécurité des architectures et de l’ingénierie. Il représente 13 % du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 4 qui traite de la sécurité des réseaux. Il représente 14 % du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 5 qui traite de la sécurité des identités et des accès. Il représente 13 % du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 6 qui traite de l’évaluation et des tests de sécurité. Il représente 12 % du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est revu régulièrement par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 1 qui traite de la sécurité et la gestion des risques. Il représente 15% du programme.

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 7 qui traite de la sécurité des opérations. Il représente 13 % du programme..

Le CISSP est la certification la plus reconnue dans le monde de la cybersécurité. L’examen est exigeant et demande un travail préparatoire soutenu quel que soit le mode choisi (voir les conseils de préparation). Le programme officiel (Common Body of Knowledge) est régulièrement revu par l’(ISC)2. Son contenu est très large. Il couvre de nombreux concepts, pratiques et techniques couramment utilisés en cybersécurité qu’un professionnel compétent doit connaitre, sans pour autant en être un expert. On dit souvent que le CISSP est « surfacique » : beaucoup de connaissances, jusqu’à la sécurité physique sont abordées sans être approfondies. Le champ des questions possibles est très large. Cet article est consacré au domaine 8 qui traite de la sécurité des développements applicatifs. Il représente 10 % du programme.

La certification internationale CISSP est la plus reconnue dans le monde de la cybersécurité. Mi-2019, l’ISC(2) dénombrait environ 130 000 personnes certifiées (dont une bonne partie  aux Etats-Unis et un millier en France). Les conditions pour être certifié sont la réussite à l’examen, la justification de cinq années d’expérience professionnelle dans au moins deux des huit domaines du programme, l’adhésion au code déontologique et l’approbation d’une personne certifiée (« endorsement »). Plusieurs changements ont été mis en place par l’ISC(2) concernant le mode d’examen et le contenu du programme.

COBIT est un référentiel de gouvernance publié par l’ISACA pour aligner l’IT au métier. La dernière mise à jour de 2019 peut être mise à profit pour améliorer la gouvernance cyber. Le référentiel comprend quatre publications principales consacrées à une description méthodologique, aux objectifs de gouvernance et de management, à la mise en œuvre et à l’optimisation des solutions de gouvernance. Une publication particulière est dédiée à COBIT pour appliquer le référentiel cyber du NIST, de plus en plus utilisé aux Etats-Unis mais aussi en Europe.

La loi FISMA (Federal Information Security Management Act) est un exemple d’exigence légale de cybersécurité qui s’applique aux agences publiques américaines et à leurs fournisseurs notamment dans le domaine du Cloud. C’est une loi importante, citée à titre d’exemple dans le programme du CISSP et en particulier dans le domaine 1 « sécurité et gestion des risques ». Promulguée dans sa première version en 2002, la loi a été révisée en 2014. On retrouve cette loi dans les programmes de certifications individuelles consacrées au Cloud, que ce soit le CSSP ou le CSSK. Le référentiel principal pour la conformité FISMA est le NIST SP 800-53. D’autres exemples en France et en Europe sont proches de ce type de conformité : voir par exemple pour plus de détails la conférence «les tendances juridiques et réglementaires » à Bruxelles ou les obligations des fournisseurs de services numériques – FSN.

Préparer l’examen CISSP exige un travail soutenu. Le programme comporte 8 domaines (voir les résumés des contenus 1, 2, 3, 4, 5, 6, 7 et 8) qui aborde tous les aspects de la cybersécurité sans toutefois les approfondir. Le programme officiel proposé par l’ISC(2) cite de nombreuses références et ouvrages qui forment une partie de l’état de l’art. Un article précédent établit une liste des normes ISO dont il est recommandé d’avoir une idée du contenu. Voici une liste d’autres documents, dont beaucoup sont américains, importants à connaitre pour être certifié.A.

FedRAMP (Federal Risk and Authorization Management Program) est une certification des services Cloud imposée par le gouvernement américain à ses agences publiques. L’approche poussée par les américains est le « do once, uses many times » en maintenant à jour une liste des fournisseurs qui détiennent déjà l’autorisation FedRamp. Il s’agit d’un exemple de conformité nationale, qu’on trouve en France par exemple pour les hébergeurs de données de santé ou le SecNumCloud de l’ANSSI.

Disponible depuis plusieurs années, le protocole SCAP (Security Content Automation Protocol) est de plus en utilisé aux Etats-Unis mais aussi en Europe. Ses spécifications visent à faciliter et automatiser les échanges d’informations entre les outils de sécurité pour tous les types d’équipements connectés au réseau : inventaire, vulnérabilités, éléments de configuration et de durcissement. Régulièrement mis à jour et amélioré, le protocole s’adapte aux nouveaux besoins. SCAP est très intéressant pour mettre en place un suivi continu et le plus exhaustif possible de la sécurité opérationnelle. Cet article donne quelques clés pour comprendre l’intérêt de ce protocole et les mises en œuvre possibles.

Le référentiel COBIT est proposé par l’ISACA. Il traite de la gouvernance et du management de l’IT en entreprise et fait partie du domaine EGIT (Entreprise Governance of Information & Technology). Les bénéfices d’une bonne gouvernance IT sont d’apporter une plus-value aux métiers en créant de la valeur, en optimisant la gestion des risques et des ressources. COBIT fait partie du corpus documentaire au programme du CISSP. Ce référentiel est abordé plus particulièrement dans le domaine 1 du programme du CISSP. Cet article propose une synthèse des concepts fondamentaux de ce référentiel. Même s’il n’est pas dédié à cela, COBIT peut aussi aider à mettre en place une gouvernance sécurité.

Le référentiel cybersécurité du NIST américain (National Institute of Standards and Technology) est de plus en plus utilisé par les grands groupes, y compris européens. Conséquence de la loi de 2014 « Cybersecurity Enhancement Act », ce référentiel avait pour objectif initial de définir un socle de mesures de sécurité pour protéger les infrastructures vitales et l’économie américaines. Il s’est imposé comme standard international incontournable de la cybersécurité au même titre que les normes ISO 27000 ou le catalogue NIST 800-53 pour tous les domaines d’activités. Il est maintenant au programme des certifications individuelles en sécurité comme le CISSP, ou le CCSP par exemple.

 

Préparer l’examen CISSP exige un travail soutenu. Le programme comporte 8 domaines (voir les résumés des contenus 1, 2, 3, 4, 5, 6, 7 et 8) qui aborde tous les aspects de la cybersécurité sans toutefois les approfondir. Le programme officiel proposé par l’ISC(2) cite de nombreuses références et ouvrages qui forment une partie de l’état de l’art. Cet article dresse une liste de quelques normes ISO, dont il est conseillé à minima de connaitre l’existence et un résumé du contenu avant de se présenter à l’examen. Ces références sont intégrées à la formation intensive de 5 jours proposée par PROSICA.

Le temps pour préparer la certification CISSP dépend bien entendu de l’expérience acquise en cybersécurité et du niveau de compétences en la matière. Comme le programme de l’examen est très « surfaçique », c’est-à-dire qu’il couvre tous les domaines de la cybersécurité sans les approfondir, il est rare qu’un professionnel de la sécurité, même chevronné, ne doive pas fournir un travail de révision conséquent, dans un des huit domaines (1, 2, 3, 4, 5, 6, 7 et 8) pour réussir l’examen. De nombreux livres de préparation sont disponibles, voici quelques exemples.

Quels enjeux ?

Le CISSP®(1) est la certification internationale la plus reconnue dans le domaine de cybersécurité. Elle apparaît de plus en plus, y compris en France, comme un prérequis pour qualifier les compétences des professionnels de la sécurité en entreprise, au sein des administrations et pour les prestataires de sécurité.L’examen est exigeant et requiert une préparation intensive. Retrouvez quelques conseils de préparation sur notre blog.

Orienter ses collaborateurs vers une formation CISSP®, c’est se donner toutes les chances de mieux maîtriser les risques liés à la sécurité des systèmes d’information de son organisme ou de ses clients. PROSICA propose aux candidats une préparation intensive pour acquérir les connaissances et la méthodologie indispensables à la réussite de l’examen.

Quel contenu ?

Le programme de la certification a été revu en avril 2018. La formation de cinq jours s’articule autour des domaines de connaissance de l’examen (voir programme détaillé) : Gestion des risques et de la sécurité (sécurité, risques, conformité, aspects légaux et réglementaires, continuité des activités). Protection des actifs. Ingénierie de la sécurité. Sécurité des télécommunications et des réseaux. Contrôle d’accès et gestion des identités. Evaluation de la sécurité. Sécurité des opérations (concepts, investigations, gestion des incidents, plans de secours) Sécurité des développements Pour avoir une idée plus précise du programme actuel, consultez les articles du blog qui présente le contenu du domaine 1, 2, 3, 4, 5, 6, 7 et 8.

Quels sont les prérequis pour cette formation ?

5 ans d’expérience professionnelle en cybersécurité. Il est possible de passer l’examen en devenant «CISSP associate» avant d’atteindre l’expérience requise.

Quels moyens pédagogiques ?

Les formations PROSICA sont dispensées par des experts reconnus dans leurs domaines (plus de quinze ans d'expérience), alternant expériences opérationnelles et missions de conseil, au profit de grands groupes publics et privés. L’approche pédagogique alterne : L’acquisition des connaissances en vidéo-projection. L’illustration des concepts par des exemples concrets et actualisés. L’entraînement à l’examen par des séries de questions à choix multiples. Chaque stagiaire reçoit un support de formation en français reprenant les points à maîtriser.

PROSICA répond aux critères de qualité définis par la loi et est référencé Datadock (base de données nationale de conformité qualité des formations professionnelles).

Quel lieu ?

La formation se déroule à Paris dans un espace confortable réservé aux formations. » Une salle est dédiée aux stagiaires avec un espace pause. » Les repas sont pris en plateaux repas ou dans un restaurant du quartier.

Quelles modalités ?

Formation sur 5 jours (35 heures) de 9h30 à 17h30 SESSIONS 2020 : Lundi 2 au vendredi 6 mars 2020 Lundi 15 au vendredi 19 juin 2020 lundi 7 au vendredi 11 décembre 2020 TARIFS Formation complète pour les 5 jours : 3000€ HT par stagiaire avec supports en français et documents annexes - pauses café et déjeuners En options : Inscription à l'examen - Livre de préparation - Accès pendant 6 mois à un site WEB de préparation à l'examen - Suivi individualisé de 6 mois par le formateur (prix et devis individualisé sur simple demande à Cette adresse e-mail est protégée contre les robots spammeurs. Vous devez activer le JavaScript pour la visualiser.) PROSICA est déclarée en tant que prestataire de formation sous le numéro 11755044375

Programme détaillé

Principaux concepts Gouvernance Conformité Aspects légaux et réglementaires Éthique et déontologie Politiques, standards, procédures Continuité des activités Sécurité des personnes Gestion des risques Modélisation des menaces Intégration de la sécurité dans les projets Sensibilisation et formation

Classification Propriétaire de l’information Données à caractère personnel Conservation des données Sécurité des données Exigences de traitement

Principes de conception Modèles de sécurité Evaluation et mesures Capacité de sécurité des systèmes Architectures Environnements WEB Mobilité Systèmes embarqués Cryptographie Sécurité physique

Principes Composants réseaux Canaux sécurisés Attaques réseaux Systèmes embarqués Cryptographie Sécurité physique

Contrôles d’accès logiques et physiques Identification et authentification Identité as a service Intégration des tierces-parties Mécanismes Attaques liées au contrôle d’accès Gestion des accès

Stratégies Tests de sécurité Contrôle des processus Analyse des rapports Audits internes et externes

Investigations numériques Exigences légales Supervision de la sécurité Sécurité des ressources (Cloud, virtualisation…) Concepts de sécurité liés à l’exploitation Gestion des supports Gestion des incidents de sécurité Gestion des mesures préventives Gestion des correctifs Gestion des changements Stratégies de reprise informatique Plan de secours informatiques Test des plans de secours Participation aux exercices de continuité Gestion de la sécurité physique Sécurité des personnes

Intégration de la sécurité dans le cycle de développement Environnement de développement sécurisé Évaluation de la sécurité des développements internes Acquisition des logiciels et sécurité

Renseignements à propos de l’examen

L’examen est organisé dans un centre spécialisé (Pearson VUE testing center) : conditions sur le site de l’(ISC)²®. Il reste de la responsabilité du stagiaire de s’inscrire à la session de son choix de manière indépendante de la formation de PROSICA. L’ISC(2) apporte une nouveauté avec l’examen non linéaire de type CAT (Computerized Adaptive Testing). Prévu sur une durée réduite de 3 heures, le nombre de questions varient entre 100 et 150 en fonction d’un calcul sur l’historique des réponses. Ce mode remplace l'ancien examen (QCM de 250 questions d'une durée de 6 heures). → Lire les conseils pour réussir et consultez la liste des normes et des autres documents au programme de la certification. Les prérequis d’inscription à l’examen sont les suivants : Paiement du droit d’examen à l’(ISC)2®. 5 ans (ou 4 ans en fonction des diplômes détenus) d’expérience professionnelle dans la sécurité. Respect du code déontologique de l’(ISC)2®.

  1 - CISSP : Certified Information Systems Security Professional de l’(ISC) : https://www.isc2.org/ 2 - (ISC)2 : International Information Systems Security Certification Consortium. : https://www.isc2.org/

Le CISSP est la certification individuelle généraliste la plus reconnue en cybersécurité. Lancée en 1994 par l’ISC(2), elle est souvent requise ou considérée comme un plus dans les offres d’emploi en France pour les postes de CISO, RSSI et de consultants en sécurité. L’examen est difficile car il aborde tous les domaines de la cybersécurité. Il ne s’agit pas de de démontrer une expertise dans un domaine spécifique mais plutôt de justifier des connaissances minimales dans tous les domaines. Première certification à avoir obtenu la conformité à l’ISO 17024 (qui définit les exigences de qualité pour les certifications de personnes), le programme est revu tous les trois ans pour s’adapter aux évolutions. PROSICA est un organisme de formation qui prépare efficacement depuis plusieurs années ses clients à l’examen. Les taux de réussite et de satisfaction sont élevés. Issus de cette expérience, voici quelques conseils pratiques pour préparer l’examen et établir son plan de révision.