Dans la peau d’un CISSP

Pourquoi ce livre ?

Comprendre les grands domaines de la cybersécurité avec une approche concrète et accessible.

Ce que tu vas parcourir

1. ·Introduction

Domaine 1 — Gestion de la sécurité et des risques

1. 01Concepts de sécurité, gouvernance et éthique

   • Concepts de sécurité de l'information
   • Le pilier de l'intégrité
   • Le pilier de la disponibilité
   • La non-répudiation
   • La gouvernance de la sécurité
   • Les rôles et responsabilités
   • Les cadres de contrôle de sécurité
   • La prudence et la vigilance
   • L'éthique : la colonne vertébrale invisible de la cybersécurité
   • ISC2 et le serment invisible
2. 02Politiques et cadres

   • Normes, procédures et référentiels : donner corps à la sécurité
   • Politiques et procédures de sécurité du personnel : l'humain au cœur du dispositif
   • L'emploi : intégrer l'humain dès le premier jour
   • Sécurité et sûreté du personnel : protéger d'abord les humains
   • Sensibilisation, éducation et formation à la sécurité
   • Déploiement du programme de sensibilisation
   • Formation et éducation
3. 03Questions juridiques et réglementaires

   • La gestion de la vie privée et des données personnelles
   • Cybercriminalité et violations de données
4. 04Aperçu de la gestion des risques

   • Types de risques et contexte
5. 05Modélisation des menaces

   • Le modèle des menaces
   • La surface d'attaque
   • Analyse du risque
6. 06Réponse aux risques et aux contrôles

   • Sélection des contrôles
7. 07Rapport sur les risques

   • Remontée du risque
   • Gestion du risque lié à la chaîne d'approvisionnement
   • Risques liés aux composants matériels tiers
   • Méthodologie d'évaluation des risques liés à la chaîne d'approvisionnement
   • Conclusion

Domaine 2 — Sécurité des actifs

1. 08Classification des actifs

   • Principes de gestion des actifs
   • Propriété des actifs et évaluation de leur valeur
   • Classification des actifs
   • Valeur des actifs
   • Gestion du cycle de vie des actifs
   • Protection des actifs
   • Procédure de gestion des actifs
   • Rétention d'actifs
2. 09Le cycle de vie des données

   • Cycle de vie des données : création et collecte
   • Critères de classification des données
   • Le stockage des données
   • Rôles dans la protection des données
   • Utilisation des données
   • La rétention des données
   • Conclusion

Domaine 3 — Architecture et ingénierie de la sécurité

1. 10Principes de conception sécurisée

   • Intégration de la sécurité dans les cycles de vie des systèmes
   • Le modèle architectural
   • Recueil des exigences de sécurité
   • Contrôle de sélection
   • Baseline de sécurité
   • Le tailoring
2. 11Implémentation et maintenance

   • Critères d'évaluation
   • Opérations et déploiement
   • Fin de vie
   • Conclusion
3. 12Principes de conception de la sécurité

   • Principes de conception sécurisée
   • Modèles d'accès sécurisés
   • Modèle de sécurité
   • Le modèle d'intégrité de Biba
   • Les autres modèles de sécurité
4. 13Les composants des systèmes sécurisés

   • Architecture traditionnelle des systèmes informatiques
   • Architecture des systèmes informatiques non traditionnelles
   • Architecture sécurisée des systèmes à haute performance
   • Architecture cloud et sécurité
   • Responsabilité en matière de sécurité du cloud
   • Conclusion
5. 14Sécurité des installations et sécurité physique

   • Sécurité des infrastructures physiques
   • Contrôles de périmètre et conception défensive
   • Menaces internes à la sécurité physique
   • Bâtiments partagés et vulnérabilités croisées
6. 15Contrôles environnementaux

   • Conclusion
7. 16Concepts de la cryptographie

   • La cryptographie symétrique
   • La cryptographie asymétrique
   • L'intégrité des messages
   • Utiliser la cryptographie en toute sécurité
   • La gestion des clés
   • Cryptographie quantique et avenir incertain
   • L'art du chiffre : entre puissance et fragilité
8. 17La cryptanalyse

   • Les autres attaques : là où le chiffre ne suffit plus
   • Synthèse : les principales méthodes d'attaque
   • Conclusion

Domaine 4 — Communication et sécurité des réseaux

1. 18Protocoles réseau

   • La couche de présentation
   • Protocoles multi-couches
2. 19Conception de réseau sécurisé

   • Architecture et gestion des réseaux
   • Wide Area Networks
   • Les réseaux cellulaires et sans fil
   • Les botnets
3. 20Composants des réseaux et surveillance

   • L'accès au réseau
   • Protection réseau
   • Gestion des opérations réseau
   • Détection et prévention d'intrusion
   • Anti-malware
   • Conclusion

Domaine 5 — Gestion de l'identité et des accès (IAM)

1. 21Le contrôle d'accès basé sur l'identité

   • Authentification
   • Contrôles d'accès physiques et logiques
   • Accès aux bureaux
2. 22Mise en œuvre des contrôles d'accès

   • Théorie et mises en œuvre des contrôles d'accès
   • Mise en œuvre des contrôles d'accès
   • Ce qu'il faut retenir
   • Le SSO (Single Sign-On)
   • Conclusion
3. 23Gestion du cycle de vie de la gestion des identités

   • L'approvisionnement
   • Désapprovisionnement

Domaine 6 — Évaluation et test de la sécurité

1. 24Stratégie de test de sécurité

   • Faciliter l'évaluation
   • Planification de l'évaluation
   • La stratégie de test
   • Effectuer des tests de contrôles de sécurité
   • Évaluations des vulnérabilités
   • Test de pénétration
   • Réalisation d'un test de pénétration
2. 25Tests et remédiation

   • Critères d'évaluation
   • Réaliser ou faciliter des audits de sécurité
   • Réaliser un audit
   • Format d'un rapport d'audit
   • Conclusion

Domaine 7 — Opérations de sécurité

1. 26Gestion des opérations

   • Gestion des journaux
   • UEBA
   • Sécurité et protection des données
   • Surveillance continue
2. 27Les services gérés

   • Gestion de la sécurité
   • Gestion de la configuration
   • Les accords de niveau de service
   • La surveillance des opérations de sécurité
   • Renseignement sur les menaces
   • Conclusion
3. 28Résilience des entreprises et gestion des incidents

   • Résilience d'entreprise et gestion des incidents
   • Analyse de l'impact sur l'entreprise
   • Fonctions critiques de l'entreprise
   • Planification de la gestion des incidents
   • Planification de la réponse
   • L'incident management
   • Réponses aux incidents
   • Les leçons apprises
4. 29Continuité des activités et reprise après sinistre

   • Manipulation des preuves
   • Interviews : l'art d'écouter pour enquêter
   • Documentation et reporting
   • Choisir des stratégies de récupération
   • Sites de récupération
   • La sécurité dans les plans de récupération après sinistre
5. 30Tester les plans de continuité des activités (BC) et de reprise après sinistre (DR)

   • Implémentation et test des plans BC et DR
   • Maintien des plans de continuité des activités
   • Conclusion

Domaine 8 — Sécurité du développement logiciel

1. 31Méthodologies de développement logiciel

   • Méthodologies SDLC : entre rigueur, agilité et sécurité
   • L'évolution des déploiements logiciels : d'un monolithe à l'autre
   • La gestion de projet logiciel
   • La planification d'un projet logiciel
   • Conception du projet
2. 32Codage sécurisé

   • Pratiques de codage sécurisé
   • Bonnes pratiques de codage
   • Gestion du code
   • Déploiement
   • Les bases de données
   • Sécurité des bases de données
   • Structure d'une base de données
   • Problématiques de sécurité des bases de données
3. 33Tests de sécurité des logiciels

   • Tests de performance
   • Tests basés sur la production
   • Tests continus
   • Sécurité des logiciels tiers
   • Conclusion
4. ·Conclusion générale
5. ·Glossaire
6. ·Remerciements