Dernière vérification le 4 novembre 2026 par rapport aux sources mentionnées dans cet article.
Le conseil d'administration se réunit jeudi, et son président pose une question au RSSI : « Si nous étions victimes d'une attaque de ransomware demain, qui déciderait des mesures à prendre, et avons-nous effectué des exercices de simulation ? » Les outils sont importants, certes, mais la réponse dépend de la gouvernance, des exercices de simulation et d'un personnel réactif. C'est précisément ce que doit couvrir la formation à la cybersécurité pour les cadres dirigeants. Le NIST l'a souligné dans son Cadre de cybersécurité 2.0, qui a ajouté une sixième fonction. Gouverner, notamment en ce qui concerne les rôles, les responsabilités et les pouvoirs, la politique et la supervision de la stratégie de cybersécurité.
Cette liste fournit au RSSI les formations nécessaires à la mise en œuvre de ce programme. Elle comprend 10 formations prêtes à l'emploi, réparties en 3 groupes, détaillant les problèmes que chacune résout et la procédure de déploiement. Chaque groupe se termine par un Notre choixLes points juridiques décrits ici portent sur les règles fédérales américaines ; il faut donc considérer ce document comme un programme de cours et non comme une décision de justice.
Aperçu des 10 cours
| Cours | Ce qu'il couvre | longueur du câble | La loi qui sous-tend cela ? |
|---|---|---|---|
| Gouvernance des cyber-risques pour les dirigeants et les conseils d'administration | Cinq questions pour le conseil d'administration : appétit pour le risque et décisions en cas de crise | 40 min | Non |
| Gouvernance informatique, architecture d'entreprise et audit informatique : COBIT et TOGAF | Objectifs de gouvernance, méthode d'architecture et planification d'audit | 45 min | Non |
| La norme ISO/CEI 27001 et le SMSI | Politiques et pratiques, exceptions et entretiens avec un auditeur | 40 min | Non |
| Logiciel de gestion de ransomware pour les gestionnaires | La première heure, qui décide et qui parle, les sauvegardes | 60 min | Non |
| Sensibilisation aux menaces internes | Indicateurs de risque, méthodes de recrutement et rapports | 30 min | Oui (entrepreneurs agréés aux États-Unis) |
| notions essentielles de sensibilisation à la sécurité | Les étapes d'une attaque et les habitudes fondamentales | 35 min | Oui (institutions financières américaines couvertes) |
| Hameçonnage et ingénierie sociale | Signaux d'alerte, vérification et signalement | 30 min | Non |
| Mots de passe, clés d'accès et authentification multifacteurs | Connexions sécurisées, authentification multifacteur, mots de passe et récupération | 30 min | Non |
| La sécurité IA pour tous | IA fantôme, injection de prompts et sorties manipulées | 30 min | Non |
| Ingénierie sociale, fraude et deepfakes | Arnaques téléphoniques, escroqueries au paiement et usurpation d'identité | 35 min | Non |
Deux formations sont prévues par une réglementation fédérale américaine, et uniquement pour certaines organisations. En vertu de la réglementation NISPOM, les entreprises de défense habilitées doivent former leurs nouveaux employés habilités. formation à la sensibilisation aux menaces internes avant d'accorder l'accès à des informations classifiées et valider la déclaration initiale et annuelle. La règle de la FTC relative aux garanties stipule que les institutions financières concernées doivent fournir formation de leur personnel à la sensibilisation à la sécuritéAucun des deux ne trace la voie pour les autres.
Gouvernance et cadres
Gouvernance des cyber-risques pour les dirigeants et les conseils d'administration
Ce cours de 40 minutes aborde le risque cybernétique comme un risque d'entreprise. Il présente cinq questions à se poser sur son organisation, son appétit pour le risque et un tableau de bord succinct, les zones d'ombre liées aux obligations de paiement, de communication et aux compromis, l'origine des responsabilités et les actions que la direction doit entreprendre. Un RSSI peut l'animer avec son équipe dirigeante avant une réunion du conseil d'administration. La question « Un tableau de bord affiche des centaines d'indicateurs » sert de diapositive à choix multiples et amorce un débat constructif. Les membres du conseil d'administration reçoivent leur propre liste. notre guide de formation des conseils d'administration.
Gouvernance informatique, architecture d'entreprise et cadres d'audit informatique : COBIT et TOGAF
Ce cours de 45 minutes débute par l'exemple d'un système dont personne n'était responsable, puis aborde l'importance de la gouvernance informatique pour la valeur, les risques et les ressources, la différence entre les objectifs de gouvernance et de gestion, la méthode de développement de l'architecture, les modèles de maturité et la planification d'un audit informatique avec un rapport à la direction. Il offre aux responsables informatiques rattachés au RSSI un cadre de référence commun. L'activité de tri « Gouvernance ou gestion ? » propose un rapide tour de questions à choix multiples.
La norme ISO/IEC 27001 et le système de gestion de la sécurité de l'information
Le RSSI est généralement responsable du SMSI, et chaque employé y contribue. Cette formation de 40 minutes explique ce qu'est un SMSI, comment la politique se traduit en pratique, comment gérer les exceptions et les faiblesses, et comment dialoguer avec un auditeur. Il est conseillé de la dispenser avant un audit de certification ou de surveillance afin que le personnel puisse répondre aux questions en s'appuyant sur des preuves. Une diapositive ouverte, intitulée « Que montreriez-vous à un auditeur ? », permet de mettre en évidence les lacunes dès le début.
Notre choix : La gouvernance des cyber-risques pour les dirigeants et les conseils d’administration. Cela transforme la fonction Govern du NIST en cinq questions auxquelles une équipe dirigeante peut répondre, ce qui correspond à la conversation dont la plupart des RSSI ont besoin en premier lieu.
Préparation aux incidents et risques internes
Logiciel de gestion de ransomware pour les gestionnaires
Ce cours de 60 minutes est un exercice de simulation en trois parties : la première heure, les décisions et la communication, et les sauvegardes et les correctifs. Les responsables s’entraînent à identifier qui isole les machines, qui communique avec la presse et qui décide d’une rançon. Le cours aborde ces questions sous l’angle du leadership et des conseils juridiques. Il se termine par un quiz final en 7 questions. Réalisez-le en conditions réelles avec les vrais noms de votre responsable de la gestion des incidents et de votre responsable de la communication. Pour les analystes chargés de mettre en œuvre le plan, voir… notre liste de formation d'analyste SOC.
Sensibilisation aux menaces internes
Les programmes de gestion des menaces internes relèvent généralement de la responsabilité du RSSI, de la détection à la réponse. Cette formation de 30 minutes explique pourquoi la détection est essentielle, présente les indicateurs comportementaux, techniques et financiers, décrit comment les adversaires recrutent des employés de confiance, indique les bonnes pratiques et les erreurs à éviter, et précise où signaler les incidents. Elle se conclut par un questionnaire final de 10 questions, avec un seuil de réussite fixé à 80 %. Pour les entreprises américaines habilitées, cette formation constitue une solution clé en main pour dispenser la formation exigée par la réglementation NISPOM mentionnée ci-dessus, bien que cette dernière ne spécifie aucun cours.
Notre choix : un logiciel de gestion de ransomware pour les responsables. Un plan non répété échoue dès la première heure, et cet exercice de simulation oblige les dirigeants à prendre des décisions avant que la pression ne soit réelle.
Habitudes de sécurité du personnel et risques liés à l'IA
notions essentielles de sensibilisation à la sécurité
Il s'agit du programme de sensibilisation de base dont un RSSI est responsable. Ce cours de 35 minutes aborde les raisons pour lesquelles les individus sont ciblés, le déroulement d'une attaque, les signaux d'alerte, les mesures de protection et la procédure de signalement. Un questionnaire final de 12 questions est requis pour réussir, avec un seuil de réussite fixé à 80 %. Pour les institutions financières concernées, ce programme constitue une solution clé en main pour satisfaire aux exigences de formation à la sécurité de la réglementation de la FTC (Federal Trade Commission) relative aux garanties, bien que cette réglementation ne mentionne aucun cours spécifique.
Hameçonnage et ingénierie sociale
La résilience au phishing est un indicateur de performance courant pour les RSSI. Ce cours de 30 minutes explique le fonctionnement des attaques, les signes d'alerte, comment se protéger et comment les signaler. Un questionnaire final de 12 questions est requis pour réussir (80 % de réussite). Associez-le à votre bouton de signalement pour une meilleure cohérence entre le cours et l'indicateur.
Mots de passe, clés d'accès et authentification multifacteurs pour le personnel
Le déploiement des mots de passe et de l'authentification multifacteurs (MFA) relève d'une décision stratégique, et le personnel doit en comprendre les raisons. Cette formation de 30 minutes aborde les points suivants : pourquoi les comptes sont la cible, les identifiants de connexion forts et uniques, l'authentification multifacteurs et les mots de passe, les fausses pages de connexion et les zones grises liées au partage, aux raccourcis et à la récupération. Lancez cette formation la semaine du lancement d'une nouvelle méthode de connexion.
La sécurité de l'IA pour tous : IA fantôme, injection de prompts et résultats manipulés
La responsabilité de la sécurité des IA, notamment en ce qui concerne l'IA fantôme et l'injection de prompts, incombe de plus en plus au RSSI. Ce cours de 30 minutes aborde l'IA fantôme et les chatbots compromis, l'injection de prompts et les contenus empoisonnés, les instructions cachées dans les PDF et les e-mails, les extensions d'IA gratuites et la procédure pour demander un outil approuvé ou signaler un incident. Un nuage de mots sur le thème « Quels outils d'IA utilisez-vous au travail ? » révèle les formes d'IA fantôme dont vous ignoriez l'existence.
Ingénierie sociale, fraude et deepfakes : escroqueries téléphoniques, de paiement et d’usurpation d’identité
La fraude par deepfake et usurpation d'identité doit être abordée lors de toute réunion d'information sur les menaces visant les dirigeants, car les attaquants imitent précisément leurs noms et leurs voix. Cette formation de 35 minutes, basée sur une demande convaincante, couvre les tactiques employées, la vérification des modifications de paiement, la falsification de voix et de vidéos, et explique pourquoi l'ancienneté et la discrétion constituent une forme de pression, et non une preuve. Il est recommandé de la dispenser en premier lieu au service financier et aux assistants de direction.
Notre choix : la sécurité par IA pour tous. Le personnel adopte souvent les outils d'IA plus rapidement que les politiques ne peuvent suivre, et ce cours leur propose un processus simple : demande, utilisation, vérification et rapport.
Comment déployer le plan
Commençons par la gouvernance. Le CSF 2.0 du NIST met en avant Gouverner Premièrement : les dirigeants définissent les attentes en matière de tolérance au risque, de responsabilité et de ressources, et le reste du programme en découle.
- Ce trimestre, pour les dirigeants : La gouvernance des cyber-risques, puis la simulation de crise liée aux ransomwares avec les personnes mentionnées dans votre plan d'intervention.
- Pour chaque employé, lors de son intégration : Notions essentielles de sensibilisation à la sécurité, hameçonnage, mots de passe, clés d'accès et authentification multifacteur.
- À l'attention des responsables informatiques et de la sécurité : COBIT, TOGAF et ISO 27001 avant votre prochain audit.
- Chaque année : Refaire les exercices de simulation, un quiz de révision sur chaque cours, et le cours sur la sécurité de l'IA à chaque fois qu'un nouvel outil d'IA est déployé.
- Quand cela s'applique : Les entreprises de défense américaines habilitées dispensent une formation sur les menaces internes avant tout accès à des informations classifiées, puis chaque année. Les institutions financières concernées veillent à ce que leur formation de sensibilisation à la sécurité soit à jour, conformément à la réglementation de la FTC sur les garanties. Consultez votre conseiller juridique pour connaître les autres dispositions applicables dans votre pays ou État.
Façons de dispenser ces cours sur AhaSlides
Vous pouvez créer n'importe lequel de ces cours à votre propre rythme avec AhaSlides Le créateur du cours peut les animer sous forme de session de questions-réponses en direct, ou les deux, avec un sondage post-cours pour voir ce qui a changé.
- Choisissez la réponse : Sur la table de jeu, montrez la note de rançon et demandez qui décide de la prochaine étape.
- Mot nuage: Demandez aux dirigeants : « Qu’est-ce qui vous inquiète le plus concernant un incident cybernétique ? » et comparez cela avec votre registre des risques.
- Échelle de notation: Avant et après, demandez-vous « Dans quelle mesure notre plan d’intervention est-il prêt ? » de 1 à 5.
- Ouvert : Recueillir des questions anonymes pour le conseil d'administration à la fin d'une session en direct.
QFP
De quelle formation un RSSI a-t-il besoin ?
Un RSSI doit maîtriser la gestion des risques et la gouvernance, diriger la réponse aux incidents, connaître les réglementations applicables et être capable de présenter des exposés à un conseil d'administration. Les formations mentionnées ci-dessus couvrent le programme mis en œuvre par un RSSI ; les certifications attestent de ses compétences personnelles.
Quelles certifications possèdent les RSSI ?
Les certifications les plus courantes incluent CISSP, CISM et CCISO de l'EC-Council. Aucune de ces formations ne constitue une certification.
À quelle fréquence les dirigeants doivent-ils organiser des exercices de simulation de crise ?
Un contrôle au moins une fois par an constitue une base raisonnable, et de nouveau après un changement majeur tel qu'une fusion, un nouveau système ou un nouveau responsable des incidents.
Qu'est-ce qu'un terminal de ransomware ?
Un exercice de simulation de crise liée aux ransomwares est un exercice de discussion qui permet de répéter les décisions que prennent les dirigeants lors d'une attaque de ransomware, sans toucher aux systèmes en production.
Ce message contient des informations générales et ne constitue pas un avis juridique. Pour toute décision concernant votre lieu de travail, veuillez consulter un avocat qualifié ou l'autorité de réglementation compétente.
