Préparation à la certification CRISC (Certified in Risk and Information Systems Control)

La certification CRISC s'adresse aux professionnels de l'informatique, aux spécialistes des risques, aux analystes métier, aux chefs de projet et/ou aux professionnels de la conformité, ainsi qu'à toute personne dont les responsabilités professionnelles portent sur les domaines suivants : identification, analyse, évaluation et gestion des risques, suivi des risques, ainsi que conception, suivi, mise en œuvre et maintenance des contrôles des systèmes d'information.

A l'issue de la formation, les participants seront capables de :

• Comprendre les référentiels de gouvernance : Comprendre les structures organisationnelles, les politiques et les principes de responsabilité nécessaires à la gestion des risques informatiques de l’entreprise.
• Évaluer les risques informatiques : Identifier les menaces, les vulnérabilités et les impacts sur les objectifs métier afin d’évaluer les scénarios de risque et d’attribuer des notations précises.
• Mettre en œuvre des mesures de gestion des risques : Élaborer et exécuter des plans concrets de gestion des risques (atténuation, transfert, prévention ou acceptation) et surveiller leur efficacité.
• Optimiser les contrôles de sécurité : concevoir, mettre en œuvre et maintenir des contrôles efficaces des systèmes d’information afin de protéger les actifs des entreprises modernes.
• Aligner l’informatique sur les objectifs métier : traduire les données techniques relatives aux risques en indicateurs métier pertinents afin d’aider la direction à prendre des décisions stratégiques éclairées.

Gouvernance organisationnelle - A

• Stratégie, buts et objectifs de l’organisation
• Structure organisationnelle, rôles et responsabilités
• Culture organisationnelle
• Politiques et normes
• Processus métier
• Actifs de l’organisation

Gouvernance des risques - B

• Gestion des risques d’entreprise et cadre de gestion des risques
• Les trois lignes de défense
• Profil de risque
• Appétit pour le risque et tolérance au risque
• Exigences légales, réglementaires et contractuelles
• Éthique professionnelle en matière de gestion des risques

DOMAINE 2 — Évaluation des risques informatiques 20 %

Identification des risques informatiques - A

• Événements à risque (par exemple, conditions contributives, conséquences en termes de pertes)
• Modélisation des menaces et panorama des menaces
• Analyse des vulnérabilités et des défaillances des contrôles (par exemple, analyse des causes profondes)
• Élaboration de scénarios de risque

Analyse et évaluation des risques informatiques - B

• Concepts, normes et cadres d’évaluation des risques
• Registre des risques
• Méthodologies d’analyse des risques
• Analyse d’impact sur l’activité
• Risque inhérent et risque résiduel

DOMAINE 3 — Réponse aux risques et reporting 32 %

Réponse aux risques - A

• Traitement des risques / Options de réponse aux risques
• Responsabilité des risques et des contrôles
• Gestion des risques liés aux tiers
• Gestion des problèmes, des constatations et des exceptions
• Gestion des risques émergents

Conception et mise en œuvre des contrôles - B

• Types de contrôles, normes et référentiels
• Conception, sélection et analyse des contrôles
• Mise en œuvre des contrôles
• Test des contrôles et évaluation de leur efficacité

Suivi et reporting des risques - C

• Plans de traitement des risques
• Collecte, agrégation, analyse et validation des données
• Techniques de suivi des risques et des contrôles
• Techniques de reporting sur les risques et les contrôles (carte thermique, tableaux de bord, indicateurs de performance)
• Indicateurs clés de performance (KPI)
• Indicateurs clés de risque (KRI)
• Indicateurs clés de contrôle (KCI)

DOMAINE 4 — Technologies de l'information et sécurité 22 %

Principes des technologies de l'information - A

• Architecture d'entreprise
• Gestion des opérations informatiques (par exemple : gestion du changement, actifs informatiques, problèmes, incidents)
• Gestion de projet
• Gestion de la reprise après sinistre (DRM)
• Gestion du cycle de vie des données
• Cycle de vie du développement des systèmes (SDLC)
• Technologies émergentes

Principes de sécurité de l’information - B

• Concepts, cadres et normes de sécurité de l’information
• Formation à la sensibilisation à la sécurité de l’information
• Gestion de la continuité des activités
• Principes de confidentialité et de protection des données

Il n'y a pas de conditions préalables pour préparer l'examen CRISC ; toutefois, pour pouvoir postuler à la certification CRISC, vous devez remplir les conditions d'expérience requises telles que définies par ISACA (voir plus loin)

L’examen CRISC dure 4 heures et comporte 150 questions à choix multiples

• Gouvernance (25 %)
• Évaluation des risques informatiques (20 %)
• Réponse aux risques et reporting (32 %)
• Technologies de l’information et sécurité (22 %)

Les conditions requises pour l'obtention de la certification sont les suivantes :

• Réussir l'examen officiel CRISC
• Une expérience professionnelle cumulée d’au moins trois (3) ans dans l’exercice des fonctions d’un professionnel CRISC dans au moins deux (2) domaines CRISC, dont l’un doit appartenir au domaine 1 ou 2, est requise pour la certification. Aucune substitution ni dérogation n’est possible.

L’examen dure 4 heures et comprend 150 questions à choix multiples en anglais.

Remarque : L'examen n'est pas inclus dans la formation. Cependant, le voucher d'examen peut être acheté séparément lors de la participation à la formation correspondante. Le voucher d'examen est réservé aux participants à la formation Global Knowledge et ne peut pas être acheté seul.

Gestion et gouvernance

• CISM (Certified Information Security Manager) : axé sur la gestion des programmes de sécurité, la stratégie et la gestion des incidents.
• CDPSE (Certified Data Privacy Solutions Engineer) : axé sur la gouvernance de la protection de la vie privée, la « privacy by design » et les contrôles techniques en matière de protection de la vie privée.

Audit et conformité

• CISA (Certified Information Systems Auditor) : axé sur l’évaluation des contrôles informatiques, la conformité et la protection des actifs informationnels.
• ISO27001LI - ISO27001LA Responsable de la mise en œuvre / auditeur ISO 27001 : propose une formation opérationnelle pratique pour la mise en place et l’audit de systèmes de gestion de la sécurité de l’information (SGSI).

•  Le module QAE (Questions, Réponses et Explications) est accessible en ligne grâce à une clé d'accès incluse dans le support de formation.
• Les participants réalisent un test d'évaluation des connaissances en amont et en aval de la formation pour valider les connaissances acquises pendant la formation. 
• Un support de cours officiel sera remis aux stagiaires au format électronique. 
• Suivi de cette formation à distance depuis un site client équipé. Il suffit d'avoir une bonne connexion internet, un casque avec micro et d'être dans un endroit au calme pour en profiter pleinement - Une fiche explicative est adressée en amont aux participants pour leur permettre de vérifier leur installation technique et de se familiariser avec la solution technologique utilisée. 
•  L'accès à l'environnement d'apprentissage, ainsi qu'aux feuilles d'émargement et d'évaluation est assuré. 

 En savoir plus : www.globalknowledge.com/fr-fr/solutions/methodes-d'apprentissage/classe-a-distance