Préparation à la certification CRISC (Certified in Risk and Information Systems Control)

La certification CRISC s'adresse aux professionnels de l'informatique, aux spécialistes des risques, aux analystes métier, aux chefs de projet et/ou aux professionnels de la conformité, ainsi qu'à toute personne dont les responsabilités professionnelles portent sur les domaines suivants : identification, analyse, évaluation et gestion des risques, suivi des risques, ainsi que conception, suivi, mise en œuvre et maintenance des contrôles des systèmes d'information.

A l'issue de la formation, les participants seront capables de :

• Comprendre les référentiels de gouvernance : Comprendre les structures organisationnelles, les politiques et les principes de responsabilité nécessaires à la gestion des risques informatiques de l’entreprise.
• Évaluer les risques informatiques : Identifier les menaces, les vulnérabilités et les impacts sur les objectifs métier afin d’évaluer les scénarios de risque et d’attribuer des notations précises.
• Mettre en œuvre des mesures de gestion des risques : Élaborer et exécuter des plans concrets de gestion des risques (atténuation, transfert, prévention ou acceptation) et surveiller leur efficacité.
• Optimiser les contrôles de sécurité : concevoir, mettre en œuvre et maintenir des contrôles efficaces des systèmes d’information afin de protéger les actifs des entreprises modernes.
• Aligner l’informatique sur les objectifs métier : traduire les données techniques relatives aux risques en indicateurs métier pertinents afin d’aider la direction à prendre des décisions stratégiques éclairées.

A. Gouvernance organisationnelle

• Stratégie, buts et objectifs de l’organisation
• Structure organisationnelle, rôles et responsabilités
• Culture organisationnelle et éthique
• Politiques et normes
• Processus métier et résilience (par exemple : PRA, PCA)
• Gestion des actifs de l’organisation

B. Gouvernance des risques

• Gestion des risques d’entreprise (ERM)
• Les lignes de défense
• Profil de risque
• Appétit pour le risque et tolérance au risque
• Cadres de gestion des risques, exigences légales, réglementaires et contractuelles

A. Identification des risques

• Modélisation des menaces et panorama des menaces
• Gestion des vulnérabilités
• Élaboration et évaluation des scénarios de risque

B. Analyse des risques

• Concepts et normes d’évaluation des risques
• Analyse d’impact sur l’activité (BIA)
• Registre des risques
• Méthodologies d’analyse des risques
• Risque inhérent et risque résiduel

A. Réponse aux risques

• Options de réponse aux risques
• Responsabilité des risques et des contrôles
• Gestion des risques liés aux fournisseurs et à la chaîne d’approvisionnement
• Gestion des problèmes, des constatations, des exceptions et des dérogations

B. Conception et mise en œuvre des contrôles

• Cadres, types et normes de contrôle
• Conception, sélection, mise en œuvre et analyse des contrôles
• Méthodologies de test des contrôles

C. Suivi et reporting des risques

• Plans d’action liés aux risques
• Collecte, agrégation, analyse et validation des données
• Indicateurs des risques et des contrôles (KRI, KCI, KPI)
• Techniques de suivi des risques et des contrôles
• Techniques de reporting sur les risques et les contrôles (par exemple : cartes thermiques, tableaux de bord, fiches de performance)
• Suivi et reporting des risques émergents

A. Principes technologiques

• Feuilles de route technologiques et architecture d’entreprise (EA)
• Gestion des opérations informatiques (par exemple : gestion du changement, gestion des actifs, DevOps, gestion des problèmes et des incidents)
• Cycle de vie du développement des systèmes (SDLC)
• Gestion du cycle de vie des données
• Gestion de portefeuille et de projet (par exemple : Agile)
• Résilience technologique et reprise après sinistre
• Technologies émergentes

B. Principes de sécurité de l’information

• Concepts, cadres et normes de sécurité de l’information
• Sensibilisation à la sécurité et à la gestion des risques, et formation associée
• Principes de confidentialité et de protection des données

Il n'y a pas de conditions préalables pour préparer l'examen CRISC ; toutefois, pour pouvoir postuler à la certification CRISC, vous devez remplir les conditions d'expérience requises telles que définies par ISACA (voir plus loin)

L’examen CRISC dure 4 heures et comporte 150 questions à choix multiples

• Gouvernance (26 %)
• Évaluation des risques informatiques (22 %)
• Réponse aux risques et reporting (32 %)
• Technologies de l’information et sécurité (20 %)

Les conditions requises pour l'obtention de la certification sont les suivantes :

• Réussir l'examen officiel CRISC
• Une expérience professionnelle cumulée d’au moins trois (3) ans dans l’exercice des fonctions d’un professionnel CRISC dans au moins deux (2) domaines CRISC, dont l’un doit appartenir au domaine 1 ou 2, est requise pour la certification. Aucune substitution ni dérogation n’est possible.

L’examen dure 4 heures et comprend 150 questions à choix multiples en anglais.

Remarque : L'examen n'est pas inclus dans la formation. Cependant, le voucher d'examen peut être acheté séparément lors de la participation à la formation correspondante. Le voucher d'examen est réservé aux participants à la formation Global Knowledge et ne peut pas être acheté seul.

Gestion et gouvernance

• CISM (Certified Information Security Manager) : axé sur la gestion des programmes de sécurité, la stratégie et la gestion des incidents.
• CDPSE (Certified Data Privacy Solutions Engineer) : axé sur la gouvernance de la protection de la vie privée, la « privacy by design » et les contrôles techniques en matière de protection de la vie privée.

Audit et conformité

• CISA (Certified Information Systems Auditor) : axé sur l’évaluation des contrôles informatiques, la conformité et la protection des actifs informationnels.
• ISO27001LI - ISO27001LA Responsable de la mise en œuvre / auditeur ISO 27001 : propose une formation opérationnelle pratique pour la mise en place et l’audit de systèmes de gestion de la sécurité de l’information (SGSI).

•  Le module QAE (Questions, Réponses et Explications) est accessible en ligne grâce à une clé d'accès incluse dans le support de formation.
• Les participants réalisent un test d'évaluation des connaissances en amont et en aval de la formation pour valider les connaissances acquises pendant la formation. 
• Un support de cours officiel sera remis aux stagiaires au format électronique. 
• Suivi de cette formation à distance depuis un site client équipé. Il suffit d'avoir une bonne connexion internet, un casque avec micro et d'être dans un endroit au calme pour en profiter pleinement - Une fiche explicative est adressée en amont aux participants pour leur permettre de vérifier leur installation technique et de se familiariser avec la solution technologique utilisée. 
•  L'accès à l'environnement d'apprentissage, ainsi qu'aux feuilles d'émargement et d'évaluation est assuré. 

 En savoir plus : www.globalknowledge.com/fr-fr/solutions/methodes-d'apprentissage/classe-a-distance