Projet final et mise en conformité

Projet final et mise en conformité

1. Projet final : auditer et durcir une application

   Le projet porte sur une application de votre choix, et vise un résultat vérifiable : un rapport de conformité et des mesures effectivement appliquées.

   Les cinq livrables

   1. Modèle de menace : ce qu'on protège, contre quoi, et ce qu'on accepte de perdre.
   2. Revue sur le Top 10 2025 : pour chacune des dix entrées, l'état, la preuve et la mesure prévue.
   3. Tests d'accès : tests d'IDOR et élévation de privilège réellement exécutés, avec le résultat obtenu.
   4. Inventaire des secrets et de la chaîne logicielle : dépendances, versions verrouillées, surface d'attaque.
   5. Plan de durcissement : mesures priorisées par effort et par impact, avec une échéance par mesure.

   Critères de réussite

   • chaque ligne du rapport renvoie à une preuve reproductible, pas à une impression ;
   • les cinq risques les plus probables sont traités en premier, pas les plus visibles ;
   • le plan est réalisable : chaque mesure a un responsable et une échéance ;
   • le rapport pourrait être lu par un auditeur externe sans oral.

2. Mise en conformité

   La conformité se prépare comme un projet, pas comme une déclaration. Trois constats utiles :

   1. Le périmètre se décide tôt : savoir si l'entité relève de NIS2 conditionne tout le reste. La France n'ayant pas encore achevé sa transposition, on se réfère aux publications de l'ANSSI, qui propose un enregistrement en ligne et un socle de mesures.
   2. Les preuves priment sur les déclarations : ce qui est demandé, ce sont des traces : registres, comptes rendus, journaux, tests, rapports.
   3. La sécurité des données est un obligation de moyen : on ne garantit pas qu'aucune violation n'aura lieu, on montre qu'on a fait ce qu'il fallait pour la prévenir et la traiter.

   Deux référentiels ne sont pas obligatoires mais servent de structuration : ISO/IEC 27001 pour le système de management, et le référentiel CIS Controls pour les mesures techniques de référence.

3. Ressources et évaluation

   Évaluation

   • Quiz à la fin de chaque module.
   • Atelier : test d'accès et correction sur une application de votre choix.
   • Projet final : rapport et plan de durcissement, évalués sur la qualité des preuves.
   • Revue : chaque atelier est relu, les remarques portent sur des points vérifiables.

   Grille du projet

   • méthodique : le modèle de menace précède les mesures
   • précis : chaque constat est prouvé
   • priorisé : l'effort et l'impact sont explicites
   • actionnable : qui fait quoi, et pour quand