Gestion des vulnérabilités : méthodes, outils et intégration dans la stratégie SSI
Description
Objectif de la formation : Maîtriser l’ensemble du cycle de gestion des vulnérabilités : détection, analyse, priorisation, traitement et suivi, dans une approche alignée avec les enjeux métiers, la gouvernance SSI, et les bonnes pratiques techniques.
- Comprendre les concepts clés de la gestion des vulnérabilités dans un système d’information
- Identifier et analyser les vulnérabilités avec des outils professionnels
- Prioriser les actions de traitement selon les risques et les contextes
- Intégrer la gestion des vulnérabilités dans une démarche de gouvernance SSI
- Analystes sécurité, administrateurs réseaux / systèmes
- Responsables SSI ou infrastructure
- Auditeurs techniques, consultants cybersécurité
- Chefs de projet IT sécurité
- Connaissances de base en systèmes d’information et réseaux
- Sensibilisation aux concepts de la cybersécurité (ISO 27001 ou EBIOS souhaité)
- 1
Introduction et enjeux (1h30)
- Définitions : vulnérabilité, menace, risque
- Exemples concrets d’incidents dus à des vulnérabilités non corrigées
- Typologie : logicielle, matérielle, humaine, organisationnelle
- 2
Processus global de gestion des vulnérabilités (2h30)
- Modèle ISO 27002 et intégration au SMSI
- Cycle : détection, analyse, priorité, remédiation, validation, reporting
- Rôles et responsabilités (DSI, RSSI, IT, métiers)
- Activité : cartographie d’un processus complet à partir d’un cas réel
- 3
Sources d’information et veille (3h)
- CVE, CVSS, EPSS, NVD, exploit-db, bulletins CERT
- Outils de veille : Nist NVD, Vulners, Threat Intel feeds
- Activité : analyse d’un bulletin de vulnérabilité (CVSS vector, gravite EPSS, mapping MITRE)
- 4
Outils de scan de vulnérabilités (2h30)
- Nessus, OpenVAS, Qualys, Nexpose : principe, mise en œuvre, limites
- Analyse des résultats : faux positifs / négatifs, criticité, écarts
- Activité : scan d’une cible en environnement test avec interprétation
- 5
Analyse de vulnérabilités applicatives et infrastructure (2h)
- Vulnérabilités OWASP (XSS, SQLi, CSRF...) et système (SMBv1, RDP...)
- Liens avec le pentest et les audits de conformité
- Activité : analyse de vulnérabilités d’une application web démo
- 6
Automatisation et intégration continue (2h30)
- CI/CD : scan dans GitLab, Jenkins, SonarQube, Trivy
- Reporting vers ITSM, SIEM, tableaux de bord
- Atelier : déploiement d’un pipeline de détection automatique
- 7
Priorisation et traitement (2h)
- Notions de criticité, impact, exploitabilité, contexte
- Plans de traitement : correctif, mitigation, acceptation du risque
- Activité : triage de vulnérabilités selon score et contexte organisationnel
- 8
Suivi, pilotage et indicateurs (2h30)
- KPI, KRI, SLA de correction, backlog, debt technique
- Gouvernance de la remédiation : comités, arbitrage, réévaluation
- Activité : construction d’un tableau de bord de pilotage pour RSSI
- 9
Conformité et communication (2h30)
- Conformité aux référentiels : ISO 27001, NIS2, PCI-DSS
- Rapports aux directions, audits internes, métiers
- Activité : simulation d’une restitution SSI vers un comité de direction
Ils nous font Confiance
Nos partenaires de confiance
Questions fréquentes
FAQ : Formation Gestion des vulnérabilités : méthodes, outils et intégration dans la stratégie SSI
Oui, mais la prise en charge d'une formation professionnelle par un OPCO dépend de votre opérateur de compétences, de votre branche d'activité et des critères de financement applicables. Ascent Formation vous accompagne dans l'identification des possibilités de financement adaptées à votre entreprise.
Une formation inter-entreprises réunit des participants issus de différentes organisations, tandis qu'une formation intra-entreprise est organisée pour les collaborateurs d'une même entreprise. Le format intra permet notamment d'adapter le contenu et les modalités aux besoins spécifiques de vos équipes.
Selon la formation proposée, il est possible de suivre une formation professionnelle à distance, en présentiel ou selon d'autres modalités disponibles. Consultez les informations de la session concernée ou contactez-nous pour connaître les formats possibles.
Oui, une formation professionnelle peut être adaptée aux objectifs, au niveau des participants et aux besoins opérationnels de votre entreprise. Ascent Formation vous propose des parcours personnalisés pour accompagner le développement des compétences de vos équipes.
Formations similaires
AutreArchitecture Numérique Responsable – Concevoir des architectures SI frugales
AutreAzure - Configuration et exploitation du bureau virtuel Windows
AutreContext Engineering pour les LLM : Du Prompt à l'Agent
Autre