Introduction aux architectures sécurisées et gouvernance des données sensibles

À la fin de la formation, le participant sera capable de :

• distinguer les offres Office 365 et Microsoft 365 et sélectionner la licence adaptée à une PME ;
• créer et configurer un tenant Microsoft 365, incluant le domaine, les enregistrements DNS (MX, SPF, DKIM, DMARC), les comptes d’utilisateurs et les groupes ;
• déployer les mesures de sécurité de base : authentification multifacteur, accès conditionnel, protection des comptes administrateurs, suivi du Microsoft Secure Score ;
• mettre en place la messagerie et les outils de collaboration (Exchange Online, Teams, SharePoint, OneDrive Entreprise) selon les bonnes pratiques de partage et de conservation ;
• gérer les appareils des employés, y compris les appareils personnels (BYOD), au moyen de Microsoft Intune ;
• planifier et exécuter une migration de courriels et de fichiers depuis une plateforme existante, notamment Google Workspace ;
• documenter la configuration produite dans une perspective de conformité à la Loi 25 et au cadre LPRPDE.

Module 1 — Cadre réglementaire et classification des données (3 h)

• Loi 25 (Québec) et Loi C-27 fédérale. ITSG-33 (Canadian Centre for Cyber Security) et ses profils Protected A, Protected B et Secret ;
• Présentation du Canadian Program for Cyber Security Certification (CPCSC) et de sa relation avec le Cybersecurity Maturity Model Certification (CMMC) américain ;
• Souveraineté numérique et résidence des données ;
• Méthodologie de classification des données sensibles.

Module 2 — Cadres d’architecture sécurisée reconnus (3 h)

• Zero Trust Architecture selon NIST SP 800-207 et son application par le Department of Defense (Zero Trust Reference Architecture v2.0) ;
• Privacy by Design selon Ann Cavoukian et la norme ISO/IEC 31700. Secure by Design selon CISA et OWASP ;
•  Defense in Depth comme principe d’architecture multi-couches. Articulation de ces cadres dans une architecture cohérente.

Module 3 — Patrons d’architecture pour environnements contraints (3 h)

• Architectures déconnectées et air-gapped. Mouvement Local-First (Kleppmann, Ink & Switch, 2019) comme patron applicable aux équipes déployées en environnement sans connexion ;
• Architectures offline-first avec synchronisation différée chiffrée. Applications Web progressives (PWA) et stockage local sécurisé ;
• Chiffrement côté client et gestion des clés.

Module 4 — Contrôle d’accès, chiffrement et gestion des clés (3 h)

• Modèle Zero Trust appliqué : Policy Engine, Policy Administrator, Policy Enforcement Point ;
• Authentification forte et gestion des identités ;
• Chiffrement de bout en bout ;
• Systèmes de gestion des clés (KMS, HSM) ;
• Tokenisation et minimisation des données. Journalisation conforme.

Module 5 — Gouvernance de l’intelligence artificielle générative selon ISO/IEC 42001 (3 h)

• Structure de la norme ISO/IEC 42001:2023, première norme certifiable au monde pour les systèmes de management de l’intelligence artificielle (AIMS) ;
• Cycle Plan-Do-Check-Act appliqué aux systèmes d’IA ;
• Articulation avec le NIST AI Risk Management Framework et le profil AI 600-1 dédié à l’IA générative ;
• Politiques internes d’usage de l’IA. Évaluation d’impact selon la norme ISO/IEC 42005.

Module 6 — Documentation, traçabilité et conformité contractuelle (3 h)

• Structure d’un cahier des charges sécurisé ;
• Traçabilité des exigences ;
• Livrables documentaires exigés par le CPCSC ;
• Standards de documentation logicielle IEEE 1063 et ISO/IEC 26514 
• Présentation des livrables à un donneur d’ordre.

La formation est dispensée sous forme d’exposés théoriques magistraux, appuyés par des études de cas documentées (incidents publiés, architectures de référence) et des analyses comparatives. L’évaluation des acquis est réalisée par un questionnaire de validation en fin de formation.

• Vous profitez d’un accès gratuit aux logiciels spécialisés requis pour 1 an (s'il y a lieu) ; 

• À la fin de la formation, une attestation de participation sera acheminée aux participants qui ont un taux de présence de 80% et plus ; 

• Dans la mesure où elles sont liées à l’exercice de vos fonctions professionnelles et qu’elles figurent dans les répertoires de formations reconnues, nos activités de formation peuvent être admissibles en vertu du Règlement sur la formation continue obligatoire.

  Nous vous invitons à vérifier auprès de votre ordre professionnel, de votre organisme réglementaire ou de votre corporation, ainsi qu’à consulter leurs répertoires de formations reconnues pour obtenir davantage d’information.