Introduction aux architectures sécurisées et gouvernance des données sensibles

À la fin de la formation, le participant sera capable de :

• identifier le cadre réglementaire applicable à un produit logiciel traitant des données sensibles;
• classer les données traitées par un système selon les standards canadiens en vigueur;
• sélectionner et combiner les principes d’architecture sécurisée pertinents à un contexte donné;
• concevoir une architecture logicielle adaptée au traitement de données sensibles;
• encadrer l’usage de l’intelligence artificielle générative selon la norme ISO/IEC 42001;
• produire une documentation technique conforme aux exigences contractuelles attendues.

Module 1 - Cadre réglementaire et classification des données (3 h)

• Loi 25 (Québec) et Loi C-27 fédérale. ITSG-33 (Canadian Centre for Cyber Security) et ses profils Protected A, Protected B et Secret ;
• Présentation du Canadian Program for Cyber Security Certification (CPCSC) et de sa relation avec le Cybersecurity Maturity Model Certification (CMMC) américain ;
• Souveraineté numérique et résidence des données ;
• Méthodologie de classification des données sensibles.

Module 2 - Cadres d’architecture sécurisée reconnus (3 h)

• Zero Trust Architecture selon NIST SP 800-207 et son application par le Department of Defense (Zero Trust Reference Architecture v2.0) ;
• Privacy by Design selon Ann Cavoukian et la norme ISO/IEC 31700. Secure by Design selon CISA et OWASP ;
•  Defense in Depth comme principe d’architecture multi-couches. Articulation de ces cadres dans une architecture cohérente.

Module 3 - Patrons d’architecture pour environnements contraints (3 h)

• Architectures déconnectées et air-gapped. Mouvement Local-First (Kleppmann, Ink & Switch, 2019) comme patron applicable aux équipes déployées en environnement sans connexion ;
• Architectures offline-first avec synchronisation différée chiffrée. Applications Web progressives (PWA) et stockage local sécurisé ;
• Chiffrement côté client et gestion des clés.

Module 4 - Contrôle d’accès, chiffrement et gestion des clés (3 h)

• Modèle Zero Trust appliqué : Policy Engine, Policy Administrator, Policy Enforcement Point ;
• Authentification forte et gestion des identités ;
• Chiffrement de bout en bout ;
• Systèmes de gestion des clés (KMS, HSM) ;
• Tokenisation et minimisation des données. Journalisation conforme.

Module 5 - Gouvernance de l’intelligence artificielle générative selon ISO/IEC 42001 (3 h)

• Structure de la norme ISO/IEC 42001:2023, première norme certifiable au monde pour les systèmes de management de l’intelligence artificielle (AIMS) ;
• Cycle Plan-Do-Check-Act appliqué aux systèmes d’IA ;
• Articulation avec le NIST AI Risk Management Framework et le profil AI 600-1 dédié à l’IA générative ;
• Politiques internes d’usage de l’IA. Évaluation d’impact selon la norme ISO/IEC 42005.

Module 6 - Documentation, traçabilité et conformité contractuelle (3 h)

• Structure d’un cahier des charges sécurisé ;
• Traçabilité des exigences ;
• Livrables documentaires exigés par le CPCSC ;
• Standards de documentation logicielle IEEE 1063 et ISO/IEC 26514 
• Présentation des livrables à un donneur d’ordre.

La formation est dispensée sous forme d’exposés théoriques magistraux, appuyés par des études de cas documentées (incidents publiés, architectures de référence) et des analyses comparatives. L’évaluation des acquis est réalisée par un questionnaire de validation en fin de formation.

• Vous profitez d’un accès gratuit aux logiciels spécialisés requis pour 1 an (s'il y a lieu) ; 

• À la fin de la formation, une attestation de participation sera acheminée aux participants qui ont un taux de présence de 80% et plus ; 

• Dans la mesure où elles sont liées à l’exercice de vos fonctions professionnelles et qu’elles figurent dans les répertoires de formations reconnues, nos activités de formation peuvent être admissibles en vertu du Règlement sur la formation continue obligatoire.

  Nous vous invitons à vérifier auprès de votre ordre professionnel, de votre organisme réglementaire ou de votre corporation, ainsi qu’à consulter leurs répertoires de formations reconnues pour obtenir davantage d’information.