Plan de formation et sensibilisation - OWASP QC 2019-02
1. Concevoir et implémenter un plan de
formation et de sensibilisation à la sécurité
Parce que personnes ne devrait accepter l’offre d’un
prince nigérien
2. Vincent L-Garant
• Sécurité applicative @ Bentley Systems
• Spécialiste en projet personnels non-achevé
• Non-actifs sur les médias sociaux
2/19/2019 Concevoir et implémenter un plan de formation
3. Plan
● Définir nos objectifs
● Définir notre auditoire
● Construire la première ébauche
● Document final
● Formation (Go-Live)
● Post-mortem
2/19/2019 Concevoir et implémenter un plan de formation
4. Pourquoi?
● Qu’est-ce qui est nécessaire d’apprendre
● Pour des raisons légales
● Pour des raisons contractuelles
● Pour des raisons de sécurité
● Quel est le délai disponible
● Quel est le budget pour l’exercice
● Confirmer les objectifs avec l’administration
2/19/2019 Concevoir et implémenter un plan de formation
5. Acme Inc.
Afin de remplir une entente contractuelle avec
son plus gros client, Acme inc doit prouver que
l’ensemble de son personnel à compléter une
formation de base en sécurité informatique…
2/19/2019 Concevoir et implémenter un plan de formation
6. Pour qui?
● L’auditoire peut être divisé selon plusieurs
critères
● Niveau technique
● Position géographique
● Rôle dans l’entreprise
● Une formation n’est pas toujours « one size fit
all »
● Différents auditoires ne seront pas également réceptifs à la même formation
2/19/2019 Concevoir et implémenter un plan de formation
7. Acme Inc.
Dans son contrat, Acme précise que l’ensemble
de ses employées seras formé.
2/19/2019 Concevoir et implémenter un plan de formation
8. Première Ébauche
● C’est un peu comme le « closed beta » de la
formation
● Prendre des membres de l’auditoire cible
● Il se peut que plusieurs itérations de cet exercice
soient nécessaires
● Valider la conformité légale, s’il y a lieu
2/19/2019 Concevoir et implémenter un plan de formation
9. Acme Inc.
Afin de s’assurer que la formation choisi
convient, elle est envoyé à un membre de la
direction, la réceptionniste et un des
développeur.
2/19/2019 Concevoir et implémenter un plan de formation
10. Document final
● Ce document final, qui ne devrait pas changer
● Le faire approuver par
● Légal (s’il y a lieu)
● Ressources humaines (s’il y a lieu)
● La direction
● C’est ce document qui est traduit
2/19/2019 Concevoir et implémenter un plan de formation
11. Acme Inc.
Le département légal et la haute direction
confirment que la formation seras adéquate et
qu’ils approuvent son utilisation.
2/19/2019 Concevoir et implémenter un plan de formation
12. Formation
● Ne pas être fermé à la critique
● Incitatifs à l’adoption de la formation
● La carotte
● Quel est l’incitatif positif si les gens suivent la formation
adéquatement
● Le bâton
● Quel est la conséquence négative si les gens ne suivent pas
la formation
2/19/2019 Concevoir et implémenter un plan de formation
13. Acme Inc.
Il aura fallut 2 mois pour que tous les employés
participent à la formation.
2/19/2019 Concevoir et implémenter un plan de formation
14. Post-Mortem
● Aller chercher la réaction de son auditoire
● Valider l’impact sur l’objectif
● Annuellement réviser et modifier la formation
2/19/2019 Concevoir et implémenter un plan de formation