Objectifs de la certification
La certification PECB « Mettre en œuvre le système de management de la sécurité de l’information selon la norme ISO/CEI 27001 » atteste des compétences nécessaires pour planifier, mettre en œuvre, gérer, surveiller et maintenir efficacement un système de management de la sécurité de l’information (SMSI) conforme aux exigences de la norme internationale ISO/CEI 27001. Cette certification s’adresse à des professionnels expérimentés qui souhaitent acquérir une expertise opérationnelle complémentaire à leur fonction principale, leur permettant de structurer et de piloter des projets de déploiement de SMSI dans des contextes organisationnels variés.
Elle vise spécifiquement les responsables de la mise en œuvre et de la gestion du système de gestion de la sécurité de l’information (SGSI), les responsables ou consultants souhaitant préparer et accompagner une organisation dans la mise en œuvre d’un SGSI, les chefs de projet, consultants ou conseillers experts cherchant à maîtriser la mise en œuvre et la gestion du SGSI, les responsables du maintien de la conformité des exigences du SGSI au sein d’une organisation, ainsi que les professionnels du domaine de la gestion de la sécurité de l’information.
Contexte et finalité professionnelle
Dans un environnement numérique où les menaces cybersécuritaires évoluent rapidement et où la conformité réglementaire devient un enjeu stratégique majeur, les organisations ont besoin de professionnels capables de traduire les exigences normatives en actions concrètes et opérationnelles. Cette certification répond aux besoins du marché en formant des experts capables d’accompagner les entreprises dans la structuration de leur sécurité informationnelle, depuis l’analyse des risques jusqu’à la préparation des audits de certification.
Elle s’adresse particulièrement aux professionnels intervenant dans les entreprises de services numériques, les organismes de conseil en IT, les entreprises de conseil en management des risques, ou les services informatiques de tout type d’organisation. La certification constitue une compétence complémentaire stratégique qui permet aux professionnels d’élargir leur périmètre d’intervention et de répondre aux appels d’offres nécessitant une expertise certifiée en mise en œuvre de SMSI, tout en renforçant leur capacité à accompagner les organisations dans leur transformation numérique sécurisée.
Positionnement dans l’environnement professionnel
La certification s’inscrit dans une logique de spécialisation progressive et constitue un levier d’évolution pour des professionnels déjà en poste souhaitant étendre leurs responsabilités dans le domaine de la sécurité de l’information.
Elle permet de répondre aux exigences croissantes du marché en matière de mise en œuvre de systèmes de management de la sécurité conformes aux standards internationaux, d’accompagner les organisations dans leurs démarches de certification ISO/CEI 27001, et de structurer des projets de transformation numérique sécurisée. Le périmètre ciblé est celui d’une compétence complémentaire opérationnelle et contextualisée, directement mobilisable sur le marché du travail pour des missions de conseil, de mise en œuvre ou de pilotage de projets SMSI.
Public visé :
- Responsables de la mise en œuvre et de la gestion du système de management de la sécurité de l’information (SMSI),
- Responsables ou consultants souhaitant préparer et accompagner une organisation dans la mise en œuvre d’un SMSI,
- Chefs de projet, consultants ou conseillers experts cherchant à maîtriser la mise en œuvre et la gestion du SMSI,
- Responsables du maintien de la conformité des exigences du SMSI au sein d’une organisation,
- Professionnels du domaine de la gestion de la sécurité de l’information.
Prérequis d’entrée en formation :
L’entrée en formation est conditionnée à l’analyse du dossier du candidat, réalisée en amont de l’inscription et fondée sur :
- Un curriculum vitae détaillant son expérience professionnelle dans des fonctions liées à la sécurité de l’information, aux systèmes de management ou au conseil IT ;
- Un questionnaire de positionnement visant à évaluer ses acquis et sa capacité à suivre un parcours de certification sur la mise en œuvre du SMSI ;
- Un projet professionnel cohérent avec les objectifs de la certification.
Le candidat doit justifier :
- Soit d’une expérience professionnelle générale d’au moins 5 ans ;
- Soit d’une expérience spécifique d’au moins 2 ans dans le domaine du management de la sécurité de l’information.
- Et avoir réalisé 300 heures de projet en lien avec la mise en œuvre d’un système de management de la sécurité de l’information ;
Prérequis d’inscription à la certification :
Pour accéder à la certification, le candidat doit avoir suivi l’ensemble de la formation PECB ou d’un partenaire habilité.
| REFERENTIEL DE COMPETENCES |
REFERENTIEL D’EVALUATION
|
| Modalités d’évaluation |
Critères d’évaluation
|
| C1. Identifier les éléments clés d’un système de mangement de la sécurité de l’information (SMSI), en analysant le contexte organisationnel et en inventoriant les menaces potentielles, les vulnérabilités, les processus opérationnels critiques, les actifs informationnels, la confidentialité, l’intégrité, la disponibilité, les risques associés, les contrôles et les cadres réglementaires applicables, afin de structurer sa mise en œuvre conformément à la norme ISO/IEC 27001. |
ME1. Étude de cas écrite – Conception et planification du SMSI
Durée totale : 1 heure (sur place ou télésurveillé) Compétences couvertes : C1-C2
Le candidat reçoit un dossier décrivant une organisation fictive avec son contexte métier et ses enjeux de sécurité. Sur la base de ce dossier, le candidat doit analyser la situation et produire un plan de mise en œuvre du SMSI structuré qui démontre :
- L’identification et l’analyse des éléments clés du SMSI (enjeux organisationnels, actifs critiques, risques de sécurité) en tenant compte des impacts environnementaux des infrastructures numériques et des principes de sobriété numérique.
- La traduction des exigences de la norme ISO/CEI 27001 en actions concrètes, en analysant les clauses applicables et les contrôles de l’annexe A adaptés au contexte organisationnel.
ME2. Mise en situation professionnelle reconstituée
Durée totale : 45 minutes
Préparation : 20 minutes
Mise en pratique – présentation des activités : 20 minutes
Entretien avec le jury : 5 minutes
Compétences couvertes : C3-C4-C5
Le candidat doit simuler la mise en œuvre opérationnelle d’un SMSI dans une situation professionnelle reconstituée. La mise en situation doit démontrer :
- La structuration du projet de mise en œuvre avec la définition du périmètre, des objectifs, des responsabilités et la prise en compte de l’accessibilité pour les personnes en situation de handicap.
- La planification des ressources et du calendrier de déploiement en intégrant les contraintes organisationnelles et les considérations de durabilité environnementale.
- L’exécution du plan de mise en œuvre en mobilisant les ressources et en optimisant la consommation énergétique des équipements dans une démarche de durabilité environnementale.
- La mise en œuvre des processus opérationnels (procédures, politique de gestion des incidents, équipe de réponse) et le déploiement de programmes de formation adaptés à tous les collaborateurs, y compris les personnes en situation de handicap.
ME3. Rapport écrit et soutenance orale
Durée de la soutenance : 30 minutes
Présentation : 15 minutes + 15 minutes échange avec le jury
Délai de remise du rapport : 2 semaines avant la soutenance
Compétences couvertes : C6-C7
Le candidat doit produire un rapport écrit (15 pages maximum) sur un projet réel ou simulé de mise en œuvre d’un SMSI, puis le défendre devant un jury. Le rapport et la soutenance doivent démontrer :
- Le contrôle des performances du SMSI par la définition d’indicateurs de suivi et l’évaluation de l’efficacité du système déployé.
- La mise en œuvre d’un processus d’amélioration continue avec l’analyse des causes profondes des non-conformités en intégrant l’évaluation de l’empreinte carbone des mesures de sécurité pour réduire l’impact environnemental.
- La capacité à défendre les choix techniques et organisationnels face aux questions du jury, en démontrant sa maîtrise des enjeux de sécurité, d’accessibilité et de durabilité environnementale.
|
- L’analyse des enjeux organisationnels identifie les processus métier critiques et les actifs informationnels prioritaires
- Les risques de sécurité recensés correspondent au contexte organisationnel et intègrent l’impact environnemental des infrastructures numériques
- L’inventaire des menaces et vulnérabilités est documenté avec leur niveau de criticité
- Les cadres réglementaires applicables sont identifiés et mis en correspondance avec les exigences de la norme ISO/CEI 27001
|
| C2. Traduire les exigences de la norme ISO/IEC 27001 en actions concrètes en analysant les clauses et contrôles applicables de la norme afin de planifier le déploiement du système de management de la sécurité de l’information (SMSI) en fonction du contexte organisationnel.
|
- Les clauses de la norme ISO/CEI 27001 sont analysées et adaptées au contexte organisationnel spécifique
- Les contrôles de l’annexe A sélectionnés correspondent aux risques identifiés dans l’organisation
- Le plan d’actions décrit des mesures concrètes et opérationnelles de mise en œuvre
- La cohérence entre les exigences normatives et les actions proposées est démontrée
|
| C3. Structurer le projet de mise en œuvre du SMSI en définissant le périmètre, les objectifs, les responsabilités et le contexte organisationnel incluant l’accessibilité pour les personnes en situation de handicap afin d’encadrer le déploiement du système de management de la sécurité de l’information conformément à la norme ISO/CEI 27001.
|
- Le périmètre du projet définit les inclusions et exclusions avec justification
- Les objectifs du projet sont spécifiques, mesurables et alignés avec la stratégie organisationnelle
- La matrice des responsabilités attribue les rôles et identifie les parties prenantes clés
- Les dispositions d’accessibilité pour les personnes en situation de handicap sont intégrées dans la planification
|
| C4. Exécuter le plan de mise en œuvre du système de management de la sécurité de l’information en mobilisant les ressources définies, en établissant les responsabilités et en suivant les étapes prévues en optimisant la consommation énergétique des équipements et infrastructures afin d’assurer un déploiement structuré et conforme aux exigences de la norme ISO/CEI 27001 dans une démarche de durabilité environnementale.
|
- Le déploiement respecte les étapes planifiées et mobilise les ressources définies
- Les responsabilités sont établies et communiquées aux parties prenantes concernées
- L’optimisation de la consommation énergétique des équipements est documentée et mesurée
- Le suivi d’avancement démontre la conformité aux exigences de la norme ISO/CEI 27001
|
| C5. Mettre en œuvre les processus opérationnels du SMSI en élaborant les procédures documentées, en instaurant une politique de gestion des incidents, en constituant une équipe de réponse, et en déployant des programmes de formation et de sensibilisation à la sécurité de l’information adaptés à tous les collaborateurs, y compris les personnes en situation de handicap et des plans de communication afin de renforcer la maturité de l’organisation en matière de sécurité de l’information conforme aux exigences de la norme ISO/CEI 27001.
|
- Les procédures documentées couvrent l’ensemble des processus opérationnels du SMSI
- La politique de gestion des incidents définit les rôles, responsabilités et processus d’escalade
- Les programmes de formation sont adaptés aux différents profils, y compris les personnes en situation de handicap
- Les plans de communication structurent la diffusion des informations de sécurité dans l’organisation
|
| C6. Contrôler les performances du SMSI conformément à la norme ISO/CEI 27001 en réalisant des audits internes, en suivant des indicateurs et en évaluant les résultats afin de vérifier son efficacité et son alignement avec les objectifs de l’organisation.
|
- Les indicateurs de performance sont définis, mesurables et alignés avec les objectifs du SMSI
- Le programme d’audit interne couvre l’ensemble du périmètre du SMSI
- L’évaluation des résultats démontre l’efficacité des mesures de sécurité mises en place
- Le reporting des performances permet la prise de décision par la direction
|
| C7. Mettre en œuvre un processus d’amélioration continue et analyser les causes profondes des non-conformités en intégrant l’évaluation de l’empreinte carbone des mesures de sécurité afin de garantir que la performance du système de management de la sécurité de l’information s’améliore continuellement et atteigne le niveau requis tout en réduisant son impact environnemental. |
- L’analyse des causes profondes des non-conformités utilise une méthodologie structurée
- L’évaluation de l’empreinte carbone des mesures de sécurité est documentée avec des indicateurs quantifiés
- Le plan d’amélioration priorise les actions selon leur impact sur la sécurité et l’environnement
- Le processus d’amélioration continue démontre une progression mesurable des performances
|
