Descriptif
ISO/IEC 27034 Lead Application Security Implementer est une formation de 5 jours (35 heures), de niveau expert, rattachée au domaine « Cybersécurité et gestion des risques informatiques ». Concevoir et mettre en œuvre un dispositif conforme aux exigences de la sécurité applicative. Conçue et animée par des praticiens en activité, elle alterne apports ciblés (30 %) et mises en pratique (70 %) sur des laboratoires cloud individuels, avec des cas inspirés des secteurs banque, assurance et services publics. Disponible en inter-entreprises, en intra sur catalogue et en version sur mesure adaptée au contexte de l'entreprise.
Objectifs pédagogiques
À l'issue de la formation, le participant sera capable de :
- Cadre normatif et principes directeurs
- Analyse du contexte et planification
- Mise en œuvre opérationnelle
- Surveillance, mesure et amélioration continue
- Examen de certification PECB
Programme détaillé
| N° | Contenus et activités | Durée |
|---|---|---|
| Jour 1 | ||
| 1 | Ouverture : pratiques de développement des participants et cadrage de l'application fil rouge | 1 h |
| 2 | Le cadre normatif applicatif de l'organisation : composition, gouvernance, bibliothèque de contrôles | 2 h |
| 3 | Atelier : définir le périmètre du cadre normatif et les rôles développement, sécurité et métier | 2 h |
| 4 | Cas pratique : déterminer le niveau de confiance cible de l'application fil rouge et le justifier | 2 h |
| Jour 2 | ||
| 5 | Processus de gestion de la sécurité applicative et analyse du contexte du projet | 1 h |
| 6 | Travaux pratiques : analyse de risques applicative et modélisation des menaces de l'application | 2,5 h |
| 7 | Atelier : sélectionner les contrôles de sécurité applicative et constituer la bibliothèque | 2 h |
| 8 | Cas pratique : rédiger les exigences de sécurité contractuelles fondées sur OWASP ASVS | 1,5 h |
| Jour 3 | ||
| 9 | Intégrer les contrôles au cycle de développement : conception, codage, recette | 1 h |
| 10 | Laboratoire : corriger cinq vulnérabilités de l'OWASP Top 10 dans le code de l'application fil rouge | 3 h |
| 11 | Travaux pratiques : mettre en place l'analyse statique et l'analyse des dépendances dans la chaîne d'intégration | 2 h |
| 12 | Atelier : définir les critères de blocage de la chaîne et le traitement des exceptions | 1 h |
| Jour 4 | ||
| 13 | Vérification de la sécurité applicative et mesure du niveau de confiance atteint | 1 h |
| 14 | Laboratoire : conduire la vérification ASVS de l'application et consigner les preuves | 2,5 h |
| 15 | Travaux pratiques : plan de remédiation priorisé et pilotage de la dette de sécurité applicative | 1,5 h |
| 16 | Atelier : indicateurs, revue du cadre normatif et amélioration continue | 2 h |
| Jour 5 | ||
| 17 | Révision processus par processus et points d'examen commentés | 1,5 h |
| 18 | Examen blanc commenté avec correction par processus | 2 h |
| 19 | Examen de certification PECB ISO/IEC 27034 Lead Application Security Implementer | 3 h |
| 20 | Plan de déploiement du cadre normatif applicatif | 0,5 h |
Méthodes pédagogiques
- Pédagogie active : 63 % du temps en pratique encadrée — laboratoires cloud provisionnés par participant, travaux pratiques guidés, fil rouge applicatif —, le reste en apports structurés, démonstrations commentées, cadrage et évaluation
- répartition calculée sur le déroulé détaillé de cette formation, et non annoncée de façon uniforme
- classe inversée avec prérequis sur le LMS
- apprentissage adaptatif selon le positionnement initial
- travaux en binômes
- classe virtuelle en séquences de 3 h 30 maximum sur Microsoft Teams
- support clair, complet et paginé remis à chaque participant
Technologies et outils mobilisés
ISO/IEC 27034, OWASP ASVS, OWASP Top 10
Modalités d'évaluation et de validation
- Positionnement initial en ligne
- quiz de validation à chaque séquence
- évaluation finale des acquis (QCM et mise en situation)
- satisfaction à chaud
- questionnaire de transfert à 30 jours
- attestation de fin de formation
- préparation et passage de la certification ISO/IEC 27034 Lead Application Security Implementer (PECB)
- l'examen de certification PECB, sa correction et la délivrance du certificat sont inclus dans le prix de la formation
Plateforme, laboratoires et ressources
- LMS DATAROCKSTARS : parcours, supports numériques, quiz, évaluations, émargement par demi-journée
- laboratoires cloud individuels accessibles depuis un navigateur, sans installation, données fictives, détruits en fin de session
- bibliothèque O'Reilly (plus de 60 000 ressources)
- accès aux supports pendant 6 mois