MATINEE (3H30)

• 9h00 – 9h30 : Introduction et contexte

- Présentation des objectifs de la formation et des participants.

- Pourquoi se préparer ?

          . Les collectivités, cibles privilégiées des cyberattaques.

          . Impacts des incidents sur les services publics et la confiance des citoyens.

- Étude de cas : Exemples concrets d’incidents récents dans les collectivités (ransomware, vol de données).

• 9h30 – 10h30 : Comprendre les incidents de cybersécurité

- Types d’incidents courants :

          . Phishing, ransomware, attaques par déni de service (DDoS), vol d’identifiants.

- Les signes d’un incident :

          . Ordinateurs ralentis, fichiers cryptés, comportements anormaux du système.

- Cycle de vie d’un incident :

          1. Préparation

          2. Détection et analyse

          3. Contention

          4. Éradication et récupération

          5. Apprentissage post-incident

• 10h30 – 10h45 : Pause

• 10h45 – 12h15 : Détection et analyse des incidents

- Détecter une menace :

          . Outils et techniques pour surveiller les systèmes (journaux, systèmes de détection d’intrusion).

          . Indicateurs de compromission (IoC).

- Atelier pratique : Étudier un cas fictif

          . Analyse d’un incident simulé (ex. une attaque par phishing ou ransomware).

          . Identifier les indicateurs de compromission et prioriser les actions.

• 12h15 – 12h30 : Synthèse de la matinée

- Récapitulatif des étapes de détection et analyse.

- Introduction aux réponses à adopter en cas d’incident.

• 12h30 – 13h30 : Pause déjeuner

APRES-MIDI (3H30)

• 13h30 – 14h30 : Réponse et gestion de l’incident

- Agir rapidement et efficacement :

          . Contenir l’incident pour limiter les impacts.

          . Identifier les systèmes affectés et isoler les éléments compromis.

- Communication en situation de crise :

          . Informer les parties prenantes internes et externes.

          . Interactions avec les autorités compétentes (ANSSI, police).

- Atelier pratique : Simulation de gestion d’un incident

          . Les participants réagissent à un scénario d’attaque en suivant un protocole.

• 14h30 – 15h30 : Récupération et retour à la normale

- Éradication de la menace :

          . Suppression des malwares et restauration des systèmes compromis.

- Plan de reprise après sinistre (PRS) :

          . Récupération des données à partir de sauvegardes.

          . Validation de l’intégrité des systèmes avant leur remise en production.

- Atelier pratique : Élaborer une stratégie de reprise

          . Les participants élaborent un plan de récupération à partir d’un scénario fictif.

• 15h30 – 15h45 : Pause

• 15h45 – 16h45 : Préparation et planification proactive

- Établir un plan de gestion des incidents :

          . Élaborer des procédures écrites pour chaque étape.

          . Identifier les rôles et responsabilités (DSI, agents techniques, décideurs).

- Tests et simulations :

          . Importance des exercices réguliers pour valider le plan.

          . Retour d’expérience (post-mortem) pour améliorer les processus.

- Atelier final : Créer un mini-plan de gestion des incidents

          . Chaque participant rédige une ébauche adaptée à son contexte local.

• 16h45 – 17h00 : Conclusion et évaluation

- Synthèse des apprentissages.

- Questionnaire d’évaluation de la formation.

- Remise d’un guide pratique (modèle de plan de gestion des incidents, fiches outils).