Comment enseigner la GRC (Gouvernance, Risques, Conformité)
Cas business, cartographie des risques, simulation d'audit
Pourquoi enseigner ce domaine
La GRC est le pont entre la technique et le business. Un RSSI qui ne comprend pas les risques métier échoue. Un consultant qui ne maîtrise pas ISO 27001 ou NIS2 ne peut pas accompagner ses clients. Former des profils GRC, c'est former les futurs décideurs de la cybersécurité. Et le marché est immense : chaque organisation sous NIS2 a besoin de compétences GRC.
Prérequis étudiants
- ✓Culture générale en sécurité informatique
- ✓Capacité de rédaction et de synthèse
- ✓Compréhension de l'organisation d'une entreprise
Progression pédagogique recommandée
Fondamentaux de la gouvernance SI
Comprendre le rôle du RSSI, la PSSI, le comité de sécurité et l'alignement avec la stratégie
Analyse de risques (EBIOS RM)
Réaliser une analyse de risques complète avec la méthode EBIOS RM en 5 ateliers
Normes et référentiels (ISO 27001, NIS2)
Comprendre les exigences ISO 27001, NIS2, RGPD et savoir les appliquer
Audit et conformité
Conduire un audit de conformité : planification, exécution, rapport, suivi
Indicateurs et pilotage
Définir des KPI de sécurité et construire un tableau de bord RSSI
Erreurs courantes des formateurs
Rendre la GRC ennuyeuse en récitant la norme article par article : utilisez des cas concrets
Ne pas connecter la GRC à la technique : montrez comment une analyse de risques guide les choix techniques
Enseigner EBIOS RM de manière trop formelle sans faire manipuler la méthode sur un cas réel
TP et exercices concrets
EBIOS RM en 5 ateliers
Appliquer la méthode EBIOS RM complète sur un SI fictif (PME, hôpital ou université)
Simulation d'audit ISO 27001
Conduire un audit de conformité sur un dossier de preuves fourni
Outils et environnement de lab
Comment évaluer les étudiants
Projet fil rouge : l'étudiant ou l'équipe réalise une analyse de risques complète pour une organisation fictive et propose un plan de traitement avec budget, priorisation et indicateurs de suivi.
Questions fréquentes
Comment structurer un cours de grc ?
Un cours de grc se structure en 5 blocs progressifs : Fondamentaux de la gouvernance SI, Analyse de risques (EBIOS RM), Normes et référentiels (ISO 27001, NIS2), Audit et conformité, Indicateurs et pilotage. Chaque bloc doit combiner théorie et pratique avec des exercices concrets.
Quels outils utiliser pour enseigner le grc ?
Les outils recommandés incluent : Templates EBIOS RM (ANSSI), Norme ISO 27001/27002, Outils GRC (MONARC, open source), Tableur pour registre de risques. Privilégiez les outils open source accessibles aux étudiants.
Quelles erreurs éviter en enseignant le grc ?
Rendre la GRC ennuyeuse en récitant la norme article par article : utilisez des cas concrets