Session B20 — Soutenance finale & Clôture (Validation Capstone B)¶
Objectifs de la session¶
À la fin de cette session, vous serez capable de :
- Présenter et soutenir oralement en équipe les conclusions de votre audit et votre plan d'action pour la PME MedDistri.
- Argumenter et défendre vos choix d'architectures réseau, de gouvernance et de traitement des risques devant un jury d'évaluation.
- Formuler un bilan réflexif sur les compétences professionnelles acquises et planifier votre stratégie de veille technologique post-formation.
Concepts clés¶
1. Le Capstone Project B : Une synthèse transverse¶
Le Capstone Project B marque l'aboutissement de votre parcours de formation de 30 heures. Il simule une mission de conseil cyber réelle pour la PME fictive MedDistri (distributeur de matériel médical critique).
Ce projet a requis l'application pratique de l'ensemble des modules étudiés :
- Technique : Conception d'une architecture réseau sécurisée avec segmentation (DMZ, VLANs), durcissement des postes, mise en œuvre d'outils défensifs (pare-feu, IDS) et gestion des accès (MFA, IAM).
- Organisationnel : Élaboration des règles de la PSSI, calcul et priorisation des risques cyber (matrice 4x4), planification de la résilience (sauvegardes 3-2-1, PCA/PRA) et respect des lois sur la protection des données (RGPD).
2. Réussir une soutenance de projet cyber¶
Soutenir un audit de sécurité exige d'adapter sa communication à son auditoire. Les décideurs d'une entreprise (comme la direction de MedDistri) ne sont pas tous des techniciens système. Votre présentation doit donc traduire les vulnérabilités techniques en enjeux et impacts business.
Structure recommandée pour le diaporama (Pitch de 7 minutes) :¶
- Diapositive 1 — Enjeux et contexte (1 min) : Rappel de l'activité de MedDistri, ses actifs les plus précieux (données médicales, serveurs de commandes) et ses menaces prioritaires.
- Diapositive 2 — Résultats de l'Audit (2 min) : Cartographie claire et visuelle des vulnérabilités critiques identifiées (ex. absence de sauvegardes externalisées, ports d'administration ouverts sur Internet).
- Diapositive 3 — Plan de remédiation (3 min) : Présentation de votre feuille de route organisée de manière réaliste et planifiée dans le temps (court terme à coût zéro, moyen terme tactique, long terme structurant).
- Diapositive 4 — Retours sur investissement (1 min) : Conclusion sur la valeur ajoutée pour MedDistri (amélioration de la résilience, réduction des risques de sanctions CNIL, préservation de l'image de marque).
Gérer les questions du jury :¶
Le jury cherchera à tester la solidité de votre plan en vous demandant de justifier vos priorités budgétaires (ex. « Pourquoi dépenser de l'argent dans la formation des salariés avant de déployer un outil de supervision SIEM coûteux ? »). Vous devez répondre en faisant le lien avec votre analyse de risques : le facteur humain étant la faille la plus exploitée, le former à moindre coût est la mesure au ratio bénéfice/risque le plus élevé.
3. Capitalisation professionnelle et veille continue¶
La fin de la formation n'est pas la fin de votre apprentissage. Le paysage de la cybersécurité évolue quotidiennement avec l'apparition de nouvelles failles de sécurité (CVE) et de nouvelles techniques d'attaque.
- Valorisation : Téléchargez vos badges de cours et votre certificat final IBM SkillsBuild et intégrez-les à vos profils professionnels (LinkedIn, CV) pour valoriser vos compétences de gestion cyber opérationnelle.
- Veille cyber active : Prenez l'habitude de suivre les bulletins de sécurité officiels (ex. les alertes du CERT-FR de l'ANSSI, les articles de cyber.gouv.fr) pour rester informé des vulnérabilités critiques à corriger d'urgence dans vos futurs environnements professionnels.
Activités / exercices¶
Exercice 1 — Grille d'évaluation et de notation pour l'auto-évaluation du projet Capstone¶
Objectif : Réaliser une auto-évaluation rigoureuse de la prestation écrite et orale de son équipe avant de soumettre le livrable au jury, afin d'identifier les zones de faiblesse à corriger.
Consignes : Utilisez la grille critériée ci-dessous pour évaluer votre livrable « Audit & Plan de Remédiation MedDistri ». Pour chaque critère, attribuez-vous une note de 1 à 4 et identifiez 2 points forts ainsi que 2 axes d'amélioration.
Grille d'évaluation type d'un audit de sécurité :¶
| Critère d'évaluation | Niveau 1 (Insuffisant) | Niveau 2 (Moyen) | Niveau 3 (Bien) | Niveau 4 (Excellent) |
|---|---|---|---|---|
| 1. Analyse des risques | Risques non identifiés ou vagues. | Risques listés mais sans calcul de criticité. | Risques documentés avec matrice de cotation 4x4. | Analyse approfondie reliant menaces, failles et impacts métiers. |
| 2. Architecture réseau | Aucune segmentation réseau proposée. | Segmentation proposée mais incohérente. | Segmentation claire (LAN, DMZ, WAN) avec pare-feu. | Schéma réseau complet intégrant VLANs, VPN et règles de filtrage. |
| 3. Gouvernance & PSSI | Pas de règles organisationnelles définies. | Règles rédigées mais informelles ou trop courtes. | Règles PSSI rédigées et charte utilisateurs esquissée. | Règles PSSI exhaustives, plan de sauvegarde 3-2-1 et PCA/PRA. |
| 4. Clarté du plan de remédiation | Aucune planification chronologique. | Actions listées en vrac sans priorité claire. | Actions priorisées à court, moyen et long terme. | Feuille de route budgétée, planifiée et adaptée aux ressources de la PME. |
Exemple de rapport d'auto-évaluation rédigé par un groupe d'apprenants :
- Points forts de notre projet :
- Architecture réseau robuste : Notre proposition de segmentation sépare parfaitement le réseau administratif des serveurs sensibles de commandes médicales via une DMZ stricte.
- Plan de remédiation réaliste : Nous avons séparé les actions en 3 phases pour ne pas saturer le budget limité de la PME MedDistri, en commençant par des mesures simples comme le MFA et la sensibilisation.
- Axes d'amélioration identifiés :
- Détail du PCA/PRA : Notre plan de continuité d'activité manque de détails sur le temps de rétablissement cible des serveurs en cas d'attaque par ransomware (RTO/RPO).
- Vulgarisation de l'oral : Lors de notre répétition, nous avons utilisé des termes trop techniques (comme EDR, SIEM, DMZ) sans en expliquer le sens à des décideurs non techniques. Nous devrons vulgariser ces notions lors du pitch final.
Questions de réflexion¶
- Pourquoi est-il indispensable qu'un auditeur en cybersécurité conserve une posture de neutralité absolue et de bienveillance lorsqu'il présente des vulnérabilités critiques aux équipes techniques d'une entreprise auditée ? (Pensez à la gestion de la susceptibilité professionnelle).
- Si vous deviez choisir une seule mesure de sécurité à mettre en œuvre d'urgence dans une entreprise manquant totalement de budget, laquelle choisiriez-vous et pourquoi ?
Résumé / points à retenir¶
- Le Capstone Project B valide la capacité à analyser globalement la sécurité d'une PME (MedDistri) sous les angles technique et organisationnel.
- Présenter un audit cyber exige de traduire les failles techniques en risques métiers compréhensibles par la Direction Générale.
- Une soutenance orale réussie repose sur un pitch de 7 minutes structuré, suivi d'un échange argumenté avec le jury pour justifier ses choix.
- La cybersécurité exige un engagement de formation continue et de veille active (bulletins du CERT-FR) tout au long de sa carrière professionnelle.
Glossaire de la session¶
- Soutenance de Projet — Présentation orale synthétique devant un jury visant à démontrer la pertinence et la faisabilité des solutions proposées.
- CVE (Common Vulnerabilities and Exposures) — Système d'identification et de référencement public des vulnérabilités logicielles connues.
- CERT-FR — Centre de veille, d'alerte et de réponse aux attaques informatiques de l'État français, rattaché à l'ANSSI.
Pour aller plus loin (self-paced)¶
- Après la formation : Ajoutez vos certifications et badges de réussite IBM SkillsBuild sur votre profil LinkedIn pour valoriser vos nouvelles compétences auprès des recruteurs.
- Veille continue : Créez un compte sur le portail de veille cyber de l'ANSSI ou abonnez-vous au flux RSS du site de référence cyber.gouv.fr pour suivre en direct l'actualité des menaces nationales et internationales.