Formation IA générative pour la Cybersécurité et les RSSI

Problème métier résolu

Les RSSI reçoivent des demandes d’outils d’IA de toutes les directions, doivent sécuriser les assistants internes contre des attaques nouvelles comme l’injection de prompt, et produire plus de politiques, rapports et réponses à questionnaires sans effectif supplémentaire.

Présentation

L’IA générative modifie le paysage des menaces (hameçonnage crédible, deepfakes, génération de code malveillant) et crée de nouveaux risques internes avec les usages non cadrés. Elle offre aussi un appui réel aux équipes sécurité : analyse de journaux, rédaction de politiques, préparation d’audits, réponse à incident, sensibilisation. Cette formation traite les deux volets. Les participants apprennent à sécuriser les usages de l’IA dans l’entreprise (politique, contrôles, tests d’injection) et à l’utiliser dans leur propre travail, en atelier sur des cas réels anonymisés. Ils repartent avec une politique d’usage, une grille d’évaluation des outils et des prompts éprouvés pour les tâches récurrentes de la fonction.

Public

• RSSI et responsables sécurité
• Analystes SOC et équipes de réponse à incident
• Consultants et auditeurs en cybersécurité
• Responsables GRC et conformité
• Administrateurs systèmes et réseaux

Niveau et prérequis

Niveau : Tous niveaux.

• Expérience en sécurité informatique ou en administration système
• Un ordinateur portable
• Connaissance des politiques de sécurité de votre entreprise
• Compte ChatGPT Team ou Claude Pro (version professionnelle recommandée), ou licence Microsoft 365 Copilot active
• Accès à Mistral (Le Chat) et à Perplexity (versions gratuites acceptées)
• Accès à NotebookLM pour l’atelier de réponse à questionnaire

Objectifs opérationnels

• Identifier les menaces alimentées par l’IA générative et adapter les contrôles
• Évaluer et sécuriser les outils d’IA utilisés dans l’entreprise
• Tester un assistant contre l’injection de prompt et la fuite de données
• Accélérer l’analyse de journaux, d’alertes et de rapports d’incident
• Rédiger politiques, procédures et supports de sensibilisation avec l’IA
• Préparer audits et questionnaires de conformité plus rapidement

Compétences visées

• Évaluer la sécurité d’un outil d’IA générative avec une grille de critères documentée
• Tester un assistant interne contre l’injection de prompt et les fuites de données
• Rédiger la politique d’usage de l’IA générative et les clauses de sécurité associées
• Produire un rapport post-incident et répondre à un questionnaire de sécurité avec l’aide de l’IA
• Concevoir une sensibilisation aux deepfakes et à l’hameçonnage assisté par IA

Programme séquencé

Cas pratiques

• Évaluer la sécurité d’un outil d’IA demandé par une direction métier
• Tester un assistant interne contre l’injection de prompt
• Rédiger la politique d’usage de l’IA générative de l’entreprise
• Produire un rapport post-incident à partir d’une chronologie brute
• Répondre à un questionnaire de sécurité de 200 questions
• Concevoir une campagne de sensibilisation aux deepfakes

Exercice de démonstration

Le formateur déploie un assistant interne fictif fondé sur une documentation, puis réalise en direct une injection de prompt qui lui fait révéler des instructions cachées et des données du contexte, avant de montrer les contre-mesures et le protocole de test à intégrer avant mise en production.

Outils étudiés

ChatGPT, Claude, Microsoft Copilot, Mistral (Le Chat), Perplexity, NotebookLM

Livrables

• Politique d’usage sécurisé de l’IA générative pour l’entreprise
• Grille d’évaluation sécurité des outils d’IA
• Bibliothèque de 35 prompts pour le SOC, la GRC et la sensibilisation
• Checklist de tests d’un assistant (injection, fuite, droits)
• Plan d’action 30 jours

Modalités pédagogiques et évaluation

• À distance en direct, 14 h sur 2 journées, groupes de 10 participants maximum.
• Auto-positionnement en début de session sur les menaces liées à l’IA et les outils déjà évalués
• Exercices corrigés d’évaluation d’outil et de test d’injection de prompt
• Projet fil rouge : politique d’usage et rapport post-incident fictif évalués par le formateur
• Questionnaire de fin de formation et plan d’action individuel

Confidentialité et conformité

Tous les ateliers utilisent une entreprise fictive (politiques, chronologie d’incident, questionnaire de sécurité) ; aucune donnée d’architecture, d’incident ou de vulnérabilité réelle de votre organisation n’est utilisée.

• RGPD : analyse d’impact et garanties contractuelles exigées avant tout outil d’IA traitant des données personnelles
• NIS 2 et obligations sectorielles : intégration des outils d’IA dans la gestion des risques et la notification d’incidents
• IA Act : obligations de transparence, de supervision et de documentation pour les systèmes déployés en interne
• Secret des affaires : aucune donnée d’architecture, de vulnérabilité ou d’incident réel dans un outil non validé
• Droit du travail : information des salariés sur la surveillance et les outils d’analyse introduits

Formateur

Formateur IA ayant une expérience professionnelle de la sécurité des systèmes d’information (RSSI, consultant sécurité ou administrateur) et une pratique documentée de la sécurité des applications fondées sur des modèles de langage.

Personnalisation (intra)

• Grille d’évaluation adaptée à votre référentiel : ISO 27001, NIS 2 ou politique interne
• Cas d’incident fictif construit sur votre secteur d’activité
• Atelier de test orienté sur l’assistant interne que vous prévoyez de déployer
• Session réservée à l’équipe sécurité avec participation possible de la DSI et du DPO

Inclus dans la gamme Premium

• Questionnaire de besoins avant session
• Exercices contextualisés à votre activité
• Bibliothèque de prompts métier
• Modèles de documents réutilisables
• Fiche sécurité et confidentialité
• Plan d'action individuel
• Évaluation finale et attestation de réalisation
• Point de suivi à 30 jours (visio 45 min)

Conditions

• Tarifs hors taxes ; licences logicielles non incluses.
• Devis, programme et convention de formation transmis après un échange de qualification ; date confirmée une fois le formateur disponible.
• Financement possible via OPCO ou plan de développement des compétences selon les critères de l’OPCO ; formation non certifiante, non éligible au CPF.
• Attestation de réalisation remise en fin de formation ; feuilles d’émargement fournies.