Certification professionnelle

Objectifs et contexte de la certification :

La certification s’inscrit dans des situations professionnelles propres à l’industrie aéronautique et spatiale, caractérisées par des systèmes critiques, des environnements fortement réglementés et des processus formalisés de validation, de certification et de conformité.

Dans ces contextes, les produits et services (systèmes embarqués, segments sol, infrastructures associées) sont soumis à des référentiels sectoriels spécifiques (notamment DO-326A/ED-202A, PART-IS et exigences des autorités compétentes), imposant la formalisation d’exigences de cybersécurité dérivées d’analyses de risques, traçables, vérifiables et justifiées tout au long du cycle de vie des systèmes, en articulation avec les exigences de sûreté.

Dans ce cadre, les professionnels interviennent, sur un périmètre défini et dans leur périmètre d’intervention, en contribution à des activités d’ingénierie, pour formaliser des exigences de cybersécurité cohérentes avec les risques identifiés et les contraintes applicables.

Leur activité consiste notamment à :

délimiter le périmètre d’analyse cybersécurité en identifiant ses fonctions, ses hypothèses, ses interfaces, ses environnements d'exploitation et les cadres réglementaires applicables;

évaluer les risques de cybersécurité, en prenant en compte les scénarios d’atteinte plausibles et leurs impacts sur les opérations, la sûreté, la disponibilité, l’intégrité et la confidentialité des systèmes et des données ;

formaliser des exigences de cybersécurité vérifiables, traçables et priorisées en termes d’assurance, techniques et organisationnels et de contraintes spécifiques au contexte industriel;

définir des modalités de validation et de vérification associées en précisant les méthodes, les critères et les éléments et type de preuve attendus

préparer et communiquer les exigences de manière argumentée en vue de leur intégration dans des processus formels de validation ou de décision

La certification atteste de la capacité à produire des exigences spécifiées, associées à des méthodes de vérification, des critères d’acceptation et des éléments de preuve, directement exploitables dans des démarches de validation et de démonstration de conformité. Elle correspond à des compétences spécialisées mobilisables en contribution, sans couvrir l’ensemble des activités d’ingénierie système, sans responsabilité d’architecture technique ou d’arbitrage réglementaire, et ne constitue pas une habilitation réglementaire.

Compétences attestées :

Délimiter le périmètre d’analyse cybersécurité du produit ou service critique aéronautique ou spatial en identifiant ses fonctions impactant la sécurité des systèmes opérationnels et d'information, ses hypothèses (personnes de confiance, domaines de confiance…), ses interfaces organisationnelles et techniques, ses environnements d’exploitation, de maintien en condition opérationnelle (MCO), et de maintien en condition de sécurité (MCS) les cadres réglementaires, normatifs ou contractuels applicables (EASA, FAA, ...), et les process correspondants, incluant la documentation (directives, manuels, ...) en s’appuyant lorsque nécessaire sur les fonctions compétentes (RSSI, service conformité, juridique, ...) pour consolider l’analyse d’applicabilité, afin de cadrer la démarche de définition des exigences de cybersécurité au regard des enjeux de sûreté, de sécurité et des obligations applicables.

Évaluer les risques de cybersécurité susceptibles d’affecter le produit ou service critique aéronautique ou spatial sur le périmètre défini, en analysant les actifs exposés (données, fonctions, systèmes et interfaces), les scénarios d’atteinte plausibles et leurs impacts sur la sécurité, le maintien en conditions opérationnelles (MCO), le maintien en condition de sécurité (MCS), ainsi que sur l’image de l’entreprise en lien avec le produit ou service, les impacts sur la confidentialité, l’intégrité et la disponibilité des données et des services du secteur ainsi que leurs effets sur les enjeux métier afin d’établir les priorités de protection nécessaires à la formalisation d’exigences de cybersécurité adaptées.

Formaliser des exigences de cybersécurité applicables au produit ou service critique aéronautique ou spatial, en traduisant les priorités de protection identifiées en spécifications d’assurance, techniques et organisationnelles, vérifiables et traçables, compatibles avec les contraintes d’architecture, de configuration, d’exploitation, de maintenabilité et de conformité du secteur, afin de permettre leur intégration maîtrisée dans un environnement réglementé sans compromettre l’activité opérationnelle, la sécurité, le maintien en conditions opérationnelles (MCO), le maintien en condition de sécurité (MCS) ainsi que l’image de l’entreprise.

Définir des modalités de validation et de vérification des exigences de cybersécurité du produit ou service critique aéronautique ou spatial, en définissant les méthodes d’évaluation adaptées aux environnements embarqués, industriels ou de services opérationnels, les critères de validation et d’acceptation mesurables et les éléments et types de preuve requis, afin de préparer la démonstration de conformité aux exigences de sécurité applicables.

Présenter de manière argumentée les exigences de cybersécurité du produit ou service critique aéronautique ou spatial auprès des parties prenantes concernées, en démontrant la cohérence entre le contexte analysé, les risques évalués, les exigences formalisées et les modalités de validation et de vérification proposées, en explicitant les conséquences ou implications associées y compris en situation de crise, afin d’éclairer la prise de décision dans le cadre des processus formels de validation en environnement réglementé.

Modalités d'évaluation :

Mise en situation professionnelle réelle ou fictive, donnant lieu à une soutenance orale, accompagnée de la remise au jury d’un support de présentation.

À partir d’un cas fourni ou d’une situation professionnelle issue de son expérience, le candidat est amené à formaliser des exigences de cybersécurité applicables à un produit ou service critique relevant du secteur aéronautique ou spatial.

Le candidat présente lors d’une soutenance orale et à l’aide de support de présentation de son choix remis au jury, les éléments suivants :

L’ analyse synthétique du périmètre cybersécurité du produit ou service critique aéronautique ou spatial

L’ analyse de risques cybersécurité du produit ou service critique aéronautique ou spatial 

Les spécifications d’exigences de cybersécurité d’un produit ou service critique aéronautique ou spatial

Le plan de validation et vérification des exigences de cybersécurité d’un produit ou service critique aéronautique ou spatial

La présentation argumentée des exigences de cybersécurité d’un produit ou service critique aéronautique ou spatial à destination d'une instance formelle de validation / de décision (ex. comité de décision, revue de sécurité, audit interne...).