Nous organisons cette formation en intra-entreprise. La date, le format et les équipes concernées sont convenus avec vous lors du cadrage.
Présentation de la formation
Une journée pour installer, avec les équipes des systèmes d'information, de la qualité, de la production et des métiers, des pratiques de cybersécurité communes. L'intelligence artificielle y est traitée sous deux angles : l'outil qui renforce la défense, et l'usage qui doit lui-même être sécurisé.
Équipes des systèmes d'information et de la sécurité, de l'assurance qualité et de l'intégrité des données, de la production et de la maintenance, des affaires réglementaires, ainsi que les porteurs de projets d'intelligence artificielle. La journée gagne à réunir ces fonctions dans la même salle.
Prérequis
Avoir suivi CYB-101 ou SOC-101 est recommandé, sans caractère obligatoire.
Aucune compétence technique en sécurité n'est exigée des participants issus des métiers.
Enjeu de la formation
L'intelligence artificielle et la numérisation des sites accélèrent l'innovation des laboratoires. Leur valeur repose sur la confiance dans les données traitées et dans les systèmes pilotés.
La journée installe des pratiques communes aux métiers, à la qualité et à l'informatique. Elle traite les usages de l'IA comme un sujet de sécurité à part entière : données confiées, agents, connecteurs et droits d'accès.
Objectifs pédagogiques
À l'issue de la formation, le participant est capable de :
Cartographier les actifs critiques d'un laboratoire et les menaces qui les visent.
Appliquer les pratiques de base aux systèmes d'information, qualité et industriels.
Mobiliser l'IA dans la détection et la réponse, sous contrôle humain.
Sécuriser les usages de l'IA : données confiées, agents, connecteurs et droits.
Conduire la réponse à un incident, de la détection à la reprise.
Livrables remis à l'équipe
L'autodiagnostic du laboratoire, avec ses priorités
La revue de sécurité d'un circuit d'agent, avec les droits et points de contrôle retenus
La fiche réflexe de réponse à incident, adaptée à l'organisation
La feuille de route à quatre-vingt-dix jours
Programme détaillé
Module 1 · Cartographier ce que le laboratoire protège1 h
Actifs critiques : dossiers réglementaires, données d'essais et de vigilance, procédés
Systèmes qualité et industriels : LIMS, MES, ERP, automates de production
Menaces du secteur : rançongiciel, vol de savoir-faire, altération de données
Chaîne des tiers : sous-traitants, prestataires de recherche, distributeurs
Module 2 · Installer les pratiques de base1 h 30
Identités et accès : double authentification, moindre privilège, comptes à privilèges
Sauvegardes isolées, restauration testée, intégrité des données restaurées
Systèmes validés difficiles à mettre à jour : cloisonnement et surveillance
Exigences de sécurité dans les contrats avec les tiers
Atelier : Autodiagnostic du laboratoire sur une grille de vingt pratiques.
Module 3 · Mobiliser l'IA dans la défense1 h
Détection d'anomalies et tri des alertes par l'IA
Routines de surveillance, de contrôle des accès et d'évaluation des fournisseurs
Actions automatisées de réponse : règles, seuils et validation humaine
Démonstration d'un agent de tri d'alertes, avec ses limites et ses points de contrôle.
Module 4 · Sécuriser les usages de l'IA1 h 30
Usages non déclarés et données confiées à des outils non approuvés
Injection d'instructions directe et indirecte : documents, courriels, pages web
Agents et connecteurs : droits, journalisation, actions soumises à validation
Fraudes produites par IA : hameçonnage ciblé, voix et vidéo usurpées
Atelier : Revue de sécurité d'un circuit d'agent de veille connecté à la messagerie.
Module 5 · Répondre à un incident1 h 30
Rôles, circuit de décision et registre de crise
Déclarations : autorité nationale de cybersécurité, CNDP, autorités sanitaires
Continuité de la production et intégrité des données après la reprise
Atelier : Exercice sur table : rançongiciel sur un site de production, doublé d'une fuite par un agent.
Module 6 · Gouverner30 min
Responsabilités entre direction, sécurité, qualité et métiers
Feuille de route à quatre-vingt-dix jours
Doctrine d'usage
Assistance admise
Tri et résumé des alertes. Recherche sur les menaces. Premiers jets de procédures et de rapports d'incident.
Assistance sous contrôle
Actions automatisées de réponse, déclenchées par des règles validées et revues. Évaluations de fournisseurs préparées par un agent, validées par l'acheteur et le responsable de la sécurité.
Actions interdites aux agents
Modification d'un système qualité ou industriel. Création ou extension de droits d'accès. Suppression de journaux ou de sauvegardes. Envoi de données hors de l'entreprise.
Responsabilité non délégable
Déclaration d'un incident. Arrêt et reprise de la production. Libération des lots après incident, par le pharmacien responsable. Communication externe.
Données exclues
Données patients et de vigilance nominatives, secrets de fabrication, identifiants et clés, dans tout outil non approuvé par l'entreprise.
Modalités pédagogiques et d'évaluation
Méthodes pédagogiques
Exposés courts, démonstrations, ateliers en équipes mixtes, exercice sur table.
Évaluation
Positionnement en début de journée. En fin de journée, chaque équipe présente sa revue de circuit d'agent et les décisions prises pendant l'exercice.
Suivi après session
Point à quatre-vingt-dix jours sur l'avancement de la feuille de route.
Informations pratiques
Organisation
Matinée : modules 1 à 3, actifs, pratiques de base et IA défensive. Après-midi : modules 4 à 6, usages de l'IA, réponse à incident et gouvernance.
Délai d'accès
Trois à cinq semaines après validation de la proposition, le temps de cadrer le périmètre avec vos équipes.
Accessibilité
Les besoins d'aménagement sont examinés au cadrage. Les supports sont fournis dans un format lisible par les technologies d'assistance.
Intra-entreprise
Les ateliers portent sur des scénarios types, sans données réelles.
Tarification
Sur devis, selon l'effectif et l'ampleur de la phase de cadrage.
Cadre réglementaire et référentiels
Loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 4 hija 1441 (25 juillet 2020), publiée au Bulletin officiel n° 6906 du 16 hija 1441 (6 août 2020), édition de traduction officielle
Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 22 safar 1430 (18 février 2009), publiée au Bulletin officiel n° 5714 du 7 rabii I 1430 (5 mars 2009)
Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle, publié au Journal officiel de l'Union européenne du 12 juillet 2024, applicable aux filiales de groupes établis dans l'Union européenne
Vos intervenants
Zayed Fahim
Directeur général de BDO Digital Services
Zayed Fahim dirige BDO Digital Services, au Maroc.
Directeur pédagogique · Fondateur et directeur général de Meducate
Ismail Lahsini assure la direction pédagogique des formations et anime les programmes de direction. Il a fondé Meducate, plateforme de formation continue et d'intelligence pharmaceutique pour les professionnels de santé du Maroc et d'Afrique francophone. Il est membre de la Fédération internationale pharmaceutique.
Architecte solutions et directeur de projets IA · Co-fondateur de Numeric Key Solutions
Anass Benouhoud conçoit et conduit des projets d'IA générative en entreprise, du cadrage du besoin métier jusqu'à la mise en production. Il cumule plus de quinze ans d'expérience en architecture et en pilotage de systèmes d'information. Secteur public et secteur privé.
Vous souhaitez former vos équipes ? Parlons-en ensemble.
Un premier échange de trente minutes nous permet de comprendre les équipes concernées, le format adapté et votre calendrier. Nous vous adressons ensuite une proposition détaillée.
