Tutoriel de l’application « Générateur des guides d’audit »

Présentation :

Cette application (le générateur de guides d’audit) présente une implémentation de l’approche Cobit4.1 en matière

d’audit des SI. C’est un outil qui permet d’automatiser certains travaux et tâches des auditeurs en leur proposant des

modèles de cadrage de plusieurs missions ainsi que la possibilité de générer des guides spécifiques (questionnaires)

basées sur les conseils et les procédures d’évaluation du cadre de référence Cobit 4.1. Il offre aussi des tables de

mappages permettant d’élargir les champs des investigations des auditeurs tout en se référant à un ensemble de

standards informatiques et normes internationales (ISO 27002 : 2005 par exemple).

Barre de navigation :

Cette barre permet de naviguer entre les différents composants de l’application, qui sont :

La carte des correspondances « Missions – Objectifs de contrôle » (élément n°1)

Le guide générique qui est une plateforme de procédures d’évaluation associées au différents objectif de

contrôle Cobit (groupés par processus et domaine : PO, AI, DS, SE et CA) (élément n°2)

Le questionnaire spécifique qui sera généré en fonction d’une mission choisie (élément n°3)

Les tables de mappage sous forme d’annexes (élément n°4)

Mode d'emploi :

Le point d’entrée afin de généré un guide d’audit (un questionnaire) spécifique à une mission bien déterminée c’est la

carté clé ou la carte des correspondances « Missions - Objectifs de contrôle ». Une carte qui présente l’ensemble des

objectifs de contrôles Cobit groupés par processus et domaine (selon le modèle processus de Cobit4.1).

Cette carte offre, au moyen d’une liste déroulante, un ensemble de missions organisées hiérarchiquement (des

missions traitant la sécurité des SI, un thème choisi lors de ce stage à titre d’exemple afin d’élaborer ce générateur de

guides d’audit). Dans cette première version, la liste comporte un ensemble réduit de missions, cependant elle peut

être élargie ultérieurement suite à des travaux de cadrage portant sur d’autres thèmes ou éléments des SI.

La carte présente ainsi des modèles de cadrage prédéfinis (suite à des travaux de cadrage affinés), comme pour le cas

de l’exemple de la figure suivante (« Sous-mission : Audit de la sécurité des applications et infrastructures »). Ces

modèles offrent aux auditeurs des SI des pistes à suivre, néanmoins ceux-derniers peuvent les affiner en fonction de

leurs besoins en audit et les ressources de l’entreprise déployées.

Note : le processus de cadrage selon l’approche d’audit du cadre de référence Cobit4.1 consiste à déterminer pour

chaque mission les objectifs de contrôles les plus critiques, et dont les évaluations leurs sont associées vont permettre

de décerner les faiblesses des dispositifs de contrôle mis en place ainsi que les risques potentiels.

L’avantage de cette application, ne s’arrête pas au fait d’offrir des modèles de cadrage pour différentes missions

d’audit, mais permet aussi de générer des guides d’audit sous forme de questionnaires spécifiques selon la mission

sélectionnée (des questionnaires générés à partir de la plateforme décrite auparavant).

Ces guides générés présenteront aux auditeurs un ensemble de procédures d’évaluation sous forme de questions

inspirés du guide d’audit Cobit4.1 à fin de les assister pendant leurs activités d’investigation, tout en leur offrant

plusieurs éléments, indices et conseils tels que :

les descriptions des processus

les descriptions des différents objectifs de contrôle associés à la mission sélectionnée

les responsables clés des processus concernés par la mission en cours

des conseils et des méthodes d’audit (à titre indicatif) …

En plus de ces questionnaires spécifiques (générés en fonction des modèles de cadrage prédéfinis), cette application

intègre un ensemble de tables de mappage dans l’objectif de donner aux auditeurs la possibilité d’approfondir leurs

investigations en se référant à des standards et normes plus détaillés.

En fait le cadre de référence Cobit est un cadre fédérateur qui harmonise et unifie un ensemble de bonnes pratiques

de plusieurs autres référentiels et standards au moyen de ses objectifs de contrôle.

La figure suivante présente la table de mappage reliant les objectifs de contrôle Cobit (associés aux différentes

missions traitées dans cet exemple) aux procédures d’évaluation correspondantes du standard ISO 27002 : 2005.