La sécurité des systèmes d’information est plus cruciale que jamais dans un monde numérique en constante évolution. Cette recherche révèle comment les technologies de l’information transforment l’audit financier en Tunisie, mettant en lumière les nouveaux défis et compétences nécessaires pour garantir l’intégrité des systèmes comptables.
Sous section 2 : Les contrôles portant sur la sécurité de l’exploitation
L’examen des contrôles portant sur la sécurité de l’exploitation nécessite la documentation, l’évaluation et l’examen de l’administration d’ensemble de l’exploitation des systèmes d’une part, et des procédures détaillées de l’exploitation d’autre part.
- Documenter, évaluer et tester l’administration d’ensemble de l’exploitation des systèmes :
L’auditeur doit effectuer une description générale de l’administration d’ensemble de l’exploitation des systèmes informatiques relative à tous les environnements. Il doit documenter et évaluer les contrôles mis en place par l’entreprise. Pour cela, il doit considérer, à titre indicatif, les éléments suivants :
- Définition des rôles, des responsabilités et des procédures :
La direction doit définir les rôles et les responsabilités des personnes chargées de l’exploitation et s’assurer que les procédures sont clairement définies et comprises.
L’auditeur doit s’assurer que les rôles, les responsabilités et les procédures relatifs aux domaines suivants sont clairement définis et compris :
- Les traitements
- Les traitements des sauvegardes et des restaurations
- La maintenance des logiciels systèmes
Par ailleurs, l’auditeur doit s’assurer que le personnel impliqué dans l’exploitation informatique a reçu une formation adéquate et dispose d’une documentation appropriée.
- Procédures de continuité d’exploitation :
Des plans de continuité d’exploitation couvrant tous les aspects de la fonction informatique doivent être en place. Pour cela, l’auditeur doit considérer par exemple les indicateurs suivants :
- La direction a-t-elle évalué le risque qui pourrait résulter des défaillances des équipements ou d’un sinistre ?
- Existe-t-il un plan de secours servant à limiter les pertes tangibles et intangibles associées à une interruption ou catastrophe majeure et à planifier le retour aux opérations normales ?
- Le plan de secours fait-il l’objet d’une procédure d’actualisation et de test ?
- Gestion du réseau :
Les réseaux hardware et software doivent être conçus de façon adéquate afin de répondre aux besoins de disponibilité, de performance et d’adaptabilité. Ainsi, l’auditeur doit considérer, par exemple, les indicateurs suivants :
- Quelle est la documentation réseau disponible ?
- Quelle est la procédure d’approbation, de contrôle et de test des modifications apportées au réseau ?
- Quelles sont les procédures en place en matière de gestion de la capacité et de suivi du niveau de performance ?
- Suivi des performances opérationnelles et du respect des procédures :
La direction doit assurer le suivi des performances et contrôler le respect des procédures d’exploitation. Ainsi l’auditeur doit considérer, par exemple, les indicateurs suivants :
- Sur la base de quelles informations la direction contrôle-t-elle les opérations d’exploitation et le bon déroulement des traitements « batch » ?
- Selon quelle fréquence la direction dispose-t-elle de ces informations ?
- Y a-t-il eu des problèmes dans la performance du système ou dans le bon déroulement des traitements « batch » ?
- Quel type de contrôle (ou procédure d’audit) garantit l’efficacité du processus d’exploitation ?
- Des problèmes de non-respect des procédures d’exploitation se sont-ils produits ?
- Documenter, évaluer et tester les procédures détaillées de l’exploitation :
L’auditeur doit effectuer une description générale des procédures détaillées de l’exploitation. Ensuite, il procédera à la documentation et à l’évaluation des contrôles mis en place. A titre indicatif, les éléments suivants peuvent être étudiés :
- Planification, préparation et exécution des traitements batch :
Les traitements batch qui doivent être exécutés à des périodes définies (quotidiennement, hebdomadairement, mensuellement, annuellement) doivent être documentés, planifiés et mis à jour régulièrement. A titre indicatif, les indicateurs suivants peuvent être considérés :
- Les opérateurs d’exploitation disposent-ils de consignes d’exploitation documentées ?
- Quelles procédures garantissent la qualité de la planification et de l’ordonnancement des traitements batch ?
- Comment s’assure-t-on que les données nécessaires à l’exécution des traitements batch sont effectivement disponibles (par exemple : disponibilité au début de traitement de données provenant de différents sites) ?
- Existe-t-il des comptes-rendus de traitement permettant d’assurer aux opérateurs le suivi de l’exécution et le contrôle de l’exécution ?
- Comment s’assure-t-on que l’activité des opérateurs est conforme à leur définition de fonction ?
- Sauvegarde :
Des sauvegardes à jour des programmes et des données doivent être disponibles pour assurer la continuité de l’exploitation en cas de besoin. L’auditeur doit examiner, à titre indicatif, les points suivants :
- Les procédures de sauvegarde des données et des programmes sont-elles satisfaisantes ?
- Les supports de sauvegarde sont-ils répertoriés et conservés dans un lieu sûr ?
- Quelles sont les procédures garantissant le bon fonctionnement des sauvegardes et la reprise des données ?
- Gestion des incidents :
Des procédures doivent être définies afin de garantir que les incidents d’exploitation (par exemple : crash de disques, défaillances des programmes) sont identifiés et résolus de manière adéquate.
A titre indicatif, l’auditeur doit observer les indicateurs suivants :
- La protection physique des équipements est-elle correctement assurée (par exemple : contre le feu, la fumée, l’eau, les poussières, les éléments chimiques, les radiations électromagnétiques) ?
- Les équipements informatiques bénéficient-ils d’une maintenance adéquate ?
- Quels sont les contrôles permettant d’éviter la survenance d’incidents opérationnels liés au matériel ?
- Comment l’alimentation électrique des équipements informatiques est-elle sécurisée ?
- Quelles sont les procédures permettant d’assurer l’adéquation des niveaux de ressources et des performances avec les besoins de l’entreprise ?
- Comment les incidents sont-ils répertoriés ?
- Quelles sont les procédures permettant de résoudre les incidents opérationnels ?
- Mise à jour des logiciels systèmes :
La sélection de nouveaux logiciels systèmes et la mise à jour des logiciels existants (par exemple : système d’exploitation et tout autre logiciel système dans les domaines de la sécurité) ne doivent pas causer d’incidents de traitements ou déstabiliser les mécanismes de contrôle des systèmes.
L’auditeur doit, par conséquent, considérer les indicateurs suivants :
- Comment le processus de sélection / mise à jour des versions des logiciels systèmes est-il contrôlé ?
- Qui est habilité à effectuer la maintenance des logiciels systèmes ?
- Quelles procédures garantissent que seules les mises à jour appropriées sont effectuées sur les logiciels maintenus en interne ?
- Comment les modifications apportées aux logiciels de base maintenus en interne sont-elles testées avant leur mise en exploitation ?
- Comment s’assure-t-on que les nouveaux logiciels ou les mises à jour ont été testés de manière appropriée avant transfert dans l’environnement d’exploitation ?
- Des procédures sont-elles prévues pour permettre le retour à l’ancien environnement en cas de problème survenu lors de la mise en place d’une nouvelle version d’un logiciel ?
Questions Fréquemment Posées
Quels sont les éléments à considérer pour documenter et évaluer l’administration des systèmes informatiques ?
L’auditeur doit considérer la définition des rôles, des responsabilités et des procédures, ainsi que s’assurer que le personnel a reçu une formation adéquate.
Comment l’auditeur évalue-t-il la continuité d’exploitation des systèmes informatiques ?
L’auditeur doit vérifier si des plans de continuité d’exploitation sont en place et évaluer les risques liés aux défaillances des équipements ou à des sinistres.
Quelles procédures doivent être suivies pour les traitements batch dans l’exploitation des systèmes ?
Les traitements batch doivent être documentés, planifiés et mis à jour régulièrement, avec des indicateurs pour s’assurer de leur bonne exécution.