Audits de sécurité

En termes généraux, les contrôles d'application sont l'ensemble des contrôles sur les systèmes d'application pour la régulation des données, la séparation, l'appariement et l'équilibrage des processus métier et le signalement des erreurs. En d’autres termes, les contrôles d’application sont effectués pour garantir que:

• Les informations saisies dans le système sont précises, complètes, exactes et ont été créées uniquement par des personnes autorisées.
• Les informations sont entrées dans le système dans un délai acceptable et de manière ciblée.
• Les informations contenues dans le système sont complètes et exactes
• Les sorties du système sont complètes et précises
• Saisie des informations dans le système, stockage et impression des processus dans le système

Il existe de nombreuses méthodes utilisées pour effectuer les contrôles d'application. Par exemple, le contrôle de saisie est effectué pour vérifier l’intégrité des informations entrées dans le système et leur contamination. Ces informations peuvent être entrées directement dans le système par des employés ou par un partenaire distant, ou via Internet. Le contrôle du traitement des données est effectué pour garantir que les informations saisies dans le système sont complètes, exactes et autorisées. Des contrôles de sortie sont effectués pour déterminer comment les informations reçues du système sont utilisées. Des contrôles d'intégrité sont effectués pour s'assurer que les informations sont cohérentes et complètes. Les contrôles de piste de gestion sont effectués dans le but de suivre l'historique des applications introduites, traitées et imprimées.

Essentiellement, les contrôles d'application sont effectués dans deux directions: les contrôles préventifs et les contrôles de détection. Les deux types de contrôle d'application sont destinés à éviter les erreurs dans l'application. Toutefois, des contrôles préventifs sont effectués pour s'assurer que les informations saisies sont conformes à la logique du logiciel. Dans ce cas, seules les données correctes peuvent être entrées dans le système. Les informations incorrectes sont empêchées au moment de la saisie. Dans les contrôles déterminants, il est ensuite vérifié si les informations saisies dans le système sont appropriées du point de vue de la logique du logiciel.

Les contrôles d'application sont spécifiques à une application particulière. Cependant, les contrôles généraux des technologies de l'information sont spécifiques à l'exhaustivité, à l'exactitude et à l'exhaustivité de tous les enregistrements du système.

notre organisation fournit des services de contrôle d'application dans le cadre des services d'audit. Dans ces études, fonctionne conformément aux réglementations légales en vigueur, aux normes publiées par des organisations nationales et étrangères et aux méthodes d'audit généralement acceptées.

Un audit des technologies de l’information est réalisé dans le but de s’assurer que les avantages attendus sont obtenus de l’infrastructure et des processus. Ces avantages peuvent être énumérés comme suit:

• Dans quelle mesure l'infrastructure et les processus sont-ils capables de répondre aux besoins de l'entreprise? (Efficacité)
• Quelle est l'efficacité des ressources utilisées? (Efficacité)
• Dans quelle mesure la protection de la confidentialité, de l'intégrité et de la continuité des actifs informationnels est-elle assurée? (Sécurité)
• Enfin, dans quelle mesure les réglementations légales sont-elles respectées?

L’audit informatique à réaliser est un domaine d’expertise distinct. Cependant, il ne devrait pas être complètement séparé des principes et critères généraux de l'audit; À cet égard, les audits de sécurité informatique nécessitent également un processus d'audit objectif et objectif basé sur des preuves.

Les contrôles organisationnels, techniques et de processus constituent la base des audits informatiques. En outre, les contrôles physiques assurant la protection de l’infrastructure informatique contre les failles de sécurité ne doivent pas être ignorés.

Outre ces principes généraux, il est possible de réaliser des audits de sécurité spéciaux en fonction du domaine d'activité et des conditions de service des entreprises. De nombreuses méthodes différentes peuvent être utilisées lors de ces inspections. Cependant, chaque méthode a des critères d'effet différents en soi. Certaines zones contrôlables critiques peuvent avoir des caractéristiques différentes selon les activités de Krum. Certains domaines peuvent également gagner en importance à certaines périodes en fonction de la différenciation des objectifs de l'entreprise. L'important est de réaliser ces priorités et de hiérarchiser ces différences dans la planification de l'audit.

Différentes applications et normes peuvent être appliquées aux audits de technologies de l'information. Par exemple,

·         COBIT (Objectifs de contrôle pour l'information et les technologies connexes)

·         TS ISO / IEC 27001 Technologies de l'information - Techniques de sécurité - Systèmes de management de la sécurité de l'information - Exigences

·         TS ISO / IEC 27002 Technologies de l'information - Techniques de sécurité - Principes d'application pour les contrôles de sécurité de l'information

·         PRINCE (Projets en environnements contrôlés)

·         CMMI (Intégration du modèle de maturité de capacité, Intégration du modèle de maturité de capacité)

·         ITIL (bibliothèque d'infrastructure de technologie de l'information)

notre organisation dans le cadre des services d'audit. Dans ces études, fonctionne conformément aux réglementations légales en vigueur, aux normes publiées par des organisations nationales et étrangères et aux méthodes d'audit généralement acceptées.

L'exécution manuelle de processus métier dans une entreprise entraîne la préparation d'états financiers incorrects, d'un nombre plus élevé d'employés, de risques opérationnels chaque jour plus importants, ainsi que de comportements malveillants éventuels. Par conséquent, il est extrêmement important de disposer d’une infrastructure informatique solide et de mettre en place un environnement de contrôle solide afin d’accroître le pouvoir des entreprises.

De manière générale, les contrôles généraux des technologies de l’information dans les entreprises sont importants à divers égards. De cette manière, les contrôles et les processus métier basés sur le système sont pris en charge et les risques financiers et opérationnels minimisés. En outre, l'efficacité des contrôles et des processus connectés au système a été améliorée et, surtout, une assurance leur a été fournie. De plus, l'intégrité, l'exhaustivité et la précision des informations sont assurées.

En général, les contrôles généraux des technologies de l’information se concentrent en trois étapes. L'inspection de ces zones consiste à identifier les points de contrôle et à tester l'efficacité de ces points de contrôle. Ces champs sont:

• Accès aux données (la sécurité de l'information, l'autorisation, l'accès physique, la gestion de l'accès et les processus de surveillance sont contrôlés dans cette zone)
• Développement de programmes et d'applications (les méthodes de développement d'applications, la transformation de données, le développement, les tests, les processus d'approbation et d'application sont contrôlées dans ce domaine)
• Modifications logicielles (développement, test et approbation de logiciels, transfert de logiciels dans un environnement de production, travaux de configuration et processus de modifications urgentes contrôlés dans ce domaine)
• Opérations de technologie de l'information (le suivi des opérations, les opérations de sauvegarde et de retour et les processus de gestion des problèmes sont contrôlés dans ce domaine)

Les contrôles généraux effectués sur les technologies de l’information ont des effets positifs sur les processus d’entreprise. Aujourd'hui, ces contrôles constituent le pilier des processus métier. Si ces contrôles généraux ne sont pas renforcés, il est difficile de s’appuyer sur des contrôles et des processus basés sur un système sous la supervision d’un processus d’entreprise. Les contrôles généraux garantissent l'intégrité, la précision et l'exhaustivité des données stockées dans les systèmes. Par conséquent, tous les processus d’entreprise utilisant le système sont affectés par les contrôles généraux des technologies de l’information.

notre organisation dans le cadre des services d'audit fournit des contrôles généraux des technologies de l'information. Dans ces études, fonctionne conformément aux réglementations légales en vigueur, aux normes publiées par des organisations nationales et étrangères et aux méthodes d'audit généralement acceptées.

COBIT signifie «objectifs de contrôle pour l'information et les technologies connexes» en anglais et signifie «objectifs de contrôle pour l'information et les technologies connexes». Les entreprises opérant dans le domaine des technologies de l'information développent un modèle de gestion des technologies de l'information et tentent de protéger les actifs de leurs activités. Cependant, COBIT n'est pas seulement un outil de contrôle, mais plutôt un outil de gestion. Néanmoins, il se concentre davantage sur la supervision. De cette manière, il vise à offrir des avantages pour l’existence et le succès de l’entreprise, du personnel de direction des entreprises aux employés dans le domaine des technologies de l’information.

L’importance de la COBIT, en particulier dans le secteur financier de notre pays, a été reconnue et a été constatée dans de nombreux domaines ces dernières années. COBIT définit les objectifs à atteindre dans la gestion des technologies de l'information. COBIT offre un cadre couvrant toutes les fonctions informatiques. COBIT comprend quatre groupes de domaines de processus et processus 34, qui couvrent tous la gestion informatique. En fait, COBIT se concentre sur la gestion de la technologie de l’information et non sur ses processus. Il a été publié pour la première fois dans COBIT 1996.

Pour la première fois dans notre pays, certaines banques ont été soumises à un audit spécial basé sur COBIT effectué par BRSA. Ce type d’audit a été étendu à toutes les banques sous 2006 et était obligatoire. Il est maintenant répété une fois tous les deux ans. Bien qu'il y ait eu quelques problèmes dans le passé, les banques gèrent aujourd'hui leurs processus informatiques conformément à cette norme et les gèrent de manière plus efficace.

En fait, avant même que la BRSA ne le stipule, certaines banques géraient leurs processus informatiques conformément à COBIT. Cependant, les opérations bancaires ne sont pas le seul domaine d'application de COBIT. De nombreuses entreprises des secteurs financier et manufacturier utilisent COBIT pour la gestion des processus.

L’audit des processus informatiques n’est plus un domaine de l’ingénierie basé sur les technologies de l’information; il inclut la comptabilité et les rapports dans le cadre de la science des affaires. L'audit indépendant à réaliser conjointement avec l'audit des technologies de l'information devient plus important, en particulier lorsque la vie commerciale devient plus fiable et que les évolutions du secteur bancaire sont prises en compte.

notre organisation Audits COBIT dans le cadre des services d'audit. Dans ces études, fonctionne conformément aux réglementations légales en vigueur, aux normes publiées par des organisations nationales et étrangères et aux méthodes d'audit généralement acceptées.