L’audit de sécurité de l’information (SI) est le principal outil de surveillance de l’état de sécurité des actifs informationnels d’une organisation. Le service peut être mis en œuvre à la fois en conjonction avec un audit informatique général et en tant que projet indépendant. L’audit fait souvent partie intégrante de projets complexes de sécurité de l’information et est effectué comme point de départ d’un projet. L’audit du SI comprend l’audit technique et l’audit organisationnel et méthodologique. À son tour, l’audit technique est généralement divisé en audit général et audit instrumental.

Pourquoi faire l’audit des systèmes informatiques?

Le résultat de l’audit est une conclusion sur le degré de conformité de l’organisation avec les critères d’audit, ainsi que l’élaboration de recommandations pour améliorer l’infrastructure informatique, la protection de l’information, la fourniture de la sécurité de l’information et les processus de gestion et la documentation client.

L’audit instrumental comprend les domaines suivants :

• audit de sécurité des infrastructures informatiques et des systèmes d’information ;
• test de pénétration (pen test);
• audit des flux d’informations dans l’entreprise/l’organisation ;
• contrôle du code source de l’application pour les vulnérabilités / signets.

La suite logique de l’audit est l’élaboration de documents d’entreprise de haut niveau sur la SI dans l’entreprise / l’organisation, notamment :

• politique de SI d’entreprise;
• concept de fourniture de SI ;
• modèle d’entreprise des menaces à la SI.

Les documents de haut niveau développés constituent la base de la construction de l’ensemble des travaux pour apporter les processus et les technologies permettant d’assurer et de gérer la SI dans l’entreprise conformément aux exigences de la législation, des documents réglementaires et des meilleures pratiques de SI. La formation et l’alignement des processus de SI et de gestion de la SI fait partie intégrante du modèle de processus du fonctionnement des entreprises à des niveaux de maturité informatique moyens et élevés.

Pour les entreprises publiques, l’audit des SI fait partie intégrante d’une évaluation externe indépendante de la valeur de marché et contribue de manière significative à la capitalisation de l’entreprise.

Résultats

À la suite du projet, en fonction de son échelle et de ses limites, le client recevra une évaluation indépendante de l’état de la sécurité de l’information, du degré de conformité du système de sécurité de l’information aux exigences législatives, réglementaires et industrielles obligatoires en matière de protection de l’information, de la degré de vulnérabilité de son infrastructure informatique et de sécurité de l’information et de ses systèmes d’information aux menaces modernes.