AUDIT ET SECURITE DES RESEAUX

Dr. El Hadji Modou MBOUP

Docteur en Cryptologie/ Enseignant Chercheur
Maitre Conférence Titulaire à l’Université de Thies
elmodou.mboup@gmail.com , domboups@yahoo.fr , elmodou.mboup@univ-thies.sn

AUDIT ET SECURITE RESEAU.

Présenté par Dr. Elh. Modou MBOUP

1
AUDIT ORGANISATIONNEL

AUDIT SI présenté par Dr MBOUP –

2
 CONCEPT
• Tout audit implique d’apprécier la qualité de l’organisation
mise en place par le métier concerné pour la réalisation de
ses tâches.

• Les systèmes d’informations ne sont pas l’apanage des

informaticiens.

• Toute direction est concernée par les outils informatiques,

principalement en tant qu’utilisatrice.

AUDIT SI présenté par Dr MBOUP –

3
LES ETAPES ESSENTIELLES

DOCUMENTATION

SEPARATION DES
FONCTIONS

PRESTATIONS
INFORMATIQUES

ACTUALISATION DES
CONNAISSANCE
INFORMATIQUE

FORMALISATION DE
L’ENVIRONNEMENT
INFORMATIQUE

AUDIT SI présenté par Dr MBOUP –

4
 DOCUMENTATION

ORGANIGRAMME,FICHES DE POSTE, CONTRATS, PLANNING

SCHEMA DIRECTEUR INFORMATIQUE, RAPPORT D’ACTIVITE
Ce document
définit POLITIQUES, PROCEDURES
l’organisation Ce document
de la Direction définit ARCHITECTURE
l’ensemble des Ces documents
du Système
d’Information projets liés au définissent AUDIT
l’ensemble des Architecture
SI de
exigences à réseau,
l’entreprise RAPPORT
respecter applicative,
système D’AUDIT
(normes) et les
ANTERIEUR
configurations
faites dans le SI
PLAN D’ACTION
D’AUDIT
ANTERIEUR

AUDIT SI présenté par Dr MBOUP –

5
SEPARATION DES FONCTIONS

CONCEPTION

PROGRAMMATION

MAINTENANCE

EXPLOITATION DES APPLICATIONS

SECURITE DES APPLICATIONS

EQUIPE PROJET

Etude de l’organigramme et des fiches de poste

AUDIT SI présenté par Dr MBOUP –

6
 PRESTATIONS INFORMATIQUES

Il faut contrôler l’encadrement des prestations

informatiques afin d’éviter une dépendance trop forte
de l’organisation vis-à-vis d’un ou plusieurs sous-
traitants pour des activités impactant toutes ses
directions opérationnelle

Etude des contrats de maintenance

AUDIT SI présenté par Dr MBOUP –

7
ACTUALISATION DES CONNAISSANCE INFORMATIQUE

Il faut contrôler le mode de déroulement du plan de

formation des informaticiens et des utilisateurs, en
vue de minimiser le risque d’obsolescence des
systèmes d’informations et le risque d’erreur dans
l’emploi des outils informatiques ;

Etude du planning de formation

AUDIT SI présenté par Dr MBOUP –

8
 FORMALISATION DE L’ENVIRONNEMENT INFORMATIQUE

Il faut contrôler l’existence d’une cartographie des systèmes d’informations

mettant en évidence les interactions et interfaces entre les outils, pour
conserver une vue d’ensemble et ainsi ne pas se laisser disperser par des
développements informatiques tout azimut…

Etude des différentes architectures (applicatives, réseau, système)

AUDIT SI présenté par Dr MBOUP –

9
LES ETAPES SECONDAIRES (BONNES PRATIQUES)

MISE EN PLACE D’UNE

FONCTION CENTRALISEE

GESTION DES RISQUES ET

LES INCIDENTS

PLAN DE FORMATION,
SENSIBILISATION

GESTION DE PROJET
INFORMATIQUE

PLAN DE SECOURS

AUDIT SI présenté par Dr MBOUP –

10
 MISE EN PLACE D’UNE FONCTION CENTRALISEE

Il faut contrôler l’existence d’une (des) ressources au sein de la Direction des

risques, donc indépendante des fonctions informatiques, pour contrôler les accès
aux outils et vérifier les habilitations pour les programmer, les modifier, les
employer.

Cette fonction serait également chargé de prévenir les ruptures de traitement de

l’information et d’encadrer leur sécurisation ;

Etude de l’organigramme détaillé

AUDIT SI présenté par Dr MBOUP –

11
 GESTION DES RISQUES ET LES INCIDENTS

Il faut contrôler l’existence d’une procédure d’analyse des risques liés au

système d’information

Il est pertinent de voire le processus de gestion des incidents liés au système

d’information.

Etude des politiques et procédures

AUDIT SI présenté par Dr MBOUP –

12
 PLAN DE FORMATION, SENSIBILISATION

Il faut contrôler l’existence d’un planning de formation des informaticiens et

des utilisateurs du SI.

Il est pertinent de vérifier l’existence d’un mécanisme de gestion des sensibilisations

et de la communication.

Etude des planning de formation, procédure de sensibilisation et de

communication

AUDIT SI présenté par Dr MBOUP –

13
 GESTION DE PROJET INFORMATIQUE

Il faut contrôler la participation conjointe des informaticiens et

des utilisateurs pour tout projet de développement des outils.

Etude des documents de projets et des cycles de vie d’un projet

AUDIT SI présenté par Dr MBOUP –

14
 PLAN DE SECOURS

Il faut contrôler l’existence de plan de secours notamment :

• PCI : PLAN DE CONTINUITE INFORMATIQUE

• PRA : PLAN DE REPRISE D’ACTIVITES

• STRATEGIE DE REDONDANCE DES ACTIFS CRITIQUES

Etude des politiques et procédures

AUDIT SI présenté par Dr MBOUP –

15
FIN MODULE

AUDIT SI présenté par Dr MBOUP – 16