Les entreprises sont soumises à un large éventail de réglementations gouvernementales et d’exigences légales. Les sociétés ouvertes doivent faire vérifier régulièrement leurs états financiers et les systèmes informatiques qui les stockent, conformément à la loi Sarbanes-Oxley. La norme de sécurité des données du secteur des cartes de paiement exige que les entreprises qui traitent des cartes de crédit soient auditées afin de s’assurer que leurs systèmes informatiques sont configurés de manière sécurisée. Les entreprises font appel à des cabinets d'audit tiers pour inspecter leurs systèmes et vérifier le respect de ces normes.
les tâches
Les auditeurs recherchent quelques éléments de base en arrivant dans une entreprise. Ceux-ci incluent des politiques et des processus documentés et prouvent que ces politiques et procédures sont suivies. Plus les politiques d'une entreprise sont détaillées, plus il est facile pour le vérificateur de faire son travail. Les entreprises doivent établir un cadre sur lequel fonder leurs politiques et leurs processus. Les auditeurs informatiques sont familiarisés avec les normes, telles que COBIT (Control Objectives for IT) ou ISO 27001. Chacune de ces entreprises guide les entreprises en leur fournissant des listes de contrôle sur la manière de sécuriser les données sensibles. Les auditeurs utilisent ces listes de contrôle pour assurer un audit approfondi.
Exemple de liste de contrôle de la documentation, des stratégies et des procédures
- Déterminez si un processus de gestion du changement existe et est officiellement documenté.
- Déterminez si les opérations de gestion des modifications ont une liste actuelle des propriétaires du système.
- Déterminer la responsabilité de la gestion et de la coordination des changements.
- Déterminez le processus d’escalade et d’enquête sur les modifications non autorisées.
- Déterminez les flux de gestion du changement au sein de l'organisation.
Exemple de liste de contrôle d'initiation et d'approbation de changement
- Vérifiez qu'une méthodologie est utilisée pour initier et approuver les modifications.
- Déterminez si des priorités sont attribuées aux demandes de changement.
- Vérifiez le temps estimé pour l'achèvement et les coûts sont communiqués.
- Évaluez le processus utilisé pour contrôler et surveiller les changements.
Exemple de liste de contrôle de sécurité informatique.
- Confirmez que tous les protocoles inutiles et non sécurisés sont désactivés.
- Vérifiez que la longueur minimale du mot de passe est définie sur 7 caractères.
- Vérifiez que des mots de passe complexes sont utilisés.
- Assurez-vous que le système est à jour avec les correctifs et les service packs.
- Vérifiez que l'âge du mot de passe est défini sur 60 jours ou moins.
