Comment adapter le périmètre d’un audit aux risques de l’entreprise ?
Au-delà du choix du périmètre en tant que tel, il est nécessaire de réfléchir aux risques qui motivent la délimitation de ce périmètre.
Lire la réponseFAQ DYNAMAP SI
Stratégie du système d'information et schéma directeur
Comprendre, choisir et piloter la transformation du SI. Des réponses concrètes aux questions des dirigeants, des DSI et des métiers, nourries par la collection DYNAMAP SI.
Les réponses de cette catégorie
12 réponses
Comment choisir les actions correctives à partir des risques constatés en audit ?
Risque d'accès non autorisé (probabilité moyenne, impact élevé)
Lire la réponseComment construire une matrice des risques pour un audit du SI ?
La matrice rapproche la vraisemblance et l'impact selon des critères partagés. Elle sert à comparer les risques et à expliciter les priorités, pas à remplacer l'analyse des situations concrètes.
Lire la réponseComment construire une première cartographie des risques à partir des documents collectés ?
Bien qu'une analyse des risques plus aboutie puisse intervenir ultérieurement (particulièrement à la phase 4 de l'audit, dédiée à l'évaluation des risques et de la conformité), il est fréquent que la collecte et l'analyse préliminaire…
Lire la réponseComment évaluer la vraisemblance et l’impact des risques avec les parties prenantes ?
Impliquer les parties prenantes (direction, équipes IT, métiers, RSSI, etc.) est essentiel pour obtenir une vision réaliste des risques.
Lire la réponseComment exploiter les anciens audits et le registre des risques ?
Si l'organisation a déjà réalisé des audits (internes ou externes) sur tout ou partie du périmètre, leurs rapports sont une mine d'informations.
Lire la réponseComment tenir compte des contrôles déjà en place dans l’évaluation des risques ?
Un risque ne s'apprécie pas de la même manière selon les protections existantes. L'audit doit donc examiner les contrôles et leur fonctionnement avant de conclure sur l'exposition qui subsiste.
Lire la réponseComment utiliser une check-list sans passer à côté des vrais risques du SI ?
Outils de scanning et d'analyse technique
Lire la réponseFaut-il partir des objectifs métiers ou des composants techniques pour identifier les risques ?
Les deux approches apportent des éclairages complémentaires. L'une part des activités et de leurs enjeux ; l'autre examine les composants et les difficultés qui peuvent se propager vers ces activités.
Lire la réponseQuelles sources utiliser pour identifier les risques pendant un audit ?
L'identification des risques gagne à croiser plusieurs sources plutôt qu'à dépendre d'un seul document. Les informations recueillies doivent être rapprochées du contexte et des activités réellement exposées.
Lire la réponseQuels entretiens et outils utiliser pour consolider l’évaluation des risques ?
Entretiens ciblés et examens de preuves
Lire la réponseQui doit valider les risques identifiés pendant un audit informatique ?
Validation et ajustements avant la phase suivante
Lire la réponse