Pourquoi observer le travail réel des équipes pendant un audit informatique ?
D’après Audit du système d’information
Préparer la formulation de recommandations
Enfin, cette étape oriente fortement les recommandations que l'auditeur formulera dans les phases ultérieures.
Plus les observations de terrain sont fines et argumentées, plus l'on pourra proposer des mesures correctives ou préventives adaptées, tenant compte des spécificités techniques et organisationnelles.
Sans une bonne compréhension du “vécu” des équipes et de la réalité opérationnelle, le risque est de proposer des recommandations théoriques, difficiles à implémenter.
Observation directe
L'observation directe consiste à se rendre physiquement sur les lieux (locaux de la DSI, salles serveurs, sites distants, etc.) pour constater :
Les conditions réelles de sécurité physique par exemple (contrôle d'accès, surveillance, conditions environnementales)
Le respect de certaines procédures (ex. : identification des visiteurs, usage de badges, mesures d'hygiène informatique)
L'organisation concrète des équipes (postes de travail, communication interne, tableaux de suivi, etc.).
Cette technique est utile pour examiner la sécurité physique et vérifier la disponibilité des équipements de secours. Les critères de contrôle doivent correspondre aux exigences et aux référentiels effectivement retenus pour l'audit.
Les visites de datacenters permettent de confirmer si des éléments comme la redondance électrique, la climatisation, le filtrage des accès sont bien en place, en plus de ce qui est annoncé sur le papier.