Que faut-il savoir sur « Alimenter la phase de planification détaillée sur le terrain » ?
Extrait de Audit du système d’information
Dans la mesure où l’équipe d’audit va prochainement mener des entretiens et des vérifications, la collecte préliminaire sert également à préparer ces échanges de manière plus ciblée.
Comme le rappelle l’ISO 19011, l’auditeur doit arriver sur le terrain avec un bon niveau de familiarité quant aux enjeux et aux difficultés probables.
Poser les bonnes questions : un auditeur qui a déjà repéré, dans la documentation, un processus de gestion des changements mal formalisé, saura orienter ses interviews vers les personnes compétentes pour en comprendre les raisons.
Guider les contrôles et tests techniques : si la documentation révèle une architecture réseau complexe (avec plusieurs VLAN, solutions de pare-feu multiples, DMZ, etc.), l’auditeur pourra planifier des tests plus pertinents ou demander des extractions spécifiques pour analyser la cohérence de la configuration.
Éviter les redites : un audit devient rapidement chronophage pour tout le monde si les auditeurs interrogent à nouveau sur des informations déjà disponibles dans des procédures écrites ou des bases de données internes.
Pour ITIL, la collecte préliminaire est par ailleurs l’occasion de vérifier si l’organisation dispose d’une CMDB (Configuration Management Database) ou de tout autre outil fournissant une vision centralisée des actifs du SI.
Dans la mesure où ITIL recommande de bien documenter chaque composant du SI (CI Configuration Item), la documentation existante sur la CMDB constituera une source de vérité (à confirmer ultérieurement sur le terrain) pour l’équipe d’audit.