Audits informatiques au Rwanda
Un audit documenté de l’infrastructure, des licences et de la sécurité au regard d’une norme claire.
Un audit informatique teste les contrôles informatiques de votre organisation au regard d’une norme ou d’une exigence définie, consigne les preuves de chaque constat et produit un rapport formel sur lequel un conseil d’administration, un bailleur, un régulateur ou un auditeur externe peut s’appuyer. Toute organisation qui doit démontrer, et pas seulement affirmer, que son informatique est bien maîtrisée en a besoin. Cette page couvre les audits formels fondés sur des preuves. Un examen plus large et consultatif de l’adéquation de votre informatique relève de l’évaluation de l’infrastructure informatique.
Qu’est-ce qu’un audit informatique, et qui en a besoin
C’est un examen structuré de contrôles informatiques précis, comme la gestion des accès, les sauvegardes et la reprise, la gestion des changements, les licences, les réglages de sécurité et les politiques, mesurés au regard de critères convenus. Chaque contrôle est testé, les preuves sont documentées et le résultat est noté. Il convient aux banques et institutions de microfinance, aux ONG qui rendent compte à des bailleurs internationaux, aux entreprises qui préparent un investissement ou une certification, et aux conseils d’administration qui veulent une assurance de la part d’une personne indépendante de l’équipe informatique.
Le problème qu’il résout
Les conseils d’administration et les bailleurs demandent de plus en plus comment les risques informatiques sont gérés, et « l’équipe informatique dit que tout va bien » ne constitue pas une preuve. Pendant ce temps, les contrôles dérivent : les accès ne sont pas revus, les sauvegardes ne sont pas testées, les licences se désalignent des effectifs. Un audit teste ce qui se passe réellement, au regard d’une référence reconnue, et produit un dossier qui résiste à l’examen.
Choisir la référence
Un audit n’a de sens que par ses critères. Nous en convenons dès le départ :
- Les CIS Controls, un ensemble priorisé de mesures de sécurité pratiques, bien adapté aux petites et moyennes organisations.
- Le NIST Cybersecurity Framework 2.0, pour la gouvernance et la maturité de la sécurité.
- L’ISO/IEC 27001:2022, dont l’annexe A liste 93 contrôles de sécurité de l’information, pour les organisations qui visent la certification.
- Les exigences réglementaires, comme les règlements de la Banque nationale du Rwanda sur la cybersécurité et la continuité des activités pour les institutions qu’elle supervise.
- Les conditions d’un bailleur ou d’un contrat, lorsqu’un bailleur ou un client fixe des exigences informatiques précises.
- Vos propres politiques, pour vérifier que ce qui est écrit est réellement appliqué au quotidien.
Comment les contrôles sont testés
L’entretien. Demander aux responsables comment fonctionne le contrôle.
L’inspection. Examiner registres, configurations, journaux et rapports.
L’observation. Regarder le contrôle fonctionner, comme une restauration de sauvegarde.
La réexécution. Vérifier nous-mêmes un échantillon, par exemple si les comptes des partants ont vraiment été désactivés.
Chaque constat consigne le critère, ce que nous avons testé, ce que nous avons trouvé, le risque et une recommandation, et la direction y ajoute sa réponse et une date cible. Les constats sont classés par risque, pour que le conseil d’administration voie d’un coup d’œil ceux qui comptent le plus, et l’audit suivant commence par vérifier si les actions convenues ont été réalisées.
Ce que comprend le travail
- Convenir du périmètre et des critères avec la direction et, le cas échéant, le conseil d’administration ou l’auditeur qui s’appuiera sur le rapport.
- Planifier les tests et les preuves nécessaires.
- Réaliser les travaux sur le terrain : entretiens, inspection, observation et échantillonnage.
- Discuter des constats avec la direction pour vérifier les faits et recueillir ses réponses.
- Émettre le rapport avec une opinion globale, les constats et le plan d’action de la direction.
- Suivre les actions convenues lors de l’audit suivant.
Ce qui est inclus et ce qui ne l’est pas
Inclus : l’accord sur le périmètre et les critères, les tests de contrôles avec preuves, le rapprochement des licences lorsqu’il est dans le périmètre, un rapport d’audit formel et un plan d’action de la direction.
Non inclus, sauf cadrage séparé : la correction des constats, l’interprétation juridique ou réglementaire, qui doit associer vos conseillers en conformité ou juridiques, et les audits de certification, que seuls des organismes de certification accrédités peuvent réaliser.
Délais habituels et ce qui détermine le coût
Un audit ciblé d’une organisation sur un seul site demande généralement deux à trois semaines de la planification au rapport. Le coût dépend du périmètre et des critères, du nombre de contrôles et de systèmes, des sites, de la facilité d’accès aux preuves et de la nécessité de suivre un format de rapport précis imposé par un régulateur ou un bailleur.
Équipements généralement utilisés
Des programmes de travail d’audit construits sur la norme choisie, des listes de demandes de preuves, des exports de configuration et d’accès, des rapports issus des portails de licences et de la gestion des appareils, des feuilles d’échantillonnage et un registre des constats qui suit les réponses de la direction.
Les erreurs que nous voyons souvent
Des audits sans critères définis, si bien que les constats sont des opinions. Des périmètres qui ne correspondent pas aux besoins réels du conseil d’administration ou du bailleur. Des preuves acceptées de confiance, sans test. Des rapports qui listent des constats sans réponse de la direction. Une conformité des licences jamais vérifiée avant qu’un éditeur ne la demande. Et les constats de l’année précédente jamais suivis.
.DwIvkzVM_Z2ot1n4.webp)
Conseil informatique
Services associés
-
Conseil en architecture réseau
Une architecture réseau planifiée avant les achats, pour que l’équipement soit acheté selon la conception.
-
Stratégie et planification informatiques
Un plan informatique lié aux objectifs et aux cycles budgétaires, pas une liste de souhaits.
-
Conseil en cybersécurité
Un avis indépendant sur les priorités d’investissement en sécurité, selon votre risque réel.
Articles
À lire aussi
-
.axBI9cHA_Z1CMqlS.webp)
, 4 min de lecture
Audits informatiques : ce qu’il faut vérifier avant de choisir un prestataire
Quelques questions précises à poser avant de choisir un prestataire d’audit informatique, au-delà de la comparaison des prix.
-
, 4 min de lecture
Combien coûte un audit informatique au Rwanda ?
Le coût d’un audit informatique dépend du périmètre, de la taille de l’organisation et de son destinataire final. Voici ce qui détermine le chiffre.
Questions fréquentes
En quoi un audit informatique diffère-t-il d’une évaluation de l’infrastructure ?
Une évaluation se demande si votre informatique est adaptée à son usage et donne des conseils. Un audit teste des contrôles précis au regard d’une norme ou d’une exigence définie et consigne des preuves pour chacun : les sauvegardes sont-elles testées, les accès sont-ils revus, les licences correspondent-elles à l’usage. Le résultat est un rapport formel sur lequel un conseil d’administration, un bailleur, un régulateur ou un auditeur externe peut s’appuyer, plutôt que des recommandations générales.
Auditez-vous spécifiquement la conformité des licences logicielles ?
Oui. Nous comparons ce qui est installé et utilisé, d’après les rapports des appareils et du cloud, avec ce que vous avez acheté, d’après les factures et les portails de licences. Le résultat montre tout déficit qui pourrait poser problème lors d’un audit d’éditeur, ainsi que les licences payées mais inutilisées qui pourraient être supprimées. Le nombre de licences dérive vite au gré des arrivées et départs : cet audit révèle donc souvent des économies autant que des manques.
Les constats d’audit peuvent-ils appuyer un rapport au conseil d’administration ou aux investisseurs ?
Oui, c’est un usage fréquent. Le rapport indique le périmètre, la norme ou les critères utilisés, la façon dont chaque contrôle a été testé, les preuves examinées et le constat, avec une opinion globale et la réponse prévue par la direction. Cette structure permet à un conseil d’administration, un comité d’audit, un bailleur ou un investisseur de s’y fier, à condition que le périmètre corresponde à ses besoins.
À quelle fréquence faut-il refaire un audit informatique ?
Généralement une fois par an, avant le cycle de rapport au conseil d’administration ou au bailleur qui en a besoin. Les institutions réglementées peuvent suivre le cycle de leur régulateur ou de leur auditeur externe. Après un changement majeur, comme un nouveau système central ou un incident de sécurité, un audit ciblé du domaine concerné mérite d’être fait plus tôt plutôt que d’attendre l’audit annuel.
Au regard de quelles normes un audit informatique peut-il être mené ?
Celles qui correspondent à votre objectif. Les choix courants sont les CIS Controls pour l’hygiène de sécurité pratique, le Cybersecurity Framework du NIST pour la gouvernance de la sécurité, les contrôles de l’ISO/IEC 27001 pour les organisations qui visent la certification, les exigences d’un régulateur comme la Banque nationale du Rwanda, ou les conditions d’un bailleur. Nous convenons des critères avant le début des travaux sur le terrain.
Besoin d’un avis indépendant avant de vous engager ?
Décrivez la décision à prendre. Nous cadrons un examen sans aucune vente d’équipement à la clé.