Cours d'audit informatique

Leçon 1 • Le cycle de vie de l'audit informatique

Décrit le processus d'audit complet, de la planification à la production de rapports. Les étudiants comprennent comment chaque phase se connecte pour produire des conclusions d'audit.

Leçon 2 • Objectif et portée de l'audit informatique

Définit l'audit informatique et le distingue de l'audit financier et opérationnel. Ancre le chapitre en établissant pourquoi les contrôles informatiques sont importants pour les organisations.

Leçon 3 • Gouvernance informatique et cadres de contrôle

Présente les principaux cadres de contrôle utilisés pour structurer les audits informatiques. Les étudiants associent les domaines du cadre à des objectifs d'audit réels.

Leçon 4 • Concepts de risque dans l'audit informatique

Couvre le risque inhérent, le risque de contrôle et le risque de détection appliqués aux environnements informatiques. Fournit le vocabulaire du risque utilisé tout au long du cours.

Leçon 1 • Élaboration du plan d'audit

Traduit le registre des risques en un plan d'audit formel avec la portée, les objectifs et l'affectation des ressources. Garantit que l'effort d'audit cible les domaines à risque les plus élevés.

Leçon 2 • Score et priorisation des risques

Applique des modèles de notation qualitatifs et quantitatifs pour classer les risques identifiés. Produit le registre des risques priorisé utilisé dans la planification de l'audit.

Leçon 3 • Compréhension de l'environnement informatique

Techniques de documentation de l'infrastructure, des applications et des flux de données avant le début du travail sur le terrain. Une cartographie précise de l'environnement favorise l'identification des risques.

Leçon 4 • Communication avec les parties prenantes lors de la planification

Couvre les lettres de mission, les réunions de lancement et l'alignement des attentes avec les audités. Une communication efficace prévient les différends sur la portée pendant le travail sur le terrain.

Leçon 1 • Contrôles de sauvegarde et de récupération

Évalue la fréquence des sauvegardes, les tests d'intégrité et les objectifs de temps de récupération. Valide que les données peuvent être restaurées dans des délais acceptables pour l'entreprise.

Leçon 2 • Contrôles de gestion des accès

Examine le provisionnement des utilisateurs, l'authentification et les contrôles d'accès privilégié. Les faiblesses d'accès sont parmi les constats d'audit informatique les plus courants.

Leçon 3 • Opérations informatiques et ordonnancement des tâches

Examine les contrôles de traitement par lots, d'ordonnancement des tâches et de gestion des incidents. Les défaillances opérationnelles peuvent avoir des répercussions sur les aspects financiers et l'intégrité des données.

Leçon 4 • Contrôles physiques et environnementaux

Auditer la sécurité physique du centre de données, la surveillance environnementale et la redondance électrique. Les défaillances des contrôles physiques peuvent annuler toutes les mesures de sécurité logiques.

Leçon 1 • Contrôles de sortie et de distribution

Garantit que les rapports et les données en sortie sont exacts, autorisés et livrés aux destinataires prévus. Les faiblesses des sorties peuvent exposer des données sensibles ou induire en erreur les décisions.

Leçon 2 • Contrôles de traitement et d'intégrité

Vérifie que la logique applicative traite les transactions avec exactitude et exhaustivité. Couvre les contrôles de rapprochement et les mécanismes de signalement des exceptions.

Leçon 3 • Techniques de preuve d'audit applicatif

Applique des méthodes d'extraction de données, d'échantillonnage et de démonstration spécifiques aux audits applicatifs. Relie les techniques de collecte de preuves aux objectifs de contrôle applicatif.

Leçon 4 • Contrôles de saisie et de validation

Teste les contrôles qui empêchent l'entrée de données erronées ou non autorisées dans les systèmes. Les défaillances des contrôles de saisie propagent les erreurs dans les processus en aval.

Leçon 1 • Gestion des points de terminaison et des correctifs

Évalue la protection des points de terminaison, l'actualité des correctifs et le durcissement de la configuration. Les points de terminaison non corrigés représentent la classe de vulnérabilité la plus exploitée.

Leçon 2 • Examen des tests de vulnérabilité et d'intrusion

Évalue le programme de balayage des vulnérabilités et les résultats des tests d'intrusion de l'organisation. Les auditeurs évaluent l'efficacité de la correction plutôt que d'effectuer les tests eux-mêmes.

Leçon 3 • Surveillance de la sécurité et journalisation

Évalue les capacités de collecte de journaux, de conservation et de surveillance des événements de sécurité. Une surveillance efficace est essentielle pour détecter les incidents et y répondre.

Leçon 4 • Sécurité des identités et des accès

Audite l'authentification multifacteur, le cycle de vie des identités et la gestion des identités privilégiées. L'identité est le principal plan de contrôle dans les environnements modernes.

Leçon 1 • Contrôles de confidentialité et gestion du consentement

Audite la collecte de données personnelles, les mécanismes de consentement et le respect des droits des personnes concernées. Les contrôles de confidentialité doivent s'aligner sur les principes applicables de protection des données.

Leçon 2 • Gouvernance et classification des données

Examine l'attribution de la propriété des données, les schémas de classification et les structures de gouvernance. Une classification appropriée entraîne des contrôles de protection et de traitement adéquats.

Leçon 3 • Contrôles de la qualité des données

Teste l'exactitude, l'exhaustivité, la cohérence et l'actualité des données organisationnelles. Les défaillances de la qualité des données nuisent aux décisions commerciales et aux rapports réglementaires.

Leçon 4 • Conservation et élimination des données

Évalue les calendriers de conservation, les méthodes d'élimination sécurisée et les processus de blocage légal. Une conservation ou une élimination inadéquate crée un risque réglementaire et de réputation.

Leçon 1 • Méthodologies d'échantillonnage

Applique l'échantillonnage statistique et non statistique aux populations de contrôles informatiques. Les décisions d'échantillonnage affectent les conclusions qui peuvent être tirées des résultats des tests.

Leçon 2 • Documentation des déficiences de contrôle

Structure les constats à l'aide des composantes condition, critère, cause et effet. Une documentation précise des déficiences permet à la direction de comprendre et de corriger les problèmes.

Leçon 3 • Normes et structure des feuilles de travail

Applique les normes professionnelles relatives aux feuilles de travail, y compris l'indexation, le renvoi et la signature. Des feuilles de travail bien structurées soutiennent l'examen par les superviseurs et les audits futurs.

Leçon 4 • Examen des feuilles de travail et assurance qualité

Couvre l'examen par les pairs, la signature du superviseur et les processus d'assurance qualité pour les feuilles de travail. L'examen qualité détecte les lacunes documentaires avant la publication du rapport.

Leçon 1 • Suivi de la correction et suivi

Établit des processus pour suivre les plans d'action de la direction et vérifier la clôture de la correction. Le suivi garantit que les constats d'audit se traduisent par des améliorations durables des contrôles.

Leçon 2 • Structure et composantes du rapport d'audit

Définit les sections standard du rapport, y compris la portée, les constats et les recommandations. Un rapport bien structuré communique les résultats d'audit à la fois aux publics techniques et cadres.

Leçon 3 • Présentation des résultats aux parties prenantes

Couvre l'animation de la réunion de clôture, les présentations à la haute direction et la gestion des désaccords avec les audités. Des compétences de présentation efficaces déterminent si les constats mènent à un véritable changement.

Leçon 4 • Rédaction de constats d'audit efficaces

Applique des techniques de rédaction en langage clair pour traduire les problèmes techniques en impact sur l'entreprise. Les constats doivent être compris par les parties prenantes non techniques pour susciter des actions.