Cours d'audit informatique

Leçon 1 • Le cycle de vie d'un audit informatique

Décrit le processus d'audit complet, de la planification à la communication des résultats. Les étudiants comprennent comment chaque phase s'articule pour produire des conclusions d'audit.

Leçon 2 • Objectif et périmètre de l'audit informatique

Définit l'audit informatique et le distingue de l'audit financier et de l'audit opérationnel. Ancre le chapitre en établissant pourquoi les contrôles informatiques sont importants pour les organisations.

Leçon 3 • Cadres de gouvernance et de contrôle informatique

Présente les principaux cadres de contrôle utilisés pour structurer les audits informatiques. Les étudiants font correspondre les domaines du cadre avec des objectifs d'audit réels.

Leçon 4 • Concepts de risque en audit informatique

Couvre les risques inhérents, de contrôle et de détection appliqués aux environnements informatiques. Fournit le vocabulaire du risque utilisé tout au long du cours.

Leçon 1 • Élaboration du plan d'audit

Traduit le registre des risques en un plan d'audit formel comprenant le périmètre, les objectifs et l'allocation des ressources. Garantit que l'effort d'audit cible les zones à plus haut risque.

Leçon 2 • Notation et priorisation des risques

Applique des modèles de notation qualitatifs et quantitatifs pour classer les risques identifiés. Produit le registre des risques priorisé utilisé dans la planification de l'audit.

Leçon 3 • Compréhension de l'environnement informatique

Techniques de documentation de l'infrastructure, des applications et des flux de données avant le début des travaux sur le terrain. Une cartographie précise de l'environnement favorise l'identification des risques.

Leçon 4 • Communication avec les parties prenantes lors de la planification

Couvre les lettres de mission, les réunions de lancement et l'alignement des attentes avec les audités. Une communication efficace prévient les litiges sur le périmètre lors des travaux sur le terrain.

Leçon 1 • Contrôles de sauvegarde et de reprise

Évalue la fréquence des sauvegardes, les tests d'intégrité et les objectifs de temps de reprise. Valide que les données peuvent être restaurées dans des délais acceptables pour l'activité.

Leçon 2 • Contrôles de gestion des accès

Examine le provisionnement des utilisateurs, l'authentification et les contrôles d'accès privilégié. Les faiblesses d'accès comptent parmi les constats d'audit informatique les plus courants.

Leçon 3 • Opérations informatiques et ordonnancement des travaux

Examine les contrôles de traitement par lots, d'ordonnancement des travaux et de gestion des incidents. Les défaillances opérationnelles peuvent avoir des répercussions en cascade sur l'intégrité financière et des données.

Leçon 4 • Contrôles physiques et environnementaux

Audite la sécurité physique du centre de données, la surveillance environnementale et la redondance électrique. Les défaillances des contrôles physiques peuvent annuler toutes les mesures de sécurité logique.

Leçon 1 • Contrôles des sorties et de la distribution

Garantit que les rapports et les sorties de données sont exacts, autorisés et livrés aux destinataires prévus. Les faiblesses des sorties peuvent exposer des données sensibles ou induire des décisions en erreur.

Leçon 2 • Contrôles de traitement et d'intégrité

Vérifie que la logique applicative traite les transactions de manière précise et complète. Couvre les contrôles de rapprochement et les mécanismes de gestion des exceptions (erreur logicielle).

Leçon 3 • Techniques de preuve d'audit applicative

Applique des méthodes d'extraction de données, d'échantillonnage et de cheminement propres aux audits d'applications. Relie les techniques de collecte de preuves aux objectifs de contrôle applicatif.

Leçon 4 • Contrôles de saisie et de validation

Teste les contrôles qui empêchent l'entrée de données erronées ou non autorisées dans les systèmes. Les défaillances des contrôles de saisie propagent les erreurs dans l'ensemble des processus en aval.

Leçon 1 • Gestion des postes de travail et des correctifs

Évalue la protection des postes de travail, l'actualité des correctifs et le durcissement de la configuration. Les postes de travail non corrigés représentent la classe de vulnérabilité la plus exploitée.

Leçon 2 • Revue des tests de vulnérabilité et d'intrusion

Évalue le programme de scan de vulnérabilités de l'organisation et les résultats des tests d'intrusion. Les auditeurs évaluent l'efficacité des correctifs plutôt que d'effectuer eux-mêmes les tests.

Leçon 3 • Supervision et journalisation de la sécurité

Évalue les capacités de collecte de journaux, de conservation et de supervision des événements de sécurité. Une supervision efficace est essentielle pour détecter les incidents et y répondre.

Leçon 4 • Sécurité des identités et des accès

Audite l'authentification multi-facteurs, le cycle de vie des identités et la gestion des identités privilégiées. L'identité est le principal plan de contrôle dans les environnements modernes.

Leçon 1 • Contrôles de confidentialité et gestion du consentement

Audite la collecte de données personnelles, les mécanismes de consentement et la réalisation des droits des personnes concernées. Les contrôles de confidentialité doivent être alignés sur les principes de protection des données applicables.

Leçon 2 • Gouvernance et classification des données

Examine la propriété des données, les schémas de classification et les structures de gouvernance. Une classification appropriée détermine les contrôles de protection et de traitement adéquats.

Leçon 3 • Contrôles de qualité des données

Teste l'exactitude, l'exhaustivité, la cohérence et l'actualité des données organisationnelles. Les défaillances de la qualité des données compromettent les décisions commerciales et les rapports réglementaires.

Leçon 4 • Conservation et destruction des données

Évalue les calendriers de conservation, les méthodes de destruction sécurisée et les processus de gel des pièces. Une conservation ou une destruction inappropriée crée un risque réglementaire et de réputation.

Leçon 1 • Méthodologies d'échantillonnage

Applique un échantillonnage statistique et non statistique aux populations de contrôles informatiques. Les décisions d'échantillonnage affectent les conclusions qui peuvent être tirées des résultats des tests.

Leçon 2 • Documentation des déficiences de contrôle

Structure les constats en utilisant les composantes condition, critère, cause et effet. Une documentation précise des déficiences permet à la direction de comprendre et de corriger les problèmes.

Leçon 3 • Normes et structure des feuilles de travail

Applique les normes professionnelles relatives aux feuilles de travail, y compris l'indexation, le renvoi et la validation. Des feuilles de travail bien structurées facilitent la supervision et les audits futurs.

Leçon 4 • Revue des feuilles de travail et assurance qualité

Couvre la revue par les pairs, la validation par la supervision et les processus d'assurance qualité pour les feuilles de travail. La revue qualité détecte les lacunes documentaires avant l'émission du rapport.

Leçon 1 • Suivi des correctifs et suivi

Établit des processus pour suivre les plans d'action de la direction et vérifier la clôture des correctifs. Le suivi garantit que les constats d'audit se traduisent en améliorations durables des contrôles.

Leçon 2 • Structure et composantes du rapport d'audit

Définit les sections standard du rapport, y compris le périmètre, les constats et les recommandations. Un rapport bien structuré communique les résultats de l'audit à la fois aux publics techniques et à la direction.

Leçon 3 • Présentation des résultats aux parties prenantes

Couvre l'animation de la réunion de clôture, les présentations à la direction et la gestion des désaccords avec les audités. Des compétences de présentation efficaces déterminent si les constats mènent à un véritable changement.

Leçon 4 • Rédiger des constats d'audit efficaces

Applique des techniques de rédaction en langage clair pour traduire des problèmes techniques en impact sur l'activité. Les constats doivent être compris par les parties prenantes non techniques pour susciter l'action.