SIE 2

1
SIE 2

• De lanalyse de situation au TFf
• Du TFf aux FRAP

2
Place et forme de lAudit
Bilan
3
Mission daudit préparation
Ordre de Mission (OM)
4
Mission dAudit réalisation
Feuille de Couverture FdeC
PHASES TERRAIN
Papier de travail PdT
Constats directs BBK
Tableau des Forces et faiblesses Constatées (TFf)
Feuille de Révélation et dAnalyse de
Problème (FRAP) 1 par section
5
Mission dAudit Finalisation
6
Axes daudit et danalyse informatique

• Efficacité des mesures de sécurité
• Connaissance et appréciation de la Fonction
  informatique
• Optimisation efficacité de la fonction
  informatique
• Optimisation performances et config.
• Garantie de pérennité des données
• Garantie de continuité d'exploitation

• Fiabilité et sécurité des travaux
• Respect obligations légales et réglem.
• Délivrance d'une attestation de conformité à
  certaines normes
• Respect des normes développement
• Optimisation des coûts et des performances
• Vérification des générations et des
  paramétrages
• Fiabilités des données, traitements

7
Niveaux de Contrôles Informatiques
ENTRE- PRISE
Schéma directeur et Plan informatique Audit
Interne et Fonction d'Audit Normalisation et
Réglementation Sécurité Générale et
Qualifications Circulation des informations Procéd
ures et Formalismes
NIVEAU DE LAFONCTION, DU SERVICE ET
DES PERSONNELS
Projets et Développement Méthodes et
Techniques Formation et Assistance Organisation
et Maintenance Sous-Traitance et Fournisseurs
NIVEAU DES MATERIELS DES APPLICATIONS et DES
DONNES
Matériels et Réseaux Communications
externes Applications spécifiques Applications
standards Bases de données
8
Mission détude-conseil (externe)
ORDRE de MISSION (OM-int.) ou LETTRE de MISSION
(LM-ext.)
Réception LM - Spécification des objectifs Bilan
de compétences (BC) - Validation M
Phase préparatoire (PPr) Etude Préalable et
Confirmation (OM-LM)
Rapports intermédiaires (Mémorandums)
Rapport de synthèse Rapport final avec
recommandations
RAPPORT FINAL (Rapports)
9
Place des BBK et du TFf
La phase Vérifications RAPIDES a pour objectif,
la recherche des points à risques ou à
problèmes. Ceux-ci trouvés, la phase Vérification
DETAILLLEE va analyser les causes, les incidents,
les rapports,... de ces problèmes recensés
Vérifications "RAPIDES"
10
Place des BBK et du TFf

• Interviews préliminaires
• Plan d'approche
• Plan de vérification
• Phase de vérification
• Vérification Rapide
• Vérification détaillée
•  Certification  des BBKS
• Mise en forme du TFf
• Dépouillement final synthèse

• Préparation des contrôles
• Quelles preuves rechercher
• Quels moyens de certitude
• Réalisation de la vérification
• Lister les problèmes
• Vérifier chaque point
• S'assurer de leur véracité
• Rechercher des parades

11
BBK, TFf et PR

• Les BBK (Blue Black Keys) représentent
• Les problèmes et incidents, critiques,
  dysfonctionnements, etc. constatés les POINTS
  NOIRS (Blacks)
• Les points qui semblent corrects et fonctionnels
  les POINTS BLEUS (Blue)
• Il y a donc une répartition en 2 classes des
  points analysés
• Chaque BK est vérifié pour savoir
• si un point noir est réel et ne cache pas un
  problème plus important
• si un point bleu est réel et n'est pas simplement
  une apparence de fonctionnement correct
• En cas d'incertitude on effectue un Point de
  REVUE (pour "revoir") des BBK contestés.
• Les BBK sont classés au sein dun Tableau des
  Forces et faiblesses apparentes (TFf)

12
Séparation BBK et Manques

• Blue Key
• Éléments positifs primordiaux et à conserver
  ? problématique de la conservation et
  réutilisation au sein des propositions
  futures

• Black Key
• Problèmes constatés
• Pannes
• Incidents
• Dysfonctions
• Erreurs et bugs
• Malveillance
• Etc.
• Risques recensés
• Techniques
• Humains
• Naturels
• Financiers
• Qualité
• Etc.

• Manques
• Manques exprimés par le personnel lors des
  interviews et réunions
• Manques constatés lors de la RAO, des analyses
  de circulations de doc, des procédures, etc.
• Non usages
• Moyens existants et non utilisés (mais
  utilisables) au sein du SI
• Moyens existants et non connus du personnel (mais
  utilisables) au sein du SI

13
Etude des BBK Thèmes

• Organisation
• Circuit et traitements
• Humain / Social / Relationnel
• Informations
• Informatique Structurelle
• Schéma directeur et plans
• Matériel
• Logiciels / OS / Tools
• Base de données / Fichiers
• Energie et associés
• Locaux et mobiliers
• Documentations
• Communications Réseaux
• Projets en cours et futurs
• Budgets

• Informatique Organisationnelle
• Service informatique
• Personnel informatique
• Exploitation
• Hot line et assistance
• Développement
• Maintenance, Formation
• Contrats et doc légaux
• Sous-traitance, régie, fournisseurs
• Projets en cours et futurs
• Budgets
• Sécurité
• Accès, personnel, locaux, moyens mat et log.,
  budgets
• Scénarios et process
• Assurances

14
Tableau des Forces Faiblesses

• Lexistant opérationnel
• Fonctionnel (opérationnel, technique, etc.)
• Gains
• Avancée
• Certifiés et contrôlés
• Savoir-faire et savoirs
• Reconnaissance
• Les maîtrises
• Maîtrise dœuvre et douvrages formalisés et
  contrôlés
• Projet en cours en situation de validité
• Certifications et normalisations
• Tableaux de bords
• Outils de contrôles et de validation

• Les acquis et avoirs pérennes
• Transmission de savoir-faire et de savoirs
• Historique exploitable
• Biens et produits (informatiques)
• RH pérennisées
• Relations et contrats pérennisés

15
Tableau des Forces Faiblesses

• Lexistant opérationnel
• Incidents
• Pannes
• Dysfonctions
• Erreurs
• Retards
• Pertes
• Conflits
• Lexistant non opérationnel
• Non maîtrisé
• Inutile
• Non connu
• Sous-utilisé

• Les risques (problèmes potentiels)
• Risque technique
• Risque humain
• Risque économique et/ou financier
• Les manques et besoins
• Manque constaté
• Manque exprimé

16
Analyse des BBK

• Code et intitulé du point
• Constat (et preuves du constat)
• si Point Noir
• Cause(s) du problème
• PreuveS
• Thème(s) de rattachement et Acteurs (Services,
  Sites, ) concernés
• Impacts et conséquences (directes indirectes,
  techniques financières)
• Pondération (importance) et Seuil de
  confiance SI SEUIL INSUFFISANT ? LANCEMENT DE
  P.R. SUR CE BBK
• Dépendances
• Préconisation de correction / suppression ou
  Solution (temporaire ou immédiate)
• Documents associés

17
Description dune clef

• Niveau de confiance et justification de ce niveau
• Importance relative, coefficient de pondération
  et justifications
• Interdépendance avec dautres BBK
• regroupement (thèmes et familles), séquence, etc.
• Solutions possibles
• technique, organisationnelle, financière, etc.
• Indicateur de suivi
• outil et process de suivi
• process de réaction et correction sur incident

• N ou code de référence
• Définition sommaire
• Détail du BBK
• Type
• incident ponctuel, problème récurant, risque,
  erreur technique, erreur humaine, etc.
• Source de la découverte
• personne, groupe, documents, RAO, élément
  externe, étude directe, etc.
• Origine, cause
• Conséquence
• technique, organisationnelle
• financière, etc.

18
Démarche
BBK classés 1 - par causalité 2 par
dépendance 3 par thèmes
BBK bruts (tels que recensés)
Préconisations pour chaque groupede BBK
dexploitation. Préparation des FRAPassociées.
BBK dexploitationsimplifiés pour lisibilitéau
sein du rapport (points clefs des BBK classés au
sein d1 fonction, process, domaine,
sous-système,etc.
19
Présentation des FRAP
FRAP n xxxx en date du xx/xx/xxxx réalisé par
xxxxx DOMAINE xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxx Problème description (la plus
précise possible du problème) tenir compte des
POINTS DE VUE Constat expliquer comment à
été constaté le problème et comment sa réalité
a été vérifiée et prouvée si besoin par quels
outils et quelles mesures Causes origines et
causes REELLES du problèmes Impact
impacts et conséquences du problèmes (directs et
indirectes, techniques, organisationnelles,
humaines et financières) Acteurs acteurs
concernés par le problème Préconisations
(recommandation, conseils) voire Solutions
préconisées xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxxxxdont acteurs devant
appliquer et gérer la préconisation