[PDF] Modèle de Rapport dAudit de la Sécurité des Systèmes dInformation PDF Modele%20rapport%20V1.3.pdf

Présenter l'objectif de cette mission d'audit (Etat de conformité par rapport à un standard, recommandations, plan d'action), - Indiquer, le cas échéant, si la

Date du rapport : le 10 octobre 2016 Interface de modèle fonctionnel L' équipe d'audit a évalué la conformité de HQT à six (6) normes et neuf (9) exigences

[PDF] N° 127 Rapport daudit de conformité relatif à la - Cour des comptes

18 sept 2018 · De plus, la Cour recommande que le responsable dispose : • D'une certification professionnelle reconnue en matière d'audit (par exemple : CIA,

[PDF] Rapports daudit - Chapters Site - The Institute of Internal Auditors

L'annexe C fournit un modèle de rapport d'audit et l'annexe D des exemples de rapports qu'avec les Normes (lorsque cette conformité est mentionnée) ;

[PDF] AUDIT DE CONFORMITE – RAPPORT DE SYNTHESE VERSION

16 des autorités contractantes n'ont pas communiqué à la mission le PPM ayant fait objet d'approbation par la DGMP A titre d'exemple nous pouvons citer : le

[PDF] Modèle de Rapport dAudit de la Sécurité des Systèmes dInformation

Présenter l'objectif de cette mission d'audit (Etat de conformité par rapport à un standard, recommandations, plan d'action), - Indiquer, le cas échéant, si la

[PDF] RAPPORT DE SYNTHESE DE LAUDIT DE CONFORMITE - ARMDS

4 2 AUDIT DE CONFORMITÉ DES PROCEDURES DE PASSATION DES Nous signalons qu'un rapport séparé de synthèse d'audit physique des biens, travaux et Nonobstant l'absence d'un modèle de dossier sommaire conçu par les

[PDF] RAPPORT DAUDIT - CNRS

Constat de conformité par rapport au référentiel d'audit Commentaire : (et repris au projet de plan d'audit ci-après - par exemple : processus, sites ou activités

[PDF] Essai délaboration dun Audit de Conformité du Processus de

C'est donc par rapport à un référentiel, code de travail, convention collective L' audit d'efficacité peut porter à titre d'exemple sur : les écarts sur les effectifs, les

[PDF] Normes daudit de conformité - ISSAIorg

Bien que le rapport d'audit ne soit pas adressé à la partie responsable, le résultat L'auditeur peut souvent rencontrer des exemples de non-conformité en lien

Avant-propos

organisé par les décrets applicatifs 2004-1249 et 2004-1250. Les décrets cités identifient les

organismes soumis ă lobligation de laudit, les experts auditeurs habilités à mener des missions

de sĠcuritĠ ă ǀĠrifier nont pas ĠtĠ identifiĠs au niǀeau de ces dĠcrets.

2004-1250, aux organismes audités de disposer de garanties sur la qualité des résultats des audits

effectuĠs et auǆ serǀices de suiǀi de laudit au sein de lANSI de mener efficacement lĠtude et

Modèle de Rapport

G·$XGLP GH OM 6pŃXULPp GHV

6\VPqPHV G·HQIRUPMPLRQ

(En application à la loi n°5 de 2004)

Évolutions du document

Version Date Nature des modifications

1.0 19/12/2014 Version initiale

1.1 03/06/2015 Ajout de recommandations

1.2 03/05/2017

1.3 14/10/2019 ministre des

technologies de la communication et de l'économie numérique et du ministre du développement, de issement et de la coopération internationale du

01 Octobre 2019, fixant le cahier des charges relatif à

sécurité informatique.

φModğle de Rapport dAudit de la SĠcuritĠ des Systğmes dInformation ©ANSI 2019

фNom du Bureau dauditх

Rapport dAudit de la Sécurité du

Systğme dInformation

De

Version du document Date Diffusion

Document Confidentiel

χModğle de Rapport dAudit de la SĠcuritĠ des Systğmes dInformation ©ANSI 2019

1.1 Confidentialité du document

Le présent document est confidentiel et sa confidentialité consiste à : - La non divulgation des dites informations confidentielles auprès de tierce partie, - La non reproduction des informations dites confidentielles, sauf accord de lorganisme auditĠ, - Ne pas profiter ou faire profiter tierce partie du contenu de ces informations en matière de savoir-faire, - Considérer toutes les informations relatives à la production et au système

1.2 Historique des modifications

Version Date Auteur Modifications

1.3 Diffusion du document

Diffusion (coté Nom_Bureau_Audit)

Nom Prénom Titre Tél Mail

Diffusion (coté Nom_Organisme_Audité)

Nom Prénom Titre Tél Mail

1 Aǀant propos

ψModğle de Rapport dAudit de la SĠcuritĠ des Systğmes dInformation ©ANSI 2019

- Rappeler le cadre de la mission daudit (en application ă la loi nΣ5 de 2004 et au décret 2004-

1250),

- Indiquer si la présente mission est un audit exhaustif ou audit de suivi (mission sur 3 années),

- PrĠsenter lobjectif de cette mission daudit (Etat de conformité par rapport à un standard,

recommandations, plan daction),

- Indiquer, le cas échéant, si la présente mission rentre dans le cadre de la préparation à la

certification ISO 27001 ou dans une autre démarche de conformité,

- Indiquer, la cas échéant, le(s) standard(s) métier de référence par rapport auquel est réalisée la

présente mission daudit, etc).

3 Termes et dĠfinitions

- Donner les définitions des termes utilisés dans le présent rapport.

4 RĠfĠrences

- Indiquer tous les documents de référence utilisés pour la réalisation de la présente mission

daudit.

5 PrĠsentation de lorganisme auditĠ

missions, services fournis, parties prenantes, clients, etc) conformément au modèle présenté en

Annexe 1,

- Présenter la cartographie des processus de lorganisme auditĠ (aǀec la cartographie des fluǆ de

données),

- Pour chaque processus, indiquer les exigences en disponibilité, intégrité et confidentialité des

données traitées à ce niveau conformément au modèle présenté en Annexe 2, ceci afin

audité.

6 Champ daudit

6.1 Périmètre géographique

- Présenter la liste des structures à auditer :

Structure Lieu dimplantation

1 2 3

2 Cadre de la mission

ωModğle de Rapport dAudit de la SĠcuritĠ des Systğmes dInformation ©ANSI 2019

dĠchantillonnage, le cas ĠchĠant.

6.2 Description des systğmes dinformation

- Décrire les systğmes dinformation des différentes structures: Pour chaque structure, présenter

tous les composants du système d'information avec justification des exclusions le cas échéant

selon le modèle " Description du SI de Nom_Organisme_Audité » (voir Annexe 3),

- Toute exclusion d'un composant du système d'information (serveur, application, base de

6.3 Schéma synoptique de larchitecture du réseau

Schématiser le réseau de Nom_Organisme_Audité en faisant apparaitre les connexions (LAN, WAN,

etc), la segmentation, lemplacement des composantes du SI, etcY

7 MĠthodologie daudit

- Décrire en détail la mĠthodologie daudit adoptĠe,

- Identifier les domaines de la sĠcuritĠ des systğmes dinformation couǀerts par la mĠthodologie

utilisés).

Remarques et Recommandations :

9 Laudit devra prendre comme référentiel de base le rĠfĠrentiel daudit de la SĠcuritĠ des

9 La maturité des mesures et contrôles de sécurité mis en place doit être établie en rapport

avec les quatorze (14) domaines dudit référentiel :

A.5 Politiques de sécuritĠ de linformation

A.6 Organisation de la sĠcuritĠ de linformation

A.7 Sécurité des ressources humaines

A.8 Gestion des actifs

A.10 Cryptographie

A.11 Sécurité physique et environnementale

A.12 SĠcuritĠ liĠe ă leǆploitation

A.13 Sécurité des communications

A.15 Relations avec les fournisseurs

A.16 Gestion des incidents liĠs ă la sĠcuritĠ de linformation

A.17 Aspects de la sĠcuritĠ de linformation dans la gestion de la continuité de

lactiǀitĠ

A.18 Conformité

- Présenter les outils daudit utilisĠs

ϊModğle de Rapport dAudit de la SĠcuritĠ des Systğmes dInformation ©ANSI 2019

Outils Version utilisée License Fonctionnalités Composantes du SI objet de laudit - Présenter les checklists utilisés

Titre du

document Version Source Description Composantes du SI objet de laudit - PrĠsenter léquipe du projet coté Nom_Bureau_Audit : Nom Prénom Qualité Qualification Certifié par lANSI

Champs dinterǀention

Ex : AOP, Audit serveurs, Audit

BD, Audit équipements réseaux,

Membre

Nom Prénom Qualité Fonction

- Présenter le planning deǆĠcution réel de la mission daudit selon le modèle " Planning réel

8 Synthğse des rĠsultats de laudit

- Rappeler la responsabilitĠ de lauditeur et les limites de laudit (Ġchantillonnage, changements

- Rappeler les types et nature de test réalisés pour établir ces résultats,

- Donner une évaluation dĠtaillĠe de la rĠalisation du plan daction issu de la derniğre mission daudit

selon le modèle " Eǀaluation du dernier plan daction » (Voir Annexe 5),

- Présenter une synthèse des principales bonne pratiques identifiées et défaillances enregistrées lors

de laudit,

- PrĠsenter un Ġtat de maturitĠ de la sĠcuritĠ du systğme dinformation de lorganisme auditĠ selon

le modèle " Etat de maturitĠ de la sĠcuritĠ du systğme dinformation de Nom_Organisme_Audité»

(voir Annexe 6).

9 PrĠsentation dĠtaillĠe des rĠsultats de laudit

de: o présenter les bonnes pratiques identifiées. o présenter la liste de vulnérabilités,

Domaine Critères

daudit RĠsultats de laudit (constats) Description des vérifications effectuées (tests, conditions de test, etc) A.5.1 Orientations de la direction en matiğre de sĠcuritĠ de linformation A.5

Politiques de

la sécurité de linformation

A.5.1.1 Politiques de

sécurité de linformation

Bonnes pratiques identifiées

Bonne pratique 1

Bonne pratique 2

Vulnérabilités enregistrées

Vulnérabilité 1 - Référence de la

vulnérabilité 1

A.5.1.2 Revue

des politiques de sécurité de linformation

Bonnes pratiques identifiées

Bonne pratique 1

Bonne pratique 2

Vulnérabilités enregistrées

Vulnérabilité 1 - Référence de la

vulnérabilité 1

Critère 3

A.6

Critère 1

A.18

Critère 1

Pour chaque vulnérabilité non acceptable enregistrée :

Référence de la vulnérabilité:

Description :

Preuve(s) daudit ͗ les preuǀes daudit doiǀent ġtre regroupĠes par domaine, triées par critère

daudit et placĠes dans une Annexe " Preuǀes daudit - Libellé du Domaine »

Composante(s) du SI impactée(s) :

Recommandation :

Remarques et Recommandations :

9 Les domaines de la sĠcuritĠ des systğmes dinformation couǀerts par laudit peuvent être

classés en 3 niveaux : - Aspects organisationnels de la sĠcuritĠ des systğmes dinformation - SĠcuritĠ opĠrationnelle des systğmes dinformation Laudit de la sécurité opérationnelle doit couvrir les volets suivants : - Audit de larchitecture rĠseau - Audit de linfrastructure rĠseau et sĠcuritĠ - Audit de la sécurité des serveurs (couche système et rôle du serveur) - Audit de la sécurité des applications

9 Les critğres daudit doiǀent ġtre vérifiés sur toutes les composantes du champ de laudit,

toute exclusion du champ de laudit doit ġtre argumentĠe En cas de recours ă lĠchantillonnage, en commun accord aǀec le maitre douǀrage, pour o présenter clairement les critères de choix probants de l'échantillonnage; o dĠcrire eǆplicitement lĠchantillon (lĠchantillon doit ġtre reprĠsentatif); o couǀrir par lΖaudit tout lĠchantillon choisi.

identifiĠes et les ǀulnĠrabilitĠs identifiĠes en les classant par domaine et par critğre daudit.

9 Les preuves daudit peuvent être de nature :

- Physique : c'est ce que l'on voit, constate = observation,

- Testimoniale : témoignages. C'est une preuve très fragile qui doit toujours être recoupée et

validée par d'autres preuves, - Documentaire : procédures écrites, comptes rendus, notes, - Analytique : rapprochements, déductions à partir des résultats des tests techniquesquotesdbs_dbs9.pdfusesText_15

[PDF] [PDF] Modèle de Rapport dAudit de la Sécurité des Systèmes dInformation

Avant-propos

2004-1250, aux organismes audités de disposer de garanties sur la qualité des résultats des audits

Modèle de Rapport

G·$XGLP GH OM 6pŃXULPp GHV

6\VPqPHV G·HQIRUPMPLRQ

Évolutions du document

Version Date Nature des modifications

1.0 19/12/2014 Version initiale

1.1 03/06/2015 Ajout de recommandations

1.2 03/05/2017

1.3 14/10/2019 ministre des

01 Octobre 2019, fixant le cahier des charges relatif à

фNom du Bureau dauditх

Rapport dAudit de la Sécurité du

Systğme dInformation

De

Version du document Date Diffusion

1.1 Confidentialité du document

1.2 Historique des modifications

Version Date Auteur Modifications

1.3 Diffusion du document

Diffusion (coté Nom_Bureau_Audit)

Nom Prénom Titre Tél Mail

Diffusion (coté Nom_Organisme_Audité)

Nom Prénom Titre Tél Mail

1 Aǀant propos

1250),

3 Termes et dĠfinitions

4 RĠfĠrences

5 PrĠsentation de lorganisme auditĠ

Annexe 1,

6 Champ daudit

6.1 Périmètre géographique

Structure Lieu dimplantation

2 Cadre de la mission

6.2 Description des systğmes dinformation

6.3 Schéma synoptique de larchitecture du réseau

7 MĠthodologie daudit

Remarques et Recommandations :

9 Laudit devra prendre comme référentiel de base le rĠfĠrentiel daudit de la SĠcuritĠ des

9 La maturité des mesures et contrôles de sécurité mis en place doit être établie en rapport

A.5 Politiques de sécuritĠ de linformation

A.7 Sécurité des ressources humaines

A.8 Gestion des actifs

A.10 Cryptographie

A.11 Sécurité physique et environnementale

A.12 SĠcuritĠ liĠe ă leǆploitation

A.13 Sécurité des communications

A.15 Relations avec les fournisseurs

A.18 Conformité

Titre du

Champs dinterǀention

Ex : AOP, Audit serveurs, Audit

BD, Audit équipements réseaux,

Membre

Nom Prénom Qualité Fonction

8 Synthğse des rĠsultats de laudit

9 PrĠsentation dĠtaillĠe des rĠsultats de laudit

Domaine Critères

Politiques de

A.5.1.1

Politiques de

Bonnes pratiques identifiées

Bonne pratique 1

Bonne pratique 2

Vulnérabilités enregistrées

Vulnérabilité 1 - Référence de la

A.5.1.2 Revue

Bonnes pratiques identifiées

Bonne pratique 1

Bonne pratique 2

Vulnérabilités enregistrées

Vulnérabilité 1 - Référence de la

Critère 3

Critère 1

Critère 1

Référence de la vulnérabilité:

Description :

Composante(s) du SI impactée(s) :