M117 – Sécurisation d’un réseau

1. Introduction Le référentiel CobiT (Control OBjectives for Information & related Technology) est une méthode de Maîtrise des Systèmes d’Information (IT Gouvernance) et d'audit de systèmes d'information, éditée par l’Information System Audit & Control Association (ISACA) en 1996. C'est un cadre de contrôle qui vise à aider le management à gérer les risques (sécurité, fiabilité, conformité) et les investissements.

Cobit est une approche orientée processus : les tâches et activités définies sont intégrées dans les 34 processus établis, ces derniers sont eux-mêmes regroupés en 4 domaines de processus.

Cobit est une approche multi-critères, qui permet à chaque utilisateur de ce référentiel d'obtenir pour chaque processus les informations qui l'intéressent. Il y a un certain nombre d'outils qui ont été mis en place afin de coller aux besoins des entreprises selon leur importance et la complexité de leur SI.

L'IT Governance affirme la responsabilité du Comité de Direction et de l'encadrement, au même titre que d'autres préoccupations essentielles relevant du management de l'entreprise, pour ce qui concerne :

1. l'alignement des évolutions du SI avec la stratégie 'business", 2. la création de valeur en permettant de saisir les opportunités et générer du profit, 3. la gestion de risques liés au SI, 4. la bonne utilisation des ressources informatiques, 5. la mesure des performances.

Ces 5 exigences que devraient exprimer les dirigeants (selon l'ITGI) peuvent être prise en compte dans l'établissement d'une normalisation des processus avec le COBIT.

2. Historique et acteurs La nécessité d’avoir un cadre de référence en matière de sécurité et de contrôle des technologies de l'information a poussé l’ISACA (Information Systems Audit and Control Association) à créer la méthode COBIT en 1996. Cette méthode est diffusée en France par sa branche française l'AFAI (Association Française de l’Audit et du Conseil Informatique).

L’objectif était de faire le lien entre les risques métiers, les besoins de contrôle et les questions techniques en se basant sur les meilleures pratiques en audit informatique et SI.

Titre du document Le COBIT se destine aussi bien au management (qui doit décider des investissements à effectuer pour assurer la sécurité et la maîtrise des TI, et les ajuster suivant les risques de l'environnement) qu’aux utilisateurs (sécurité, mise sous contrôle des services informatiques fournis). La méthode COBIT se veut le modèle de référence de la gouvernance des TI.