Définition : (Source: : IFACI - Institut de l’Audit Interne 2001)
L’audit interne est une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée.
Il aide cette organisation à atteindre ses objectifs en évaluant, par une approche systématique et méthodique, ses processus de management des risques, de contrôle, et de gouvernement d’entreprise, et en faisant des propositions pour renforcer leur efficacité.
Dans la cadre de la sécurité ses systèmes d'information, l'audit interne est une des mesures de sécurité du Système de Management de la sécurité du SI. C'est une des clauses obligatoires de la mise en oeuvre d'un SMSI conforme à l'ISO 27001 : Clause 6.
Il contribue à vérifier de façon indépendante et objective

• l'efficience des dispositions du SMSI
• l'efficacité des mesures de sécurité organistationnelles, procédurales ou techniques choisies pour réduire les risques à un niveau acceptable.

L’audit de sécurité du système d’information est un examen méthodique d’une situation liée à la sécurité de l’information en vue de vérifier sa conformité à des objectifs, à des règles, à des normes ou référentiels.
Démarche :
L'audit interne doit prendre en compte l'environnement global de l'entreprise en vue de vérifier l'alignement de la Politique SSI adoptée avec les enjeux, les risques opérationnels et la stratégie de l'entreprise.
Ainsi, l'analyse et le traitement des risques opérationnels de l'entreprise et des risques spécifiques liés au SI restent la base de toute démarche d'audit.
L'audit interne peut adresser des problématiques différentes comme par exemple :

• la prise en compte des contraines légales ou réglementaires,
• l'alignement des risques SSI avec les enjeux de l'entreprise,
• Conformité réglementaire et juridique
  
• le système de management de la SSI,
• la politique de sécurité,
• la mise en oeuvre de la politique de sécurité
• l'efficacité des mesures de sécurité

Audit de Sécurité	Référentiels
Audit des risques et Alignement stratégique	Méhari, EBIOS  ISO13335  ISO 27005
Audit de conformité Juridique / Réglementaire	Arcenal Juridique ad'hoc  CNIL  SOX  Réglements sectoriels
Audit du système de management SMSI	ISO 27001  ISO 27006  ISO 27007  ISO 27008
Audit de la politique de sécurité	ISO 27001  ISO 27002
Audit de la mise en oeuvre dela politique de sécurité	ISO 27001  ISO 27002  ISO 27005  BSI 25999  ITIL  COBIT  IS AUDIT ISACA  SSE-CMM
Audit de l'efficacité des mesures de sécurité	Grilles d'investigation  spécialisées par domaine

Démarche d'Assurance SSI : inspiré de ISACA IT Assurance Road Map



L'enchainement des étapes et des livrables :


© SSi-Conseil 2007

Pour aller plus loin :
Journal du net Solution : L'audit, pierre angulaire de la sécurité informatique