CHAPITRE 3 : METHODOLOGIE DE LA RECHERCHE
Après avoir émis la théorie concernant
la sécurité de l'information et sa gestion ainsi que le cadre
référentiel, nous allons avec l'exemple de ECOBANK CI, comprendre
dans la pratique comment est gérée la sécurité de
l'information en milieu bancaire et quelle est la contribution de l'audit
interne à son bon fonctionnement et à son maintien face aux
risques divers de sécurité. Il s'agira pour nous dans cette
partie, de constater, d'observer, de diagnostiquer le SGSI quant aux normes et
aux bonnes pratiques et d'en ressortir les résultats d'analyse. Les
points de défaillances qui seront découverts pourront faire
l'objet de missions d'audit interne pour l'apport de solutions de
pérennité et de bonne gouvernance.Ceci accentuera le rôle
de l'audit interne au sein de la banque et démontrera sa contribution
pour l'atteinte effective des objectifs de sécurité de
l'information. Notre démarche méthodologique sera
présentéede manière succincte ci-après.
3.1
Le modèle d'analyse
Notre modèle d'analyse est schématiséen
méthodes, étapes et outils. Ce modèle nous permettra de
décrire et apprécier le cadre de gestion de la
sécurité de l'information de même que le rôle de la
direction de l'audit interne dans le maintien et l'amélioration de la
sécurité de l'informationau sein de ECOBANK CI comme
suit :
Figure 3 : Modèle
d'analyse
ü interview
ü questionnaire de prise de connaissance
Apprécier l'existence d'une Direction d'audit interne
et d'un SMSI ainsi que leurs rôles
PlanificationEtapesOutils
1. Prise de connaissance
2. Evaluation de la gestion du SMSI et Evaluation des
opérations et de la gestion de la technologie de sécurité
de l'information
ü apprécier le processus de gouvernance
ü apprécier l'existence et le fonctionnement du
dispositif de contrôle
ü présentation et analyse des risques
ü interview
ü revue documentaire
ü observation
ü tests de conformité
ü les outils du CobiT (CMMI)
Proposition de lignes directrices pour les missions d'audit
3. Phase de recommandation
Source : Nous-même
3.2
La démarche d'analyse utilisée
Pour notre étude, nous avons opté pour un plan
à 3 niveaux d'étude. Nous allons premièrement prendre
connaissance du SMSI de Ecobank Cote d'Ivoire afin d'apprécier non
seulement son existence mais aussi son mode de fonctionnement. Ensuite nous
décrirons la fonction d'audit interne, son rôle au sein de la
banque et en matière de sécurité de l'information. La
prise de connaissance du SMSI s'effectuera à l'aide des 6
éléments clés de sécurité de l'information
de la norme ISO 27002 décrit par ISACA (2011 ; 365 - 366) à
savoir : engagement de la direction, organisation, politiques et
procédures, sensibilisation et éducation, contrôle et
conformité et enfin gestion et intervention face à l'incident.
En second plan, nous effectuerons une évaluation
à proprement dit de la gestion de la sécurité de
l'information puis des opérations et de la gestion de la technologie de
sécurité de l'information.Pour évaluer la gestion de la
sécurité de l'information, nous apprécierons le processus
de gouvernance du SMSI. Nous constaterons la présence ou non d'un
comité de pilotage crée à cet effet ainsi que l'existence
d'une stratégie de gouvernance clairement définie et
respectée tout en passant par une évaluation et une analyse des
risques. Ensuite pour l'évaluation des opérations de la gestion
des technologies de sécurité de l'information, nous
apprécierons l'existence et le fonctionnement du dispositif de
contrôle relatif à la sécurité de l'information.
Ceci sera également suivi d'une analyse des risques éventuels de
sécurité.
Enfin à travers un système de cotation du niveau
de maturité du SMSI allant de 0 à 5et un tableau contenant les
faiblesses et les risques, nous ferons ressortir des points caractériels
du SMSI. Nous apporterons par la suite les recommandations jugées
nécessaires qui découleront de notre synthèse.
Nous notons que différents aspects peuvent influencer
la gestion de la sécurité de l'information. Nous aurons donc
à apprécier dans le contexte de l'analyse par les risques:
ü les ressources humaines : la direction
générale, le personnel en charge de la sécurité de
l'information, les autres membres du personnel etc.
ü le système informatique : la gestion des
applications, matériels informatiques et logiciels, les réseaux,
l'environnement physique etc.
ü la gestion des données ou informations,
classification, sauvegarde, plan de continuité d'activités et de
gestion des incidents etc.
ü l'organisationnel (politiques, procédures et
règlements en vigueur, organigramme, conformité)
Notre évaluation aura pour but principal de s'assurer
du respect de l'intégrité, de la confidentialité et de la
disponibilité de l'information au sein de ECOBANK CI.
| 
