Contribution de l'audit interne a la sécurité de l'information en milieu bancaire

5.1.2 Politique et procédures

Il existe au sein de Ecobank CI, une politique de sécurité ainsi que des procédures bien formalisées.La politique de sécurité est approuvée par la Direction générale qui est par ailleurs garant de son exécution. En pratique, la spécificité de ces directives l'oblige à déléguer son pouvoir aux directions métiers telles que : la Direction des Opérations et de la Technologie, la Direction du Contrôle Interne et la Direction de l'Audit Interne.Le groupe SECURITY de la maison mère a défini des politiques qui régissent la sécurité de l'information concernant les points suivants: sécurité internet, contrôle d'accès, gestion d'actifs, communication, conformité, ressources humaines, gestion des incidents de manipulation, sécurité des échanges d'information, développement du système, l'organisation de l'information, l'environnement physique. Ces documents sont accessibles à tout le personnel sur l'intranet de la banque. Les processus et manuels de procédures découlent de ces politiques pour permettre à la banque de fonctionner correctement. Pour l'instant trois manuels^4(*) de procédures relatifs à la sécurité de l'information sont établis.Notons que ces manuels n'existaient pas avant juillet 2013. Ils concernent :

ü gestion des données des ordinateurs(portable / de bureau)

ü gestion du réseau pour la sécurité de l'information;

ü gestion du réseauWLAN

La mise à jour des procédures tient compte de l'évaluation annuelle des risquesen chaque début d'année. La cartographie des risques comprend tous les risques y compris ceux relatifs aux technologies de l'information.

5.1.3Organisation

Concernant l'organisation, il existe un responsable de la sécurité de l'information à Ecobank CI depuis 2013. Représentant du Groupe SECURITY, il est chargé de la gestion de la sécurité de l'information et de l'ensemble de son système. Il a également pour tâche la planification et la mise en oeuvre effective du BCP (Business Continuity Plan). Dans la structure organisationnelle (organigramme), il est rattaché à la Direction Informatique, sous les autres directions métiers de la banque. Nous pouvons néanmoins constater l'absence d'un comité de pilotage de la sécurité au sein de la filiale.Le responsable de la sécurité de l'informationcollecte les informations bien évidemment auprès des autres corps métiers mais établit seul les stratégies et l'approche adéquate de la gestion de la sécurité pour les différentes activités de la banque.

Il existe aussi une divisionIT en charge de la maintenance, de la gestion des applications fonctionnelles de base (système d'exploitation, email etc.) et de l'apport de solutions informatique pour supporter le business. Le responsable de la sécurité de l'information est chargé du suivi de l'exécution des grandes lignes de sécurité définie par le Groupe Ecobank. Sur le plan fonctionnel, il fait partie du Groupe Security. Celui-ci émetaussi les objectifs de contrôle à atteindre en matière de sécurité de l'information.Cet organe a une forte implication et assure la promotion de la sécurité de l'information par la sensibilisation et la formation du personnel et aussi par l'acquisition de moyens de contrôle.

Aussi l'audit interne au niveau des filiales s'assure de l'application des procédures établies pour le bon fonctionnement du SMSI et de l'alignement continu du dispositif de contrôle interne aux objectifs fixés par la banque.

Concernant l'organisation des donnéesnumériques à traiter, Ecobank CI s'est appropriéune application bancaire nommée FLEXCUBE. Cette application a remplacé une autre du nom de GLOBUS qui était devenu obsolète pour l'activité de la banque.Quant aux données matérielles ou physiques, elles sont classées et conservées dans des armoires ou des cartons sans ordre de priorité particulier à l'intérieur de salles établies à cet effet.

Pour la gestion de la sécurité de l'information d'avec l'extérieur, Ecobank CI utilise des moyens comme désactiver les ports USB, la sensibilisation des partenaires externes et le contrôle des accès. Les contrats faits avec l'extérieur présentent des clauses claires de confidentialité.

* ⁴Informations reçues suite au questionnaire de prise de connaissance du SMSI