Pourquoi observer le travail réel des équipes pendant un audit informatique ?
D’après Audit du système d’information
Préparer la formulation de recommandations
Enfin, cette étape oriente fortement les recommandations que l’auditeur formulera dans les phases ultérieures.
Plus les observations de terrain sont fines et argumentées, plus l’on pourra proposer des mesures correctives ou préventives adaptées, tenant compte des spécificités techniques et organisationnelles.
Sans une bonne compréhension du “vécu” des équipes et de la réalité opérationnelle, le risque est de proposer des recommandations théoriques, difficiles à implémenter.
Observation directe
L’observation directe consiste à se rendre physiquement sur les lieux (locaux de la DSI, salles serveurs, sites distants, etc.) pour constater :
Les conditions réelles de sécurité physique par exemple (contrôle d’accès, surveillance, conditions environnementales)
Le respect de certaines procédures (ex. : identification des visiteurs, usage de badges, mesures d’hygiène informatique)
L’organisation concrète des équipes (postes de travail, communication interne, tableaux de suivi, etc.).
Cette technique est particulièrement prisée pour l’audit de sécurité physique (ISO 27002, chapitres A.11 dans la version 2013 ou A.7 dans la version 2022 réorganisée), ou encore pour vérifier la disponibilité d’équipements de secours (onduleurs, systèmes anti-incendie).
Les visites de datacenters permettent de confirmer si des éléments comme la redondance électrique, la climatisation, le filtrage des accès sont bien en place, en plus de ce qui est annoncé sur le papier.