COBIT : qui décide pour l'informatique, et comment savoir que cela fonctionne
Nous vous aidons à utiliser le cadre COBIT de l'ISACA pour mettre en place une gouvernance du système d'information que la direction comprend et que les auditeurs peuvent suivre.
Présentation
Ce qu'est COBIT
COBIT est le cadre de l'ISACA pour la gouvernance et le management de l'information et des technologies de l'entreprise. Il distingue la gouvernance, où l'organe de direction évalue, oriente et surveille, du management, où les équipes planifient, construisent, exploitent et contrôlent. Ses objectifs sont regroupés en domaines selon cette ligne.
COBIT ne vous impose pas un catalogue fixe de mesures. Vous adaptez un système de gouvernance à votre organisation à l'aide de facteurs de conception tels que la stratégie, le profil de risque et le rôle de l'informatique, puis vous vous concentrez sur les objectifs qui comptent. Les processus peuvent être évalués en niveau de capacité, pour dire où ils en sont et où vous voulez les amener.
COBIT n'est pas certifiable pour les organisations. L'ISACA certifie des personnes sur le cadre, pas des entreprises. Il s'articule bien avec l'ISO/IEC 27001 et les cadres du NIST, et nous établissons les correspondances pour qu'un même ensemble de preuves serve plusieurs fins.
À qui s'adresse ce service
Les organisations où l'informatique est au cœur de l'activité et dont la direction veut la gouverner plutôt que l'apprendre après coup, les groupes comptant plusieurs fonctions informatiques qui ont besoin de règles de décision communes, et les organisations dont les auditeurs ou les autorités parlent déjà COBIT.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Conception du système de gouvernance
Nous parcourons avec vous les facteurs de conception et décidons quels objectifs de gouvernance et de management sont prioritaires.
Rôles et droits de décision
Qui oriente, qui approuve, qui exploite et qui contrôle, mis par écrit pour survivre à une réorganisation.
Évaluation des capacités
Une évaluation de la maturité actuelle des processus du périmètre, fondée sur des entretiens et des preuves, et du niveau visé.
Objectifs de risque et de sécurité
Une attention particulière aux objectifs liés au risque, à la sécurité et à la continuité, là où COBIT rejoint le reste de votre programme de sécurité.
Correspondance avec l'ISO/IEC 27001 et le NIST
Nous rattachons les objectifs COBIT aux mesures de l'ISO/IEC 27001 et au NIST Cybersecurity Framework, pour que les cadres se renforcent au lieu de se concurrencer.
Déroulement de la mission
Lancement
Nous convenons du périmètre, des interlocuteurs et de ce que la direction attend de la démarche, et signons d'abord un accord de confidentialité si vous le souhaitez.
Proposition
Une proposition commerciale précisant la méthode, le périmètre et le type de contrat qui vous convient.
Ateliers de conception
Des séances avec la direction et l'informatique pour parcourir les facteurs de conception et choisir les objectifs prioritaires.
Évaluation
Entretiens et revue des preuves sur les objectifs du périmètre, avec un niveau de capacité pour chacun.
Restitution
La conception de la gouvernance, l'évaluation, les correspondances avec les autres cadres et une feuille de route, présentées à la direction.
Clôture
Clôture du projet avec vos retours et, en option, un accompagnement pendant la mise en œuvre de la feuille de route.
Ce que vous recevez
- Système de gouvernance adapté avec objectifs prioritaires
- Rôles, responsabilités et droits de décision
- Évaluation des capacités des processus du périmètre
- Correspondance avec l'ISO/IEC 27001 et le NIST CSF
- Feuille de route avec responsables
- Rapport de synthèse pour le conseil et la direction
Questions
Notre organisation peut-elle être certifiée COBIT ?
Non. Il n'existe pas de certification COBIT pour les organisations. L'ISACA propose des certifications aux personnes qui travaillent avec le cadre. Ce que vous pouvez obtenir, c'est une évaluation indépendante de votre gouvernance et de la capacité de vos processus.
COBIT remplace-t-il l'ISO/IEC 27001 ?
Non. COBIT couvre la gouvernance et le management de l'ensemble du système d'information. L'ISO/IEC 27001 est un système de management certifiable pour la sécurité de l'information. Beaucoup d'organisations utilisent COBIT pour la gouvernance d'ensemble et l'ISO/IEC 27001 pour la sécurité, en reliant les deux.
COBIT est-il réservé aux grandes organisations ?
Il est surtout répandu dans les grandes structures, mais les facteurs de conception servent justement à le réduire à la bonne échelle. Une organisation plus petite peut se limiter à quelques objectifs et en retirer des droits de décision clairs.
Couvrez-vous aussi le volet sécurité ?
Oui, c'est notre terrain principal. Nous portons une attention particulière aux objectifs de risque, de sécurité et de continuité, et les relions à vos mesures et à vos politiques.
Services associés
- Gouvernance et risquesNIST Cybersecurity FrameworkNIST CSF 2.0 avec Black Fox Security : profils actuel et cible sur Govern, Identify, Protect, Detect, Respond et Recover, et un plan pour combler l'écart.
- Conformité et certificationISO/IEC 27001ISO/IEC 27001 avec Black Fox Security : périmètre du SMSI, appréciation des risques, déclaration d'applicabilité, audit interne et préparation à la certification.
- Conseil et réponseRSSI virtuelUn RSSI virtuel de Black Fox Security : stratégie et feuille de route, reporting à la direction, politiques, audits et questionnaires de sécurité clients.
- Gouvernance et risquesPolitiques et procéduresBlack Fox Security rédige et revoit vos politiques de sécurité : usage, contrôle d'accès, incidents, fournisseurs, sauvegarde et plus, pour ceux qui les appliquent.
Décidez qui décide
Dites-nous comment se prennent aujourd'hui les décisions informatiques. Nous vous aidons à les rendre délibérées.