TP1 — Audit organisationnel sur cas d'étude (ISO 27001) (2h)¶
Objectif¶
S'exercer à la démarche d'audit organisationnel sur un cas fictif, sans manipulation technique.
Cas d'étude¶
L'enseignant fournit un dossier documentaire fictif d'une PME (« TechSA ») : politique de sécurité (2 pages), extrait de procédure de gestion des accès, extrait de journal d'incidents, organigramme, et un compte rendu d'entretien avec le RSSI.
Exercice 1 — Revue documentaire¶
À partir des documents fournis, remplir une grille d'évaluation (fournie) couvrant au moins 8 exigences de l'ISO 27002 réparties sur au moins 3 thèmes (organisationnel, humain, technologique). Pour chaque exigence, indiquer : exigence attendue, preuve documentaire trouvée (ou absente), niveau de maturité (0 à 5).
Exercice 2 — Analyse d'écart¶
Identifier les 5 écarts les plus critiques et les classer par ordre de priorité, en justifiant le critère de priorisation choisi (impact potentiel, probabilité, facilité de correction).
Exercice 3 — Simulation d'entretien¶
En binôme, l'un joue le rôle de l'auditeur, l'autre du RSSI de « TechSA ». L'auditeur pose des questions pour vérifier l'application réelle d'une procédure décrite dans le dossier (ex. la revue périodique des droits d'accès a-t-elle réellement lieu ?). Noter les réponses et évaluer si elles confirment ou infirment la conformité déclarée.
Exercice 4 — Recommandations¶
Pour les 5 écarts identifiés à l'exercice 2, rédiger une recommandation concrète et réaliste pour une PME (budget limité), en distinguant les actions à coût nul (procédure, organisation) des actions nécessitant un investissement.
À rendre¶
La grille d'évaluation complétée et la liste priorisée des écarts avec recommandations (1 page de synthèse).
Dr. Zakaria Sawadogo — École Polytechnique de Ouagadougou