Home » Posts tagged 'ISACA'

Tag Archives: ISACA

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

COBIT et VeriSM : la recette du succès

Le modèle VeriSM récemment lancé, semble être un complément intéressant à COBIT. VeriSM, bien que très récent, a suscité beaucoup d’intérêt et de discussions dans les équipes de gestion des services. Déjà de nombreuses organisations envisagent et évaluent cette approche.

COBIT et VeriSM : La recette du succès
Crédit : © Dreamstime

Des idées clés au cœur de VeriSM

Quelques idées fortes sont au coeur même du modèle VeriSM :

  • Dans un monde de services numériques, gouverner les services devient une préoccupation importante pour l’ensemble de toute organisation. Ce n’est plus le problème de l’informatique uniquement,
  • Le « département informatique » est simplement une aptitude organisationnelle comme toutes les autres (par exemple les RH, les ventes, le marketing). Il doit donc travailler en étroite collaboration avec toutes les autres capacités de conception, de construction et de gestion des services numériques,
  • Toutes les organisations doivent prendre conscience de leur environnement, des ressources et capacités disponibles (à la fois en interne et en externe) lors de la conception, du développement et de la fourniture de services numériques. C’est le concept de réseau de management ou de management maillé,
  • Des principes de gestion des services clairement définis devraient servir de guide pour tout nouveau service. Ceci, afin de garantir que ce sont bien les bons «muscles» du maillage qui sont sollicités au fur et à mesure du développement du service et pendant toute la durée de son cycle de vie.

VeriSM n’est pas en soi un cadre, un référentiel ou une méthodologie. VeriSM est, en fait, un modèle préconisant l’évaluation et l’utilisation flexible des pratiques de gestion. Ces pratiques sont décrites dans VeriSM au travers des éléments du management maillé (« Management Mesh« ).

COBIT 5 est l’un de ces cadres de meilleures pratiques en matière de gouvernance et de management de l »information. Il présente donc une grande synergie avec VeriSM. De ce fait COBIT 5 aidera les organisations à adopter une approche VeriSM et à établir et exploiter efficacement un maillage du management.

LE CONCEPT DE MANAGEMENT MAILLE DE VeriSM

VeriSM - Le management maillé
Crédits © Van Haren 2017

COBIT 5 pour la Gouvernance

Le modèle VeriSM repose sur l’établissement d’une gouvernance efficace des services gestion de l’information et de la prestation de services informatiques performants.

COBIT 5 est un cadre reconnu en matière de gouvernance de l’Entreprise. Il définit un référentiel unique de gouvernance qui couvre de façon transparente l’ensemble de l’Entreprise, de manière globale et de bout en bout. Il s’agit là de trois des cinq principes clés de COBIT.

COBIT 5 : LES 5 PRINCIPES

COBIT : les 5 principes
Crédits : © ISACA 2012 – Tous droits réservés

Les principes de gestion des services VeriSM doivent refléter les besoins et les moteurs de l’organisation et de ses parties prenantes traduits en objectifs de l’entreprise. Ils constituent donc une composante clé de la gouvernance.

La cascade d’objectifs de COBIT 5

Les besoins des parties prenantes de l’Entreprise doivent être traduits en actions stratégiques pour être mise en oeuvre. La cascade d’objectifs de COBIT 5 représente le mécanisme de traduction des besoins des parties prenantes en objectifs d’entreprise précis, réalisables et personnalisés, puis en objectifs liés aux TI et en objectifs pour chacun des facilitateurs. Cette traduction permet de fixer des objectifs précis à tous les niveaux. De plus, ces objectifs couvrent tous les domaines de l’entreprise. Ils viennent ainsi en appui aux objectifs généraux et aux exigences des parties prenantes. Ils permettent donc de soutenir efficacement l’alignement entre les besoins de l’entreprise et les solutions et services informatiques.

LA CASCADE D’OBJECTIFS DE COBIT 5

La cascade d'objectifs de COBIT 5
Crédit : © ISACA 2012 – Tous droits réservés

COBIT 5 fournit de plus une matrice permettant de faire correspondre les principales préoccupations des parties prenantes avec 17 objectifs génériques de toute Entreprise. Grâce à une seconde matrice, ces 17 objectifs d’Entreprise peuvent ensuite être  mis en correspondance avec 17 objectifs pour le département TI. Par exemple, l’objectif de transparence financière de l’Entreprise  pourra être mis en correspondance avec l’objectif TI de « transparence des coûts, des bénéfices et des risques IT ». Enfin, une troisième matrice permet de faire correspondre ces objectifs TI avec les processus à mettre en oeuvre ou à améliorer. Les processus constituent une des 7 catégories de facilitateurs. La relation n’est pas univoque. Un processus de bas niveau peut ainsi supporter plusieurs objectifs d’entreprise. Toutefois grâce à cette cascade d’objectifs, il est aisé d’identifier les principaux processus soutenant chacun des objectifs stratégiques de l’Entreprise.

Bien sûr chaque entreprise est différente. Ces matrices sont donc fournies à titre d’exemples et doivent être adaptées à chaque organisation spécifique.

Le management maillé de VeriSM

Les organisations définiront leur maillage de gestion de différentes manières qui leur seront propres. Comme indiqué ci-dessus, les éléments du maillage sont nombreux et variés. COBIT 5 encourage également une approche holistique pour comprendre et rassembler les différentes ressources et capacités de gestion des services.

COBIT 5 définit 7 catégories de facilitateurs (« enablers ») :

Les 7 facilitateurs de COBIT 5
Crédit © ISACA 2012 – Tous droits réservés

À l’heure actuelle, l’ISACA n’a publié des guides de référence détaillés que pour les facilitateurs « processus » et « information« . Cependant ils fournissent des indications importantes et suffisantes sur la documentation et la classification des éléments clés de tout maillage de gestion.

La mise en œuvre de VeriSM en Entreprise

Les organisations qui adoptent d’abord une approche VeriSM considéreront / évalueront très probablement COBIT 5 comme une manière d’ajouter une valeur significative au maillage de gestion. A l’opposé, les organisations qui utilisent déjà COBIT 5 y trouveront un avantage significatif lors de l’adoption d’une approche VeriSM. Quel que soit le modèle proposé en premier, le cycle de vie de mise en oeuvre inclus dans COBIT 5 est une excellente démarche pour répondre à la complexité et aux défis généralement rencontrés lors de tout projet de transformation.

L’approche de programme de transformation de COBIT 5

COBIT 5 : Le modèle de mise en oeuvre
Crédit © ISACA 2012 – Tous droits réservés

Le diagramme ci-dessus décrit avec une extrême précision le modèle de mise en oeuvre de tout projet de transformation.  Expliqué en détail dans le Guide de mise en œuvre  de COBIT 5 (ISACA) et soutenu par une qualification professionnelle, l’approche selon le cycle de vie détaille une démarche holistique en 7 étapes pour parvenir à un changement durable en se focalisant sur trois axes :

  • Amélioration continue : Permettre et soutenir le changement organisationnel pour offrir des avantages durables en veillant à ce que les améliorations soient intégrées dans la structure de l’organisation,
  • Facilitation du changement : Le programme est conçu pour soutenir le besoin d’amélioration continue, avec des changements apportés dans des itérations hiérarchisées et gérables, garantissant que les avantages sont fournis à un rythme de changement auquel l’organisation peut faire face,
  • Gestion de programme : appliquer des techniques formelles de gestion de programme et de projet (analyse de rentabilisation formelle, objectifs bien définis et bien définis, parrainage de cadres) pour garantir que les avantages sont réalisés

L’importance de la facilitation du changement

On estime jusqu’à 70% le taux d’échec des projets de transformation. Bien sûr, il y a de nombreuses raisons à cela. Cependant,  parmi celles-ci, les principales sont liées aux personnes et en particulier à la résistance au changement.

Kotter reconnaît cela dans son modèle de changement en huit étapes, dont la première étape critique est de créer un sentiment d’urgence. Cela se reflète dans l’étape 1 de l’anneau de facilitation du changement. En clair, cela signifie être capable de répondre à la question suivante :


Il y a un million et une chose que nous pourrions faire,

Pourquoi cela doit-il se produire et pourquoi cela doit-il arriver maintenant?


Si cela ne peut pas être clairement expliqué, d’une manière qui ait du sens et soit convaincante pour l’ensemble de l’organisation, la réponse est probablement : « ça ne marchera pas!« .

Encore une fois, la cascade des objectifs est utile ici. Il devrait y avoir une cascade claire entre les objectifs du programme et la réalisation des objectifs de l’Entreprise. Certes, la réalisation d’objectifs d’entreprise de haut niveau, bien qu’ils soient clairement pertinents pour tous les employés, n’est peut-être pas ce qui nous fait sortir du lit le matin. Cependant, c’est ce qui excite les plus hauts niveaux du management organisationnel et de la gouvernance. C’est donc ce qui assurera le parrainage de la direction qui est si crucial pour la réussite de tout programme.

Les services numériques au coeur du besoin de transformation des entreprises

Il existe de nombreuses définitions différentes du terme service numérique. La mienne serait : un service numérique est un service qui permet aux consommateurs de traiter avec l’entreprise par voie électronique à un moment et à un endroit qui leur conviennent, sans qu’une interaction humaine soit nécessaire. Amazon, Uber, Airbnb sont tous des exemples de fournisseurs de services numériques. La demande des consommateur est en croissance exponentielle. Déjà aujourd’hui on voit les consommateurs aller voir et toucher les produits qu’ils souhaitent acheter dans des magasins. Ensuite ils rentrent les commander en ligne sur un site de vente en ligne tel qu’Amazon. Demain cela concernera 90% des Entreprises dans tous les domaines (banques, assurance, hôtellerie, etc.). Toutes ces Entreprises vont devoir se transformer pour survivre.

 

Crédits : Mark Flynn et blog de l’APMG

Ce n’est pas le CISA qui fait un bon auditeur

Je suis toujours très étonné de constater que les pages les plus consultées sur ce blog sont celles qui font référence au CISA, à la certification PMP et aux certifications qui correspondent aux meilleurs salaires. C’est un peu comme si le fait de posséder une certification garantissait un niveau de rémunération. D’ailleurs une des pages les plus populaires de ce blog est celle qui liste les 6 certifications les mieux payées.

Le CISA ne fait pas un auditeur
Crédit © Bakhtiarzein

Le CISA est une certification professionnelle, pas un label

En France et dans la majorité des pays francophones, on cultive une vénération totalement incohérente pour les diplômes et les certifications de tout type. Ainsi, un de mes clients, en Afrique de l’Ouest, membre de l’élite dirigeante, me confiait :


Aux Etats-Unis, quand tu recherches un emploi, le recruteur te demande: « Pourquoi voulez-vous travailler pour nous et qu’est-ce que vous pouvez nous apporter? ». En France le recruteur te demande: « Quels diplômes et quelles certifications possédez-vous? ». En Afrique, le recruteur te pose la question suivante: « Qui est-ce qui t’envoie? ».


Tout est résumé dans cette approche. La France est obsédée par les certifications et les diplômes. Dès lors il n’est pas étonnant de voir que l’intérêt des personnes se porte sur les certifications. Et le CISA figurant parmi les certifications qui, statistiquement, sont détenues par des  personnes considérées comme les mieux rémunérées, le raccourci est assez facile. CISA devient synonyme de forte rémunération.

Comment est structuré le CISA?

Essayons d’abord de replacer le CISA dans son contexte. C’est une certification professionnelle, proposée par l’ISACA et destinée à reconnaître les compétences d’auditeurs TI expérimentés. A ce titre, il est composé de deux parties. La première partie est un examen – difficile -de 150 questions destinées à vérifier les connaissances des auditeurs. Il porte sur 5 domaines de connaissances  que devraient posséder à minima tous les auditeurs TI pour accomplir leur mission :

  • Le processus d’audit des SI (représente 21% des connaissances testées)
  • La gouvernance et le management des TI (16% sur l’organisation, les rôles et responsabilités et surtout le système de management de l’entreprise)
  • Acquisition, développement et mise en oeuvre des SI (18% sur l’audit des projets dans le domaine des TI)
  • Exploitation, maintenance et gestion des services (20% sur la production informatique)
  • Protection des actifs informationnels (25% sur la sécurité des systèmes d’information)

Bien évidemment, cela n’est en aucun cas suffisant pour prétendre être un bon auditeur TI. Vous pouvez toujours apprendre par coeur les contenu des manuels, cela ne prouvera jamais que vous êtes compétent. Tout au plus cela prouvera que vous avez « une mémoire de cheval »… Et clairement, vous ne serez pas le profil dont ont besoin les entreprises pour se développer. C’est juste un minuscule premier pas vers la compétence. Pour pouvoir se développer sur leur marché, les entreprises ont besoin de personnels compétents.

La compétence de l’auditeur, dès lors qu’il a acquis les connaissances de base, se mesure à son aptitude à réaliser des missions d’audit. La compétence intègre donc une composante importante liée à l’expérience et au comportement des personnes. C’est ce qui constitue la seconde partie du CISA : la vérification de l’expérience et de l’attitude des candidats sur une durée totale de 5 ans durant les 10 dernières années écoulées.

Comment s’effectue la vérification de la compétence des postulants au CISA?

Chaque postulant à la certification CISA doit remplir des documents listant ses expériences passées dans le domaine de l’audit et du contrôle interne des TI. Chaque document doit ensuite être signé par un (ex-) manager qui pourra attester de la véracité de vos compétences d’auditeur. Lorsque vous avez atteint la durée cumulée de 5 années durant lesquelles il existe des preuves de votre expérience, vous pourrez alors renvoyer votre dossier à l’ISACA. A ce moment, un comité de certification évaluera votre dossier et vérifiera vos compétences. Le plus souvent il s’agit de revoir votre dossier de candidature et de vérifier sa cohérence par rapport au cinq domaines de compétences.

De façon aléatoire et/ou en fonction du résultat de cette revue, ISACA contacte les personnes qui vous ont servi de référence. Elles seront interviewées par un membre de l’ISACA qui vérifiera que le document reçu représente bien la vérité. Ensuite le comité de certification, après délibération, vous attribuera, ou pas, la certification CISA.

Dès lors que l’ISACA reçoit votre dossier complet, le processus  prend environ de 4 à 8 semaines.

Et après l’obtention du certificat?

Ce n’est que lorsque vous recevez le certificat final, à l’issue du processus complet que vous pourrez revendiquer votre certification sur votre CV et sur les réseaux sociaux. Tant que vous n’avez réussi que l’examen seulement, vous n’êtes pas certifié CISA. Dans ce cas, il est d’ailleurs mentionné clairement par l’ISACA que vous ne pouvez en aucune façon le mentionner. Vous ne pouvez revendiquer votre certification qu’en mentionnant votre numéro de certificat. Il est à noter que l’ISACA audite régulièrement les réseaux sociaux afin d’éliminer et de sanctionner les « fraudeurs ».

Il est également important de noter que le CISA étant une certification professionnelle destinée aux auditeurs IT, elle n’est valable que pour une durée de 3 ans. A l’issue de ces trois ans vous serez nudité par le Comité de Certification. Celui-ci déterminera si votre CISA vous est attribué pour 3 années supplémentaires.

Comment maintenir son CISA dans le temps?

Dès l’obtention du CISA, vous serez soumis à des obligations pour pouvoir le conserver. Parmi ces obligations, figure celle d’adhérer au code d’éthique de l’ISACA et de le respecter en toute circonstance. En cas de manquement avéré votre CISA vous sera retiré immédiatement et définitivement. Il vous sera également demandé d’être adhérent à l’ISACA et de maintenir votre adhésion chaque année.

De plus, le métier d’auditeur évoluant en permanence, vous serez obligé, chaque année, de fournir des preuves que vous êtes dans un processus d’amélioration de vos compétences. Cela se fait en suivant des formations, en participant activement à des publications ou encore en participant à des conférences. Chacune de ces activités vous rapportera des CPE (Continual Professional Education). En moyenne, un CPE équivaut à 50 minutes de formation ou d’activité reconnue. Chaque année vous devez communiquer à l’ISACA le nombre de CPE acquis dans l’année écoulée. Vous devez en produire un minimum de 20 par année avec un minimum cumulé de 120 sur 3 ans.

A la fin de chaque période de 3 ans, votre certification est évaluée par le comité de certification et vos CPE peuvent être audités pour s’assurer qu’ils sont bien justifiés. Vous devrez donc conserver précieusement les preuves des CPE que vous revendiquez. Si l’ISACA découvre que vous revendiquez des CPE non valides ou si vous n’atteignez pas le minimum requis sur les 3 ans, votre certificat vous sera immédiatement retiré. Vous devrez alors retirer immédiatement la mention de votre CISA sur vos cartes de visite, vos CV et sur les réseaux sociaux. Le retrait du CISA est définitif. Dans le cas où vous souhaiteriez l’obtenir de nouveau, vous devrez repasser l’examen et suivre de nouveau le processus complet de certification.

Le CISA fait-il de vous un bon auditeur?

Comme vous pouvez le comprendre, le CISA ne fait pas de vous un bon auditeur. Au contraire, c’est si vous êtes déjà un bon auditeur que vous pourrez espérer obtenir le CISA. Ensuite pour le conserver, vous devrez démontrer durant toute votre vie professionnelles que vous restez parmi les meilleurs. C’est ce qui explique la valeur de cette certification et les salaires élevés qui lui sont associés. Les Entreprises sont toujours prêtes à bien rémunérer des personnes compétentes qui leurs apportent de la valeur. Elles n’ont aucun intérêt à rémunérer le savoir. Il est dans ce cas plus simple d’acheter une bonne base de connaissances auprès d’un éditeur. Ce n’est donc pas le CISA qui fait la rémunération. C’est la satisfaction des conditions exigées des auditeurs pour conserver leur CISA qui justifie leur rémunération élevée.

Y a-t-il de mauvais auditeurs parmi les détenteurs du CISA?

Malgré toutes les précautions prises par l’ISACA, il existe bien sûr des cas de personnes qui passent au travers « des mailles du filet ». L’ISACA est une association professionnelle dont l’effectif salarié est d’environ une centaine de personnes au niveau mondial. L’association n’a donc pas les moyens de vérifier en détail tous les dossiers. Elle procède donc par échantillonnage. N’oublions pas que nous avons affaire à des auditeurs. Il existe donc des personnes qui arrivent à obtenir leur certification en n’ayant pas les qualités requises. Mais l’audit réalisé tous les trois ans pour maintenir la certification aide à les éliminer sur le long terme. Il y a aussi des fraudeurs qui obtiennent des références de complaisance. Dans ce cas l’interview des références par les membres de l’ISACA a tôt fait de mettre au jour la fraude. Mais là encore, ces interviews ne sont pas systématiques et elles sont réalisées par échantillonnage.

Cependant, dans l’ensemble, une gros effort est fait pour maintenir la crédibilité de cette certification. Et c’est bien ce qui en garantit toute la valeur auprès des Entreprises et des recruteurs.

 

COBIT – La gouvernance, clé du succès de l’entreprise

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur le 25 mai 2018, exigeant une bonne gouvernance des données pour toutes les entreprises et collectivités, indépendamment de la juridiction, sur le traitement des données personnelles associées aux citoyens de l’UE et de l’EEE. Dans un précédent article, j’ai montré comment COBIT 5 pouvait aider tout projet de mise en conformité au RGPD. Si le RGPD a été vraiment pris au sérieux, nos organisations sont aujourd’hui en mesure de mieux gérer leurs données. De fait, cela facilite leur tâche de gestion quotidienne de l’Entreprise.

COBIT Gouvernance, la clé du succès en entreprise
Crédits © weerapat1003

Grâce à une bonne gouvernance, nous pouvons aborder avec confiance des problèmatiques actuellement encore ignorées par la pensée dominante. Elles sont pourtant désormais très pertinentes et constitueront un facteur de succès ou d’échec pour les prochains mois et les prochaines années. Parmi les problèmes dominants affectant les Entreprises, on peut citer :

  • L’adaptation de la main-d’œuvre du troisième millénaire,
  • La transformation digitale de l’économie,
  • Après le RGPD, le règlement sur la protection de la vie privée ,
  • Le BREXIT,
  • Les géants du web, notre nouveau risque systémique,
  • L’insécurité intégrée…

Le thème central, commun à tous ces sujets, est celui des systèmes d’information. L’activité stratégique et opérationnelle doit désormais adopter une approche plus «entrepreneuriale» que «mature» pour exploiter les opportunités au fur et à mesure qu’elles se présentent. Les cadres de gouvernance doivent encourager l’innovation et gérer simultanément les risques associés au moyen de politiques, de procédures et de pratiques adaptées. Une approche collaborative est nécessaire pour anticiper et répondre rapidement au changement.

COBIT 5 : le cadre de Gouvernance d’Entreprise publié par l’ISACA

Le cadre COBIT 5 de l’ISACA permet d’avoir un aperçu de la gouvernance d’entreprise. La famille de publications comprend «COBIT 5, a Business Framework for the Governance and Management of Enterprise IT». Ce document de 94 pages fournit un guide complet sur où et comment rechercher des opportunités d’évolution et d’innovation dans votre entreprise.

COBIT 5 : un mythe tenace

Malheureusement la traduction Française de cette publication n’est pas très pertinente. Elle semble faire plus de cas de l’informatique que des métiers de l’Entreprise, seuls créateurs de valeur. Le titre lui-même a été traduit par « COBIT 5, un référentiel orienté affaires pour la gouvernance et la gestion des TI de l’entreprise ». Le titre original, en Anglais, ne fait pas référence aux TI mais à « l’information de l’entreprise et aux technologies associées ». C’est beaucoup plus vaste et cela couvre la totalité des métiers au lieu de la seule informatique. Pour COBIT, l’informatique n’est seulement qu’un « outil » au service des métiers de l’Entreprise (on parlera du 6ème « enabler »). COBIT n’est aucune un référentiel destiné à l’IT. C’est un référentiel de Gouvernance et de Management de l’Entreprise.

Le périmètre de COBIT 5 : La gouvernance et le management de l’entreprise

Cela inclut bien évidemment l’IT, mais seulement comme un composant de l’Entreprise.

Vous pouvez accéder au périmètre des publications COBIT 5 sur le site de l’ISACA. COBIT a la particularité d’être composé de publications permettant au lecteur d’accéder au contenu du cadre au travers des filtres. L’accès au cadre de référence complet est totalement gratuit. Certains autres documents, tels que le modèle de référence des processus ou le guide de mise en oeuvre sont gratuits pour les membres de l’ISACA. Enfin, d’autres documents, notamment les guides professionnels, sont payants mais avec une remise substantielles pour les membres.

Publications COBIT
Source © ISACA

COBIT 5 : quelques cas réussis de mise en oeuvre dans le monde

Chacun des cas présentés ici correspond à la liste des problèmes dominants identifiés au début de cet article. Il n’ont souvent qu’un lien très lointain avec les technologies de l’information. Vous y trouverez des liens utiles présentant le contexte et la façon dont  COBIT 5 a permis relever ces défis organisationnels.

Adaptation de la main d’oeuvre du 3ème millénaire – Cas PWC

PWC, tout comme DELOITTE et d’autres grands cabinets internationaux exigent un engagement intensif de leurs salariés dès le début. Des récompenses en matière d’évolutions de carrière, telles que des partenariats, sont appelées à venir plus tard. Ces entreprises sont actuellement confrontées à un turnover croissant de jeunes, essentiellement nés entre 1980 et 1995. Il s’agit de ceux qu’on qualifie généralement d’enfants du millénaire. Ceux de la génération Z, nés après 1995, commencent à peine à arriver sur le marché de l’emploi. PWC et DELOITTE ont constaté que la main-d’œuvre entrante avait des attentes différentes de celle des générations précédentes. Les jeunes souhaitent désormais une approche flexible pour travailler. Ils attendent des récompenses pour de bonnes performances dès le début ainsi que tout au long de leur carrière.

COBIT 5 via son approche de cascade des objectifs se focalise sur l’identification besoins des parties prenantes. Ceux-ci sont alors traduits en objectifs de l’entreprise liant les attentes internes et externes des parties prenantes avec celles de l’entreprise.Une fois identifiés, les changements appropriés peuvent être apportés aux politiques et aux pratiques.

Pour mieux comprendre comment vous appuyer sur COBIT pour résoudre cette problématique, nous vous proposons les liens suivants :

Transformation digitale de l’économie – Cas Domino’s

La transformation digitale pousse les entreprises à adapter leurs modèles commerciaux et à se concentrer. Domino’s a réalisé qu’ils devaient passer d’un service de restauration rapide à un service digital. En utilisant l’analyse de données pour personnaliser les offres marketing auprès des clients, les clients sont attirés par un service correspondant à leur style de vie.

COBIT 5, au travers des conseils sur les services, l’infrastructure et les applications, aide les entreprises à évaluer le potentiel de la transformation numérique sur l’organisation. Cette orientation élargit la réflexion, de la définition d’une solution unique jusqu’à la mise en œuvre d’un actif holistique, intégrale et soutenant les objectifs de l’entreprise.

Si vous souhaitez mieux comprendre comment COBIT a permis à Domino’s de réussir sa transformation digitale : https://www.bernardmarr.com/default.asp?contentID=1264.

Mise en conformité au futur règlement Européen sur la protection de la vie privée – Cas WhatsApp

Le règlement sur la vie privée et les communications électroniques, qui devrait être adopté par l’UE à la fin de 2018, constitue un ajout subtil au RGPD couvrant les communications électroniques.Des consentements explicites supplémentaires seront nécessaires. L’infrastructure de communication intelligente transporte, génère, utilise et stocke des données personnelles et corporatives identifiables. Donc, de fait, les principaux services de communication tels que WhatsApp sont inclus. C’est aussi le cas des fournisseurs de cookies, d’appareils IoT et de marketing direct et e-marketing.

COBIT 5 fournit des conseils sur la façon dont les entreprises, incluant leur IT, doivent se conformer aux exigences réglementaires. COBIT peut donc aider à révéler où des consentements explicites pourraient être nécessaires.

Voici quelques liens qui peuvent vous permettre de mieux comprendre comment COBIT aide à mieux protéger la vie privée :

Le BREXIT – Cas Currency Cloud

La situation sur le BREXIT restant assez imprévisible à l’heure actuelle, les entreprises doivent donc définir des plans d’urgence afin de minimiser les impacts d’un accord non favorable. Même si une organisation n’a aucun contact avec l’UE, elle doit vérifier comment le BREXIT affecte sa chaîne d’approvisionnement et sa banque. Pour certains, comme la plateforme d’échanges financiers Currency Cloud, «pas d’accord» avec l’UE serait synonyme de devoir mettre en place une présence européenne pour obtenir leur licence opérationnelle européenne, au cas où.

COBIT 5 couvre les exigences de conformité aux réglementations, lois et autres normes. Cela aide à identifier le point de départ et les processus sur lesquels se focaliser. COBIT inclut des sections sur la continuité des opérations, couvrant la prévention, l’atténuation et le retour à la normale en cas de perturbation pour aider à identifier les possibles zones de friction.

Pour mieux comprendre comment COBIT peut aider les entreprises britanniques à affronter le BREXIT : https://www.ibtimes.co.uk/why-neither-brexit-nor-loss-passporting-will-stop-uks-fintech-momentum-1659410.

Les géants du web, nouveau risque systémique – Cas des GAFAM

Chaque entreprise est dans un marché pour acheter et vendre. Pour opérer de manière efficace et efficiente, beaucoup d’entre nous se tournent vers l’infrastructure informatique et les fournisseurs de communication offrant des solutions «guichet unique» faciles à utiliser, telles que Google, Apple, Facebook, Amazon et Microsoft. Mais c’est une épée à trois tranchants.

Le grand avantage, qui les rend si attrayants, est qu’ils devient facile d’accéder à des structures de communication et de stockage avec la sécurité et l’échelle nécessaires. Les principaux inconvénients sont :

  1. avec peu d’acteurs dominants, le contrôle sur les marchés n’est pas entre nos mains
  2. et si l’un d’eux échoue, techniquement ou commercialement, l’impact négatif sur les affaires et la vie privée sera énorme.

COBIT 5 peut aider à définir une nouvelle approche pour traiter un point de défaillance systémique. Il existe également une liste de contrôles utiles sur les questions à poser aux parties prenantes externes.

L’insécurité intégrée – Cas Expedia

Un sous-produit de la construction l’efficacité de l’entreprise de construction est de jeter les bases de l’insécurité par inadvertance. Expedia a découvert qu’une de ses filiales avait laisser fuiter des données sur ses clients. Le partage et la gestion des données, même au sein d’un même groupe, sont difficiles à contrôler car les exigences et la responsabilité sont diluées, obscurcies ou réinterprétées par le partenaire en charge du traitement des données.

Pour en savoir plus sur le cas Expedia : https://www.cnbc.com/2018/03/20/an-expedia-subsidiary-says-a-security-breach-affected-880000-cards.html.

COBIT 5 est derrière chaque entrepreneur pour l’aider

COBIT 5 est là pour nous aider à mieux réfléchir à la manière dont nous gérons et opérons. Tant de choses sont demandées aux entreprises, il est facile de rater les choses auxquelles nous devrions penser. La technologie détermine à la fois le rythme et la façon dont nous travaillons. Une bonne gouvernance est essentielle pour assurer la prospérité des entreprises.COBIT 5 est essentiel p our bien gouverner.

Pour mieux comprendre pourquoi une formation COBIT vous est indispensable : http://www.ab-consulting.fr/blog/geit/cobit-5/formation-cobit-7-raisons.

Vous aussi vous avez un cas particulier, hors du domaine IT, d’utilisation réussie de COBIT 5 dans un contexte particulier? N’hésitez pas à nous laisser votre commentaire.

RGPD/GDPR : appuyez-vous sur COBIT

Dans notre précédent article intitulé RGPD/GDPR ; Les changements au 25 Mai 2018, nous vous avons proposé 10 axes clés pour devenir conforme au RGPD. La mise en conformité est, par définition, un projet transversal relevant de la gouvernance de l’Entreprise. Or, dès lors qu’on parle de Gouvernance, le référentiel susceptible de nous aider est COBIT 5. Dans quelle mesure, COBIT 5 peut-il nous aider à mettre en oeuvre le RGPD (GDPR) via ses 7 facilitateurs, en s’appuyant sur les 5 principes de la Gouvernance?

RGPD : comment COBIT peut vous aider
Crédits : Tatyana – Fotolia.com

Le RGPD (GDPR en Anglais) contient 99 articles définissant les exigences et les droits accordés aux citoyens de l’UE. Le RGPD (/GDPR) décrit également la structure de conformité et pénalités pour non-conformité. Chaque organisation a besoin de bien comprendre le RGPD (/GDPR) et de déterminer ses prochaines actions. Nous allons, pour les principaux sujets de préoccupation, décrire comment l’approche COBIT peut vous aider à y répondre.

Quel rapport en tre RGPD (GDPR) et COBIT?

Le RGPD (GDPR en Anglais) est une Règlementation Européenne destinée à la protection des renseignements et des données personnelles des citoyens de l’Union. Il s’agit donc d’une loi, applicable à toute entreprise ou organisme, public ou privé, dans l’Espace Economique Européen. Cette loi est entrée en vigueur le 4 Mai 2016 (date de publication au journal officiel de l’Union Européenne) . La Commission Européenne a accordé  deux ans de grâce aux Etats et aux organisations pour se mettre en conformité. Ce délai de grâce expire le 25 Mai 2018. Par conséquent, les sanctions prévues par loi vont s’appliquer à compter cette date. De plus, il faut reconnaître que les sanctions prévues sont dissuasives (jusqu’à 4% du chiffre d’affaires mondial annuel pour les grandes entreprises et 20 Millions d’Euros pour les TPE et PME).

Malheureusement, comme d’habitude, les organisations des pays francophones ont attendu le dernier moment pour se préoccuper de leur mise en conformité. Aussi, à un mois de l’échéance, beaucoup d’entre elles commencent seulement à se poser la question. De plus, elles pensent, de façon totalement erronée, qu’il s’agit simplement d’un projet informatique de plus.

La conformité légale et réglementaire est, par essence, un sujet de Gouvernance des Entreprises. Dans le cas précis du RGPD, il s’agit de Gouvernance du Système d’Informations. Or le référentiel de Gouvernance du Système d’Informations, reconnu dans le monde entier, n’est autre que COBIT 5. Il apparaît donc clairement que COBIT 5 peut nous aider efficacement à mettre en oeuvre des exigences du RGPD (GDPR).

Quelques exigences clés du RGPD (GDPR)

Identification des données présentant un risque élevé et analyses d’impact

Les entreprises ont désormais l’obligation effectuer des analyses d’impact sur la protection des données (DPIA) lors de l’utilisation de nouvelles technologies ou lors du lancement de nouveaux projets, pour toute donnée présentant un risque élevé pour les droits et libertés des citoyens de l’UE. Ces analyses d’impact doivent également décrire comment l’entreprise entend aborder le risque grâce à un traitement systématique et étendu ou via des activités de surveillance. Donc, cela s’apparente à une évaluation traditionnelle des risques qui analyse les risques et les mesures en place pour y remédier. Ainsi, il est simple, en nous appuyant sur la cascade d’objectifs, d’identifier les processus primaires de COBIT à considérer:

  • EDM02 Ensure Benefits Delivery ;
  • EDM04 Ensure Risk Optimization ;
  • APO11 Manage Quality ;
  • APO12 Manage Risk ;
  • APO13 Manage Security ;
  • DSS05 Manage Security Services ;
  • DSS06 Manage Business Process Controls.

Protection, traitement et stockage des données personnelles

Les données personnelles de chaque personne concernée doivent être traitées de manière transparente, et uniquement pour les finalités spécifiées. L’Entreprise doit garantir un niveau « raisonnable » de protection des données et des renseignements personnels. Les données doivent être traitées en toute sécurité pour se protéger contre tout accès non autorisé, perte ou dommage. Des mesures techniques et organisationnelles appropriées doivent être mises en oeuvre. Le RGPD (GDPR) ne définit pas ce que cela signifie de façon précise. Il est cependant clair que si les données sont perdues ou volées, l’entreprise est manifestement en violation de la conformité. Les principaux processus COBIT à considérer sont donc les suivants :

  • EDM05 Ensure Stakeholder Transparency ;
  • APO01 Manage the IT Management Framework ;
  • APO02 Manage Strategy ;
  • APO03 Manage Enterprise Architecture ;
  • APO10 Manage Suppliers ;
  • BAI01 Manage Programs and Projects ;
  • BAI02 Manage Requirements Definition ;
  • BAI03 Manage Solutions Identification and Build ;
  • BAI04 Manage Availability and Capacity ;
  • BAI06 Manage Changes ;
  • BAI07 Manage Change Acceptance and Transitioning ;
  • BAI08 Manage Knowledge ;
  • BAI09 Manage Assets ;
  • BAI10 Manage Configuration.

Consentement, portabilité, droit d’accès et droit à l’oubli

Les individus doivent donner leur consentement explicite concernant le traitement de leurs données personnelles. Rappelons que le RGPD (GDPR) considère comme traitements la collecte initialel’enregistrementl’organisationla structurationla conservationl’adaptation ou la modificationl’extractionla consultationl’utilisationla communication par transmissionla diffusion ou toute autre forme de mise à dispositionle rapprochement ou l’interconnexionla limitationl’effacement jusqu’à la destruction.

Ces personnes (« les personnes concernées ») ont le droit de savoir, sur demande, quelles données personnelles une entreprise utilise et comment ces données sont utilisées. Un citoyen de l’UE peut également obtenir, sur demande, le transfert de ses données personnelles d’une entreprise à une autre dans un format lisible par machine. De plus, les entreprises ont l’obligation  d’arrêter de traiter et / ou de supprimer des données personnelles sur un citoyen de l’UE sur sa demande. Cette exigence va plus loin: il s’agit de permettre aux citoyens de l’UE le droit d’être oublié en ayant des données personnelles supprimées sur demande. Les principaux processus COBIT à considérer sont les suivants :

  • EDM05 Ensure Stakeholder Transparency ;
  • APO01 Manage the IT Management Framework ;
  • APO08 Manage Relationships ;
  • APO09 Manage Service Agreements ;
  • APO10 Manage Suppliers ;
  • BAI08 Manage Knowledge.

Nomination d’un délégué à la protection des données

Certaines organisations ont obligation de désigner un délégué à la protection des données (DPO). Le rôle du DPO est de superviser la stratégie de sécurité des données de l’entreprise et sa conformité au RGPD (GDPR). Alors, quelles sont les  organisations qui ont l’obligation d’avoir un DPO? L’exigence s’applique à toute organisation qui traite ou stocke de grandes quantités de données sur les citoyens de l’UE. Elle s’applique également aux organisations qui traitent ou stockent des données personnelles, surveillent régulièrement les individus. Enfin elle s’applique à toutes les autorités publiques. Pour répondre à cette exigence, les principaux processus COBIT à considérer sont :

  • EDM01 Ensure Governance Framework Setting and Maintenance ;
  • APO07 Manage Human Resources ;
  • BAI05 Manage Organizational Change Enablement.

Notification des violations de données à caractère personnel

Les entreprises (et plus particulièrement les responsables du traitement) doivent informer les autorités de contrôle dans les 72 heures suivant la découverte d’une violation de données à caractère personnel. Les sous-traitants sont généralement ceux qui découvrent en premier  une telle violation de données. Par conséquent, la loi les rend responsables d’informer sans délai le responsable du traitement. Beaucoup d’organisations ont déjà mis en place de telles procédures. Cependant,  peu d’entre elles effectuent régulièrement des tests pour s’assurer que les exigences sont bien respectées. Concernant cet axe de travail, les principaux processus COBIT à considérer sont :

  • DSS01 Manage Operations ;
  • DSS02 Manage Service Requests and Incidents ;
  • DSS03 Manage Problems ;
  • DSS04 Manage Continuity ;
  • DSS05 Manage Security Services ;
  • DSS06 Manage Business Process Controls.

Assurer la conformité réglementaire

Pour assurer la conformité à la législation, les organisations ont l’obligation de s’évaluer, de surveiller et d’évaluer en permanence leurs contrôles et d’étudier les améliorations continues à mettre en oeuvre en termes de technologies et d’idées. Les organisations doivent également fournir l’assurance qu’elles suivent les obligations énoncées. Pour cette exigence du RGPD (GDPR) les principaux processus COBIT à améliorer sont les suivants :

  • APO04 Manage Innovation ;
  • APO05 Manage Portfolio ;
  • APO06 Manage Budget and Costs ;
  • MEA01 Monitor, Evaluate and Assess Performance and Conformance ;
  • MEA02 Monitor, Evaluate and Assess the System of Internal Control ;
  • MEA03 Monitor, Evaluate and Assess Compliance With External Requirements.

Quelques conseils et astuces pour réussir la mise en œuvre du RGPD

Pour faciliter le travail de mise en conformité, nous vous livrons ici une série de conseils et d’astuces basés sur COBIT 5. De plus, ces conseils et astuces proviennent des observations et recommandations issues de l’expérience d’organisations qui ont déjà entamé, et pour certaines terminé avec succès, leur marche vers la conformité au RGPD (GDPR). Ce qui suit est  donc, de fait, une liste des facteurs clés de succès à prendre en compte dans votre programme de mise en conformité.

1. Créez un sentiment d’urgence et de criticité au niveau du top management

Très logiquement, c’est la toute la première des choses à faire. Obtenir le soutien de niveau exécutif est clé. C’est ce soutien qui déclenchera les attitudes et provoquera les attentes nécessaires permettant d’adopter avec succès les bonnes pratiques de gouvernance. En effet ce sont ces pratiques qui permettront d’appliquer et de se conformer les exigences du RGPD. Pour obtenir ce soutien précieux, vous devez absolument convaincre le Comité de Direction de l’urgence et de la criticité de ce programme.

Astuce : Lisez COBIT 5 Implementation Guide pour plus de conseils et techniques permettant d’obtenir un soutien de niveau exécutif et faire reconnaître le besoin d’agir.

2. Considérez le RGPD comme une opportunité de créer davantage de valeur

Le RGPD n’est pas seulement un contrainte. C’est aussi l’opportunité d’améliorer les pratiques et créer davantage de valeur pour les parties prenantes de l’organisation. Bien que mettre en oeuvre et maintenir la conformité puisse sembler pesant, c’est clairement la bonne approche. Rappelez-vous que la raison d’être de l’entreprise est de créer de la valeur pour les parties prenantes. Et le RGPD  bien appliqué est un important contributeur à la création de valeur ajoutée.

Astuce : La cascade d’objectifs de COBIT 5 identifie les besoins des parties prenantes et les transforme en objectifs d’affaires. Ensuite ceux-ci sont déclinés en objectifs informatiques permettant de soutenir les objectifs métiers. Enfin, les objectifs informatiques permettent d’identifier les processus les plus appropriés sur lesquels se concentrer pour améliorer valeur pour les parties prenantes.

3. Inventoriez les pratiques et les référentiels utilisés actuellement

Identifiez les pratiques et les référentiels utilisés actuellement dans le cadre de la gouvernance et de management de l’entreprise, y compris le plan de protection des données existant. La plupart des entreprises ont déjà mis en place un tel  plan (souvent basé sur ITIL, COBIT ou ISO 27001 par exemple). Cependant elles devront le revoir et le mettre à jour pour s’assurer qu’il s’aligne bien avec les exigences du RGPD.

Astuce : Le RGPD est une préoccupation réglementaire qui peut être satisfaite en s’appuyant sur les meilleures pratiques existantes du marché telles que COBIT, ITIL, TOGAF (le référentiel d’architecture d’entreprise de l’Open Group), le cadre de l’Institut National Américain des normes et de la technologie (NIST), les normes ISO (ISO 27001, ISO 29100 par exemple) et bien d’autres. N’hésitez pas à vous appuyer sur ce qui existe déjà au sein de l’Organisation.

4. Considérez COBIT 5 un intégrateur des autres référentiels de bonnes pratiques

Ne vous arrêtez pas à un seul référentiel. Il s’agit là d’une extension de l’astuce précédente. Bien que COBIT soit le seul cadre d’affaires pour la GEIT (Gouvernance de l’Information d’Entreprise et des Technologies associées), COBIT n’est pas le seul référentiel susceptible de vous aider. Cependant, il est bien adapté pour servir de cadre pour aider à déterminer les composants nécessaires d’autres référentiel et fournir un vrai modèle GEIT.

Astuce : Le site web COBIT Online contient des informations supplémentaires à propos de cette approche https://cobitonline.isaca.org/about.

5. Nommez un DPO dès maintenant

Nommez dès maintenant un DPO et d’éventuels autres rôles pertinents. Même dans entreprises qui ne sont pas concernées par le RGPD, certains rôles sont indispensables. Ils doivent être identifiés et assignés. Ces rôles peuvent être remplis sous des noms différents. L’essentiel est que les responsabilités correspondantes soient bien attribuées sans qu’il n’y ait de conflit d’intérêt.

Astuce : La publication COBIT 5: Enabling Processes identifie les diagrammes RACI pour chacun des 37 processus de COBIT 5. Vous pouvez vous en inspirer pour identifier les rôles et responsabilités nécessaires au bon fonctionnement de votre organisation.

6. Menez une évaluation des risques

Une évaluation des risques d’entreprise permet d’aider à la prise de décision. Il est important de savoir quelles données personnelles l’entreprise stocke et traite sur les citoyens de l’UE, ainsi que le risque associé. Les évaluations des risques permettent d’identifier les risques, de déterminer des mesures pour réduire les risques et développer des plans d’actions pour gérer les risques. Avant chaque traitement important et au début de chaque nouveau projet, le RGPD impose qu’une analyse d’impact sur les données personnelles soit menée et que des actions soient prises en fonction des risques identifiés.

Astuce : COBIT 5 for Risk et ISO 31000 constituent d’excellents cadres de référence pour déterminer le processus approprié d’évaluation des risques et le relier aux exigences du RGPD.

7. Lancez un vaste programme de sensibilisation et de formation

Tout le personnel de l’organisation doit être familier avec les exigences du RGPD ainsi qu’avec leurs applications à chaque rôle spécifique de l’Entreprise. La formation est probablement l’une des actions les plus importantes qu’une entreprise peut lancer pour augmenter la probabilité de réussite d’un programme tel que la mise en conformité à la réglementation.

Astuce : Dans les entreprises qui s’appuient sur COBIT pour leur gouvernance et le suivi de leur conformité, le cours COBIT 5 Foundation constitue une excellente première étape. Dans tous les cas, une sensibilisation au RGPD  d’une journée est un bon point de départ pour l’ensemble des employés traitant des données personnelles.

8. Préparez et répétez les plans de réponse aux incidents

Planifiez les plans de réponse aux incidents. Et surtout n’oubliez pas de les tester, de les répéter et de les revoir régulièrement. La plupart des organisations ont déjà mis en place une forme de processus de gestion incidents. Cependant, le RGPD impose certaines exigences qui n’ont pas toujours été prises en compte dans le plan déjà en place. Notamment, les entreprises doivent signaler toute violation de données personnelles à l’Autorité de Contrôle dans les 72 heures suivant sa découverte. La façon dont les équipes d’intervention réagiront influera directement sur les risque d’amendes pour l’entreprise en cas de non respect des exigences.

Astuce : Améliorez les procédures existantes de gestion des incidents en vous appuyant, le cas échéant, sur les processus COBIT, ITIL ou ISO 27001 applicables et adaptez les pour créer un modèle spécifique intégrant les exigences du RGPD.

9. Focalisez-vous sur l’information

Quand on parle de protection des données personnelles, on fait référence à un type particulier d’information.. Rappelez-vous que l’information est un actif, une ressource qui, si elle n’est pas protégée peut devenir un passif. Comprendre les attributs, l’emplacement et le cycle de vie des données permet d’améliorer la capacité de l’entreprise à fournir les protections requises par le RGPD.

Astuce : COBIT 5: Enabling Information peut aider à la compréhension du cycle de vie et des attributs de l’information.

10. Effectuez des évaluations et des audits continus

Le maintien de la conformité nécessite un suivi et une amélioration continue. Il est important pour l’entreprise de ne pas laisser ses efforts s’estomper en passant à la prochaine initiative. Dans ce cas,  des surprises désagréables peuvent survenir. Poursuivez l’élan sans relâcher les efforts.

Astuce : Utilisez le modèle de mise en œuvre de COBIT (COBIT Implementation) ou l’approche d’amélioration continue des services d’ITIL (CSI) et veillez à ce les fonctions d’audit et d’audit interne soient pleinement impliquées dans la démarche.

Les apports de COBIT dans votre mise en conformité avec le RGPD

Les organisations qui se concentrent uniquement sur la conformité sont généralement celles qui n’ont pas mis en oeuvre de cadre de gouvernance. La conformité au RGPD n’est qu’une conformité supplémentaire à respecter. C’est une composante d’une initiative plus vaste basée sur un ratio risque / bénéfice. L’objectif doit être d’équilibrer cette conformité avec les performances de l’entreprise. Le référentiel COBIT 5 est complet dans la couverture de la gouvernance d’entreprise. Cependant il ne répond pas à tous les besoins de conformité d’une entreprise. Toutefois, il peut certainement fournir le cadre de gouvernance et de gestion permettant de déterminer l’approche la plus appropriée visant à créer de la valeur et de la confiance pour les parties prenantes. Dans ce cas, il permet de donner l’assurance que les données personnelles bénéficieront de bien de la confidentialité, de l’intégrité et de la disponibilité sur la base du RGPD (GDPR).

Une remarque? Un commentaire? Une question? N’hésitez pas à lancer la discussion. Nos experts sont à votre disposition pour vous répondre. Alors merci de nous laisser un commentaire sur ce blog.

Mois de la cybersécurité 2017 à Abidjan

Mois de la cybersécurité 2017

Le Mois de la cybersécurité (CSM) s’appuie sur le fait qu’Internet est une ressource partagée et que la sécurité des communications sur internet est une responsabilité partagée.

Mois de la cybersécurité 2017

Le Mois de la cybersécurité est une campagne internationale de sensibilisation. Elle a lieu chaque année en Europe, Asie, Amérique du Nord et Australie au mois d’octobre. L’objectif de cette campagne est de sensibiliser le public sur l’importance de la sécurité de l’information. Elle vise à informer les citoyens sur la sécurité lors de l’utilisation d’Internet et sur quelques bonne pratiques simples à suivre pour se protéger en ligne, ainsi que pour protéger leur famille, leur milieu de travail et leurs appareils.

Les thèmes du mois de la cybersécurité 2017

Le mois est divisé en thèmes (un thème par semaine) qui soulignent les différents aspects de la cybersécurité. Cette année, la campagne débutera le 2 octobre pour s’achever le 31 Octobre et sera organisée de la façon suivante :

  • 1ère Thème : du 2 au 6 octobre : Pensez cybersécurité – Prenez des mesures simples pour assurer votre sécurité en ligne
  • 2ème Thème : du 9 au 13 octobre : Soyez vigilants – Protection des renseignements personnels et des données privées
  • 3ème Thème : du 16 au 20 octobre : Nous sommes tous concernés – La cybersécurité au travail est l’affaire de tous
  • 4ème Thème : du 23 au 27 octobre : Le citoyen numérique dans un monde de plus en plus numérique

Les évènements planifiés à Abidjan

Afin de soutenir cette campagne internationale de sensibilisation, AB Consulting CI s’associe cette année encore à l’initiative collective. Chaque semaine, des évènements gratuits seront proposés. Mais, cette année, outre les évènements (wébinaires, rencontres), des ressources documentaires seront mises à disposition de tous. Il s’agira de livres blancs, de posters à partager, d’infographies, d’articles sur notre blog et même d’outils de sensibilisation.

Le programme des évènements est d’ores et déjà fixé et nous vous invitons à vous inscrire nombreux et nombreuses pour y assister. C’est évènements sont entièrement gratuits mais le nombre de places est limité. Alors n’attendez pas pour vous inscrire en suivant les liens ci-dessous :

Pensez cybersécurité – Prenez des mesures simples pour assurer votre sécurité en ligne

Nous vous proposons de nous suivre le 25 Octobre 2017 à 11h GMT pour un wébinaire d’une heure, présenté par Alain Bonneaud sur le thème « 10 moyens simples de vous protéger en ligne« . Les participants se verront remettre gratuitement un livre blanc reprenant les 10 conseils pour assurer leur sécurité en ligne. Inscrivez-vous ici.

Soyez vigilants – Protection des renseignements personnels et des données privées

Le 11 Octobre 2017 à 11h GMT, David Henrard, président du Chapitre ISACA de Québec et expert de la protection des renseignements personnels, présentera un wébinaire d’une heure sur le thème « Cybersécurité : La protection des renseignements personnels« . A l’heure où le GDPR entrera bientôt dans sa phase obligatoire, cette présentation fera le point sur les aspects réglementaires pour les entreprises mais aussi sur les précautions à prendre par tout utilisateur d’internet en matière de protection de ses informations personnelles. Inscrivez-vous ici.

Nous sommes tous concernés – La cybersécurité au travail est l’affaire de tous

Le 18 Octobre 2017 à 11h GMT, Alain Bonneaud, expert en cybersécurité et en gouvernance des Entreprises présentera un wébinaire d’une heure sur la nécessité, au sein des Entreprises, de sensibiliser l’ensemble du personnel à une obligation de respecter des règles de bases en matière de sécurité. Contrairement à une idée reçue, la sécurité n’est pas l’apanage des informaticiens. Savez-vous que 95% des attaques informatiques réussies passent par des personnels non informaticiens? Que vous soyez chef d’Entreprise ou salarié ou même consultant, cette présentation intitulée « La cybersécurité au travail est l’affaire de tous. Pas seulement des informaticiens! » vous concerne. Insrcivez-vous ici.

Le citoyen numérique dans un monde de plus en plus numérique

Le 27 Octobre 2017, à Abidjan, AB Consulting CI organisera une petit déjeuner pour les directions des Entreprises afin d’échanger avec les Directeurs et Managers sur leurs responsabilités en matière de gestion des risques de cybersécurité et les manières de se protéger dans un monde toujours plus numérique. Cette rencontre sera l’occasion d’échanger avec nos experts sur l’ensemble des aspects relatifs à ces problématiques de plus en plus sensibles. Cette matinée est accessible uniquement sur invitation, le nombre de places étant très limité. N’hésitez pas à nous laisser vos coordonnées si vous souhaitez y participer.

Et bien sûr, n’hésitez pas à nous adresser vos commentaires et à partager d’autres initiatives utiles à tous dans le cadre de cette campagne internationale.

CISM vs CISSP : quelle certification choisir?

La technologie constitue une réponse courante aux risques de cybersécurité. Cependant,aujourd’hui, envisager de se protéger des risques de sécurité uniquement grâce à la technologie est un leurre. Selon une enquête publiée par IBM, 95% des cyber-attaques réussies ont ciblé un domaine non informatique. Il est donc vital de renforcer les compétences en sécurité dans les entreprises. Or la pénurie de professionnels qualifiés en sécurité informatique représente aujourd’hui un défi majeur pour les organisations de toutes tailles. Selon (ISC)2, le déficit passera à 1,5 million d’ici 2020. L’écart de compétences est un obstacle majeur pour de nombreuses organisations. Mais c’est aussi une opportunité pour les informaticiens. Les enquêtes auprès des responsables informatiques montrent que les certifications en sécurité sont de plus en plus importantes. Les deux certifications en sécurité les plus recherchées sont CISM et CISSP. A l’heure du choix : CISM vs CISSP quelle certification vous convient le mieux?

CISM vs CISSP
Crédits : © Blacksalmon

CISM vs CISSP : l’heure du choix

Les professionnels des Systèmes d’Information possédant certains types de certifications particulièrement recherchés. Ils peuvent donc espérer une meilleure rémunération. CISM et CISSP sont  certifications professionnelles les plus  reconnues dans le domaine de la sécurité de l’information ainsi que le montre le classement 2017 des certifications qui paient le mieux. CISM (Certified Information Security Manager) est une certification de l’ISACA. CISSP (Certified Information Systems Security Professional) est une certification de la fondation (ISC)2. Les deux nécessitent un investissement important en temps et en coût. Alors, laquelle  correspond le mieux à votre profil et à vos compétences?

La différence majeure entre ces deux certifications réside dans leur contenu et le public qu’elles ciblent. CISM se concentre sur le management et la stratégie, et couvre superficiellement les sujets techniques. Elle est, par conséquent, extrêmement prisée pour des Managers (RSSI, CISO,…). A l’inverse, CISSP se focalise principalement sur les aspects tactiques des opérations de sécurité. CISSP concerne donc d’avantage les ingénieurs et techniciens impliqués dans les opérations.

CISM : la certification des managers

CISM (Certified Information Security Manager) est une certification professionnelle délivrée par l’ISACA et détenue par plus de 32.000 professionnels dans le monde parmi lesquels plus de 7.500 ont des responsabilités de CISO ou de RSSI, tandis que plus de 3.500 occupent un rôle de DSI ou de Directeur Informatique. Elle cible spécifiquement les managers en sécurité de l’information. Elle fait partie en 2017, comme en 2016 des trois certifications les mieux rémunérées.

CISM couvre 4 domaines d’expérience dans les quels vous devrez réussir un examen et, ensuite, faire la preuve de votre expérience :

CISM
Crédits : © ISACA
  1. Gouvernance de la sécurité de l’information (24%)
  2. Gestion des risques informationnels (30%)
  3. Développement et gestion d’un programme de sécurité de l’information (27%)
  4. Gestion des incidents de sécurité de l’information (19%)

L’examen, désormais électronique, se compose de 150 questions multi-choix et dure 4 heures. Le score minimum pour réussir l’examen est de 450 points. Cela semble correspondre plus ou moins à 60-70% des réponses correctes. Il est en effet à noter que toutes les questions n’ont pas le même poids. De plus, environ 25 questions ne sont pas notées et figurent dans l’examen uniquement à des fins d’évaluation.

Le syllabus du CISM s’appuie très largement sur COBIT® 5. Aussi une formation COBIT sera une bonne base pour bien comprendre les aspects de gouvernance et de gestion des risques couvrant la première moitié du contenu.

CISM : une certification professionnelle

CISM, à l’instar de CISSP ou PMP, est une certification professionnelle. Cela signifie que la réussite à l’examen n’est que la première étape. Vous devrez ensuite postuler, auprès de l’ISACA, à l’obtention de la certification CISM. Pour cela vous devrez prouver, de façon très documentée votre expérience en management de la sécurité de l’information sur 5 années. Vous devrez également donner des références pouvant confirmer cette expérience de façon détaillée. Les références seront ensuite interrogées par des membres de l’ISACA aux fins de vérification. Après un délai de l’orde de 4 à 8 semaines, vous recevrez alors votre certificat ou un mail vous indiquant les raisons du rejet de votre demande.


La certification CISM m’a aidée à progresser du niveau de support IT au service desk à celui de vice-président. La connaissance que j’ai acquise est applicable dans le monde entier, dans tous les pays. (L.D. CISM, IT Security Manager, 3M Company) (Source : site web ISACA)


CISM : une revalidation continue exigée

CISM (Certified Information Systems Security Professional) vise à garantir, non seulement des connaissances, mais aussi votre expérience. C’est ce qui explique le succès de cette certification auprès des Entreprises. Elles sont ainsi assurées de la compétence des titulaires. De plus, vous devrez, chaque année, fournir à l’ISACA des preuves de votre engagement dans un processus d’amélioration continue. A défaut votre certification vous sera purement et simplement retirée de façon définitive.

CISSP : une certification plus technique

CISSP (Certified Information Security Professional) est une certification professionnelle délivrée par la fondation (ISC)2. Elle est détenue par plus de 100.000 professionnels de la sécurité de l’information dans le monde, dont 75% aux seuls Etats-Unis. Le deuxième pays comptant le plus de CISSP est le Royaume Uni.

En Afrique de l’Ouest, on compte 1 certifié au Burkina Faso, 1 au Sénégal, 4 en Côte d’Ivoire, contre 29 au Ghana et 153 au Nigéria. Avec 922 certifiés, la France se classe au 13ème rang mondial. Les certifiés CISSP occupent pour la plupart des responsabilités tactiques et opérationnelles en sécurité du SI (RSSI, responsable réseau, Information Security Manager, architectes IT). Le CISSP se positionne à la 4ème place des certifications les mieux rémunérées.

CISSP couvre huit domaines de compétence dans lesquels vous devrez apporter la preuve de votre expérience avant de pouvoir vous présenter à l’examen :

CISSP
Crédits : © (ISC)2
  1. Gestion des risques et de la sécurité (16%)
  2. Sécurité des actifs (10%)
  3. Ingénierie de la sécurité (12%)
  4. Sécurité des communication et du réseau (12%)
  5. Gestion de l’identité et des accès (13%)
  6. Evaluation et tests de sécurité (11%)
  7. Opération de la sécurité (16%)
  8. Sécurité des développements logiciels (10%)

L’examen, au format électronique, se passe uniquement dans des centres d’examen Pearson VUE. Il comporte 250 questions et dure jusqu’à 6 heures. Le score minimum pour réussir l’examen est de 700 points (sur un total de 1000).

CISSP est une certification recherchée mais difficile à réussir. Pour la préparer et la réussir dès le premier essai, nous vous conseillons de bien vous préparer. Pour ce faire, nous vous conseillons de suivre la formation Réussir la certification CISSP® sur 5 jours. AB Consulting propose cette session dans différentes villes dont Paris et Abidjan.

CISSP : une certification professionnelle également

CISSP est également une certification professionnelle mais, à l’inverse du CISM, la preuve de l’expérience préalable dans le domaine doit être fournie en amont de l’examen. Ce n’est que lorsque (ISC)2 aura validé cette expérience d’au moins cinq années à temps complet dans un minimum de deux des 8 domaines de compétence couverts que vous pourrez vous présenter à l’examen. Aucune équivalence n’est admise. Là encore, l’objectif est de s’assurer de la compétence des candidats sur la base de l’expérience.

CISM : comment conserver votre certification

CISSP est une certification qui vise à garantir le maintien de votre compétence dans le temps. Vous devrez donc chaque année fournir à (ISC)2 la preuve que vous avez accumulé des CPEs grâce à des formations ou la participation à certaines conférences. Vous devrez en outre payer un montant annuel de 85$ à (ISC)2 et accumuler un total de 120 CPEs par cycle de 3 ans. A défaut d’apporter la preuve de vos CPEs, votre certification sera annulée. Vous pourrez cependant la récupérer ultérieurement en payant les redevances pour l’intégralité des années de retard et en repassant et  réussissant de nouveau l’examen.

L’intérêt d’une certification

Selon la dernière enquête annuelle réalisée par Certification Magazine les professionnels confirment l’intérêt d’une certification CISM ou CISSP.

Pour beaucoup de professionnels, la valeur de ces certifications réside d’abord dans une meilleure compréhension des concepts clés de leur domaine. Cela semble plus important que l’augmentation espérée de salaire liée à la certification.

Pour les employeurs, elles permettent d’identifier les candidats à fort potentiel dans le domaine de la sécurité du SI. Ces deux certifications démontrent l’expertise approfondie d’un candidat et augmentent la crédibilité et le calibre de son potentiel. C’est une façon de mesurer la qualité d’un candidat. Attention cependant à ne pas trop compter sur les certifications seules au lieu d’évaluer l’adéquation d’une personne à la culture et à la mission de l’entreprise. En soi, une certification ne constitue pas une garantie qu’un praticien réussira dans une organisation particulière.

Alors, CISM vs CISSP? Qu’en pensez-vous?

Si vous hésitez toujours, merci de nous laisser vos remarques et vos questions en commentaire. Nos experts se tiennent à votre disposition pour vous apporter une réponse. Si vous détenez déjà l’une de ces deux certifications, votre commentaire est aussi le bienvenu.

Pour en savoir plus, vous pouvez aussi nous suivre sur les réseaux sociaux et vous abonner sans engagement à notre blog.

7 raisons de suivre une formation COBIT

Formation COBIT : Pour qui et pourquoi?

Au moment d’adopter COBIT® 5 en tant que cadre pour la Gouvernance et le Management de l’Information, de nombreuses questions se posent. Tout d’abord, l’entreprise comprend-elle parfaitement ce que signifie la gouvernance et la gestion l’Information d’Entreprise et de la Technologie Associée (GEIT)? Les professionnels de la gouvernance de l’entreprise savent-ils comment évaluer efficacement l’état actuel du système d’information de l’entreprise dans le but de déterminer quels aspects de COBIT® 5 mettre en œuvre? L’entreprise est-elle en mesure de réaliser une évaluation pour déterminer l’aptitude d’un processus défini?

7 raisons de suive une formation COBIT

Pourquoi une formation COBIT?

La formation COBIT® 5 constitue, bien évidemment, un aspect important pour pouvoir s’assurer que les professionnels de la Gouvernance du SI ont les réponses à leurs questions et deviennent des professionnels compétents sur COBIT®.

Bien que de nombreux concepts puissent sembler familiers aux personnels du domaine informatique, cette version évolutive intègre les dernières réflexions sur les techniques de Gouvernance et de Gestion de l’Information des Entreprises et fournit des principes, des pratiques, des outils analytiques et des modèles reconnus dans le monde entier.

COBIT 5 porte sur la Gouvernance et le Management du Système d’Information et non sur l’Informatique. L’informatique ne constitue qu’une faible partie du Système d’Information. L’information est partout dans l’Entreprise. Contrairement aux idées reçues, seule une très faible partie est gérée par la technologie. Il est donc essentiel de ne pas se limiter au domaine informatique. La réalisation d’un programme de formation approprié pour les professionnels des métiers de l’Entreprise sur ce qu’est vraiment COBIT et comment il peut être utilisé et mis en œuvre est absolument essentielle. Bien sûr les technologies de l’information sont également concernées mais à moindre titre.

Une formation COBIT pour qui?

La formation COBIT est d’abord destinée aux membres des conseils d’administration et des comités de direction ainsi qu’aux directions métiers. Les auditeurs IT / IS, les auditeurs internes, la sécurité de l’information sont également ciblés. Les consultants et les membres de la direction du SI et des TI, qui ont besoin de connaître la GEIT, en tireront également un grand bénéfice.

7 bénéfices clés d’une formation COBIT

Une formation sur le référentiel COBIT profitera tout autant à l’organisation qu’aux personnes qui auront la chance d’y participer. Examinons 7 de ces bénéfices, en gardant à l’esprit qu’il en existe bien d’autres.

1 – Amélioration de l’efficacité et de la productivité

Une formation COBIT 5 fournit les outils et les connaissances indispensables à l’utilisation de COBIT. Les professionnels comprendront mieux ce que signifie la GEIT et comment ce concept peut être appliqué à leur entreprise. Chaque individu en tirera une appréciation plus pratique de la façon d’appliquer COBIT 5 à des problèmes spécifiques d’entreprise, des points de douleur, des événements déclencheurs et des scénarios de risque. Les rôles et les responsabilités de chacun au sein de l’organisation, en relation avec COBIT, seront clairement définis (facilitateur 3), entraînant un accroissement de productivité et d’efficacité dans l’entreprise. Cette meilleure compréhension des rôles et responsabilités permettra de mieux gérer les ressources et les risques. L’ensemble de ces concepts sont étudiés dans la formation COBIT Foundation qui sert de point d’entrée dans le cursus.

2 – Renforcer la confiance et la valeur créée par les systèmes d’information

Les cours de formation COBIT 5 fournissent aux participants les concepts et les principes clés leur permettant de découvrir comment évaluer l’état actuel de leur système d’information d’entreprise, dans le but de déterminer quels aspects de COBIT 5 seraient les plus prioritaires à mettre en œuvre. La confiance provient du fait que chacun connaîtra son rôle et disposera des outils et des connaissances nécessaires pour mettre en œuvre et évaluer efficacement la Gouvernance et le Management de l’Information dans son Entreprise.

3 – Positionnement spécifique

La connaissance de COBIT par le professionnel de la Gouvernance lui permettra de bien dissocier les activités de Gouvernance des activités de Management. La Gouvernance consiste à Diriger, Evaluer et Surveiller la performance. Le Management Planifie, Construit, Exploite et Contrôle. Les formations COBIT 5 confèrent aux participants une connaissance inégalée en matière de Gouvernance et de Management de l’Information dans l’Entreprise sous la forme de concepts, de principes et de processus. Cette connaissance est cruciale pour l’évaluation de la capacité de l’Entreprise à créer de la valeur. Elle est également indispensable pour mettre en oeuvre un système de Gouvernance et de Management adapté. En outre, COBIT® est évolutif. Une formation accréditée permet ainsi au professionnel d’être à la pointe des connaissances et de la pratique.

4 – Accroissement de la confiance et de la capacité

Une formation COBIT permet aux participants d’affiner leurs compétences et d’améliorer la compréhension des risques IT. Elle permet notamment d’améliorer la prise de décisions éclairées pour réduire les incidents de sécurité de l’information. Cette compréhension et la sensibilisation au risque sont essentielles pour améliorer la prévention, la détection et la résilience aux incidents. Le professionnel COBIT sera capable de fournir des outils à son Organisation pour maintenir des informations de haute qualité lui permettant de prendre les décisions commerciales avisées et de l’aider à respecter les exigences réglementaires, légales ou gouvernementales. Ces connaissances permettront de mettre en place un programme d’amélioration continue en s’appuyant sur la formation COBIT Implementation.

5 – Crédibilité

Les organismes de formation COBIT accrédités par l’ISACA qui offrent des formations et des examens de certification doivent d’abord passer un processus d’agrément méticuleux. Les formateurs accrédités sont évalués régulièrement au travers d’audits sur site de leur compétence et de leur pédagogie. Les participants à une formation auprès d’un organisme de formation accrédité sont donc certains de la qualité de la formation qu’elles reçoivent. Les entreprises peuvent vérifier que l’organisme de formation auquel ils font appel est bien accrédité par APMG ou par Peoplecert. Les examens sont rigoureux, stimulants et cohérents, et, en conséquence, les participants peuvent être fiers de leur réussite. En outre, les employeurs peuvent vérifier auprès de l’ISACA si leurs employés sont vraiment titulaires d’une certification COBIT.

6 – Alignement de la sécurité de l’information avec la stratégie de l’organisation

La cascade d’objectifs est un outil essentiel pour aligner les objectifs de l’informatique avec les objectifs de l’Entreprise. Les participants à une formation COBIT apprendront à maîtriser cet outil très puissant. Ils seront ainsi en mesure d’assurer que la sécurité de l’information est bien alignée à la stratégie de l’Entreprise. Ceci leur permettra de s’assurer que la tolérance au risque de l’Organisation est bien respectée tout en maximisant les bénéfices et en optimisant les ressources. Ainsi, il leur sera plus facile de prendre les bonnes décisions tout en économisant les ressources et les budgets. Grâce à cette connaissance, la sécurité ne sera plus un sujet exclusivement technique. Selon une étude d’IBM, 95% des attaques réussies sur les données ne proviennent pas de l’informatique. Il est donc primordial de ne pas laisser ce sujet entre les mains des informaticiens.

7 – Assurance de l’aptitude de l’organisation à créer de la valeur

Grâce à la méthode d’évaluation d’aptitude des processus basée sur la norme ISO 15504, les auditeurs internes participant à une formation COBIT apprendront à s’assurer de l’aptitude de l’Entreprise à créer de la valeur. Il s’agit là d’un élément très important. Le programme d’évaluation de COBIT 5 se focalise sur l’aptitude plutôt que sur la maturité. C’est une approche radicalement différente de la plupart des autres cadres d’audit. La maturité correspond à la façon dont une organisation travaille. Ce qui est audité c’est l’application de processus formalisés au sein de l’Organisation. A l’inverse, l’aptitude fait référence à la qualité des processus et à leur capacité à délivrer de la valeur. C’est une autre approche extrêmement importante qui sera approfondie dans la formation COBIT Assessor.

Il sera ainsi possible d’auditer l’aptitude, par exemple, du processus de gestion des ressources humaines. Cela permettra également d’évaluer la qualité du système de Management de l’Entreprise. Une autre évaluation possible pourra concerner les risques, par exemple en matière d’éthique.

En savoir plus et échanger avec nos experts

Pour en savoir plus ou échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Si vous avez suivi une formation COBIT 5 ou si vous utilisez COBIT 5 dans votre entreprise, n’hésitez pas à nous laisser votre témoignage. Nous serons heureux de le relayer.

 

Les 6 certifications qui paient en 2017

Vous envisagez de vous lancer dans une carrière dans le domaine des technologies de l’information (TI)? Vous souhaiteriez obtenir une certification dans un domaine que vous maîtrisez déjà? Une multiplicité de solutions s’offre à vous. Alors comment choisir? Sur quels critères? Que vous soyez intéressé par les réseaux, la sécurité ou l’administration des systèmes, vous trouverez sans peine une certification qui est censée vous aider à lancer ou faire progresser votre carrière. Mais toutes ces certifications ont-elles la même valeur? Et même, pour certaines certifications il semble qu’il y ait différents organismes proposant des certifications concurrentes. Sont-elles équivalentes? S’adressent-elles au même public? Sont-elles reconnues de façon similaire par la communauté des Entreprises? Bien évidemment la réponse est négative. Alors, vous devez faire votre choix et ne pas vous tromper.

Les 6 certifications qui paient en 2017
Crédit: © contrastwerkstatt

6 certifications qui paient bien!

Une des motivations souvent évoquées par les personnes qui nous contactent pour suivre une formation et passer une certification consiste à obtenir un meilleur salaire. Quelles sont donc les certifications qui paient le mieux en 2017? Nous allons essayer de vous aiguiller un peu en vous présentant les 6 certifications qui paient le mieux de façon générale. Bien sûr il peut y avoir des différences selon les pays. Il est clair que le salaire proposé pour une fonction correspondant à une même certification ne sera pas le même aux USA, au Canada, en France ou en Côte d’Ivoire. Mais il demeure que le classement reste globalement identique.

Mais soyons honnêtes: vous courrez après les gros salaires? Cet article vous présente les six certifications les mieux payées. Mais il vous indique aussi ce que les employeurs attendent de vous et ce que cela implique. La certification ne suffit pas… C’est un élément qui, conjugué à d’autres vous permettra d’atteindre votre objectif.

Commençons par le bas pour remonter vers la certifications qui, cette année, remporte la palme du meilleur salaire. Nous sommes fiers, chez AB Consulting, de proposer des ateliers de préparation à ces 6 certifications depuis maintenant plusieurs années dans le cadre de nos accréditations internationales.

6. Project Management Professional : PMP

Les professionnels adorent la certification PMP car elle leur donne accès à une grande variété d’Entreprises.  Elle leur permet d’appliquer leurs compétences dans une grande variété de domaines. Beaucoup d’informaticiens la recherchent, même si ce n’est pas une certification liée au domaine informatique. Toutes les Organisations ont des projets à gérer. Mais il est vrai que beaucoup de projets, aujourd’hui, tournent autour de l’informatique. La capacité d’appliquer les principes de gestion de projet (PM) au domaine informatique vous permet de glisser un pied dans la porte de presque n’importe quelle Entreprise. Vous serez alors responsable de veiller à ce que les activités de gestion des services informatiques soient effectuées dans les temps et dans les budgets.

Venons-en à ce qui vous intéresse vraiment: l’argent. Le titulaire du certificat PMP gagne en moyenne 112.153 $ par année, en 2017. Ce n’est pas mal si vous pouvez obtenir ce type de certification. Pour pouvoir passer l’examen de certification, vous devrez  justifier d’au moins un diplôme d’études secondaire, d’un minimum de 7 500 heures d’expérience de gestion ou de direction de projets, et 35 heures de formation au PMP dans un organisme de formation accrédité. Bien sûr, le PMI vérifiera minutieusement chacun des pré-requis avant de vous autoriser à passer votre certification.

5. Certified Information Systems Auditor : CISA

Pour ceux qui veulent démontrer leurs compétences dans les domaines de la sécurité informatique, de l’audit informatique, de la gestion des risques et de la gouvernance, la certification CISA constitue une excellente référence.

L’examen se compose de 200 questions à choix multiples réparties sur 5 domaines. Si vous le réussissez, ce ne sera qu’un premier pas franchi. Vous devrez également prouver au minimum cinq ans d’expérience professionnelle dans les domaines concernés et 20 heures de formation. Ce n’est que lorsque vous aurez accompli cette étape supplémentaire que vous vous verrez attribuer la certification CISA. En aucun cas vous ne pourrez vous prévaloir de la certification avec uniquement la réussite à l’examen. Dès lors que l’ISACA vous aura attribué la certification, vous intègrerez un groupe de professionnels dont le salaire annuel moyen est de l’ordre de 112.931 $.

Pour en savoir plus sur cet examen, vous pouvez consulter notre article CISA: 12 trucs utiles pour l’examen.

4. Certified Information Systems Security Professional : CISSP

Si vous êtes un consultant en sécurité, un manager, un auditeur, un analyste ou un ingénieur système, le CISSP peut être une bonne certification pour vous. C’est l’opportunité de prouver que vous êtes capable de concevoir et d’élaborer et de mettre en oeuvre un protocole de sécurité d’entreprise.

Le test est composé de 250 questions à choix multiples et de mises en concordance. Cette certification vous donne accès à des postes en sécurité de l’information qui paient, en moyenne, 120.933 $ par an.

3. Certified Information Security Manager : CISM

Le CISSP est principalement focalisé sur les aspects techniques. A l’inverse la certification CISM est principalement axée sur le management de la sécurité de l’information. Bien sûr, vous serez toujours impliqué dans la conception et l’ingénierie des protocoles de sécurité, mais vous serez surtout impliqué dans la gestion de la sécurité d’une entreprise. Ce type de position vous donnera accès à des secteurs d’activité en dehors de l’informatique, car vous devrez travailler avec d’autres parties prenantes pour atteindre les objectifs commerciaux globaux de l’entreprise. Il s’agit d’une certification débouchant sur des rôles de senior manager.

Si c’est bien ce qui vous intéresse, vous pourrez alors prétendre à un salaire annuel moyen de l’ordre 121.177 $. Avant de pouvoir récolter les fruits de votre labeur, vous devrez d’abord réussir l’examen, qui comprend 200 questions à choix multiples, et ensuite prouver que vous avez un minimum cinq ans d’expérience pertinente dans les domaines correspondants. Ce n’est seulement après cette dernière étape que l’ISACA vous attribuera la certification CISM.

2. Certified in Risk and Information Systems Control : CRISC

L’examen de certification CRISC porte sur quatre domaines majeurs de la gestion des risques : identification, évaluation, réponse et atténuation, surveillance et suivi des contrôles. Si vous souhaitez travailler dans ce domaine, ou si vous avez une expérience dans le domaine et si vous voulez obtenir une certification recherchée, vous devriez envisager la certification CRISC.

L’examen comprend 150 questions à choix multiples. Si vous réussissez l’examen, devrez ensuite justifier d’un minimum de 3 années d’expérience dans 3 des 4 domaines couverts par le CRISC. L’ISACA confirmera la recevabilité de votre demande et vous attribuera le certificat CRISC. Vous entrerez alors dans une catégorie professionnelle dont la moyenne de salaire annuel est de l’ordre de 121.424 $.

1. Certified in Governance of Enterprise Information and related Technology : CGEIT

La certification la plus lucrative couvre un large éventail de responsabilités, y compris les responsabilités de la gestion du cadre de gouvernance de l’information d’entreprise, de la gestion stratégique de l’informatique et de l’entreprise, de la réalisation des bénéfices, de l’optimisation des risques et de l’optimisation des ressources.

Cette certification s’adresse à des personnes exerçant des responsabilités au sein d’un Conseil d’Administration ou d’un Comité de Direction.

L’examen de certification comprend 150 questions à choix multiples auxquelles il faut répondre en moins de quatre heures. La réussite à l’examen vous permettra de soumettre votre dossier à l’ISACA. Vous devrez alors prouver un minimum de 5 années d’expérience à un niveau de Gouvernance ou de Direction.  Dès lors que votre dossier sera vérifié et validé par l’ISACA vous obtiendrez la certification CGEIT. La moyenne annuelle de rémunération d’un CGEIT est de l’ordre de 131.443 $.

Pour en savoir plus et échanger avec nos experts…

Pour en savoir plus et échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Et si vous avez réussi au moins l’une de ces certifications, n’hésitez pas à nous laisser votre témoignage…

La version Française du Guide de mise en oeuvre COBIT 5 est disponible

Ca y est enfin!! Le guide « COBIT 5 Mise en oeuvre » est désormais disponible en Français. De longues semaines d’investissement personnel de l’équipe de traduction auront été nécessaires. Il n’est jamais simple de traduire un guide de bonnes pratiques ou de mise en oeuvre. L’Anglais est une langue typiquement orientée « business » et donc assez rigoureuse. A l’opposé, le Français est une langue plus orientée vers la littérature ou la diplomatie et dans laquelle, soit les termes anglais n’ont pas d’équivalent ou, pire encore, sont le plus souvent traduits par des termes erronés (les fameux faux-amis sur lesquels tous les élèves ont trébuché pendant leur parcours scolaire).

COBIT 5 Mise en Oeuvre

Bon, en ce qui concerne cette publication, l’honnêteté nous impose d’admettre que ce n’est pas réellement une version Française. C’est plutôt une version Québécoise, car réalisée par l’équipe du chapitre (tiens, encore un mot qui n’a pas d’équivalent direct en Français) ISACA de Québec, avec seulement deux contributions externes, l’une d’un expert en Gouvernance de Montréal (toujours au Québec) et l’autre de votre serviteur, seul Français (encore que résident en Côte d’Ivoire) à avoir participé à la préparation de cette version Française.

Les raisons d’une absence totale de la France

Mais pourquoi donc une version Française dans laquelle aucun Français (de France) ne s’implique? La question mérite d’être posée. Les réponses sont multiples et malheureusement assez désespérantes:

  • Une incompréhension totale, en France de ce que sont la Gouvernance et le Management, et donc un intérêt très faible pour le sujet,
  • Une mauvaise interprétation de la notion de création de valeur, comprise uniquement comme une valeur financière et focalisée majoritairement sur une réduction des coûts,
  • Un contexte légal basé sur un modèle hérité à la fois de systèmes monarchiques et « communistes » qui conduit irrémédiablement à la destruction de valeur au lieu de la création, qui ne favorise pas l’adoption du cadre COBIT,
  • Des structures organisationnelles et gouvernementales ne permettant pas de séparer la gouvernance du management,
  • Une culture, une éthique et des comportements inadéquats (particulièrement visibles en France en cette période électorale),
  • Une gouvernance et une gestion anarchique de l’information conduisant à des excès et induisant des conséquences catastrophiques,
  • Une technologie mal utilisée et mal exploitée pour la création de valeur et laissée entre les mains de techniciens et d’ingénieurs,
  • Un modèle éducatif et une gestion de la formation continue déconnectés des réalités et des besoins des organisations.

Nous reviendrons plus en détail sur ces raisons avec un autre article dans les prochains jours. Cependant les lecteurs connaissant COBIT® 5 auront reconnu là des faiblesses au niveau des facilitateurs (en Anglais on les nomme « enablers » ce qui est beaucoup plus fort que  facilitateur mais n’a pas de traduction littérale) d’une bonne gouvernance et d’un management efficaces qui manquent cruellement à la France.

A cela, il faut bien rajouter, mais peut-on encore leur en vouloir après ce que nous venons de dire, une absence totale de volonté de l’AFAI (chapitre Français de l’ISACA) de s’investir de quelque façon que ce soit dans la promotion de COBIT® 5 qui n’assure pas, aujourd’hui, compte tenu du modèle économique imposé par ISACA HQ, un bénéfice suffisant pour les membres Français. Or, en France, il est d’usage que la création de valeur s’évalue au niveau personnel et non au niveau d’une organisation. En d’autres termes, si je participe à ces travaux, qu’est-ce que j’y gagne personnellement?

Le marché pour une version Française des bonnes pratiques

La Francophonie compte aujourd’hui un peu moins de 280 millions de personnes dans le monde, réparties de la façon suivante (source: organisation internationale de la Francophonie)

  • environ 8% en Amérique du Nord (majoritairement au Canada)
  • 37% en Europe (majoritairement en France)
  • près de 54% en Afrique (où la culture et les institutions sont calquées sur la France, héritage de la colonisation)
  • autour de 1% dans le reste du monde.

Qu’est-ce qui fait la différence entre le Canada (ou plus précisément le Québec) et les pays francophones européens et africains? J’apporterai deux réponses:

  • La culture nord-américaine fortement ancrée au Canada, intégrant les bonnes pratiques de Gouvernance et de Management largement répandues dans cette partie du monde,
  • Des lois imposant l’usage de modèles intégralement francisés dans les organisations Québécoises, ce qui n’est pas le cas en Europe, ni en Afrique francophone.

Il est donc clair que l’environnement légal favorise l’adoption des bonnes pratiques décrites par COBIT 5 au Canada et qu’au contraire l’environnement local défavorise et décourage les bonnes pratiques basées sur COBIT 5 en Europe et en Afrique Francophones.

Il apparaît ainsi clairement que le marché pour une traduction Française du cadre COBIT 5 et de son guide de mise en oeuvre se situe majoritairement en Amérique du Nord. C’est donc fort logiquement que ce sont les Québécois qui font l’effort. Malheureusement, cela décourage encore un peu plus les Français d’adopter COBIT 5 et de s’appuyer sur le guide de mise en oeuvre pour lancer des initiatives d’amélioration de la Gouvernance et du Management car ils voient ces pratiques comme étant issues de la culture Américaine. De plus ils considèrent que le Québécois n’est pas le Français tel qu’il est parlé en Europe et en Afrique. Et ce n’est pas faux…

 COBIT 5 Mise en Oeuvre – Juste une référence indispensable

La publication de la version française du guide de mise en oeuvre vient complèter le référentiel et le modèle de référence des processus COBIT 5 déjà traduits par la même équipe qu’il convient de féliciter pour leur excellent travail.

Toutefois, il faut bien rappeler que ce guide ne décrit pas la mise en oeuvre du cadre de gouvernance et de management COBIT 5 mais la mise en oeuvre des sept facilitateurs soutenant la gouvernance et management de l’information dans l’Entreprise. Il s’agit en fait de la méthodologie extrêmement efficace et efficiente de gestion d’un programme de mise en oeuvre ou d’amélioration continue, décrite par COBIT et basée sur trois composants hérités des normes et bonnes pratiques du marché :

  1. l’amélioration continue en sept étapes (similaire à ITIL)
  2. la facilitation du changement (héritée des bonnes pratiques de Change Management)
  3. la gestion de programme et de projets (issue de PRINCE2, PMBok et M_o_P)

Gageons que la version Française du guide de mise en oeuvre sera une aide efficace pour les utilisateurs francophones et sera un réel succès.

GDPR – Exigences de protection des données

GDPR – Exigences de la réglementation

Dans notre précédent article GDPR et la protection des données en Afrique. Nous avions évoqué la Réglementation Générale de Protection des Données adoptée par l’Union Européenne et quelles en seraient les impacts sur les économies des pays Africains. Dans ce nouvel article, nous allons voir, plus en détail, quelles sont les principales exigences de la réglementation. 

GDPR le contenu de la réglementation sur la protection des données

La mise en conformité à la GDPR peut, au premier abord, apparaître comme un fardeau. Cela ne l’est pas. C’est  un moyen de protéger chacun d’entre nous, car nous sommes tous l’objet de données, l’exploitant ou encore le vérificateur de données. La GDPR se concentre sur les données personnelles. Mais c’est une occasion idéale pour investir dans la protection de toutes vos données. Tout cela sera finalement très utile car ce sont vos données qui sont la source de votre activité économique.

Pourquoi protéger les données de l’Entreprise?

Vous pensez ne pas être concernés car vous produisez des crayons et vous pensez que l’informatique est secondaire dans votre activité. Pensez un seul instant aux données qui vous sont propres pour produire vos crayons. Il y a les spécifications, la propriété intellectuelle, les données sur vos fournisseurs, les informations sur commandes, les clients, les services financiers, les coordonnées bancaires de vos clients et de vos fournisseurs, les informations personnelles de vos employés, les configurations de sécurité que vous avez mises en place… Toutes ces informations sont vitales pour votre activité. Que se passerait-il si vous les perdiez ou si elles arrivaient entre les mains de votre concurrent?

Commençons donc par le début. Nous devons assurer une bonne protection des données. Ce n’est pas seulement parce que la GDPR l’exige et que nous devons nous aligner sur les exigences de l’UE. C’est simplement un pré-requis indispensable à la bonne gestion d’une Entreprise. Tout bon régime de protection des données commence par une stratégie. Celle-ci précise les obligations de l’Entreprise vis à vis des données et les résultats escomptés. La stratégie définit également les moyens à mettre en oeuvre pour protéger ces informations.

Comment nous y prendre?

Les Entreprises ont deux sources d’inspiration pour baliser leur chemin.

Le premier est la GDPR elle-même parce qu’elle énonce les obligations que les entreprises doivent appliquer à leur système d’information. Le second est l’utilisation de référentiels tels que COBIT 5 ou de normes telles que ISO 27001. COBIT 5 et ISO 27001 nous fournissent le cadre sur la base duquel évaluer comment vous allez atteindre ces résultats et les bénéfices attendus. En combinant liste complète des exigences de la GDPR et l’utilisation de COBIT 5, les entreprises seront donc en mesure de répondre aux exigences de conformité de GDPR de façon transparente.

Les principales exigences de la GDPR

Avant d’aborder comment nous y prendre, examinons un peu plus en détail les exigences de la réglementation

1. Même si votre entreprise n’est pas dans l’UE, la réglementation s’applique

Les organisations non situées dans un état européen mais qui font des affaires avec l’UE et utilisent les données personnelles des ressortissants de l’UE doivent se préparer à se conformer à la réglementation. Ceux qui fournissent des produits ou des services à des clients dans l’UE ou qui traitent ou manipulent leurs données peuvent avoir à faire face à des poursuites de l’UE si un incident de sécurité est signalé.

C’est notamment le cas de toute banque Africaine qui reçoit de l’argent depuis un compte situé en Europe. C’est la même chose si elle effectue un transfert vers un compte bancaire Européen. Cette banque Africaine aura alors en sa possession les données bancaires du citoyen ou de l’Entreprise européenne avec laquelle s’effectue la transaction. Ces informations doivent donc être protégées en respectant les exigences de la GDPR. Toute transaction commerciale impliquant une organisation Africaine et un Organisation Européenne est donc concernée.

2. La définition des données personnelles est élargie

La confidentialité des données concerne désormais d’autres facteurs susceptibles d’être utilisés pour identifier un individu. Il s’agit par exemple de son identité génétique, psychique, économique, culturelle ou sociale. Les entreprises sont incitées à prendre des mesures afin de réduire la quantité d’informations personnelles qu’ils stockent, et à veiller à ce qu’elles ne stockent pas les informations plus longtemps que strictement nécessaire.

3. Un consentement est requis pour traiter les données relatives aux enfants

Le consentement des parents sera nécessaire pour le traitement des données personnelles des enfants de moins de 16 ans. Chaque État membre de l’UE peut abaisser à 13 ans l’âge nécessitant le consentement parental. Bien entendu des traces doivent permettre la vérification au travers d’audits.

4. Les modifications apportées aux règles d’obtention du consentement valide

Un document de consentement au traitement des données personnelles doit être exprimé en termes simples et non ambigus. Le consentement ne se présume pas. Le silence ou l’absence de réponse ne constitue pas un consentement. Un consentement clair et positif au traitement des données privées doit être fourni, de façon formelle et auditable.

Imaginons que vous utilisez le mailing internet pour contacter vos clients. Chacun d’eux doit avoir fourni un consentement clair et positif à être présent dans votre liste d’adresses. Cela signifie que citoyen d’un état Européen qui recevrait un email provenant d’une société, en Afrique par exemple, et qui n’aurait pas donné explicitement son consentement pour être contacté par mail serait en droit de poursuivre ladite Société, laquelle serait du coup passible d’une lourde amende pour non respect de la GDPR.

5. La nomination d’un Directeur de la Protection des Données (DPO) est obligatoire pour certaines entreprises

L’article 35 de la GDPR stipule que des Directeurs de la Protection des Données (DPO – Data Protection Officer) doivent être nommés dans toutes les administrations. En outre, un DPO sera nécessaire lorsque les activités de base de l’Organisation impliquent « un suivi régulier et systématique de grandes quantités de données personnelles » ou lorsque l’entité effectue le traitement à grande échelle de « catégories particulières de données à caractère personnel ». Cela fait donc référence aux sociétés de service informatique qui opèrent le système d’information de leurs clients.

Les entreprises dont l’activité principale n’est pas le traitement de données sont exemptées de cette obligation.

La GDPR ne précise pas les diplômes et certifications professionnelles requis pour les Directeurs de  la Protection des Données, mais stipulent néanmoins qu’ils doivent avoir  «une connaissance approfondie du droit et des pratiques de protection des données. »

6. Evaluations obligatoires d’impacts des risques sur la protection des données

Une approche basée sur les risques doit être adoptée avant d’entreprendre des activités de traitement de données sensibles. Des rôles de vérificateurs de données seront nécessaires pour effectuer des évaluations d’impact, analyser et minimiser ces risques pour les personnes concernées dès lors que des risques de violation de la vie privée sont élevés.

Ce sera notamment le cas lorsqu’une Entreprise Européenne entrera en relation d’affaires avec une Entreprise d’un pays dont la législation est plus tolérante.

7. Exigences nouvelles en matière de notification de violations des données

Les vérificateurs de données seront tenus de signaler les violations de confidentialité constatées à leur autorité de protection des données, à moins que celles-ci ne représentent qu’un risque faible pour les droits et libertés des personnes concernées. L’information doit être transmise dans les 72 heures suivant la constatation de la violation de confidentialité par les vérificateurs. Des dérogations pourront exister en cas de circonstances exceptionnelles, qui devront être justifiées.

Lorsque le risque pour les individus est élevé, les personnes concernées doivent être informées. Toutefois, aucun délai n’est spécifié par la règlementation.

Des audits réguliers de la chaîne d’information et des vérifications seront requis pour assurer que le nouveau régime de sécurité est bien adapté à l’usage.

8. Le droit à l’oubli

Tout individu a le « droit à l’oubli ». La GDPR prévoit des lignes directrices claires sur les circonstances dans lesquelles le droit peut être exercé.

9. Le transfert international de données

Étant donné que la règlementation est également applicable aux Entreprises qui utilisent et transforment les données, les organisations doivent être conscientes du risque de transfert de données vers des pays ne faisant pas partie de l’UE.

10. Responsabilités en matière de traitement de données

Les Entreprise exploitant des données auront des obligations et des responsabilités juridiques directes. Cela signifie que les exploitants peuvent être tenus responsables des violations de données. Les arrangements contractuels devront donc être mis à jour en précisant les responsabilités et les obligations de chacune des parties. Il s’agit là d’une exigence impérative dans les futurs accords.

Les Parties devront documenter leurs responsabilités sur les données encore plus clairement, et les niveaux de risque accrus peuvent clairement influer sur le coût des services.

11. La portabilité des données

La portabilité des données permettra à un utilisateur de demander une copie de ses données personnelles dans un format utilisable et par voie électronique transmissible à un autre système de traitement.

12. Protection par la conception

La GDPR exige que les systèmes et les processus prennent en compte le respect des principes de protection des données. L’essence de la protection par la conception est que la vie privée dans un service ou un produit est pris en compte non seulement au moment de la livraison, mais aussi dès l’origines de la création du concept de produit.

Il y a aussi une exigence que les vérificateurs ne doivent recueillir que les données strictement nécessaires à la réalisation de leurs objectifs spécifiques et les détruire  dès qu’elle ne sont plus nécessaires.

13. Un guichet unique

Un nouveau guichet unique Européen est créé pour les entreprises. Cela signifie que les entreprises ne devront faire face à une autorité de surveillance unique pour l’ensemble de l’Europe et non pas au sein de chaque état. Ceci rend plus simple et moins coûteux pour les entreprises de faire des affaires dans l’UE. Cela aura également un impact positif pour les fournisseurs de services Internet ayant des bureaux dans plusieurs pays de l’UE.

Et pour se mettre en conformité, comment fait-on?

Dans notre prochain article, nous verrons comment nous appuyer sur COBIT 5 et ISO 27001 pour implémenter l’ensemble des mesures nécessaires à la conformité requise par la GDPR.

Vous avez des questions sur le contenu de la réglementation, son interprétation ou ses conséquences pratiques? N’hésitez pas à nous poster un commentaire et un de nos experts en protection des données personnelles vous répondra.

Catégories

Archives

Calendrier

août 2018
L M M J V S D
« Juil    
 12345
6789101112
13141516171819
20212223242526
2728293031  
%d blogueurs aiment cette page :