ÉVOLUTION DES BONNES PRATIQUES EN SÉCURITÉ DE L’INFORMATION AVEC COBIT 5 CONFÉRENCIER: MARTIN M. SAMSON, CGEIT, CISM, CRISC… 6 FÉVRIER 2013 http://www.isaca‐quebec.ca VOLET GOUVERNANCE Ordre du jour Introduction/Objectifs; Survol de Cobit 5; Avancées majeures de Cobit 5 en sécurité de l’information: Gouvernance selon Cobit 5 pour la sécurité de l’information; Gouvernance de la sécurité des équipements mobiles; Gouvernance reliée au Cloud Modèle d’implantation de Cobit 5 2 INTRODUCTION COBIT 5 peut être utilisé •Intégralement •Partiellement •En complément 3 OBJECTIFS – VOLET GOUVERNANCE Objectifs Préciser sous le volet de la gouvernance et des aspects de gestion, les avancées de COBIT 5 en terme de sécurité de l’information. Note : Concernant le vocabulaire utilisé… ex : Catalyseur/enabler 4 COBIT 5 VERSUS 4.1 •COBIT 5 s'appuie et intègre les éléments de la précédente version de COBIT • • • • COBIT 4.1 Val IT Risk IT Bussiness Model for Infornation Security (BMIS) •Les entreprises peuvent s'appuyer sur les outils qu’ils ont développés à l'aide des versions antérieures… 5 NORMES ET BONNES PRATIQUES 6 PRINCIPAUX ENJEUX DE LA GOUVERNANCE DES TI La gouvernance des TI vise à répondre à 5 objectifs de contrôle: 1 Aligner les investissements TI sur les besoins d’affaires. 2 Évaluer et gérer les risques technologiques et d’affaires 3 Gérer les ressources humaines et matérielles 4 Mesurer la performance des TI 5 S’assurer que les investissements TI sont sources de plus value Création de la valeur 7 CRÉATION DE LA VALEUR Créer de la valeur 8 9 COBIT 5: UN RÉFÉRENTIEL AXÉ SUR LA CRÉATION DE LA VALEUR Analyse risques Traitement risques Suivi et contrôle Gérer ressources TI de l’organisation Réduire risques à un niveau acceptable 10 COBIT 5: UN RÉFÉRENTIEL AXÉ SUR LA CRÉATION DE LA VALEUR Analyse risques Traitement risques Suivi et contrôle 11 COBIT 5: UN RÉFÉRENTIEL AXÉ SUR LA CRÉATION DE LA VALEUR Analyse risques Traitement risques Suivi et contrôle Gérer ressources TI de l’organisation Réduire risques à un niveau acceptable Créer de la valeur COBIT 5 aide les organisation à créer de la valeur par la gestion équilibrée des ressources TI et la réduction des risques à un niveau acceptable. 12 LA DISTINCTION GOUVERNANCE ET MANAGEMENT/GESTION Management/Gestion Gouvernance Planifier Évaluer Surveiller Mesurer Diriger . Concevoir . Processus Réaliser Gouvernance: évaluer, diriger, mesurer la réalisation des objectifs d’affaires, ainsi que la conformité aux lois et règlements. La gouvernance relève du conseil d’administration sous la direction du Président Management/Gestion: planifier, concevoir, réaliser et surveiller la mise en œuvre des orientations d’affaires définies par la gouvernance. Le management est sous la responsabilité de la Direction générale qui relève du CEO (chief executive officer) 13 COBIT 5: UN RÉFÉRENTIEL APPLICABLE À TOUT TYPE D’ORGANISATION Les principes et les catalyseurs développés par COBIT 5 sont applicables aux organisations de toute sorte et de toute taille: Organisations gouvernementales et municipales; Firmes de services-conseils; Organisations industrielles et commerciales; Établissements bancaires, d’assurances; Organisations sans but lucratif (OSBL)... 14 COBIT 5 ET LA SÉCURITÉ DE L’INFORMATION COBIT 5 traite spécifiquement de la sécurité de l’information: En mettant l’accent sur la nécessité d’un système de gestion de la sécurité de l’information aligné sur le domaine “Align, Plan and Organise” notamment le processus APO13 Gestion de la sécurité de l’information; Le processus APO13 met l’emphase sur la nécessité d’un système de gestion de la sécurité de l’information (SGSI) pour soutenir les principes de gouvernance et les objectifs d’affaires impactés par la sécurité, en liaison avec le domaine « Evaluate, direct and monitor » 15 TROIS AVANCÉES MAJEURES EN SÉCURITÉ DE L’INFORMATION ! COBIT 5 pour la sécurité de l’information; La sécurité des équipements mobiles avec COBIT 5 Objectifs de contrôle TI pour le Cloud 16 17 JUSQU’OÙ ALLER DANS LA SÉCURITÉ ? 18 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 1. Principes, Politiques, Cadre de référence « Framework » 19 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 1. Principes, Politiques, Cadre de référence 20 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 21 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 3. Structure organisationnelle 1. Principes, Politiques, Cadre de référence 22 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 3. Structure organisationnelle 23 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 3. Structure organisationnelle 4. Éthique, culture organisationnelle 1. Principes, Politiques, Cadre de référence 24 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 4. Éthique, culture organisationnelle 25 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 3. Structure organisationnelle 4. Éthique, culture organisationnelle 1. Principes, Politiques, Cadre de référence 5. Information Ressources de l’Organisation 26 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 5. Information 27 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 3. Structure organisationnelle 4. Éthique, culture organisationnelle 1. Principes, Politiques, Cadre de référence 5. Information 6. Services, applications et infrastructure Ressources de l’Organisation 28 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 6. Services, applications et infrastructure 29 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 2. Processus 3. Structure organisationnelle 4. Éthique, culture organisationnelle 1. Principes, Politiques, Cadre de référence 5. Information 6. Services, applications et infrastructure 7. Profils de personnes et compétences Ressources de l’Organisation 30 CATALYSEURS DE LA GOUVERNANCE SELON COBIT 5 POUR LA SI 7. Profils des personnes et compétences 31 MODÈLE GÉNÉRIQUE POUR LA MISE EN ŒUVRE DES CATALYSEURS Approche selon Cobit 5 pour la SI Gestion performance catalyseur Dimensions catalyseur Parties prenantes •Internes; •Externes. Les besoins des parties prenantes sont ils adressés ? Objectifs Cycle de vie • Qualité intrinsèque; •Qualité contextuelle; •Accessibilité et sécurité Planifier, Modéliser, concevoir, acquérir, opérer, évaluer, mettre à jour, disposer A ‐ t‐on défini les objectifs ? Le cycle de vie est‐il géré ? Métriques pour mesurer l’atteinte des objectifs (Lag indicators) Bonnes pratiques Adapter selon le catalyseur Applique t‐on les bonnes pratiques ? Métriques pour l’application des catalyseurs (Lead indicators) 32 CATALYSEUR 1: PRINCIPES, POLITIQUES ET CADRE DE RÉFÉRENCE EN SI Véhicules utilisés pour communiquer les orientations de l’entreprise en relation avec les objectifs de gouvernance définis par le conseil d’administration et la Direction exécutive. 33 CATALYSEUR 1: PRINCIPES, POLITIQUES ET CADRE DE RÉFÉRENCE EN SI Approche selon Cobit 5 pour la SI Politiques Intrants Principes en sécurité Politique de sécurité • Informations obligatoires; • Standards, normes de sécurité; • Modèles et référentiels Politiques spécifiques de sécurité Procédures de sécurité Exigences de sécurité et documentation •Informations génériques; • Standards, normes de sécurité; • Modèles et référentiels 34 PRINCIPES EN SÉCURITÉ DE L’INFORMATION •Véhicules utilisés pour vulgariser les orientations de sécurité en relation avec les objectifs de gouvernance. •ISACA, ISF et ISC ont développé des principes en SI orientés sur 3 axes: 35 PRINCIPES EN SÉCURITÉ DE L’INFORMATION 1. Soutenir les affaires 2. Sécuriser les actifs • Intégrer la SI dans les activités d’affaires essentielles; •Évaluer et traiter les risques de sécurité; •Promouvoir une culture d’amélioration continue en SI • Définir une approche formelle pour gérer les risques; •Catégoriser/classifier les actifs; •Adopter des méthodes de développement sécuritaire 3. Sensibiliser les ressources •Sensibilisation afin d’obtenir des réflexes de sécurité; •Implication de la haute direction 36 POLITIQUES EN SÉCURITÉ DE L’INFORMATION Traduire sous forme de règles les principes de sécurité définis ainsi que leurs interrelations avec les processus décisionnels. Doivent être adaptées à la culture et au contexte organisationnel de l’entreprise. Types de politique • Politique de continuité et de reprise après sinistre Portée dans la fonction SI Analyse d’impact d’affaires (BIA); Plans de contingence d’affaires; Exigences de relève pour les systèmes critiques; Plan de reprise après sinistre (DRP); Formation et tests du plan de reprise…. 37 POLITIQUES EN SÉCURITÉ DE L’INFORMATION Types de politique •Politique de gestion des actifs Portée dans la fonction SI Classification des données; Propriété des données; Gestion du cycle de vie des actifs; Mesures de protection des actifs… 38 POLITIQUES EN SÉCURITÉ DE L’INFORMATION Types de politique Portée dans la fonction SI Définir les exigences de sécurité dans les processus d’acquisition ou de • Politique d’acquisition, de développement; développement et maintenance Pratiques de codage sécuritaire; Tester tester tester… des systèmes et solutions logicielles Intégrer la sécurité de l'information dans la gestion des changements et des configurations. 39 CATALYSEUR 2: PROCESSUS EN SÉCURITÉ DE L’INFORMATION Les processus décrivent, suivant un ordre séquentiel, les intrants et extrants nécessaires pour l’atteinte des objectifs de contrôle en sécurité de l’information. Composants des processus selon Cobit 5 pour la SI Identifier le processus Décrire le processus Définir le processus Définir les buts et métriques du processus Activités du processus (Description détaillée ) 40 ARCHITECTURE DE PROCESSUS EN SÉCURITÉ DE L’INFORMATION Area: Management Domain: APO APO001 Manage the IT Management Framework Description du processus: Clarifier et maintenir la gouvernance TI au sein de l'entreprise. Mettre en œuvre et promouvoir les mécanismes et l’autorité nécessaire pour gérer l'information et l'utilisation des TI à l'appui des objectifs de gouvernance. Déclaration d’intention Fournir une approche de gestion cohérente afin de réaliser les exigences de gouvernance d'entreprise incluant les processus de gestion, et les structures organisationnelles (rôles et responsabilités) ... Objectifs spécifiques à la sécurité Métriques spécifiques à la sécurité 1. S’assurer de l’alignement de la sécurité avec les TI, cadres méthodologiques et référentiels d’entreprise. • % des activités de sécurité à l’intérieur du portefeuille de projets qui sont alignés sur la stratégie d'entreprise. Description détaillée des activités (exemple) Intrants APO01.06: Définir la propriété des données et des systèmes. APO01.05 : Définition et positionnement de la fonction SI à l’intérieur de l’organisation. Extrants APO11.01: Rôles et responsabilités en SI DSS05.02 : Lignes directrices pour la classification des données. Activités spécifiques à la sécurité: 1.Définir la propriété des systèmes et des données à l’intérieur des processus de gestion de la sécurité; 2.Assigner un responsable de la sécurité des systèmes et des données à l’intérieur des processus de gestion de la sécurité 41 ARCHITECTURE DE PROCESSUS EN SÉCURITÉ DE L’INFORMATION APO001 Manage the IT Management Framework Area: Management Domain: APO Description du processus: Clarifier et maintenir la gouvernance TI au sein de l'entreprise. Mettre en œuvre et promouvoir les mécanismes et l’autorité nécessaire pour gérer l'information et l'utilisation des TI à l'appui des objectifs de gouvernance. 42 ARCHITECTURE DE PROCESSUS EN SÉCURITÉ DE L’INFORMATION APO001 Manage the IT Management Framework Area: Management Domain: APO Déclaration d’intention Fournir une approche de gestion cohérente afin de réaliser les exigences de gouvernance d'entreprise incluant les processus de gestion, et les structures organisationnelles (rôles et responsabilités) ... 43 ARCHITECTURE DE PROCESSUS EN SÉCURITÉ DE L’INFORMATION APO001 Manage the IT Management Framework Objectifs spécifiques à la sécurité 1. S’assurer de l’alignement de la sécurité avec les TI, cadres méthodologiques et référentiels d’entreprise. Area: Management Domain: APO Métriques spécifiques à la sécurité • % des activités de sécurité à l’intérieur du portefeuille de projets qui sont alignés sur la stratégie d'entreprise. 44 ARCHITECTURE DE PROCESSUS EN SÉCURITÉ DE L’INFORMATION APO001 Manage the IT Management Framework Area: Management Domain: APO Description détaillée des activités (exemple) Intrants APO01.06: Définir la propriété des données et des systèmes. APO01.05 : Définition et positionnement de la fonction SI à l’intérieur de l’organisation. Extrants APO11.01: Rôles et responsabilités en SI DSS05.02 : Lignes directrices pour la classification des données. Activités spécifiques à la sécurité: 1.Définir la propriété des systèmes et des données à l’intérieur des processus de gestion de la sécurité; 2.Assigner un responsable de la sécurité des systèmes et des données à l’intérieur des processus de gestion de la sécurité 45 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Modèle générique de structure organisationnelle basé sur COBIT 5 pour la SI. CISO Responsabilités du CISO : • Établir et maintenir le SMSI • Définir et gérer le plan de gestion/traitement des risques et le plan de reprise • Contrôle et audit du SMSI Niveau d'autorité : Responsable/imputable de la mise en œuvre et du maintien de la stratégie de sécurité de l'information. La reddition de comptes (imputabilité) et l'approbation des décisions importantes reliées à la sécurité de l’information. 46 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Comité directeur/sécurité •Regrouper les spécialistes qui permettront de bien gérer la sécurité de l’information en entreprise. Exemples : RH-Auditeurs internes-Légal etc. •Communication des bonnes pratiques de sécurité de l’information de même que leur implantation et suivi. 47 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Comités de gestion des risques d’entreprises • Responsable de certains processus ou applications d’affaires •Responsable de communiquer les liens entre les affaires et la sécurité (impacts sur les usagers) •Connaissance des risques reliés à l’opération de même que les coûts/bénéfices des besoins de sécurité pour les directions 48 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Responsable de la sécurité de l’information •Développe une vision commune pour l’équipe de sécurité et le reste de l’entreprise •Gère le personnel relié à la sécurité de l’information en fonction des besoins d’affaires •Effectue les évaluations de risque et définit les profils de risque •Développe le plan de sécurité de l’information •Surveille les indicateurs de gestions reliés à la SI •Identifie/communique les besoins en sensibilisation •Responsable de l’adhésion des ressources et de la haute direction aux bonnes pratiques de sécurité 49 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Propriétaires de processus / responsables de la sécurité des données et des systèmes •Communiquer, coordonner et conseiller l’entreprise sur les efforts requis pour gérer les risques avec les gestionnaires hiérarchiques •Rapporter les changement dans les besoins d’affaires et les stratégies liés aux nouveaux produits ou aux changements des produits existants •Responsable de rendre plus visible les aspects de sécurité de l’information au travers de toute l’entreprise. 50 CATALYSEUR 3 STRUCTURES ORGANISATIONNELLES EN SI Modèle générique de structure organisationnelle basé sur COBIT 5 pour la SI. CISO Collabore avec Comité directeur en sécurité Soutenus par: Responsable de la sécurité de l’information Comités de gestion des risques d’entreprises Propriétaires de processus / responsables de la sécurité des données et des systèmes 51 EXEMPLE DE STRUCTURE ORGANISATIONNELLE LE COMITÉ DIRECTEUR EN SI (EXEMPLE) Comité directeur en SI Composition Responsabilités Chief Information security officer (CISO) • Préside le comité directeur en SI; • S’assure de la collaboration entre le comité directeur et le comité de gestion des risques d’entreprise • Responsable de la sécurité de l’information à la grandeur de l’entreprise. Conception des communications, mise en œuvre et suivi des pratiques Responsable de la sécurité de l’information Propriétaires de processus / responsables de la sécurité des données et des systèmes Lorsque requis, traite de la conception des solutions avec les architectes en sécurité de l’information afin de mitiger les risques identifiés. • Responsable de certains processus ou applications d’affaires; • Responsable de la communication de certaines initiatives d’affaires qui peuvent avoir des incidences sur la sécurité de l’information, ou de pratiques qui peuvent impacter les utilisateurs finaux; • Avoir une bonne compréhension des risques opérationnels, les coûts et bénéfices de la sécurité de l’information ainsi que les exigences de sécurité de leurs domaines d’affaires. Gestionnaires TI Formalise des rapports sur l'état des TI ainsi que les initiatives liées à la sécurité de l'information Représentants de fonctions spécialisées Présence de certaines fonctions spécialisées lorsque requis (représentants de l'audit interne, ressources humaines, juridiques, la gestion du projet); Ces fonctions peuvent être invitées à l'occasion ou en tant que membres permanents. Possibilité d'avoir des représentants de l'audit interne afin de conseiller le comité sur les risques de conformité. 52 CATALYSEUR 4: ÉTHIQUE, CULTURE ET COMPORTEMENTS EN SI Éthique organisationnelle: « Valeurs sur lesquelles l’organisation veut évoluer » Éthique individuelle « Valeurs intrinsèques à chaque individu au sein de l’organisation » Leadership « Moyens pouvant influencer le comportement désiré » Comportement 1 Prise en compte de la sécurité de l’information dans les opérations quotidiennes. Comportement 2 Respect de l'importance des principes et politiques en sécurité de l’information Comportement 3 Chacun est responsable de la protection de l’information au sein de l'entreprise …8 Comportement n Les parties prenantes sont sensibles aux risques en sécurité de l’information 53 CATALYSEUR 5: INFORMATION Gérer le cycle de vie de l’information S’assurer de la destruction sécurisée de l’information Identifier, collecter et classifier l’information. Stockage de l'information (fichiers électroniques, bases de données, entrepôts de données….) S’assurer de la disponibilité de l’intégrité et de la confidentialité de l’information Utilisation de l’information (décisions de gestion, exécution des processus automatisés…..) 54 CATALYSEUR 7: PROFILS ET COMPÉTENCES DES PERSONNES EN SI COBIT 5 pour la sécurité de l’information fournit des exemples d’aptitudes et de compétences liés à la fonction SI (un exemple). Spécialiste en gouvernance de la sécurité Exigences Description Expériences Plusieurs années d'expérience en SI: • Concevoir et mettre en œuvre des politiques de sécurité informatique; • S’assurer de la conformité avec la réglementation externe; • Aligner la stratégie de sécurité de l'information avec la gouvernance d’entreprise; • Communiquer avec la direction exécutive Certifications pertinentes CISM Connaissances Aptitudes : • Définir les mesures de sécurité spécifiques à la gouvernance de la SI • Créer un modèle de mesure de la performance • Élaborer une analyse de rentabilité des investissements en sécurité de l’information Connaissances: • Exigences légales et réglementaires concernant la sécurité des informations • Rôles et responsabilités nécessaires à la sécurité de l'information dans toute l'entreprise • Concepts fondamentaux en gouvernance de la SI • Normes internationales, cadres référentiels et bonnes pratiques… 55 CATALYSEUR 6 SERVICES, APPLICATIONS ET INFRASTRUCTURES 56 Securing Mobile Devices Using COBIT® 5 for Information Security 57 LA MOBILITÉ AU SEIN DE L’ENTREPRISE, UNE RÉALITÉ ! Accès aux ressources TI de l’entreprise via différentes plateformes et connexions réseau. Serveur d’annuaires Serveur web Stockage Serveur fichiers Pare-feu Serveur messagerie Serveur BD Accès depuis des réseaux publics (aérogares, hôtels, restaurants….) Accès utilisateurs, réseau interne 58 PRINCIPAUX RISQUES DE SÉCURITÉ ASSOCIÉS À LA MOBILITÉ Risques physiques: vol, divulgation d’informations confidentielles L’avènement de la mobilité comporte comme corollaire un accroissement exponentiel des risques de sécurité. 59 PRINCIPAUX RISQUES DE SÉCURITÉ ASSOCIÉS À LA MOBILITÉ Risques technologiques: propagation de virus dans toute l’infrastructure … 60 PRINCIPAUX RISQUES DE SÉCURITÉ ASSOCIÉS À LA MOBILITÉ RISQUES ORGANISATIONNELS ET OPÉRATIONNELS: GESTION DES ÉQUIPEMENTS MOBILES, ESPIONNAGE INDUSTRIEL…. 61 RÉALISER UN DOSSIER D’AFFAIRES SUR LA MOBILITÉ AU SEIN DE L’ENTREPRISE Réaliser des études d’opportunités: L'utilisation d’équipements mobiles doit être liée à une recherche d’efficacité et d’efficience dans la réalisation des objectifs d’affaires; Plus‐value et bénéfices: S’assurer que l’utilisation d’équipements mobiles est source de valeur ajoutée au sein de l’organisation; Risques: Identifier et évaluer les risques technologiques (interopérabilité), d’affaires et de sécurité liés à la mobilité 62 NORMALISER L’UTILISATION DES SOLUTIONS MOBILES AU SEIN DE L’ENTREPRISE Normaliser l’utilisation des équipements mobiles Politique de sécurité Politiques et normes Politique d’utilisation des équipements mobiles Gestion des équipements mobiles (MDM) Règles de sécurité Gestion de la configuration Équipements Mobiles Gestion à distance Définir noyau des applicatifs 63 NORMALISER L’UTILISATION DES SOLUTIONS MOBILES AU SEIN DE L’ENTREPRISE Centrer les efforts de gouvernance sur l’utilisateur Politique de sécurité Politique d’utilisation des équipements mobiles Politiques et normes Utilisateur Exigences minimales Acceptation des règles Équipements Mobiles Gestion par l’utilisateur Applications à risque 64 GÉRER LE CYCLE DE VIE DES ÉQUIPEMENTS MOBILES (BYOD) • Contrat d’achat (clause de sécurité, de responsabilité…) • Cycle de test des équipements; • Personnalisation (privilèges utilisateurs) • Configuration (profil utilisateur), gestion de la sécurité; • Services et maintenance; • Formatage / destruction physique; • Gestion des utilisateurs; • Opérations parallèles • Gestion des risques / incidents de sécurité 65 IT Control Objectives for Cloud Computing 66 GOUVERNANCE DANS LE CLOUD Réaliser un dossier d’affaires Assurer la continuité des affaires Conformité légale Intégrité Gérer les risques du Cloud Confidentialité Gestion de la performance 67 GOUVERNANCE DANS LE CLOUD •Gérer de manière efficace les risques reliés au Cloud, les projets et les partenaires •Assurer la continuité des affaires au‐delà du centre de traitement informatique de l’entreprise •Communiquer clairement les objectifs relatifs au Cloud tant à l’interne qu’à l’externe •Adaptation rapide, flexibilité , capacité et services… tout change avec le Cloud •Création d’opportunités et amélioration des coûts •Assurer une continuité des connaissances • Gérer la conformité 68 69 MODÈLE D’IMPLANTATION DE COBIT 5 Gestion de programme Gestion du changement Amélioration continue 70 Gestion de programme Amélioration continue Gestion du changement CONCLUSION (VOLET GOUVERNANCE) •Réduire la complexité •Accroire la rentabilité et la satisfaction des clientèles •Améliorer l’intégration de la sécurité des TI dans l’entreprise •Prise de décision éclairées avec une meilleure connaissance des risques • Amélioration de la prévention, détection et reprise des opération • Réduction des impacts des incidents de sécurité • Meilleure gestion budgétaire des coûts liés à la sécurité de l’information •Distinction entre la gouvernance et la gestion • Meilleure compréhension de la sécurité des TI 73 CONCLUSION (VOLET GOUVERNANCE) Les avancées de COBIT 5 permettent une prise en compte de bout en bout des préoccupations de sécurité pour l’entreprise 74 MERCI Contact : Martin M Samson Directeur Exécutif Associé, Sécurité de l’information martin.samson‐À‐nurun.com Martin.samson‐À‐videotron.ca 418‐627‐0999 poste 55395 75