Analyse de la gouvernance, de la conformité et de l’audit
Découvrez comment les informations sur les contrôles, les configurations des systèmes et les éléments probants d’audit pourraient soutenir une analyse de la gouvernance et de la conformité examinée par des personnes.
Un scénario de la feuille de route fondé sur le cas d'usage CIRMS GL5 d'origine. Il ne s'agit ni d'un déploiement en production ni d'un résultat garanti.
Rassembler des éléments probants dispersés dans une vue d’ensemble vérifiable.
Les politiques, les configurations, les événements de sécurité et les éléments probants d’audit ne sont pas toujours examinés ensemble. Le concept CIRMS propose de les relier pour aider les personnes à détecter d’éventuelles lacunes, à suivre les changements et à préparer les éléments probants en vue de leur examen.
Informations dans le périmètre
- Politiques et normes
- Règles internes, définitions des contrôles et référentiels sélectionnés.
- Configurations des systèmes
- Données approuvées sur l’infrastructure, les applications et les bases de données.
- Événements de sécurité
- Journaux d’accès, anomalies et informations sur les événements disponibles.
- Éléments probants d’audit
- Journaux, approbations, changements et rapports à l’appui.
Comment le scénario pourrait fonctionner.
Suivez le parcours proposé, des informations approuvées à un examen assisté par l'IA, puis à une décision dont les personnes restent responsables.
- 01
Unifier les éléments probants
Définir les contrôles et rattacher les sources de preuves approuvées au périmètre de l’examen.
- 02
Explorer l’analyse GL5 prévue
Aider à détecter d’éventuelles lacunes, à examiner les changements et à organiser les éléments probants.
- 03
Examiner les constats
Les personnes responsables vérifient le contexte, les exceptions et les éventuels faux positifs.
- 04
Préparer une réponse dont on peut rendre compte
Consigner le résultat de l’examen et coordonner les actions avec les responsables des contrôles.
Préparation des audits
Faciliter la recherche et l’examen des éléments probants pertinents.
Examen plus précoce des lacunes
Faire ressortir les problèmes potentiels pour une évaluation humaine qualifiée.
Supervision renforcée
Clarifier le lien entre un contrôle, les éléments probants qui l’étayent et son responsable.
Le concept d'origine du cas d'usage.
Ce qui sous-tend le cas d'usage.
Distinguez le socle de la plateforme de l'intelligence prévue et des exigences de l'environnement cible.
GL3 / GL4 & architecture
Les données opérationnelles de GL3 et les connaissances préparées par GL4 peuvent constituer une base d’information pour un examen de gouvernance convenu. La conservation des éléments probants et les contrôles de leur intégrité doivent être définis pour le déploiement.
IA & extensions futures
La détection des lacunes de contrôle assistée par l’IA, les synthèses d’éléments probants et l’analyse de conformité sont des concepts de la feuille de route GL5. Ils n’établissent pas qu’une organisation est conforme.
Personnes, données & autorisations
Définir les contrôles applicables, les responsabilités, les restrictions d’accès et le processus d’examen. CIRMS n’est présenté ni comme une certification, ni comme une détermination juridique, ni comme un remplacement d’un auditeur.
Une évaluation délimitée
Sélectionner une famille de contrôles et un ensemble limité d’éléments probants. Demander aux responsables des contrôles de comparer les synthèses proposées à leur processus d’examen existant.
Indicateurs possibles : exhaustivité des éléments probants, temps de récupération, concordance entre les évaluateurs et nombre de suggestions rejetées ou corrigées pendant la validation.