vignette|La triade de la sécurité de l'information : CIA. Deuxième version COBIT (pour « », ou « objectifs de contrôle de l'information et des technologies associées » en français) est un référentiel de bonnes pratiques d'audit informatique et de gouvernance des systèmes d'information d'origine américaine. Au fil des versions successives, il tend à devenir un outil fédérateur de gouvernance des systèmes d'information en intégrant progressivement les apports d'autres référentiels tels que ISO 9000, ITIL
Historique La gouvernance des Systèmes d'Information (Information Technology (IT) Governance) s'est diffusée au sein des entreprises dans un contexte où d'une part, l'automatisation des fonctions de l'entreprise est devenue une composante essentielle au sein de l'entreprise et d'autre part, les dirigeants ne voient pas comment les SI peuvent apporter de la valeur et de la performance dans l'organisation. Ainsi, on peut parler de gouvernance des SI et donc de normes et certifications permettant cette dernière. C'est également dans un souci de transparence des informations que les SI se sont développés et que leur contrôle est devenu incontournable. Le référentiel principal de gouvernance et d'audit des SI est le COBIT. En résumé le COBIT est un cadre de référence pour maîtriser la gouvernance des SI dans le temps. Il est fondé sur un ensemble de bonnes pratiques collectées auprès d'experts du SI.
COBIT a été développé en 1994 (et publié en 1996) par l'ISACA (Information Systems Audit and Control Association). L'ISACA a été créé en 1967 et est représenté en France depuis 1982 par l'AFAI (Association française de l'audit et du conseil informatiques). C'est un cadre de contrôle qui vise à aider le management à gérer les risques (sécurité, fiabilité, conformité) et les investissements. COBIT a évolué, la version 4 est apparue en France en 2007.
COBIT est une approche orientée processus, qu'il regroupe en quatre domaines (planification, construction, exécution et métrologie, par analogie avec la Roue de Deming), 34 processus distincts qui comprennent en tout 215 activités et un nombre plus important encore de « pratiques de contrôle ». Un volet « évaluation des systèmes d'information », connu sous le nom de Val IT tente de compléter cette approche.
La version 5 de COBIT est disponible depuis L'ISACA publie le cadre de référence de gouvernance COBIT 5 - Isaca.org, 10 avril 2012. COBIT 5 est, à ce jour, le seul référentiel qui est orienté business pour la Gouvernance et la Gestion des Systèmes d'Information de l'entreprise. Il représente une évolution majeure du référentiel.
COBIT 5 peut être adapté pour tous les types de modèles business, d'environnements technologiques, toutes les industries, les lieux géographiques et les cultures d'entreprise. Il peut s'appliquer à : La sécurité de l'information ; La gestion des risques ; La gouvernance et la gestion du système d'information de l'entreprise ; Les activités d'audit ; La conformité avec la législation et la réglementation ; Les opérations financières ou les rapports sur la responsabilité sociale de l'entreprise.
Le référentiel COBIT 5 simplifie les défis de la gouvernance avec seulement cinq principes et sept facilitateurs. Il permet l'intégration avec d'autres approches et normes, incluant TOGAF, PMBOK, PRINCE2, COSO, ISO/CEI 20000, ISO/CEI 27001, ITIL, PCI DSS, Loi Sarbanes-Oxley et Bâle III.
En , l'ISACA a annoncé la sortie progressive de la version 2019 de COBIT.
Principes de COBIT
COBIT fournit aux gestionnaires, auditeurs et utilisateurs de TIC (Technologies de l'information et de la communication), des indicateurs, des processus et des bonnes pratiques pour les aider à maximiser les avantages issus du recours à des techniques informatiques et à l'élaboration de la gouvernance et du contrôle d'une entreprise. Il les aide à comprendre leurs systèmes informatiques et à déterminer le niveau de sécurité et de contrôle qui est nécessaire pour protéger leur entreprise, et ceci par le biais du développement d'un modèle de gouvernance des systèmes d'information tel que COBIT. Ainsi, COBIT fournit des indicateurs clés d'objectif, des indicateurs clés de performance et des facteurs clés de succès pour chacun de ses processus. Le modèle COBIT se focalise sur ce que l'entreprise a besoin de faire et non sur la façon dont elle doit le faire.
Le référentiel COBIT constitue une structure de relations et de processus (cadre de référence ou framework) visant à un pilotage et un contrôle des techniques informatiques par le management de l'entreprise pour atteindre ses objectifs, en utilisant ces techniques comme moyen pour améliorer l'activité et répondre aux besoins métiers, besoins consolidés dans le plan stratégique de l'entreprise. Il est basé sur 5 clés principales de la gouvernance et gestion IT : Répondre aux besoins des parties prenantes ; Couvrir l'entreprise de bout en bout ; Appliquer un seul cadre de référence ; Séparer la gouvernance et la gestion ; Favoriser une approche globale.
Fondamentaux de COBIT 5 Une des principales nouveautés de COBIT 5 est d'aborder le système d'information, au-delà des processus déjà mis en avant par COBIT 4.1, au travers d'autres thématiques complémentaires, dans le cadre d'une approche globale (ou systémique). L'ensemble de ces thématiques contribue de manière interdépendante à la maîtrise de la gouvernance et du management du SI.
COBIT 5 définit 37 processus regroupés en cinq domainesISACA : « Un référentiel orienté affaires pour la gouvernance et la gestion des TI de l'entreprise » et « Processus facilitants ».. Évaluer, diriger, et surveiller : Assurer la définition et l'entretien d'un référentiel de gouvernance Assurer la livraison des bénéfices Assurer l'optimisation du risque Assurer l'optimisation des ressources Assurer aux parties prenantes la transparence Aligner, planifier et organiser : Gérer le cadre de gestion des TI Gérer la stratégie Gérer l'architecture de l'entreprise Gérer l'innovation Gérer le portefeuille Gérer le budget et les coûts Gérer les relations humaines Gérer les relations Gérer les accords de service Gérer les fournisseurs Gérer la qualité Gérer le risque Gérer la sécurité Bâtir, acquérir, et implanter : Gérer les programmes et les projets Gérer la définition des exigences Gérer l'identification et la construction des solutions Gérer la disponibilité et la capacité Gérer le changement organisationnel Gérer les changements Gérer l'acceptation du changement et de la transition Gérer la connaissance Gérer les actifs Gérer la configuration Livrer, servir et soutenir : Gérer les opérations Gérer les demandes de services et les incidents Gérer les problèmes Gérer la continuité Gérer les services de sécurité Gérer les contrôles des processus d'affaires Surveiller, évaluer et mesurer : Surveiller, évaluer et mesurer la performance et la conformité Surveiller, évaluer et mesurer le système de contrôle interne Surveiller, évaluer et mesurer la conformité aux exigences externes Des adaptations ont été réalisées sur cette version afin d'assurer une meilleure convergence avec d'autres référentiels tels que ITIL et CMMI. Ainsi le COBIT 5, encore plus que COBIT 4.1, aidera les DSI à mettre en œuvre une démarche d'amélioration globale de la DSI, homogène et coordonnée, qui ne se focalise pas que sur les processus.
Fondamentaux de CobiT 4.1 COBIT 4.1 définit 34 processus regroupés en quatre domaines.
Le COBIT consiste à décomposer tout système informatique en : Planification et Organisation : dans ce domaine nous cherchons à savoir comment utiliser les techniques informatiques afin que l'entreprise atteigne ses objectifs. Définition du plan stratégique informatique Définition de l'architecture des informations Définition de la direction technologique Organisation du service informatique Gestion des investissements Communication des objectifs de la direction Gestion des ressources humaines Respect des exigences légales Évaluation des risques Gestion des projets Gestion de la qualité Acquisition et Installation : ici COBIT cherche à définir, acquérir et mettre en œuvre des technologies en les alignant avec les processus métiers de l'entreprise. Identification des solutions automatiques Acquisition et maintenance des applications informatiques Acquisition et maintenance de l'infrastructure technique Développement et maintien des procédures Installation et certification des systèmes Gestion des modifications Livraison et Support : l'objectif est de garantir l'efficacité et l'efficience des systèmes technologiques en action. Définition des niveaux de service Gestion des services aux tiers Gestion des performances et des capacités Garantie de la poursuite des traitements Garantie de la sécurité des systèmes Identification et attribution des coûts Formation des utilisateurs Assistance des utilisateurs Gestion de la configuration Gestion des incidents Gestion des données et des applications Sécurité physique du système Gestion de l'exploitation Monitoring : Il convient ici de vérifier que la solution mise en place est en adéquation avec les besoins de l'entreprise dans une vision stratégique. Surveillance des processus Appréciation du contrôle interne Certification par un organisme indépendant Audit par un organisme indépendant
COBIT s'adresse à différents utilisateurs :
Le management pour lequel il offre un moyen d'aide à la décision ; Les utilisateurs directs pour lesquels il permet d'apporter des garanties sur la sécurité et les contrôles des services informatiques ; Les auditeurs et les consultants auxquels il propose des moyens d'interventions reconnus internationalement.
Le package COBIT 4.1
Il comprend six publications :
Executive summary (résumé de la vue d'ensemble de la méthodologie CobiT pour les managers pressés) ; Framework (cadre de référence explicatif de la méthode, des domaines et processus) ; Control objectives (215 objectifs de contrôle : ces objectifs sont directement orientés vers le management et les équipes responsables des services informatiques) ; Audit guidelines (le guide de l'audit) : il s'agit de déceler, d'analyser et expliquer les failles d'un système et les risques qui en découlent ainsi que de leur apporter des solutions ; Implementation Tool Set (les outils de la mise en œuvre du CobiT) ; Management Guidelines (le guide du management). Celui-ci dispose d'un modèle de maturité pour évaluer, sur une échelle de cinq degrés, le niveau d'évolution de chacun des processus. Ce guide propose un cadre de pilotage de type tableau de bord prospectif (balanced scorecard).
L'objectif est d'assurer l'adéquation durable entre les technologies, les processus métiers et la stratégie de l'entreprise.
Critères de l'information
Cette rubrique va intéresser la direction générale en indiquant ce que l'implantation d'un processus donné va apporter sur les informations (par exemple sur l'information décisionnelle). Ces critères sont : efficacité : qualité et pertinence de l'information, distribution cohérente ; efficience : rapidité de délivrance ; confidentialité : protection contre la divulgation ; intégrité : exactitude de l'information ; disponibilité : accessibilité à la demande et protection (sauvegarde) ; conformité : respect des règles et lois ; fiabilité : exactitudes des informations transmises par le management.
L'organisation atteindra ses objectifs après une évaluation critériée des informations, ouvrira ainsi de nouvelles opportunités et améliorera la rentabilité.
Les ressources
Cette partie concerne plus le directeur des systèmes d'informations (DSI) ou responsable des systèmes d'informations (RSI), pour l'informer des ressources qui vont être impactées par le processus. Les différentes ressources sont : les compétences : le personnel, efficacité des collaborateurs (internes et externes) ;