5.3
Diagnostic critique de la gestion de la sécurité de
l'information
L'analyse critique se fera suivant troisétapes :
d'abord l'évaluation de la gestion de la sécurité de
l'information, ensuite l'évaluation des activités et de la
technologie relatif à la sécurité de l'information et
enfin la pratique de l'audit interne en matière de
sécurité de l'information.L'analyse critique nous permet de
comparer la pratique d'avec la théorie en vue de déceler les
insuffisances et trouver des solutions adéquates pour le bon
fonctionnement de Ecobank CI.
5.3.1 Evaluation de la gestion de la sécurité de
l'information
L'évaluation de la gestion de la sécurité
de l'information passe par une analyse propre de l'organisation de la
sécurité au sein de la banque. Pour évaluer la gestion de
la sécurité de l'information, nous procéderons par un
examen plus ou moins détaillé de chaque point d'anomalie
décelée dans la description du SMSI existant.
5.3.1.1 Absence d'un comité de pilotage de la
sécurité de l'information
La première remarque qui ressort de notre
évaluation, c'est l'absence d'un comité de pilotage de la
sécurité de l'information au niveau des filiales. Cette absence
créeun problème dans le processus de gouvernance de la
sécurité de l'information. Il est vrai qu'il existe un groupe
SECURITY au sein de la maison mère qui se charge d'établir des
politiques de sécurité et les pratiques et que des rapports sont
transmis par les filiales pour un suivi. Cependant, les risques en l'absence
d'un comité de pilotage de la sécurité de l'information au
sein des filialessont de plusieurs ordres. Premièrement les objectifs
fixés par la maison mère pour la gestion et le maintien de la
sécurité ne sont pas correctement atteints au niveau de tous les
corps métiers. On assiste par ricochet à une confusion au niveau
des tâches à accomplir et des responsabilités. Ensuite les
procédures ne sont pas correctement appliquées parce qu'elles ne
sont pas comprises ou entièrement adaptées aux besoins du
personnel.
Les risques qui en découlent sont la mauvaise gestion
du système, la mauvaise gestion des actifs, le manque de coordination
dans les tâches, un manque d'organisation etc. L'absence du comité
de pilotage peut entrainer une méconnaissance des réels risques
inhérents aux corps métiers. La banque ne pourra pas uniquement
compter sur son Risk Manager ou son Responsable de sécurité de
l'information ; il est donc d'une importance capitale pour la filiale
d'avoir en son sein un comité de pilotage de la sécurité
de l'information afin de mieux prendre en compte toutes les difficultés
à l'ensemble de l'organisation.
| 
