Un contrôle, plusieurs référentiels : ISO 27001, COBIT, ITIL, SOX, ISAE 3402, PCI DSS
Bonne lecture et bon apprentissage ! Junior TSAFACK – 19/10/2026 ⏱️ Temps de lecture estimé : 12 minutes
Le problème : la fatigue d’audit
Section titled “Le problème : la fatigue d’audit”Chez KamaPay, avant le projet SMSI, la même équipe d’exploitation recevait dans l’année :
- l’audit SOX du groupe (accès, changements, exploitation) ;
- l’inspection du régulateur ;
- l’audit interne du groupe ;
- les questionnaires des banques partenaires ;
- l’audit de certification ISO 27001 à venir.
Chaque audit demandait les mêmes preuves sous une forme différente. Résultat : des semaines perdues et des incohérences entre les réponses.
La solution : un référentiel de contrôles unifié (Unified Control Framework). On définit une seule fois chaque contrôle interne, avec une seule preuve, et on indique à quelles exigences de chaque référentiel il répond.
Qui fait quoi : le rôle de chaque référentiel
Section titled “Qui fait quoi : le rôle de chaque référentiel”| Référentiel | Nature | Question à laquelle il répond | Certifiable ? |
|---|---|---|---|
| ISO/IEC 27001 | Système de management de la sécurité | La sécurité est-elle pilotée par les risques et améliorée en continu ? | Oui (l’organisation) |
| ISO/IEC 27002 | Catalogue de bonnes pratiques | Comment mettre en œuvre chaque contrôle ? | Non |
| COBIT 2019 (ISACA) | Gouvernance et gestion de l’informatique | L’informatique crée-t-elle de la valeur en maîtrisant ses risques ? | Non (évaluation de maturité possible) |
| ITIL 4 | Gestion des services informatiques | Les services sont-ils délivrés et supportés de façon fiable ? | Non (les personnes se certifient) |
| SOX (contrôles généraux informatiques) | Loi américaine sur l’information financière des sociétés cotées | Les systèmes qui produisent les chiffres financiers sont-ils fiables ? | Non (attestation des auditeurs) |
| ISAE 3402 (≈ SOC 1) | Norme d’assurance sur les contrôles d’un prestataire | Les contrôles d’un prestataire qui touchent l’information financière de ses clients fonctionnent-ils ? | Rapport d’auditeur |
| PCI DSS v4 | Standard de l’industrie des cartes | Les données de carte sont-elles protégées ? | Oui (évaluation de conformité) |
| 3GPP / GSMA | Spécifications et recommandations télécoms | Les canaux mobiles (signalisation, USSD, SMS) sont-ils sécurisés ? | Non |
| Exigences du régulateur | Textes réglementaires | L’établissement respecte-t-il ses obligations d’agrément ? | Inspections |
La table de correspondance
Section titled “La table de correspondance”⚠️ Les correspondances ci-dessous sont indicatives, construites pour l’exercice. Les correspondances officielles (publiées par l’ISACA, le PCI SSC, etc.) et le texte exact de chaque exigence restent la référence pour un audit réel.
| Contrôle interne KamaPay | ISO 27001:2022 (Annexe A) | COBIT 2019 | ITIL 4 (pratique) | SOX — contrôles généraux | PCI DSS v4 | Régulateur |
|---|---|---|---|---|---|---|
| CI-01 Politique de sécurité approuvée et revue annuellement | A.5.1 | APO13 | Gestion de la sécurité de l’information | Environnement de contrôle | Exig. 12.1 | Contrôle interne |
| CI-02 Analyse de risques annuelle et pour chaque projet | Clause 6.1, 8.2 | APO12, EDM03 | Gestion des risques | – | Exig. 12.3 | Gestion des risques opérationnels |
| CI-03 Création, modification et suppression des accès sur demande approuvée | A.5.15, A.5.16, A.5.18 | DSS05 | Gestion de la sécurité de l’information | Accès aux programmes et données | Exig. 7, 8 | Contrôle interne |
| CI-04 Revue trimestrielle des droits d’accès aux applications financières | A.5.18 | DSS05, DSS06 | Gestion de la sécurité de l’information | Accès aux programmes et données | Exig. 7.2.4 | Contrôle interne |
| CI-05 Comptes privilégiés via bastion, MFA, sessions enregistrées | A.8.2, A.8.5 | DSS05 | Gestion de la sécurité de l’information | Accès aux programmes et données | Exig. 8.4 | – |
| CI-06 Tout changement en production est approuvé, testé et tracé | A.8.32 | BAI06 | Habilitation des changements | Changements de programmes | Exig. 6.5 | Contrôle interne |
| CI-07 Développement sécurisé et tests de sécurité avant mise en production | A.8.25 – A.8.29 | BAI03 | Développement et gestion de logiciels | Développement de programmes | Exig. 6.2, 6.3 | – |
| CI-08 Gestion des vulnérabilités et correctifs selon la criticité | A.8.8 | DSS05 | Gestion de la sécurité de l’information | Exploitation informatique | Exig. 6.3, 11.3 | – |
| CI-09 Journalisation centralisée et surveillance 24/7 | A.8.15, A.8.16 | DSS05, DSS01 | Surveillance et gestion des événements | Exploitation informatique | Exig. 10 | Surveillance des opérations |
| CI-10 Sauvegardes et tests de restauration | A.8.13 | DSS04 | Gestion de la continuité des services | Exploitation informatique | – | Conservation des données |
| CI-11 Gestion et déclaration des incidents | A.5.24 – A.5.28 | DSS02 | Gestion des incidents | Exploitation informatique | Exig. 12.10 | Déclaration des incidents |
| CI-12 Plan de continuité testé annuellement | A.5.29, A.5.30 | DSS04 | Gestion de la continuité des services | – | – | Continuité d’activité |
| CI-13 Évaluation et contrats sécurité des fournisseurs critiques | A.5.19 – A.5.22 | APO10 | Gestion des fournisseurs | Organisations de services (rapports SOC 1) | Exig. 12.8 | Externalisation |
| CI-14 Sensibilisation annuelle et simulations d’hameçonnage | A.6.3 | APO07 | Gestion des effectifs et des talents | Environnement de contrôle | Exig. 12.6 | – |
| CI-15 Chiffrement des données sensibles et gestion des clés | A.8.24 | DSS05 | Gestion de la sécurité de l’information | – | Exig. 3, 4 | Protection des données |
| CI-16 Registre de conformité revu annuellement | A.5.31 | MEA03 | – | – | Exig. 12.4 | Conformité |
| CI-17 Audit interne indépendant du SMSI | Clause 9.2, A.5.35 | MEA02, MEA04 | – | Surveillance du contrôle interne | – | Contrôle périodique |
Organiser les preuves une seule fois
Section titled “Organiser les preuves une seule fois”Pour chaque contrôle interne, on fixe :
| Champ | Exemple pour CI-04 |
|---|---|
| Description du contrôle | Chaque trimestre, les propriétaires d’applications financières revoient la liste des comptes et de leurs droits, signent la revue et demandent la suppression des écarts |
| Fréquence | Trimestrielle |
| Propriétaire | DSI (exécution), propriétaires d’applications (validation) |
| Type | Manuel, détectif |
| Preuve | Extraction des comptes datée, revue signée, tickets de correction |
| Emplacement de la preuve | Dossier GRC « CI-04 / AAAA-Tn » |
| Référentiels couverts | ISO A.5.18 · COBIT DSS05/DSS06 · SOX accès · PCI 7.2.4 · Régulateur |
| Dernier test | Audit interne du T2 : efficace, 1 écart corrigé |
💡 Le gain est immédiat : l’auditeur SOX, l’auditeur ISO et l’inspecteur du régulateur consultent le même dossier. Les équipes ne produisent la preuve qu’une fois, et les réponses sont cohérentes.
Le cas particulier des rapports ISAE 3402
Section titled “Le cas particulier des rapports ISAE 3402”Deux situations très différentes :
| Situation | Exemple | Ce que fait l’ingénieur SSI |
|---|---|---|
| KamaPay est cliente d’un prestataire | Hébergeur cloud, éditeur de la plateforme en mode service | Exiger le rapport ISAE 3402 / SOC 1 type II, l’analyser (périmètre, période, exceptions), appliquer les contrôles complémentaires demandés au client |
| KamaPay est prestataire | Des banques partenaires ou des marchands s’appuient sur KamaPay pour leur propre information financière | Envisager de faire produire un rapport ISAE 3402 sur ses propres contrôles : le référentiel unifié en fournit l’essentiel |
Et la sécurité télécom (3GPP, GSMA) ?
Section titled “Et la sécurité télécom (3GPP, GSMA) ?”Un établissement de paiement adossé à un opérateur mobile dépend de canaux télécoms qu’il ne maîtrise pas directement. Les sujets à traiter avec l’opérateur, dans le cadre de la gestion des fournisseurs et des interfaces du périmètre :
- sécurisation du processus de remplacement de SIM et partage d’un signal de « SIM récemment changée » (risque R-01) ;
- filtrage de la signalisation du réseau mobile, pour limiter l’interception ou la redirection de SMS ;
- sécurité des sessions USSD (durée, enchaînement, données affichées) ;
- usage des SMS comme facteur d’authentification : utile, mais à compléter par d’autres signaux pour les opérations sensibles.
Ces sujets se traduisent en exigences contractuelles et en indicateurs partagés avec l’opérateur, suivis en comité.
Prochaine étape : Résilience et continuité d’activité →