Au sens d’ITIL, un changement est une modification d’un ou plusieurs éléments de configuration (Configuration Items) composant le système d’information ou d’un ou plusieurs services fournis par le système d’information.
Exemples de changements : installation d’un poste de travail, nouvelle version d’un logiciel applicatif, introduction d’un nouveau serveur, modification d’une documentation,…
Ces risques deviennent encore plus importants lorsque le programmeur qui crée le programme est également l’opérateur. Dans pareil cas, on suppose que le service des Tl est petit ou qu’il y a peu d'applications en traitement. Les procédures de gestion des changements spéciales doivent être suivies de près puisqu'une ségrégation des tâches ne peut être établie dans un tel environnement; des contrôles de compensation sont requis.
Voici donc les 9 risques :
Le programmeur a accès aux bibliothèques de production contenant des programmes et des données, y compris un code exécutable.
L’utilisateur responsable de l'application n'était pas au courant du changement (aucun utilisateur n'a signé la demande de changement pour maintenance approuvant le début du travail).
Le formulaire de demande de changement et les procédures n'ont pas été formellement établis.
Le responsable approprié de la direction n'a pas signé le formulaire de changement approuvant le début du travail.
L’utilisateur n'a pas signé le formulaire de changement indiquant son acceptation avant la mise à jour du changement en production.
Le code source modifié n'a pas été convenablement révisé par le personnel approprié de la programmation.
Le responsable approprié de la direction n'a pas signé le formulaire de changement approuvant la mise à jour du programme vers la production.
Le programmeur a ajouté un code supplémentaire pour son gain personnel (c.-à-d. qu'il a commis une fraude).
Les changements reçus du fournisseur du logiciel n'ont pas été testées, ou on a permis au fournisseur de charger les changements directement dans la production ou sur le site. Cela se produit dans les cas de sites de traitement répartis, comme les points de vente, les applications bancaires, les réseaux de guichets automatiques bancaires, etc.
Source : www.isaca.org
Lancelot TETANG
Consultant
