Sauter l'index du livret et aller au contenu de la page

Vérification de suivi des contrôles des technologies de l’information des systèmes financiers de la Direction générale des finances et des services ministériels

Annex 1: Critères de vérification

Des mesures correctives répondant aux recommandations de la phase 2 de l'évaluation de l'état de la préparation à la vérification ont été appliquées et se sont avérées efficaces pour donner suite aux constatations de ce rapport.

Sous critères
No de sous–critèreDescriptionConclusion généraleSurveillance continue nécessaire?Conception de la mesure de contrôle durable?Travaux de vérification supplémentaires nécessaires?Commentaires
1Les comptes d'utilisateur des entrepreneurs et des employés temporaires peuvent être identifiés.Risque faibleOuiOuiOui

Bien que l'examen de janvier ait indiqué que peu de travail avait été accompli concernant la politique et les procédures liées à ce type de contrôle, un examen exhaustif des documents et les entrevues réalisées pendant la phase d'essai indiquait qu'à compter du 1er avril 2011, les outils de base disponibles pour faire fonctionner ces contrôles étaient en place, y compris les champs pour déterminer le type d'employé et pour appliquer une « date de fin » aux comptes des employés à terme, contractuels et occasionnels.

La mise en œuvre de ces méthodes de contrôle a été annoncée à l'échelle du Ministère à la fin du mois de mars 2011. Au cours des entrevues, on nous a dit [Texte enlevé pour protéger la sécurité du système].

Comme les mesures de contrôle n'ont été mises en place que le 1er avril 2011 et que [Texte enlevé pour protéger la sécurité du système], il n'y avait pas suffisamment de nouvelle activité d'utilisateur pour une mise à l'essai et, par conséquent, l'équipe de vérification n'a pas pu fournir de conclusions sur l'efficacité de ces contrôles. Les vérificateurs ont trouvé [Texte enlevé pour protéger la sécurité du système]. L’équipe de vérification a recommandé d’autres activités de suivi de la vérification après le 30 septembre afin d'établir l'efficacité des contrôles après leur mise en œuvre.

Étant donné que les procédures et les politiques adéquates semblent être en place en ce qui concerne les nouveaux contrôles et [Texte enlevé pour protéger la sécurité du système], nous estimons que la capacité de fournir ce contrôle présente un faible risque pour la capacité du Ministère à fournir des états financiers vérifiables.

2Les contrôles relatifs à la gestion d'identité dans la prestation de services de Travaux publics et Services gouvernementaux Canada ont été précisés dans l'accord sur les niveaux de service.ConformeNonOuiNonSelon un examen de l'accord actuel sur les niveaux de service conclu avec Travaux publics et Services gouvernementaux Canada (février 2011), Environnement Canada dispose maintenant de l'accès en lecture seule nécessaire pour effectuer les activités de surveillance et de vérification.
3La séparation continue des tâches a été assurée.Risque faibleOuiOuiOuiLa documentation en matière de politiques et de procédures est appropriée, et les outils de soutien fondés sur les technologies de l'information sont disponibles. Il manquait toutefois de preuves concernant la surveillance pour effectuer les tests, ce qui a empêché l’équipe de vérification de pouvoir de tirer des conclusions quant à l'efficacité opérationnelle du contrôle. 
4Les comptes utilisateurs génériques sont définis et leur activité est surveillée.ConformeOuiOuiNon

L'équipe de vérification a découvert que des comptes génériques avaient été examinés en mars 2011, sans toutefois trouver de preuves que ces comptes avaient fait l'objet d'un examen périodique continu. Il semble que des mesures de suivi découlant de l'examen du mois de mars aient donné lieu à la désactivation de tous les comptes, sauf onze. Deux de ces onze comptes génériques sont nécessaires à l'exécution de fonctions Oracle. Les gestionnaires opérationnels responsables nous ont aussi dit, lors des entrevues, qu'ils étaient au courant de l'existence des neuf autres comptes génériques et qu'ils savaient que ces comptes étaient utilisés dans le cadre d'une initiative en cours et qu'ils faisaient l'objet d'une surveillance active.

Les constatations initiales n'exigeaient pas l'absence de comptes génériques. Elles exigeaient seulement que les gestionnaires opérationnels connaissent l'objectif des comptes, déterminent les personnes chargées de les surveiller et prennent note des personnes connaissant le mot de passe du compte. Sur la base de ces connaissances et de la disponibilité des mesures de contrôle correctives, nous croyons que les mesures répondant à ce critère ont été réalisées.

Les activités concernant ce type de comptes devraient continuer de faire l'objet d'une surveillance étroite.

L'équipe de vérification responsable de tester le contrôle a trouvé qu’il était satisfaisant, n’ayant que des problèmes mineurs; nous jugeons, à la lumière des constatations et des recommandations initiales, que les mesures relatives à ce sous–critère ont été réalisées. Nous recommandons toutefois que lorsque des comptes génériques sont utilisés, leur objectif et leur utilisation soient bien enregistrés et que les activités menées dans les comptes soient surveillées de près.

5Aucun compte actif n'est attribué à des anciens employés.Risque modéréOuiNonOui

Nous avons constaté qu'un rapport adapté énumérant les utilisateurs actifs ainsi que la dernière date d'ouverture de session a été créé. Un rapport de « dernière date d'ouverture de session des utilisateurs actifs », généré le 30 mars 2011, a également été fourni. Ce rapport liste [Texte enlevé pour protéger la sécurité du système]. Une vérification de suivi doit être prévue pour confirmer que ces comptes sont encore nécessaires.

La documentation en matière de politiques et de procédures ne précise pas la fréquence de l'examen du rapport de « dernière date d'ouverture de session des utilisateurs actifs » ni le nom de la personne responsable de l'examen, de l'analyse et de la sauvegarde de ce rapport. À notre demande, on nous a confirmé que ce rapport sera produit régulièrement et sauvegardé aux fins de vérification.

Une copie de la nouvelle ébauche du formulaire intitulé « Quittance de fin d'emploi » et une copie de la nouvelle ébauche de la directive sur la quittance de fin d'emploi ont été fournies. À notre demande, on nous a confirmé que le formulaire « Quittance de fin d'emploi » doit être signé par l'Informatique et les Finances pour s'assurer que l'accès à Merlin soit désactivé.

Puisque le contrôle n'a été mis en place qu'en avril 2011, on n'a pu prouver avec assurance l'efficacité de ces mesures.

[Texte enlevé pour protéger la sécurité du système.]

Étant donné les mesures de contrôle correctives, nous sommes d'avis que le risque résiduel découlant de notre incapacité de tester ce contrôle est modéré. La documentation en matière de politiques et de procédures pourrait être améliorée pour ce qui est de l'indication des titulaires de compte qui quittent l'organisation, y compris une description de la nature et du calendrier des activités de surveillance. [Texte enlevé pour protéger la sécurité du système.]

6Les comptes utilisateurs de l'application Merlin sont examinés périodiquement.Risque faibleOuiOuiOui

À la lumière des procédures mises en œuvre dernièrement, Environnement Canada devrait avoir une bonne idée des comptes actifs de l'application Merlin, des responsabilités auxquelles ces comptes devraient être associés et de la situation d'emploi des titulaires de compte. Une fois ces renseignements de base disponibles, nous sommes d'avis que la stratégie de surveillance continue décrite tiendra compte des constatations et des recommandations initiales exposées en mars 2009.

Même si, à l'heure actuelle, il manque des preuves pour conclure que le processus fonctionne efficacement, nous jugeons que les politiques et les procédures ainsi que les contrôles connexes relatifs aux technologies offrent suffisamment de mesures correctives de l'information pour donner lieu à un faible niveau de risque résiduel. On devrait penser à effectuer un suivi de la vérification pour les périodes suivant le mois de septembre 2011 afin d'établir le niveau d'efficacité du processus de surveillance.

7L'authentification de l'utilisateur est surveillée au niveau du système d'exploitation, de la base de données et de l'application afin de déceler toute activité suspecte.ConformeOuiOuiOui

Durant l'examen des documents, l’équipe de vérification a constaté qu'il existait des rapports de surveillance des échecs d'ouverture de session au niveau de l'application et de la base de données. [Texte enlevé pour protéger la sécurité du système.]

Au cours des entrevues, l’équipe de vérification a été informée qu'aucun examen mensuel n'avait été effectué dans le passé, sauf le 31 mars 2011, et qu’un examen [Texte enlevé pour protéger la sécurité du système] régulier des échecs d'ouverture de session au niveau de la base de données et de l'application était prévu. [Texte enlevé pour protéger la sécurité du système.]

La documentation en matière de politiques et de procédures pour la surveillance des « échecs d'ouverture de session » au niveau de l'application et de la base de données est appropriée. Bien que la surveillance des tentatives infructueuses d'ouverture de session ait été jugée adéquate, les informations suivantes devraient être consignées : l'objectif de l'activité de surveillance, les moments où elle est faite, par qui, ce qu'on trouvé et les mesures découlant du processus de surveillance, s'il y a lieu.

8L'activité des utilisateurs privilégiés de l'application Merlin est surveillée.Risque modéréOuiNonOui

Il existe deux méthodes pour surveiller l'activité dans l'application Merlin.

La première méthode est régie par le niveau « Vérification à l'ouverture de session » qui surveille les activités des utilisateurs à l'un des quatre niveaux existants. Le plus détaillé est le niveau « Formulaire ». À ce niveau, l'activité de l'utilisateur est enregistrée lorsque l'utilisateur ouvre une session, lorsqu'il ouvre ou ferme un formulaire et lorsqu'il imprime un document.

La deuxième méthode pour surveiller les activités est régie par l'option de profil du système « Piste de vérification ». Cette méthode permet d'enregistrer les modifications de la base de données au niveau des enregistrements, d'enregistrer une image avant et après, chaque fois que des modifications seront apportées. Cette méthode, consistant à créer une piste de vérification, est très performante, mais elle utilise également d’importantes quantités de ressources. Elle est configurée pour un tableau ou un groupe de tableaux.

[Texte enlevé pour protéger la sécurité du système.]

9Les fonctions de contrôle d'accès de l’utilisateur sont surveillées au niveau de l'application.Risque faibleOuiNonOui

Pour que ces mesures de contrôle fonctionnent, les administrateurs doivent savoir à quel moment une personne a quitté le Ministère, et ensuite, réagir en désactivant le compte Merlin concerné en temps opportun. Les administrateurs disposent désormais de trois méthodes pour trouver à quel moment un utilisateur a quitté le Ministère.

Premièrement, ils auront bientôt une version révisée de la procédure et de la directive  « Quittance de fin d'emploi ». La procédure révisée précise plus clairement l’obligation d’aviser la Direction générale du dirigeant principal de l'information et les services financiers qu'un employé est parti. Elle exige aussi que la Direction générale désactive l'accès de l'employé à l'infrastructure de technologie de l’information et aux systèmes financiers du Ministère.

Deuxièmement, les administrateurs conservent un aperçu mensuel des utilisateurs actifs dans le système. En effectuant une comparaison d'un mois à l'autre, il sera possible de voir quels utilisateurs ont été ajoutés au système ou désactivés, ou quels privilèges d’accès ont été modifiés au cours du mois. Ce contrôle n'aidera pas les gestionnaires du système à désactiver les comptes, mais il fournit un outil permettant de surveiller comment les autres parties du contrôle fonctionnent.

Une troisième méthode est fournie grâce à un nouveau rapport qui présente la dernière date d'ouverture de session de chaque employé; les employés qui n'ont pas ouvert de session récemment peuvent faire l'objet d'un examen plus profond.

Ensemble, ces trois stratégies permettent d'atténuer la probabilité que le compte d'un employé parti demeure actif.

Enfin, étant donné que l'accès au système Merlin est disponible uniquement sur le réseau local, si le compte Active Directory de l'utilisateur a été désactivé, la présence d'un compte utilisateur actif du système Merlin est moins risquée. [Texte enlevé pour protéger la sécurité du système.]

Nous avons remarqué cependant que les outils nécessaires pour accomplir ce travail ne sont pas optimisés aux fins d'utilisation par le secteur opérationnel. Cette lacune peut nuire à la durabilité du contrôle au fil du temps, étant donné qu'il faudra trop de ressources pour le mettre en œuvre. [Texte enlevé pour protéger la sécurité du système.]

Les documents sur les politiques de surveillance et de production de rapports [Texte enlevé pour protéger la sécurité du système] peuvent être améliorés. Trop peu de preuves étaient disponibles pour mettre cette mesure de contrôle à l'essai et, par conséquent, nous n’avons pas réussi à tirer des conclusions sur son efficacité opérationnelle avec un niveau de vérification de l'assurance. Nous pensons toutefois que les mesures de contrôle anticipées devant être fournies en vertu de la nouvelle directive et les formulaires [Texte enlevé pour protéger la sécurité du système]permettront d'atténuer ces risques à un faible niveau en réduisant la [Texte enlevé pour protéger la sécurité du système]. Les mesures de contrôle de détection qui sont désormais disponibles (rapports sur la surveillance des utilisateurs actifs) permettront d'atténuer ce risque. Par ailleurs, nous estimons encore que ces mesures de contrôle n'ont pas été optimisées pour cette tâche, ce qui augmente le risque que la surveillance ne soit pas durable au fil du temps.

10Les mesures de contrôle des mots de passe de l'application Merlin sont surveillées.ConformeOuiOuiNon

Le 1er avril 2011, un nouveau régime de contrôle du mot de passe a été mis en œuvre au sein d'Environnement Canada. L'équipe de vérification a constaté que le nouveau régime offre un contrôle efficace du mot de passe pour les utilisateurs du système Merlin et qu'il répond à toutes les préoccupations soulevées dans les conclusions du rapport de mars 2009; il respecte toutes les recommandations de ce rapport.

L'équipe de vérification a examiné les paramètres de mot de passe dans la configuration de l’application et elle a découvert qu'ils respectent ou dépassent les paramètres recommandés dans la phase 2 de l'évaluation de l'état de la préparation à la vérification.

De plus, ces travaux fonctionnaient comme prévu lorsque les mesures de contrôle ont été mises à l'essai en présence de l’équipe de vérification.

11L'activité de l'utilisateur est consignée au niveau de l'application et des formulaires.ConformeOuiNonNonNous avons constaté pendant les entrevues et l'examen des documents que le niveau recommandé de consignation des accès avait été configuré dans le système. Nous constatons que ce sous–critère a été respecté et que les mesures de contrôle sont mises en œuvre de façon adéquate.
12La responsabilité de l'administrateur de base de données est assurée [Texte enlevé pour protéger la sécurité du système]Risque faibleOuiOuiOui

En examinant les rôles attribués aux comptes individuels d’administrateur de base de données, [Texte enlevé pour protéger la sécurité du système].

Comme il a été mentionné dans la phase 2 de l'évaluation de l'état de la préparation à la vérification, cela peut représenter un risque important pour l'organisation, car une fois que [Texte enlevé pour protéger la sécurité du système].

L'équipe de vérification a également remarqué que [Texte enlevé pour protéger la sécurité du système].

On nous a dit que l'équipe d'administrateur de base de données ayant accès à Oracle Financials est relativement petite; ses membres travaillent à proximité les uns des autres et chaque administrateur de base de données est autorisé à accéder au niveau « secret ». Enfin, avec le niveau [Texte enlevé pour protéger la sécurité du système]. Ces mesures de contrôle correctives atténuent quelque peu les risques posés par [Texte enlevé pour protéger la sécurité du système]. 

Nous jugeons que cette mesure de contrôle est inefficace, mais que les mesures de contrôle correctives susmentionnées permettent de réduire le niveau de risque associé aux lacunes pour atteindre finalement un niveau de risque faible.

13Les comptes de base de données du système sont définis et disposent d'un contrôle par mot de passe approprié.Risque faibleOuiNonOui

Les outils sont maintenant en place pour mettre en œuvre ce contrôle, mais on manquait de preuves pour conclure que ces outils sont utilisés pour atténuer efficacement les risques décrits dans le rapport de la phase 2. On a également découvert que [Texte enlevé pour protéger la sécurité du système].

De plus, les outils qui ont été proposés pour cette activité ne sont pas optimisés pour aider les gestionnaires de système à la surveiller. Cela pourrait rendre le processus de surveillance insoutenable avec le temps.

La documentation en matière de politiques et de procédures n'indique pas que les mots de passe seront modifiés régulièrement, et l'on manquait de preuves pour tester l'efficacité de ce contrôle. Par conséquent, l'équipe de vérification n'a pas été en mesure de tirer des conclusions quant à l'efficacité opérationnelle des contrôles.

Compte tenu des lacunes dans la documentation [Texte enlevé pour protéger la sécurité du système] contrairement aux meilleures pratiques, nous sommes d'avis que ce contrôle reste inefficace mais qu'il ne présente qu’un faible niveau de risque pour ce qui est de la capacité du Ministère à produire des états financiers vérifiables.

14Les comptes utilisateurs de la base de données Merlin font l'objet d'un examen périodique.ConformeOuiNonNonL’équipe de vérification a constaté, en examinant les documents et au moyen d'entrevues, que ce contrôle est efficace. Nous avons constaté que les outils sont en place pour permettre la surveillance des activités de création, de changement et de désactivation des comptes de la base de données Merlin. Toutefois, comme c'est le cas avec d'autres mesures de contrôle de surveillance dans ce système, nous jugeons que les outils qui ont été développés ne sont pas optimisés pour accomplir le travail proposé. Cela signifie que les mesures de contrôle de surveillance peuvent devenir insoutenables avec le temps.
15Des procédures normalisées ont été établies pour créer de nouveaux comptes de base de données.Risque faibleOuiOuiOuiL’équipe de vérification n'a pas trouvé suffisamment de preuves pour conclure à l'existence de procédures ou de contrôles normalisés relativement à la demande, à l'approbation, à la création et à la séparation des tâches pour les nouveaux comptes de base de données et les droits d'accès. Nous avons aussi constaté que le contrôle actuellement en place est inefficace; par exemple, la documentation donnait l'impression qu'un utilisateur pouvait demander un meilleur accès à la plateforme de production de son propre chef. Même si cela s'est avéré ne pas être le cas, le risque associé au manque de normes sur la façon de consigner ce type d'activité reste faible pour le Ministère.
16Des procédures normalisées ont été établies pour s'assurer que les privilèges des comptes de base de données sont modifiés lorsque les utilisateurs changent de postes ou de responsabilités.Risque faibleOuiOuiOuiL’équipe de vérification n'a pas trouvé suffisamment de preuves pour conclure à l'existence de procédures ou de contrôles normalisés relativement à la demande, à l'approbation, à la création et à la séparation des tâches pour les nouveaux comptes de base de données et les droits d'accès. Nous avons aussi constaté que le contrôle actuellement en place est inefficace; par exemple, la documentation donnait l'impression qu'un utilisateur pouvait demander un meilleur accès à la plateforme de production de son propre chef. Même si cela s'est avéré ne pas être le cas, le risque associé au manque de normes sur la façon de consigner ce type d'activité reste faible pour le Ministère.
17Des procédures normalisées ont été établies pour [Texte enlevé pour protéger la sécurité du système].Risque faibleOuiOuiOui

La documentation en matière de politiques et de procédures n'indique pas que la surveillance se fera régulièrement [Texte enlevé pour protéger la sécurité du système].

Étant donné que les outils de surveillance de ce type d'activité n'ont été mis en œuvre qu'en avril de cette année, on n'a pas eu assez de temps pour réunir les dossiers aux fins de test. En raison des lacunes dans la documentation et de l'incapacité de tester ce contrôle, l'équipe de vérification l’a jugé inefficace. [Texte enlevé pour protéger la sécurité du système]. Toutefois, compte tenu des mesures de contrôle correctives telles que le plan pour surveiller cette activité à l’avenir, nous sommes d'avis que le niveau de risque posé par les lacunes liées à ce contrôle est faible.

18Des procédures normalisées ont été mises sur pied pour s'assurer que les changements apportés aux programmes sont soumis à des tests et à l'assurance de qualité avant de passer à l'étape de la production.Risque faibleOuiOuiOui

L'examen des documents a permis d'établir que la documentation pour ce procédé est désuète, car elle fait toujours référence au Conseil de gestion de logiciels, récemment remplacé par le Comité de contrôle des changements.

D'autres documents indiquent que le Comité approuve, rejette ou reporte officiellement les demandes de changement. Le Comité est censé se réunir tous les mois. À notre demande, on nous a confirmé que le Comité est nouveau et qu'il n'a pas encore tenu de réunion officielle. Les réunions doivent avoir lieu périodiquement.

À notre demande, on nous a confirmé qu'un formulaire est utilisé par tous les responsables de module pour obtenir les approbations nécessaires avant que le  billet ou la demande de changement passe à un autre environnement. Une copie signée du formulaire est conservée par le gestionnaire, et les résultats du script de test sont conservés dans un classeur par le responsable de module. Un exemple de formulaire a été fourni.

L’équipe de vérification a demandé qu'on fournisse une liste, générée par le système, des changements apportés aux programmes, afin de pouvoir l'utiliser comme base d'échantillonnage à partir de laquelle un échantillon pourrait être sélectionné pour les tests. Étant donné que la liste n'a pas pu être générée, il a été impossible d'effectuer les tests. Étant donné qu'on n'a pas pu produire une telle liste, il est nécessaire de se doter d'un certain mécanisme pour générer un registre des changements apportés aux programmes par date, qui indique le nom des personnes approuvant chaque promotion de code d'une plateforme à une autre. Durant les vérifications de suivi, on devrait envisager d'utiliser les données de sortie du système de production de billets comme base d'échantillonnage.

Il est possible d'améliorer la consignation des procédures de changements aux programmes et des changements aux programmes en tant que tels. Bien que nous manquions de preuves nous permettant de tirer des conclusions sur le risque, au niveau d'assurance de vérification, nous jugeons que ce critère a été respecté en grande partie, à l'exception de questions mineures, qui présentent un faible niveau de risque pour les objectifs de l'organisation.

19L'environnement de tests est identique à l'environnement de production.ConformeNonOuiNon

Il est impossible d'établir un environnement de tests identique en tout point, à moins qu'il soit hébergé sur un réseau identique mais séparé physiquement. L'environnement de tests doit exister dans une autre instance Oracle qui, par nécessité, est munie d'un identificateur différent si elle est installée dans le même environnement de réseau. Il existe un certain nombre d'autres paramètres d'installation qui doivent être différents entre les deux environnements pour que les programmes d'un environnement n'aient pas d'incidence sur les bases de données sur l'autre environnement.

L'équipe de vérification responsable de tester le contrôle a jugé que celui–ci était inefficace. Toutefois, puisque certaines différences doivent exister entre les environnements, la méthode consignée pour cloner et rafraîchir l'environnement de production aux fins d'utilisation dans les tests, le développement et l'assurance de la qualité, est jugée plus qu'adéquate et donne une assurance raisonnable que le code dans un environnement agira de la même façon que le même code dans l'autre environnement.

La documentation en matière de politiques et de procédures est acceptable et, en nous basant sur la méthode utilisée pour cloner les environnements de production, nous jugeons que ce sous–critère a été respecté.

20Le formulaire de demande de changement de la base de données et de l'application Merlin est autorisé de façon appropriée.ConformeOuiOuiNonÀ notre demande, on nous a confirmé que le formulaire de demande de changement nécessite une signature numérique, ce que nous avons également pu observer.
21Des processus officiels existent pour surveiller les changements apportés à la base de données Oracle et à l'application Merlin.ConformeOuiOuiNonIl a été confirmé, grâce aux observations et aux enquêtes, que l'équipe chargée de l'assurance de la qualité devra approuver l'émission des billets de demande de changement.
22Les travaux d'examen suivant la mise en œuvre menés par l'équipe chargée de l'assurance de la qualité sont consignés et conservés.ConformeOuiOuiNonIl a été confirmé, grâce aux observations et aux enquêtes, que l'équipe chargée de l'assurance de la qualité dirigera l'examen après la mise en œuvre et conservera les preuves en rapport avec l'examen.
23L’accès des utilisateurs du système d’exploitation est surveillé.Risque faibleOuiNonOui

L'équipe de vérification responsable des essais n'a pas trouvé suffisamment de documents décrivant la gestion des comptes de système d’exploitation. De plus, l’équipe de vérification a noté quelques anomalies, p. ex. la preuve d'un problème survenu au cours de la mise à niveau du système de la plateforme Unix vers la plateforme Linux actuelle. Ces problèmes auraient peut–être pu être décelés avant qu'ils ne se produisent s'il existait des normes adéquates. L'équipe de vérification a découvert quelques cas isolés qui doivent être suivis par l'entremise du processus de surveillance et lors des futures vérifications.

Nous avons découvert grâce à notre enquête que les employés d'Environnement Canada n'ont jamais accès qu'aux fonctions de lecture et d’exécution de partage de fichier dans le système d'exploitation. On ne leur accorde jamais les droits d'administrateur du système d'exploitation.

Trop peu de renseignements étaient disponibles pour procéder à des essais complets, par conséquent l’équipe de vérification a conclu que cette mesure de contrôle et la documentation s'y rattachant sont inadéquates. Étant donné que le niveau d'accès accordé aux employés d'Environnement Canada se limite à l'accès aux fichiers dans certaines zones partagées, le niveau de risque posé par cette lacune est faible. [Texte enlevé pour protéger la sécurité du système.]

24Une liste des personnes autorisées à demander que TPSGC crée des comptes de système d’exploitation est établie et tenue à jour.ConformeOuiOuiNonGrâce à l’enquête et à l'examen des documents, nous avons découvert que TPSGC a reçu une liste du personnel d'Environnement Canada qui peut autoriser la création ou la modification et/ou la suppression de comptes de système d’exploitation pour les employés d'Environnement Canada. De plus, grâce à l'enquête, nous avons déterminé qu’une liste distincte existe à TPSGC pour leur indiquer quels employés d'Environnement Canada doivent être avisés lorsqu'un compte de système d'exploitation est ajouté, modifié ou désactivé. Nous avons conclu que ces deux mesures de contrôle regroupées forment un contrôle efficace.
25Il existe des processus pour s'assurer que les comptes utilisateurs des employés qui quittent l'organisation sont désactivés en temps opportun.Risque faibleOuiOuiOui

L'équipe de vérification responsable de l'essai de ce contrôle trouve qu'il n'y a pas suffisamment de preuves pour garantir que le niveau de vérification de ce contrôle est adéquat. En outre, en raison du manque de documentation à jour au sujet du processus, l'équipe de la vérification a conclu que le contrôle était inefficace.

Grâce à l'examen des documents et à l'enquête, nous avons découvert que la directive anticipée (ainsi que les formulaires et les procédures pertinents) relative à la quittance de fin d'emploi devrait permettre au personnel de la technologie de l’information de collecter des renseignements détaillés sur le départ des employés. Une partie des processus de la technologie de l’information connexes consiste à s'assurer que tous les comptes de système de l'employé sont désactivés à son départ. Cette nouvelle directive devrait entrer en vigueur en juillet 2011. De plus, le nouvel accord sur les niveaux de service avec TPSGC accorde aux gestionnaires d'Environnement Canada l'accès en lecture seule au système d’exploitation, ce qui leur permettra de surveiller et de vérifier le processus à l'avenir.

Avec ces deux améliorations de l'environnement de contrôle attendues dans un avenir proche, nous pouvons conclure que cette lacune en matière de contrôle ne représente qu'un faible niveau de risque pour le Ministère. Afin de le maintenir faible, un travail de suivi de la vérification doit être effectué afin de veiller à ce que les activités de surveillance aient lieu et que la nouvelle directive et ses procédures connexes soient approuvées et adoptées.

Date de modification :