Cadre de reference: Sarbanes-Oxley

Dans le domaine de la gouvernance des Technologies de l'Information, il existe plusieurs cadre de référence. Pour ce qui concerne la gestion du risque, cet article présentera la Loi Sarbanes Oxley (SOX).
Fondée par les sénateurs américains Paul Sarbanes et Michael G. Oxley , Cette loi a été adoptée par le congrès américain en Juillet 2002 puis ratifié par le Président G W Bush le 30 du même mois.
L'application de cette loi entre en vigueur pour toutes les entreprises américaines cotées au NASDAQ ainsi que leurs filiales à l'étranger.
Cette loi n'est pas sans impact sur les systèmes d'information des entreprises.  Le niveau de Management qu'elle exige nécessitera divers contrôles que sont :

La gestion des mots de passe
Quel est le niveau de sécurité de vos mots de passe ?
L'étude de réseau informatique
Comment fonctionne votre réseau informatique et quel est le type de sécurité appliquée ?
La gestion des antivirus et des correctifs
Toutes les transactions sont elles filtrées par l'antivirus ? l'AV est il a jour ?
Plan de reprise en cas de désastres
Disposez vous d'un manuel de procédure pour la reprise des activités en cas de désastre ?
La sécurité des applications ERP
Quel logiciel utilisez vous pour votre gestion quotidienne ? l'accès est il contrôlé ?
La gestion des ordinateurs portables
Quelles dispositions sont prises pour éviter toute perte et vol de données ou l'infection du réseau par des virus.
Les sauvegardes
La sauvegarde est elle continue ? comment fonctionne t elle ?
La journalisation et les audits
Menez vous des audits internes afin d'assurer le bon fonctionnement des mesures de sécurité prises par l'entreprise ?
La gestion des vulnérabilités
Réalisez vous des test de vulnérabilités de manière régulière ?
La sécurité physique
Réglementez vous de manière stricte l'accès aux bâtiments et aux ressources informatiques ?
La sécurité des bâtiments
Protégez vous vos bâtiments contre les incendies ? Sécurisez vous les flux afin d'éviter les vols de données ?

Cette loi a pour objectif d'accroître la responsabilité des entreprises, de rendre la communication de l'information financière plus fiable et de lutter contre les comportements déviants et frauduleux des entreprises.