Vérification de la dépendance envers les technologies de l'information

Télécharger la version PDF (193 Ko)

Rapport de vérification

Projet # 09/10 01-03

Mars 2010

Table des matières

1.0 Sommaire

1.1 Objectif de la vérification

La présente vérification avait pour objet d'évaluer le caractère satisfaisant et l'efficacité des mécanismes de contrôle en place sur les processus et procédures qui visent à réduire le risque de dépendance envers les technologies de l'information (TI) au sein du secteur de la Gestion de l'Information et de la Technologie de l'Information (GITI) de l'Agence spatiale canadienne (ASC).

1.2 Opinion de vérification

À notre avis, les processus et procédures qui visent à réduire le risque de dépendance envers les TI sous la responsabilité de la GITI connaissent certains problèmes qui exigent une attention particulière de la part de la direction, mais dont l'enjeu est modéré.

1.3 Énoncé d'assurance

À titre de dirigeante principale de la vérification, je suis d'avis que les procédés de vérification appliqués et les éléments probants recueillis sont suffisants et appropriés pour étayer l'opinion formulée dans le présent rapport. Cette opinion est fondée sur une comparaison des conditions qui existaient et des critères de vérification établis au préalable et acceptés par la direction. L'opinion s'applique uniquement à l'entité examinée.

1.4 Résumé des recommandations

Nous avons noté un certain nombre de bonnes pratiques en matière de dépendance envers les TI au sein du secteur de la GITI. Nous avons noté la présence d'un inventaire des applications et systèmes de l'Agence, incluant les applications développées par les utilisateurs telles que des bases de données Microsoft Access. Cette pratique permettra à l'Agence d'évaluer si certains environnements peuvent être combinés afin de réduire les efforts de support et maintenance.

Nous avons remarqué que l'Agence accordait une grande importance au processus de planification stratégique de la GITI en établissant un plan d'une durée de quatre ans. Un plan de remplacement des équipements quinquennal a aussi été réalisé pour prévoir les besoins futurs.

Par ailleurs, suite à notre examen des mécanismes de contrôle en place sur les processus et procédures qui visent à réduire le risque de dépendance des TI, nous recommandons de :

  • Considérer réduire le nombre d'environnements technologiques en place et migrer certains environnements vers des plates-formes supportées et communes;
  • Examiner les besoins en ressources et effectuer un bilan des compétences pour ensuite établir un plan de formation mutuelle (cross-training) dans le but de former des personnes pour la relève.
  • Considérer l'embauche d'un architecte de systèmes;
  • Finaliser la documentation du plan de relève informatique;
  • Compléter le plan de continuité des affaires notamment en documentant les étapes de reprise sous la responsabilité de la GITI.

Signature de la Dirigeante principale de la vérification

Original signé par Dominique Breden

Membres de l'équipe de vérification

Pierre Lapointe, associé délégué, Samson Bélair/Deloitte & Touche s.e.n.c.r.l.
David Liberatore, directeur principal, Samson Bélair/Deloitte & Touche s.e.n.c.r.l.
Stephanie Ranno, vérificateur principal, Samson Bélair/Deloitte & Touche s.e.n.c.r.l.
Anne Turski, vérificateur principal, Samson Bélair/Deloitte & Touche s.e.n.c.r.l.
Ndeye Astou Ndao, vérificateur principal, Samson Bélair/Deloitte & Touche s.e.n.c.r.l.

2.0 Rapport de vérification

2.1 Contexte

La mission de l'Agence est d'avancer le développement et l'application des connaissances spatiales pour le mieux-être des Canadiens et de l'humanité. Le mandat est de promouvoir l'exploitation et le développement pacifiques de l'espace, de faire progresser la connaissance de l'espace par la science et de faire en sorte que les Canadiens tirent profit des sciences et technologies spatiales sur le plan tant social qu'économique.

L'Agence compte environ 635 employés dont près de 90 % oeuvrent au Centre John H. Chapman, le siège social de l'Agence situé à St-Hubert, Québec. Parmi ces employés, il y a 90 postes qui font partie du secteur de la GITI (79 employés et 11 postes vacants). Des 79 employés, environ 30 sont assignés à la gestion de l'information et le reste à la gestion des TI. Les tâches de ces employés comportent les fonctions TI traditionnelles, soit :

  • concevoir et implanter les systèmes de télécommunications, réseaux et systèmes de stockage,
  • installer et configurer des postes de travail, applications et base de données, et
  • fournir le support technique associé.

L'Agence compte 85 % de ses systèmes d'information qui fonctionnent dans un environnement Windows et 15 % dans un environnement UNIX. Leurs réseaux comptent présentement entre 900 et 1000 utilisateurs, la plupart étant situés au siège social de l'Agence à St-Hubert, Québec.

La structure organisationnelle de l'Agence tient compte du contexte mondial. De nombreuses activités spatiales sont de plus en plus axées sur les services et sont principalement orientées vers les besoins des utilisateurs finaux et l'intégration des technologies à diverses applications terrestres. L'étendue de la responsabilité du directorat de la GITI inclut la gestion des applications, des données et des technologies entourant les systèmes corporatifs. Environ 60 applications, soit achetées, soit développées à l'interne, sont sous la responsabilité de la GITI.

La raison d'être de la GITI est de comprendre les besoins et conditions et de développer et de mettre en place des politiques, procédures, programmes et activités qui visent à rencontrer ces besoins.

La GITI fait face à différents risques pour atteindre leurs objectifs tels que la quantité et l'étendue des données dont ils sont responsables. En raison de l'importance des données gérées par la GITI, la prise adéquate des copies de sauvegarde et le processus de rétention des données représentent un risque significatif.

2.2 Objectifs de la vérification, portée et méthodologie

La présente vérification avait pour objet d'évaluer le caractère satisfaisant et l'efficacité des mécanismes de contrôle sur les processus et procédures en place qui visent à réduire le risque de dépendance des TI au sein du secteur de la GITI de l'Agence.

La vérification a examiné les processus et activités liés à la dépendance envers les TI. De façon plus spécifique, nous avons examiné les sujets présentés ci-dessous:

  • Dépendance des TI :
    • Gestion des actifs TI;
    • Gestion de la continuité des affaires;
    • Gestion des sauvegardes et des médias;
    • Planification de la succession (incluant le développement et la formation des ressources).

La présente vérification ne vise que les systèmes corporatifs, incluant les applications, les systèmes de gestion de bases de données, les systèmes d'exploitation et les équipements réseaux sous-jacents, qui sont sous la responsabilité de la GITI, ce qui exclut certains environnements technologiques spécifiques dont ceux des opérations satellitaires et du Centre de contrôle de mission de la Station spatiale internationale. De plus, certains systèmes corporatifs dont SAP ne sont pas gérés par la GITI et ne sont pas couverts par cette vérification. Par conséquent, la vérification a été effectuée principalement à l'Agence située à St-Hubert, Québec.

Les procédés de vérification ont été réalisés de janvier à mars 2010. Les tests que nous avons effectués dans le cadre de ce projet de vérification ont consisté principalement à mener des entrevues avec les différents intervenants, à examiner la documentation existante, à examiner des configurations d'équipements en place et à comparer les procédures et contrôles mis en place par l'Agence aux pratiques de l'industrie ainsi que leur mise en application.

2.3 Constatations, recommandations et réactions de la direction

Le détail des constatations, recommandations et réactions de la direction est présenté dans l'annexe aux pages suivantes.

Annexe – Tableau détaillé des constatations, recommandations et réactions de la direction

Réf. Constatations Impacts Recommandations Commentaires de la direction / Plan d'action Échéancier
1

Certaines technologies ne sont pas ou peu supportées à l'interne (telles que PowerBuilder et Microsoft Access). En effet, l'inventaire des applications développées par les utilisateurs récemment effectué a dénoté quelque 1 800 bases de données Microsoft Access, qui ne sont pas toutes supportées par la GITI.

De plus, pour certaines technologies, il y a un manque de ressources pour développer et utiliser pleinement le potentiel de l'ensemble des capacités des technologies (Livelink et Citrix).

De façon générale, nous avons noté un manque de ressources spécialisées au niveau de certains groupes oeuvrant au sein de la GITI, notamment au stockage, à l'infrastructure réseau et systèmes de gestion de bases de données.

Cette situation augmente le risque de coûts accrus du support des technologies utilisées.

Cette situation peut aussi affecter la disponibilité si les systèmes ou technologies ne sont plus supportés.

  • Considérer réduire le nombre d'environnement technologiques en place et migrer certains environnements vers des plates-formes supportées et communes;
  • Examiner les besoins en ressources et effectuer un bilan des compétences et établir un plan de formation mutuelle (cross-training) dans le but de former des personnes pour la relève.

Responsable : Dirigeant principal de l'information (DPI)

Certaines applications, telles qu'EDRAdmin, Socrate et ORIS ont été développées en Powerbuilder.

L'application Oris est en voie d'être remplacée par un nouveau système dans le cadre du projet Unitas qui combine les technologies .Net, Java et l'utilisation des services SAP.

EDRAdmin est encore utilisée en raison du besoin de maintenir la documentation des systèmes de robotique de la Station spatiale internationale. Une analyse est en cours pour un nouveau système de Gestion des configurations.

Socrate est une application modulaire qui sera réécrite en .Net par phases dont la première comprendra les fonctions de base du système.

Pour ce qui est des bases de données Access, cette technologie continuera d'être utilisée, mais sera mieux encadrée. Une revue des bases de données existantes sera faite et une directive sera émise pour guider le développement de nouvelles applications par la GI/TI et par les utilisateurs.

Ce rapport de vérification confirme qu'il existe un manque de ressources pour le soutien de systèmes qui sont devenues essentielles aux opérations de l'ASC, notamment Livelink et Citrix. Une demande pour deux analystes supplémentaires a été faite dans le cadre des plans de travail 2010-2011.

Des demandes ont également été faites pour un analyste de stockage, un pour le réseau et un autre pour le soutien des systèmes de gestion des bases de données.

Première livraison de la refonte d'ORIS – Mars 2011.

Identification d'un système de gestion des configurations - Mars 2011.

Mise en production des modules de base de Socrate – Juin 2011.

Émission d'une directive touchant le développement sous Access – Décembre 2010.

Plans de travail 2010-2011 et/ou lors de la mise à jour des niveaux de références pour 2011-2012 durant l'été 2010.

2 Les fournisseurs de services de deux applications achetées ne fournissent plus ou pas de support (CMStat, IRims).

Cette situation augmente le risque de coûts accrus de support des technologies utilisées.

Cette situation peut aussi affecter la disponibilité si les systèmes ou technologies ne sont plus supportés.

Enfin, il y a un risque que des modifications apportées ne soient pas conformes aux intentions de la direction.

L'Agence devrait revoir l'utilité de ces applications. Si ces dernières sont jugées importantes, l'Agence devrait envisager des moyens pour soutenir ou migrer ces environ-nements à des environnements qui sont supportés.

Responsable : DPI

CMStat est un système de gestion des configurations d'ingénierie utilisé principalement pour la mission Radarsat-2. Le fournisseur fournit un soutien logiciel adéquat.

Toutefois, l'ASC est à analyser diverses solutions qui permettraient d'avoir un seul système qui assurerait la gestion des configurations pour l'ensemble des projets de l'agence.

IRims est toujours supporté par OpenText, mais il n'y a aucune mise à jour. Ce système est remplacé par un module de Livelink. IRims est encore utilisé pour le catalogage des documents papier. Aucune nouvelle donnée n'est ajoutée, mais le système doit être maintenu durant la période de vie des documents qui ont été enregistrés.

Identification d'un système de gestion des configurations pour l'ASC – Mars 2011
3

Il n'y a pas de revue périodique des licences Microsoft réalisée de façon systématique.

De plus, il n'y a pas de procédure en place pour s'assurer que l'inventaire des licences Oracle est maintenu à jour.

Cette situation augmente le risque que le nombre de licences actives ne soit pas suffisant pour le nombre d'utilisateurs réels.

Cette situation augmente le risque que les coûts engendrés soient sous-évalués ou surévalués.

Effectuer un suivi périodique des licences Microsoft et de l'inventaire des licences Oracle.

Responsable : DPI

Dans le cadre de la migration des postes de travail vers Vista et Office 2007, les registres des licences de logiciels Microsoft sont mis à jour.

Des procédures seront mises en place pour une revue périodique des licences Oracle
(version client).

Migration sera terminée en juillet 2010.

Septembre 2010.

4 Bien qu'un plan de relève informatique soit présentement en cours de rédaction, l'Agence ne dispose actuellement d'aucun plan formel de relève informatique. Cette situation augmente le risque de délai dans la reprise des opérations si un désastre devait se produire.
  • Dans un premier temps, l'Agence devrait finaliser la documentation de son plan de relève informatique.
  • Dans un deuxième temps, ce plan devrait être approuvé par le niveau hiérarchique nécessaire de l'Agence.

Responsable : DPI

Une première ébauche du plan de relève des opérations de la TI a été complétée et testée en date du 31 mars 2010.

Des modifications à l'infrastructure sont requises afin d'avoir une stratégie de relève efficace. Une mise à jour du plan sera faite en septembre 2010 et sera ensuite validée par simulation.

Le plan sera présenté pour approbation au comité de gestion GI-TI avant la fin de l'année fiscale.

Mars 2011.
5 Les étapes du plan de continuité des affaires de l'Agence pour remettre sur pieds les opérations de la GITI ne sont pas documentées.
De plus, le plan de continuité des affaires de l'Agence n'a pas été testé car il n'est pas complété. Cependant, le plan de relève des opérations TI a été testé en avril.
Cette situation augmente le risque de délais dans la reprise des opérations si un désastre devait se produire.
  • Compléter le plan de continuité des affaires de l'Agence notamment en documentant les étapes de reprise sous la responsabilité de la GITI.
  • Établir un calendrier de tests pour le plan de continuité des affaires.

Responsable : DPI et Directeur, sécurité et installations (DSI)

La Gestion de l'information et la Technologie de l'information alignera son plan de relève des affaires avec celui des secteurs d'affaires de l'ASC.

Le plan de relève informatique sera alors mis à jour en conséquence.

La mise en oeuvre du Plan de continuité de l'ASC sous l'autorité du Secteur, sécurité et installations des Services corporatifs de l'ASC sera complétée au 31 mars 2011
6 Des comptes génériques sont utilisés pour accéder aux systèmes de sauvegarde. L'utilisation de comptes génériques augmente le risque de perte d'intégrité des données de l'environnement de production.
  • Considérer retirer les privilèges de connexion des comptes génériques.
  • Considérer modifier les mots de passe des comptes visés.
  • Considérer instaurer des comptes spécifiques pour chaque utilisateur.

Responsable : DPI

L'utilisation de compte de services génériques est inévitable dans certaines circonstances. Dans ces cas d'autres méthodes sont utilisées pour limiter l'accès.

Une révision de ce cas précis est en cours.

Juin 2010.
7 Les sauvegardes prises par l'outil Vranger Pro ne sont pas prises sur cassettes et envoyées en voûte à l'externe. Cette situation augmente le risque de reconstruction de données et de délais additionnels dans la reprise des opérations si un désastre devait se produire. Prendre des copies de sauvegarde et les acheminer à une voûte externe.

Responsable : DPI

Depuis le mois de mars, une copie de sauvegarde de toutes les machines virtuelles est prise sur rubans. Les rubans sont envoyés de façon hebdomadaire au LDF.

Aucune action.
8 Les erreurs de sauvegarde ne sont pas journalisées dans une billetterie et les étapes de résolution ne sont pas consignées. Cette situation augmente le risque de reconstruction de données et de délais additionnels dans la reprise des opérations si les données devaient être restaurées. Documenter les erreurs de sauvegardes dans un billet ainsi que les étapes entreprises pour résoudre la situation.

Responsable : DPI

Une procédure sera développée pour avoir un meilleur suivi des résultats des sauvegardes.

Septembre 2010.
9 Il n'y a pas de tests de sauvegarde formels qui sont effectués. Cette situation augmente le risque que les copies de sauvegarde ne soient pas utilisables en cas de relève, ce qui pourrait occasionner des délais additionnels dans la reprise des opérations.
  • Dans un premier temps, l'Agence devrait établir un calendrier de tests de lisibilité des copies de sauvegarde.
  • Dans un deuxième temps, l'Agence devrait effectuer et documenter les tests de lisibilité accomplis.

Responsable : DPI

Un plan de tests de sauvegarde et de récupération des données sera élaboré.

Cette documentation et le début des tests suivront la mise en place des équipements de sauvegarde au LDF et de la stratégie de sauvegarde.

Décembre 2010.
10 Certains employés n'ont pas reçu de formation propre à leur champ d'expertise. Nous avons été informés que la formation a été annulée dans nombres de cas en raison des restrictions sur les dépenses de voyage.

Cette situation augmente le risque que les activités réalisées par des employés ne soient pas adéquates ou ne soient pas aussi efficaces qu'elles auraient pu l'être.

Cette situation augmente aussi le taux d'insatisfaction des employés.

  • Évaluer d'autres formes de formation tel que la formation à distance, cours internes, webémission (webcast), etc.
  • Considérer former le personnel approprié dans leur champ d'expertise et/ou technologies respectif.

Responsable : DPI

Les restrictions sur les dépenses de voyage en 2009-2010 découlent d'une politique du Conseil du Trésor. La majorité des employés de la GI/TI ont reçu les formations nécessaires, mais le manque de budget a obligé la direction à remettre les formations nécessitant des voyages à l'étranger.

Les plans de travail de la GI/TI pour 2010-2011 prévoient des sessions de formation et les budgets de voyage afférents.

Année fiscale 2010-2011.
11 En plus de ses tâches d'administration du réseau, l'équipe réseau est responsable de supporter approximativement 15 applications. Bien que ces applications fassent l'objet de contrats de maintenance, cette équipe ne compte qu'un seul membre. Cette situation augmente le risque de délai dans la reprise des opérations en cas d'absence prolongée. Considérer former au moins une personne de relève pour ces tâches.

Responsable : DPI

Une demande a été faite pour l'embauche d'un employé supplémentaire pour les mises en production et le soutien des logiciels achetés (COTS) dont l'équipe du réseau est responsable.

La stratégie concernant le soutien de ces logiciels sera revue.

Mars 2011.
12

Dans certains cas, la TI attend l'octroi de fonds avant de remplacer la technologie désuète (ex: remplacement des unités de stockage).

De plus, il n'y a pas de validation des environnements en place pour confirmer si ceux-ci sont toujours utilisés.

Il existe un risque de désuétude technologique.

En fonction des technologies, il existe aussi un risque accru d'accès non autorisés.

Enfin, ces situations accroissent les coûts de support.

  • L'évaluation de l'utilisation, des coûts et des risques liés au report de mises à jour devrait être effectuée et des décisions devraient être prises en conséquence en temps opportun.
  • Retirer les environnements qui ne sont plus utilisés.

Responsable : DPI

Un plan de remplacement des équipements et utilitaires désuets, c'est-à-dire qui ne sont plus supportés par le fabricant, est en place. La désuétude n'est pas un problème. Le financement d'achats majeurs est toutefois souvent fait à partir de surplus budgétaires. Une proposition a été faite auprès du chef des finances pour que ces fonds soient mis à la disposition de la GI/TI plus tôt dans l'année pour éviter les contraintes liées aux achats de dernière minute.

Nous ne croyons pas que les technologies en usage à l'ASC deviennent assez désuètes pour constituer un risque d'accès non autorisés. Le secteur où, pour des raisons opérationnelles, certains systèmes désuets sont encore utilisés est celui des Opérations des satellites. L'environnement est toutefois contrôlé.

À notre connaissance, il n'existe pas d'environnements qui ne sont plus utilisés, à l'exception de certaines applications. Une revue du portefeuille d'applications a été faite en 2009-2010 et un suivi annuel sera fait.

Revue du portefeuille des applications en 2010-2011 et élaboration d'un plan d'élimination des applications non utilisées et des dédoublements.
13 Le plan de ressources humaines de la GITI identifiant les ressources critiques et personnes de remplacement n'est pas complété. Cette situation augmente le risque que les activités réalisées par des employés ne soient pas adéquates ou ne soient pas aussi efficaces qu'elles auraient pu l'être en cas de départ imprévu ou Compléter et mettre en oeuvre le plan de ressources humaines de la GITI.

Responsable : DPI

Un plan de remplacement des ressources critiques sera élaboré.

Mars 2011.
14 Nous avons noté qu'il y avait 11 postes vacants dans l'organigramme de la GITI, soit cinq postes vacants en GI et six en TI. Cette situation augmente le risque que le niveau de services offerts aux utilisateurs ne soit pas conforme aux attentes de ces derniers. Doter les postes vacants et débuter les transitions de responsabilités.

Responsable : DPI

Les processus pour doter tous les postes vacants en GI et TI sont en marche.

Les postes seront dotés d'ici la fin de 2011.

Note : Certains postes seront probablement comblés par du personnel de l'interne, ce qui entrainera un effet domino et de nouveaux processus de dotation.

15 Nous avons constaté qu'il y avait des lacunes en matière de planification de l'architecture TI à l'Agence. En effet, nous avons pu noter ces lacunes au niveau des technologies peu ou pas supportées (voir 1.1), du remplacement de technologies jugées désuètes (voir 1.12) et des postes vacants à l'organigramme (voir 1.14).

Cette situation augmente le risque que le niveau de services offerts aux utilisateurs ne soit pas conforme aux attentes de ces derniers.

Cette situation augmente le risque d'accès non autorisés aux systèmes de l'Agence.

Considérer l'embauche d'un architecte de systèmes.

Responsable : DPI

La Direction de la GI/TI considère la création d'un poste d'architecte d'entreprise qui aura la responsabilité de l'élaboration des architectures d'affaires, d'information, d'applications et de l'architecture technologique.

Ce nouveau poste, probablement de niveau CS-04, devra faire l'objet d'une demande de fonds supplémentaires.

Mars 2012.