En sécurité informatique a proprement parler, non pas de modèle, puisque justement on sort du monde "bonne pratique" et on rentre dans de la recherche de bug, de failles qui n'apparaissent pas dans les audit, de marqueurs inexistants dans un audit classique, sachant que CobIT, Val IT et ITIL vont déjà te sortir les bonnes pratiques courantes, qui ne relèvent pas que de la sécurité informatique.
Ce qui sous entend qu'en principe, si tu applique les bonnes pratiques, niveau sécurité t'aura déjà une base.
Mais pour un audit sécurité "pur" faut mieux passer par un expert sécurité indépendant qui benchera, sans auditer forcément ton SI, et l'intégrer comme marqueur CobIT. (tu ne trouvera de toutes façon pas de référentiel tout fait, faudra faire le tien avec étude a la base)
