Conformité
PSSI
Aussi appeléPolitique de sécurité des systèmes d’informationPolitique de sécuritéCharte informatique
En résumé
La politique de sécurité des systèmes d’information : le document de référence, approuvé par la direction, qui fixe les objectifs de sécurité, les règles applicables, les rôles et les responsabilités. Elle se décline en politiques thématiques, en procédures et en une charte d’usage destinée aux utilisateurs.
PSSI, en détail
La PSSI se lit à plusieurs niveaux. La politique générale énonce les principes et les rôles, et s’adresse à la direction. Les politiques thématiques traitent un sujet chacune : accès, sauvegardes, développement, fournisseurs. Les procédures décrivent comment une action s’exécute et quelle trace elle laisse. La charte d’usage traduit l’ensemble pour les salariés, dans un langage qu’ils comprennent.
Une PSSI utile reste courte, relie chaque règle à un risque et à un responsable, et se revoit à échéance fixe. ISO/IEC 27001 : définition demande une politique documentée, approuvée par la direction, communiquée et revue à intervalles planifiés. La directive NIS 2 : définition attend aussi des politiques d’analyse des risques et de sécurité des systèmes d’information. Pour que la charte soit opposable aux salariés, son intégration au règlement intérieur est en pratique nécessaire.
Qu’est-ce que cela change pour vous ?
La PSSI est le premier document qu’un auditeur, un assureur ou un client demande. Elle montre que la direction a fixé des règles, et sert de référence quand une pratique dérive.
La confusion fréquente
Copier un modèle trouvé en ligne. Une règle que l’organisation ne peut ni appliquer ni contrôler affaiblit celles qui sont réelles, et l’auditeur le voit à la première question de vérification.
Qui peut vous accompagner ?
- PSSI et procédures : la prestationDes règles courtes, que l’on retrouve dans les pratiques.
- Audit organisationnel : la prestationSavoir où en est la sécurité de l’organisation, au-delà de ses outils.
Aller plus loin
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
- ArticleBug bounty ou politique de divulgation : par où commencer ?Une politique de divulgation de vulnérabilités avant un programme de primes : ce que chacun apporte, l’ordre à suivre, le contenu du texte et le traitement d’un signalement.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Termes liés
- ConformitéSMSI : définitionLe système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration.
- ConformitéRSSI : définitionLe responsable de la sécurité des systèmes d’information : la personne qui définit la politique de sécurité, pilote la gestion des risques, coordonne la réponse aux incidents et rend compte à la direction.
- ConformitéISO 27001 : définitionLa norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI) : analyse des risques, mesures choisies et documentées, revue de direction et amélioration continue.
- MéthodeDéveloppement sécurisé : définitionL’intégration de la sécurité à chaque étape de la conception et de la production d’un logiciel : exigences, modélisation des menaces, règles de codage, revue de code, tests automatisés, gestion des dépendances et des secrets, déploiement.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début