Politique de sécurité (PSSI), chartes et procédures
Des règles courtes, que l’on retrouve dans les pratiques.
Réponse courte
PSSI et procédures : de quoi s’agit-il, pour qui, à quel prix ?
Rédaction de la politique de sécurité des systèmes d’information, de la charte d’usage et des procédures associées, reliées aux risques identifiés et à des responsables nommés. Durée indicative : 3 à 8 semaines selon le nombre de politiques et de procédures. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
Une PSSI : définition qui dort dans un dossier partagé ne protège personne. Une PSSI utile tient en peu de pages, dit qui décide de quoi, et se retrouve dans les pratiques : la manière dont on donne un accès, dont on traite un départ, dont on déclare un incident.
Nous rédigeons avec vous la politique, la charte d’usage destinée aux utilisateurs et les procédures qui les mettent en œuvre : gestion des accès, des changements, des sauvegardes, des incidents, des fournisseurs, poste de travail et télétravail. Chaque règle est reliée à un risque identifié et à un responsable nommé. Une règle que personne ne peut vérifier est retirée ou reformulée.
La charte informatique a des effets juridiques sur les salariés : pour leur être opposable, elle est en pratique annexée au règlement intérieur, ce qui suppose en général de consulter les représentants du personnel. Nous rédigeons le texte ; votre conseil juridique ou votre responsable des ressources humaines valide son intégration.
En résumé
- Durée indicative
- 3 à 8 semaines selon le nombre de politiques et de procédures
- Prix
- sur devissur devis après cadrage
- Référentiels appliqués
- ISO/IEC 27001:2022 (clause 5.2)ISO/IEC 27002:2022 (mesure 5.1)Guide d’hygiène informatique de l’ANSSIGuide d’élaboration d’une PSSI (ANSSI)PSSIE pour les administrations de l’État
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
PSSI et procédures : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Politique générale
Périmètre, objectifs, principes, rôles et gouvernance, approuvés par la direction et revus à échéance fixe.
Politiques thématiques
Contrôle d’accès et authentification multifacteur, chiffrement, sauvegardes, développement, fournisseurs, télétravail, gestion des vulnérabilités.
Charte d’usage
Règles destinées aux utilisateurs, en langage clair, adaptées aux outils réellement employés.
Procédures opérationnelles
Arrivée et départ, demande d’accès, gestion des changements, incident, vulnérabilités : ce qui se fait, qui le fait, quelle trace reste.
Déploiement
Plan de diffusion, session d’appropriation avec les responsables, questions fréquentes, premiers retours à trois mois.
Revue et indicateurs
Calendrier de revue, indicateurs d’application, circuit des dérogations.
PSSI et procédures : que livre la mission ?
- Politique générale de sécurité des systèmes d’information
- Politiques thématiques en deux pages chacune
- Charte d’usage destinée aux utilisateurs
- Procédures opérationnelles avec responsable et trace attendue
- Plan de déploiement et support d’appropriation
Qu’est-ce que cela change pour vous ?
- Des règles que l’équipe sait citer et que l’auditeur peut vérifier
- Une charte opposable, validée par votre conseil
- Une base documentaire qui sert ISO 27001, NIS 2 et les questionnaires clients
PSSI et procédures : pour qui est-ce utile ?
- Organisations qui préparent ISO 27001, NIS 2 ou un audit client
- Structures dont les règles de sécurité sont orales ou dispersées
- Directions qui veulent une charte d’usage opposable et comprise
- Éditeurs et prestataires à qui l’on demande « votre politique de sécurité »
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
PSSI et procédures : combien de temps dure la mission ?
Durée indicative : 3 à 8 semaines selon le nombre de politiques et de procédures. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
PSSI et procédures : ce qu’on nous demande
Quelle différence entre une PSSI, une charte informatique et une procédure ?
La PSSI fixe les objectifs, les principes et les rôles : elle s’adresse à la direction et aux responsables. La charte traduit les règles pour les utilisateurs : ce qu’ils peuvent ou non faire avec les outils de l’organisation. Une procédure décrit comment une action précise s’exécute, par qui, avec quelle trace. Les trois se répondent, et chaque niveau renvoie au précédent.
Combien de pages doit faire une politique de sécurité ?
Aussi peu que possible : quelques pages pour la politique générale, une à deux pour chaque politique thématique. Un document de quarante pages n’est lu par personne et se périme avant d’être diffusé. Nous préférons un texte court, chaque règle renvoyant à une procédure ou à une mesure vérifiable, plutôt qu’une somme que l’on ne peut ni appliquer ni contrôler.
Faut-il refaire la PSSI pour passer ISO 27001 ou répondre à NIS 2 ?
Rarement en entier. ISO 27001 demande une politique documentée, approuvée par la direction, communiquée et revue à intervalles planifiés ; l’article 21 de NIS 2 attend des politiques d’analyse des risques et de sécurité des systèmes d’information. Une politique bien construite répond aux deux. Nous partons de ce qui existe, ajoutons ce que le référentiel exige et supprimons ce que personne n’applique.
Pour comprendre avant de décider
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
- ArticleRépondre à un questionnaire de sécurité client : méthode et piègesPourquoi vos clients vous envoient des questionnaires de sécurité, comment bâtir une base de réponses vérifiées, que répondre quand une mesure manque et quoi transmettre.
Quelles prestations s’y associent ?
Accompagnement ISO 27001
Construire un système de management de la sécurité que l’audit trouvera réel.
6 à 12 mois du cadrage à l’audit de certification, selon le point de départdès 1 900 €
Formation développeurs
Des développeurs qui voient la faille pendant l’écriture, pas après le test d’intrusion.
1 à 3 jours de formation, avec suivi optionnelsur devis
Sensibilisation
Des équipes qui savent quoi faire devant un message douteux.
sessions de 1 à 3 h ; campagnes sur 3 à 12 moisdès 490 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « PSSI et procédures » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début