Une politique de sécurité des systèmes d’information, ou PSSI, formalise les principes et les responsabilités qui encadrent la protection des informations d’une organisation. Pour une PME, elle sert de référence commune aux dirigeants, aux équipes, aux prestataires et aux personnes autorisées à accéder aux outils numériques.
Ce document fondateur relie les objectifs de la direction aux règles concrètes du quotidien, sans se substituer aux procédures techniques. Sa valeur dépend autant de sa pertinence face aux risques que de son approbation, de sa diffusion et de ses révisions régulières.
A retenir :
- Document de gouvernance approuvé par la direction et adapté aux activités
- Règles applicables aux employés, prestataires et systèmes concernés
- Protection fondée sur les risques, les responsabilités et les besoins métiers
- Révision régulière après évolution importante ou incident de sécurité
Politique de sécurité : rôle fondateur de la PSSI
Une gouvernance cyber compréhensible par tous
La PSSI donne un cadre commun à la sécurité de l’information et précise les attentes de la direction. Elle indique notamment quels systèmes sont concernés, qui porte chaque responsabilité et comment les incidents doivent être signalés.
Selon l’ISO/IEC 27001, la direction doit établir une politique adaptée à la finalité de l’organisme et soutenir l’amélioration continue de son système de management. Pour une entreprise de quinze personnes, le document peut rester concis, mais il doit nommer clairement les rôles et les règles applicables.
Les principes qui orientent les règles
Ces règles reposent sur des objectifs de disponibilité, d’intégrité et de confidentialité, complétés par la traçabilité des actions. Une sauvegarde testée soutient la disponibilité, tandis que des droits limités réduisent l’exposition des informations confidentielles.
Selon l’ANSSI, les mesures d’hygiène informatique constituent un socle utile pour réduire les risques courants. La PSSI transforme ces orientations en engagements adaptés à l’organisation, plutôt qu’en prescriptions techniques déconnectées de ses usages.
Principes de sécurité à formaliser :
- Accès accordé selon les missions et le moindre privilège
- Informations accessibles uniquement aux personnes autorisées
- Modifications sensibles contrôlées et actions importantes journalisées
- Continuité des activités soutenue par des sauvegardes vérifiées
Contenu d’une politique de sécurité adaptée à la PME
Définir le périmètre, les actifs et les responsabilités
Une politique utile commence par décrire les activités, les systèmes et les catégories d’informations à protéger. Elle précise aussi si les règles concernent les salariés, les prestataires, les sites distants ou les services hébergés dans le cloud.
Selon le RGPD, lorsqu’une violation de données personnelles présente un risque, le responsable du traitement doit la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures. La PSSI doit donc désigner les personnes chargées d’évaluer l’incident et d’organiser cette démarche.
Organiser les exigences par domaine
Les règles doivent couvrir les usages réels : gestion des accès, sécurité des postes, sauvegardes, services externes, sensibilisation et signalement des incidents. Une PME qui utilise des outils d’intelligence artificielle peut aussi préciser quelles données ne doivent pas être saisies dans des services non approuvés.
Le tableau ci-dessous relie des thèmes fréquents à leur fonction dans le document. L’entreprise peut ensuite compléter chaque ligne par ses propres règles et responsables.
Domaines couverts par la PSSI :
| Domaine | Question à traiter | Exemple de règle |
|---|---|---|
| Accès | Qui peut consulter les ressources ? | Attribuer les droits selon le rôle |
| Données | Quelles informations sont sensibles ? | Restreindre le partage des données confidentielles |
| Sauvegardes | Comment restaurer les activités ? | Tester régulièrement la restauration des copies |
| Prestataires | Quelles exigences leur appliquer ? | Encadrer les accès et les obligations de sécurité |
Validation, diffusion et évolution de la politique
Faire approuver puis appliquer le document
La direction générale valide la PSSI et lui donne son autorité ; les responsables métiers vérifient ensuite que ses exigences restent applicables. Une règle impossible à suivre risque de rester théorique, même si elle paraît complète sur le papier.
La diffusion doit permettre aux personnes concernées de comprendre leurs obligations et de savoir où retrouver la version en vigueur. Une présentation courte, suivie d’un accusé de réception, aide à transformer le document en repère quotidien.
Étapes de mise en œuvre de la PSSI :
- Inventaire des actifs, activités et risques prioritaires
- Rédaction des règles avec les équipes concernées
- Validation formelle par la direction générale
- Diffusion, sensibilisation et suivi des versions
Réviser selon les changements et les incidents
Une PSSI n’est pas figée : une évolution des outils, des activités ou des obligations peut rendre certaines règles insuffisantes. Une révision annuelle constitue un repère pratique, auquel s’ajoutent des réexamens après incident majeur ou changement important.
Une petite société de services qui adopte un nouvel espace cloud devra, par exemple, vérifier les accès, les règles de partage et les responsabilités du fournisseur. Cette vérification évite que les pratiques nouvelles échappent au cadre déjà approuvé.
Suivi de la politique dans le temps :
- Responsable désigné pour maintenir le document à jour
- Historique des versions et validations conservé
- Incidents et changements examinés lors des révisions
- Règles ajustées lorsque les usages évoluent
Les procédures détaillées, les chartes informatiques et les consignes techniques déclinent ensuite les orientations de la PSSI. Selon l’ANSSI, une démarche structurée de sécurité gagne à s’appuyer sur des mesures adaptées au contexte et régulièrement suivies.
Source : ANSSI, Guide d’hygiène informatique ; Règlement (UE) 2016/679, article 33 ; ISO/IEC 27001:2022, clause 5.2.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
