PSSI (politique de sécurité)
Document de référence qui fixe les règles et objectifs de sécurité du système d'information, validé par la direction.
Définition complète
La politique de sécurité des systèmes d'information (PSSI) est le document qui formalise, pour une organisation, ses objectifs de sécurité et les règles à respecter pour les atteindre : gestion des accès, sauvegardes, mises à jour, usage des outils, relations avec les prestataires, réaction aux incidents.
Elle traduit une décision de la direction : c'est elle qui valide la PSSI et lui donne sa légitimité. Le guide de l'ANSSI souligne que la rédaction ne suffit pas : les règles doivent être déclinées en procédures opérationnelles, pilotées par un plan d'action, contrôlées par des audits réguliers et révisées quand le contexte change.
Dans une PME, la PSSI peut tenir en quelques pages. Elle s'appuie idéalement sur une analyse de risques, pour que les règles portent sur ce qui compte vraiment pour l'activité, et se complète d'une charte informatique destinée aux salariés.
Source : ANSSI, PSSI : guide d'élaboration de politiques de sécurité des systèmes d'information
Exemple concret
Une entreprise de transport de 60 salariés découvre que chaque agence gère ses mots de passe, ses sauvegardes et ses accès à distance à sa façon. Le dirigeant fait rédiger une PSSI de huit pages : comptes nominatifs, double authentification pour l'accès distant, sauvegarde quotidienne avec copie hors ligne, correctifs appliqués dans le mois. Un responsable est désigné pour chaque règle et un point d'avancement est fait chaque trimestre en comité de direction.
Comment se protéger
- Faire valider et signer la PSSI par la direction générale
- Partir des risques propres à l'activité plutôt que d'un modèle générique
- Désigner un responsable et une échéance pour chaque règle
- Décliner les règles en procédures concrètes (arrivée et départ d'un salarié, sauvegarde, incident)
- Informer les salariés au moyen d'une charte informatique
- Réviser la PSSI au moins une fois par an ou après un incident
Questions fréquentes
Aucun texte général ne l'impose à toutes les PME, mais les référentiels comme ISO 27001, les exigences de clients grands comptes ou certains assureurs la demandent. Surtout, elle évite que la sécurité dépende des habitudes de chacun.
La PSSI fixe les objectifs et règles de sécurité de l'organisation, pour la direction et l'informatique. La charte informatique traduit la partie qui concerne les utilisateurs et leur est rendue opposable.
Le RSSI, interne ou externalisé, ou un consultant la rédige avec la direction et les métiers. La direction la valide.
Termes liés
Charte informatique
Document qui fixe les règles d'usage des outils numériques par les salariés, rendu opposable en l'annexant au règlement intérieur.
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
RSSI externalisé
Responsable de la sécurité des systèmes d'information exercé par un prestataire, à temps partagé, pour les organisations sans RSSI interne.
Vous avez besoin d'un expert en PSSI (politique de sécurité) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.