Politique de sécurité de l'information : definition, contenu et redaction
Guide pratique sur les politiques de sécurité de l'information — definition, importance, contenu, redaction conforme aux exigences ISO 27001, NIS2 et SOC 2, et comment les maintenir efficaces au-dela de la certification initiale.
Politique de sécurité de l'information : definition, contenu et redaction
Une politique de sécurité de l'information est le document fondateur de tout programme de sécurité. Elle definit ce que votre organisation protege, comment elle le protege et qui en est responsable. Chaque référentiel de conformité — ISO 27001, SOC 2, NIS2, DORA — en exige une, et chaque auditeur la demande en premier.
Qu'est-ce qu'une politique de sécurité de l'information ?
C'est un document formel, approuve par la direction, qui etablit l'approche de votre organisation en matiere de protection des actifs informationnels. Elle repond a trois questions :
- Que protegeons-nous ? — Le perimetre des actifs, systemes et processus couverts
- Comment le protegeons-nous ? — Les principes, normes et approches suivis
- Qui est responsable ? — La structure de gouvernance, les roles et la responsabilite
Pourquoi c'est important
Exigences réglementaires
- ISO 27001 Clause 5.2 exige une politique approuvee par la direction
- NIS2 Article 21(2)(a) impose des politiques sur l'analyse des risques et la sécurité des systemes
- DORA Article 5 exige des politiques de gestion des risques TIC approuvees par l'organe de direction
- SOC 2 CC1.1 attend une structure organisationnelle definie avec des politiques
Valeur pratique
- Alignement — Tous travaillent selon les memes attentes de sécurité
- Cadre decisional — Fournit des principes pour resoudre les compromis de sécurité
- Responsabilite — Une attribution claire previent les lacunes
- Evidence — Les politiques documentees demontrent la gouvernance
Que doit contenir la politique
1. Objet et perimetre
Definir pourquoi la politique existe et ce qu'elle couvre : quels actifs informationnels, quelles personnes, quels systemes.
2. Objectifs de sécurité
Objectifs mesurables, coherents avec la politique et suivis.
3. Roles et responsabilites
| Role | Responsabilite |
|---|---|
| Direction executive | Approuver la politique, allouer les ressources, définir l'appetit au risque |
| RSSI / Responsable sécurité | Developper et maintenir la politique, gerer le SMSI |
| Operations IT | Mettre en oeuvre les contrôles techniques |
| Responsables de departement | Appliquer la politique dans leurs équipes |
| Tous les employes | Suivre la politique, completer la formation, signaler les incidents |
4. Approche de gestion des risques
Comment les risques sont identifies, évalués et traites.
5. Principes cles de sécurité
- Classification de l'information
- Contrôle d'accès — Moindre privilege, besoin d'en connaitre
- Gestion des incidents
- Continuite d'activité
- Gestion des changements
- Sécurité des fournisseurs
6. Exigences de conformité
Liste des reglementations et normes applicables.
7. Gouvernance de la politique
Frequence de revue, autorite d'approbation, exigences de communication.
8. Application et consequences
Consequences du non-respect pour les employes et les tiers.
Correspondance avec les référentiels
ISO 27001
La clause 5.2 exige que la politique soit appropriee, incluant des objectifs de sécurité, un engagement de conformité et d'amelioration continue.
NIS2
L'article 21(2)(a) liste les politiques sur l'analyse des risques et la sécurité comme premiere mesure requise, couvrant dix domaines.
SOC 2
Les critères communs exigent des politiques documentees a travers tous les domaines des critères de services de confiance.
Erreurs courantes
- Rediger une politique que personne ne lit. Gardez-la concise et actionnable.
- Copier des modèles sans personnalisation. Les modèles generiques manquent votre contexte specifique.
- Traiter la politique comme statique. Une revue reguliere la maintient alignee.
- Pas d'approbation de la direction. Une politique sans approbation executive manque d'autorite.
- Deconnexion entre politique et pratique. Si la politique dit une chose et l'organisation fait autre chose, c'est un constat d'audit.
Comment Orbiq soutient les politiques de sécurité
- Trust Center — Publiez votre cadre de gouvernance de sécurité et vos certifications
- Gestion des preuves — Collecte automatisee des preuves de mise en oeuvre des politiques
- Surveillance continue — Suivez l'efficacite des contrôles
- Questionnaires IA — Repondez automatiquement aux questions sur vos politiques
Pour aller plus loin
- Cadres de gestion des risques — Choisir le bon cadre pour votre SMSI
- Automatisation de la conformité — Automatiser la collecte de preuves
- Conformité NIS2 — Exigences NIS2 en détail