Politique de Sécurité de l'Information - Que Doit-elle Contenir ?

Pourquoi une politique de sécurité est nécessaire

Vous pouvez disposer de la meilleure sécurité technique, mais si vos employés ne connaissent pas les règles, c’est comme installer une alarme et coller le code sur un post-it à côté de la porte.

Une politique de sécurité de l’information décrit les règles et attentes pour tous dans votre organisation. Elle indique aux employés ce qu’ils peuvent et ne peuvent pas faire avec les informations d’entreprise et les données personnelles.

Que doit-elle contenir ?

Objectif et périmètre

Décrivez brièvement pourquoi la politique existe et à qui elle s’applique. En général, elle couvre tous les employés, freelances et stagiaires ayant accès aux systèmes ou données de l’entreprise.

Mots de passe et authentification

• Exigences de robustesse et d’unicité des mots de passe
• Authentification à deux facteurs obligatoire si disponible
• Interdiction de partager les mots de passe
• Utilisation d’un gestionnaire de mots de passe

Contrôle d’accès

• Droits accordés selon le rôle (besoin d’en connaître)
• Droits révisés lors d’un changement de fonction
• Tous les accès révoqués immédiatement au départ
• Révision périodique des droits d’accès

Utilisation des appareils

• Règles pour l’utilisation des appareils professionnels
• Politique BYOD si les employés utilisent des appareils personnels
• Chiffrement de disque et verrouillage d’écran obligatoires
• Règles pour le travail sur les réseaux publics (utiliser un VPN)

Bureau propre et écran vide

• Documents contenant des données personnelles rangés en quittant le poste
• Écrans verrouillés en cas d’absence
• Impressions confidentielles récupérées immédiatement

E-mail et communication

• Directives pour l’envoi de données personnelles par e-mail
• Quand le chiffrement est nécessaire
• Comment réagir aux e-mails suspects (phishing)

Notification d’incidents

• Comment les employés doivent signaler un incident de sécurité
• À qui le signaler
• Dans quel délai (le plus vite possible)
• Qu’il n’y a pas de conséquences négatives pour le signalement d’erreurs

Stockage externe et outils

• Quels services de stockage cloud sont approuvés
• Interdiction d’utiliser des outils non approuvés pour les données d’entreprise
• Règles pour le partage de fichiers avec des tiers

Comment la rédiger

1. Partez d’un modèle - inutile de réinventer la roue. Adaptez un modèle existant
2. Rendez-la pratique - rédigez en langage clair, sans jargon juridique
3. Discutez-en avec votre équipe - permettez aux employés de donner leur avis et de poser des questions
4. Faites-la signer - chaque employé confirme l’avoir lue et comprise
5. Rendez-la accessible - conservez-la à un endroit où chacun peut la trouver

Maintenez-la vivante

Une politique écrite puis oubliée n’a que peu de valeur. Révisez-la :

• Annuellement - est-elle encore à jour ?
• Après un incident - faut-il renforcer certains points ?
• Lors de changements - nouveaux outils, nouveaux employés, nouvelles méthodes de travail ?