La politique de sécurité des systèmes d’information, ou PSSI, exprime les choix de l’entreprise pour protéger son informatique et ses informations. Elle donne une direction commune aux équipes, à l’infogérant et aux fournisseurs. Sa valeur se mesure dans les décisions quotidiennes : qui peut accéder à quoi, comment sauvegarder et que faire lorsqu’un incident survient.
Quand la rédiger ?
Commencez une version courte dès le cadrage, puis enrichissez-la avec les résultats de l’audit. Vous pouvez déjà décider que les accès seront individuels et que les départs seront traités rapidement. La rédaction ne doit pas suspendre les mesures urgentes.
La CNIL recommande une implication de la direction, des objectifs formalisés et un plan d’action suivi pour les données personnelles 1. La PSSI peut couvrir plus largement l’ensemble des informations et des services de l’entreprise. Ses exigences doivent correspondre à vos risques et aux règles effectivement applicables à votre activité.
Comment construire une première version utile ?
Organisez un atelier réunissant direction, informatique et métiers. Retenez des règles réalisables et nommez le responsable de leur mise en œuvre. Exemple de règle proposée : « Toute nouvelle arrivée dispose de comptes nominatifs ; les droits sont validés par le responsable du service ; les accès temporaires possèdent une échéance. »
Cette formulation précise une action, un décideur et une condition de contrôle. Faites le même travail pour la sauvegarde, la maintenance, le télétravail, les données sensibles, les prestataires et les incidents. Ajoutez une procédure d’exception : justification, personne qui accepte le risque, mesure compensatoire et date de réexamen.
Trois documents qui se complètent
La PSSI définit le cadre. Les procédures expliquent comment l’appliquer. La charte informatique présente aux utilisateurs les règles d’usage et le cadre des outils mis à leur disposition. La CNIL consacre une fiche spécifique à cette charte 2. Faites examiner les dispositions concernant les salariés et leur mise en application par les interlocuteurs compétents.
Pour une PME, notre proposition éditoriale est de commencer avec quelques pages lisibles et des procédures séparées. Une règle trop ambitieuse doit être accompagnée des moyens nécessaires ; sinon, elle risque de rester une déclaration.
Qui fait quoi ?
La direction valide les choix et les moyens. Le responsable informatique ou un RSSI externalisé anime la préparation et les contrôles. Les métiers vérifient que les règles permettent de travailler. Un conseil juridique ou le délégué à la protection des données intervient selon les questions rencontrées. Aucun prestataire ne peut décider seul du niveau de risque que votre entreprise accepte.
Combien cela peut-il coûter ?
Hypothèse de préparation budgétaire : quatre jours d’accompagnement à 900 € HT donnent 3 600 € HT. Prévoyez séparément les ateliers internes, la validation et les travaux techniques. Ce montant est un exemple calculé, pas un tarif publié ni une garantie de périmètre.
La preuve que la PSSI existe vraiment
Prenez une nouvelle embauche, un départ et un accès fournisseur. Faites appliquer les règles, puis examinez les traces disponibles. Si personne ne sait exécuter la procédure, simplifiez-la ou formez l’équipe. Une PSSI devient utile lorsqu’elle aide à résoudre ces situations de façon cohérente.