Une politique de sécurité des systèmes d’information (PSSI) est un document qui fixe les objectifs de sécurité de l’entreprise, les règles à respecter et les responsabilités de chacun. Pour une PME, la démarche la plus efficace tient en sept étapes : définir le périmètre, inventorier ce qu’il faut protéger, analyser les risques, encadrer les accès, sauvegarder, former les équipes et préparer la réponse aux incidents.
Définir le périmètre et les objectifs
Commencez par décider ce que la politique couvre : un site, un service, toute l’entreprise, y compris les postes mobiles, le télétravail et les prestataires qui accèdent à vos données. Il n’est pas toujours réaliste de tout traiter d’un coup. Mieux vaut un périmètre limité mais réellement appliqué qu’un document ambitieux que personne ne suit.
Fixez ensuite trois objectifs classiques : la confidentialité (seules les personnes autorisées voient les données), l’intégrité (les données ne sont pas altérées) et la disponibilité (les services fonctionnent quand on en a besoin). Désignez enfin un responsable, même à temps partiel, qui porte le sujet auprès de la direction.
Inventorier les actifs à protéger
On ne protège bien que ce que l’on connaît. Dressez la liste des ordinateurs, serveurs, téléphones, logiciels, services en ligne, comptes et bases de données, en précisant pour chacun son propriétaire et la sensibilité des données qu’il contient. Un simple tableur suffit pour une petite structure ; une solution de gestion de parc ou d’ITSM devient utile lorsque le nombre d’équipements augmente.
- collecter les informations (équipements, licences, comptes, flux de données) ;
- les saisir dans un inventaire unique et le mettre à jour à chaque arrivée, départ ou changement de matériel.
Cet inventaire vous montre sur quels éléments concentrer vos efforts en priorité.
Analyser les risques avec une méthode reconnue
La norme ISO/IEC 27005 décrit une démarche de gestion des risques liés à la sécurité de l’information. En France, l’ANSSI propose aussi la méthode EBIOS Risk Manager. Le principe est le même : pour chaque actif, on identifie les menaces (hameçonnage, rançongiciel, perte ou vol de matériel, erreur humaine, panne), les vulnérabilités (logiciel non mis à jour, mot de passe faible) et l’impact possible, puis on estime la probabilité.
Classez les risques du plus critique au moins critique, puis décidez pour chacun : le réduire par une mesure, l’accepter, le transférer ou l’éviter. Des outils d’analyse de vulnérabilités peuvent aider à repérer les failles techniques, mais ils ne remplacent pas ce travail de priorisation.
Mettre en place les mesures clés
Contrôler les accès
Appliquez le principe du moindre privilège : chaque salarié n’accède qu’aux données nécessaires à sa fonction. Les droits doivent être revus à chaque changement de poste et supprimés dès le départ d’un collaborateur. Exigez des mots de passe longs et uniques, idéalement gérés par un gestionnaire de mots de passe, et activez l’authentification multifacteur (MFA) au moins sur la messagerie, les accès à distance et les comptes administrateurs.
Sauvegarder et tester la restauration
Une sauvegarde automatique permet de retrouver vos documents après une panne, une erreur ou une attaque. La règle dite 3-2-1 est un bon repère : trois copies des données, sur deux supports différents, dont une conservée hors site ou déconnectée du réseau, afin qu’un rançongiciel ne puisse pas la chiffrer. Testez régulièrement la restauration : une sauvegarde jamais testée n’est pas une garantie.
Maintenir les systèmes à jour
Activez les mises à jour de sécurité des systèmes, navigateurs et logiciels, installez un antivirus ou une protection des postes de travail, et chiffrez les ordinateurs portables.
Sensibiliser les salariés et préparer les incidents
Beaucoup d’incidents commencent par un message piégé ou une erreur de manipulation. Organisez des sessions courtes et régulières : reconnaître un hameçonnage, signaler un message suspect, ne pas utiliser de clé USB inconnue, verrouiller son poste. Faites signer une charte d’utilisation des outils informatiques.
Prévoyez aussi un plan de réponse aux incidents, simple et écrit : qui alerter, comment isoler un poste infecté, qui communique en interne et auprès des clients, comment restaurer les données, à quel moment prévenir les autorités compétentes si des données personnelles sont concernées. Si vous n’avez pas de compétences en interne, faites appel à un prestataire spécialisé.
Structurer le document et le faire vivre
Une PSSI de PME peut rester courte (quelques pages) si elle est claire. Une structure possible :
- objet, périmètre et engagement de la direction ;
- rôles et responsabilités ;
- classification des données et inventaire des actifs ;
- principaux risques et mesures retenues ;
- règles d’accès, de mots de passe et de MFA ;
- sauvegarde, mises à jour et chiffrement ;
- formation, charte d’utilisation et sanctions éventuelles ;
- gestion des incidents et contacts d’urgence ;
- révision du document, au moins une fois par an.
L’erreur la plus fréquente est de rédiger la politique une fois pour toutes. Elle doit être revue après chaque incident, changement d’outil ou évolution de l’activité. Pour vous appuyer sur une source officielle, consultez le guide d’hygiène informatique de l’ANSSI et, si vous visez une certification, la norme ISO/IEC 27001.
Vous pensez que votre entreprise / votre site peut aider nos lecteurs et vous souhaitez apparaître dans cet article ? Contactez-nous !
Fondateur de La Dépêche Tech, William O’Rain accompagne PME et médias dans leur croissance digitale. Ses sujets : IA, e-commerce, marketing web, cybersécurité, product & growth. Objectif : transformer l’actu en décisions opérationnelles.