Les documents fondamentaux de la sécurité informatique

Quatre documents structurent la sécurité informatique d’une entreprise : la politique de sécurité, la charte informatique, le plan de continuité et le dispositif de crise. Leur contenu est largement documenté. Ce qui l’est beaucoup moins, et qui décide pourtant de leur valeur, c’est de savoir qui doit les écrire.

Se tromper d’interlocuteur produit un document sans effet. Une charte rédigée par le seul service informatique n’est pas opposable au salarié qu’elle vise. Une politique de sécurité rédigée par le seul cabinet de conseil décrit une infrastructure qui n’existe pas. Voici le partage réel.

Les quatre documents en un tableau

L’analyse de risques

Ce qu’elle fait. Elle transforme un inventaire en priorités : ce qui compte dans votre activité, qui aurait intérêt à s’y attaquer, et ce que vous décidez de traiter ou d’accepter. Elle ne figure pas dans la liste des documents parce qu’elle en est la source : c’est elle qui donne son contenu à la politique de sécurité.

Qui la conduit. Un cabinet spécialisé, pas votre infogéreur, pour la même raison qui vaut pour l’audit : on ne peut pas évaluer les risques que l’on fait soi-même courir. La direction y participe, parce que accepter un risque est une décision de direction. Le prestataire technique fournit la matière, inventaire, accès, historique des incidents.

Ce qui la rend valable. Un réexamen déclenché par les événements autant que par le calendrier. La méthode que nous recommandons est EBIOS Risk Manager, publiée par l’ANSSI.

La politique de sécurité (PSSI)

Ce qu’elle fait. Elle fixe ce que vous protégez, contre quoi, et qui décide quoi. C’est le document de référence auquel se rattachent tous les autres, et le premier qu’un auditeur demande.

Qui l’écrit. Un interlocuteur technique, parce qu’une politique qui ne décrit pas votre infrastructure réelle ne sert à rien. Si vous relevez d’un cadre réglementaire, un cabinet de conseil s’ajoute pour la partie normative. Le piège classique est le modèle téléchargé : il décrit l’entreprise de quelqu’un d’autre, et cela se voit immédiatement en audit.

Ce qui la rend valable. Une révision au moins annuelle, laissant une trace datée. C’est la trace, et non le document, qui démontre que la politique est vivante. Tout sur la PSSI : contenu et mise en place.

La charte informatique

Ce qu’elle fait. Elle dit aux utilisateurs ce qui est autorisé et ce qui ne l’est pas. La PSSI s’adresse à la direction et aux équipes techniques ; la charte s’adresse à tout le monde.

Qui l’écrit. C’est le cas le plus mal compris des quatre. Le contenu technique vient de votre prestataire, mais la charte encadre le comportement de salariés et fonde d’éventuelles sanctions : elle relève du droit du travail. Il faut donc un avocat, et une procédure.

Ce qui la rend valable. Pour être opposable, elle doit suivre le régime du règlement intérieur : consultation du comité social et économique, dépôt au greffe du conseil de prud’hommes, transmission à l’inspection du travail, information des salariés. Une charte simplement diffusée par courriel informe, elle ne fonde rien. Tout sur la charte informatique.

Le plan de continuité et de reprise

Ce qu’il fait. Il répond à deux questions chiffrées : combien de temps pouvez-vous rester à l’arrêt, et combien de données pouvez-vous perdre. Le reste en découle.

Qui l’écrit. Le prestataire technique construit le dispositif, mais l’arbitrage n’est pas technique. Décider que la paie est critique et que l’intranet ne l’est pas est une décision de direction, avec un coût en face. Un plan écrit sans la direction hiérarchise tout au même niveau, ce qui revient à ne rien hiérarchiser.

Ce qui le rend valable. Un test annuel avec procès-verbal. Une sauvegarde jamais restaurée ne prouve rien. Voir notre approche de la continuité et de la reprise d’activité.

Le dispositif de crise cyber

Ce qu’il fait. Il désigne à l’avance qui décide, qui parle, qui notifie et par quel canal, pour que ces questions ne se posent pas à trois heures du matin le jour où elles comptent.

Qui l’écrit. Le prestataire technique pour la chaîne de détection et de confinement, la direction pour la chaîne de décision. S’y ajoutent votre assureur, dont le contrat conditionne certaines démarches, et selon les cas un avocat et un appui en communication.

Ce qui le rend valable. Un exercice à blanc. Un dispositif jamais joué révèle ses trous le pire jour possible, en général sur des détails triviaux comme un annuaire téléphonique stocké dans le système compromis. Tout sur la gestion de crise cyber.

Dans quel ordre les produire

L’ordre compte, parce que chaque document s’appuie sur le précédent.

1. L’état des lieux d’abord. On ne rédige pas de règle sur un parc qu’on n’a pas inventorié. C’est l’objet de l’audit.
2. L’analyse de risques, qui transforme cet inventaire en décisions : ce qu’on traite, ce qu’on accepte, et dans quel ordre.
3. La PSSI, qui acte ces décisions et fixe le cadre auquel les trois autres documents se réfèrent.
4. La charte, qui traduit la politique en règles lisibles par un utilisateur, et qui demande le plus de temps calendaire à cause de la consultation du CSE.
5. Le plan de continuité, une fois connues les fonctions critiques.
6. Le dispositif de crise en dernier, parce qu’il mobilise tous les précédents.

Compter six mois pour l’ensemble dans une structure de trente personnes est réaliste. Toute promesse plus rapide suppose des modèles recopiés.

Un cycle, pas une pile de documents

Une fois les cinq étapes franchies, le travail n’est pas terminé : il commence. Ces documents décrivent des décisions prises face à une menace donnée, avec les moyens du moment. Les deux changent.

La menace évolue, parce qu’un mode opératoire réservé hier à des attaquants avancés s’industrialise. Vos moyens évoluent aussi, et c’est le facteur qu’on oublie le plus souvent : une mesure hors de portée il y a deux ans est devenue accessible, ce qui rend inacceptable un risque qu’on avait légitimement accepté. Votre activité change enfin, avec de nouveaux métiers, de nouveaux prestataires, de nouveaux accès.

La boucle se referme donc ainsi : l’analyse de risques décide, la PSSI acte, la charte et les mesures techniques appliquent, l’exploitation éprouve, et ce que révèle l’exploitation, incidents réels, tentatives détectées, écarts de configuration, alimente l’analyse suivante. Un document dont la dernière révision date de trois ans ne décrit pas votre sécurité : il décrit celle d’une entreprise qui n’existe plus.

Ce que nous faisons, et ce que nous ne faisons pas

ITAIA produit la matière technique et la maintient : inventaire, configurations, journaux conservés, procédures d’exploitation, procès-verbaux de test, traçabilité des accès. C’est ce qui transforme un document théorique en document applicable, puis démontrable. La rédaction documentaire est incluse dans notre offre Conformité.

Nous ne fournissons ni conseil juridique, ni audit indépendant, ni test d’intrusion sur les environnements que nous exploitons. Le premier n’est pas notre métier, les deux autres supposent un regard extérieur : on ne peut pas être à la fois celui qui sécurise et celui qui juge si c’est bien sécurisé. Nous travaillons avec des cabinets partenaires et pouvons vous les recommander. Notre position complète figure sur la page Transparence.

Questions fréquentes

Quels documents de sécurité informatique une entreprise doit-elle avoir ?

Quatre : une politique de sécurité (PSSI) qui fixe le cadre, une charte informatique opposable aux salariés, un plan de continuité et de reprise chiffré en RTO et RPO, et un dispositif de crise avec ses rôles désignés. Aucun n’est universellement obligatoire pour une entreprise ordinaire, mais tous le deviennent en pratique dès qu’un assureur, un client grand compte ou un régulateur vous les demande.

Quelle différence entre une PSSI et une charte informatique ?

La PSSI s’adresse à la direction et aux équipes techniques : elle fixe les objectifs, les arbitrages et les responsabilités. La charte s’adresse aux utilisateurs : elle traduit ces règles en comportements attendus. La première n’est pas opposable à un salarié, la seconde peut l’être si elle suit la procédure du règlement intérieur.

Un infogéreur peut-il rédiger ma PSSI ?

Oui, et c’est même souhaitable pour la partie technique, parce qu’il est le seul à connaître votre infrastructure dans le détail. La limite est ailleurs : il ne doit pas être celui qui auditera ensuite le résultat. Rédiger et opérer va très bien ensemble ; rédiger et juger, non.

Faut-il un avocat pour une charte informatique ?

Pour le contenu technique, non. Pour la mise en vigueur, oui, dès lors que la charte doit fonder des sanctions. Elle relève alors du régime du règlement intérieur, avec consultation du CSE, dépôt et transmission à l’inspection du travail. Un avocat en droit social sécurise cette procédure ; une erreur de forme y coûte l’opposabilité du document entier.

À quelle fréquence faut-il mettre à jour sa PSSI ?

Au moins une fois par an, mais la périodicité n’est pas le vrai déclencheur. Une PSSI se met à jour quand l’analyse de risques change : après un incident significatif, un changement d’architecture, l’arrivée d’un prestataire critique, ou lorsque vos moyens évoluent et rendent traitable un risque que vous aviez accepté. La révision doit laisser une trace datée, car c’est elle, et non le document, qui démontre que la politique est vivante.

Peut-on partir d’un modèle trouvé en ligne ?

Comme point de départ de la structure, oui. Comme document final, non. Un modèle ne cite ni vos applications métier, ni votre prestataire, ni vos contraintes sectorielles, et il mentionne souvent des outils que vous n’avez pas. En audit comme devant un conseil de prud’hommes, cela se repère immédiatement.

Faire le point sur vos documents

En trente minutes, nous regardons ce que vous avez déjà, ce qui manque, ce qui est périmé, et dans quel ordre reprendre. Vous repartez avec la liste et les priorités, sans engagement. Prendre rendez-vous. Si vous voulez d’abord situer votre niveau, le pré-diagnostic prend trois minutes.