Comment rédiger une politique de sécurité des informations, ainsi que des modèles

Pourquoi les entreprises ont besoin de politiques de sécurité

Les politiques et procédures informatiques se complètent. Les politiques mettent en évidence les domaines de sécurité qui nécessitent une assistance, tandis que les procédures expliquent comment aborder ces domaines de sécurité.

Les divergences et les faiblesses des politiques sont souvent évoquées lors des audits. Il est donc préférable de se préparer à l’avance. Les utilisateurs ont souvent des inquiétudes en matière de sécurité concernant leurs données et leurs systèmes. Il est donc conseillé de diffuser les politiques de sécurité aux employés et aux clients pour apaiser leurs inquiétudes.

Comment préparer une politique de sécurité

Suivez ces étapes lors de la préparation d’une politique de sécurité des informations :

• Identifiez l’objectif commercial d’un type spécifique de politique de sécurité informatique.
• Recherchez comment la sécurité est actuellement gérée par l’organisation. Examiner les rapports de performances de sécurité, les rapports d’incidents et d’autres documents.
• Identifiez les normes, réglementations et cadres de cybersécurité pertinents pour élaborer la politique.
• Examinez les politiques de sécurité existantes pour identifier les structures et les formats des politiques. Adaptez-les si nécessaire aux nouvelles politiques.
• Établir un plan de projet pour élaborer et approuver la politique.
• Créer une équipe interne pour développer la politique.
• Envisagez de faire appel à un tiers expérimenté pour vous fournir de l’aide.
• Planifiez des briefings de direction pendant le cycle de rédaction pour garantir que les problèmes pertinents sont résolus.
• Demander aux services internes de revoir la politique, notamment juridique et RH.
• Demandez à l’équipe de gestion des risques de revoir la politique. Distribuez le projet pour examen final avant de le soumettre à la direction.
• Obtenez l’approbation de la direction et diffusez la politique aux employés.
• Développer et dispenser des formations aux employés pour expliquer la nouvelle politique.
• Établir un processus de révision et de modification de la politique en utilisant des procédures de gestion du changement ; cela devrait faire partie d’une activité d’amélioration continue.
• Planifier et préparer les audits annuels de la politique.

Composantes d’une politique de sécurité

Les politiques relatives à la sécurité de l’information et aux questions connexes n’ont pas besoin d’être compliquées ; quelques paragraphes suffisent pour décrire les objectifs et les activités de sécurité pertinents. Incluez plus de détails si nécessaire.

Utilisez le plan suivant pour démarrer le processus de rédaction :

• Introduction. Énonce les raisons fondamentales d’avoir une politique de sécurité.
• Objectif et portée. Fournit des détails sur l’objectif et la portée de la politique de sécurité, qui peuvent inclure les données, les systèmes, les installations et le personnel.
• Déclaration de politique. Énonce la politique de sécurité en termes clairs. Incluez des détails sur l’accès aux systèmes et aux données, la gestion des mots de passe, la confidentialité des données, l’authentification d’accès, la réponse aux incidents, la sécurité physique, la sécurité du réseau, la sécurité de l’accès à distance, la gestion des correctifs, l’utilisation d’outils de sécurité, l’impact de l’IA, la formation et la sensibilisation des employés et l’amélioration continue.
• Déclaration de conformité. Spécifie les lois, réglementations, normes et autres directives en matière de sécurité auxquelles la politique vise à se conformer.
• Leadership politique. Indique qui est responsable de l’approbation et de la mise en œuvre de la politique, ainsi que d’imposer des sanctions en cas de non-conformité.
• Rôles et responsabilités. Détaille les rôles et les responsabilités du personnel, par exemple le personnel informatique et les propriétaires de données, qui s’occupent quotidiennement de la sécurité.
• Vérification de la conformité à la politique. Indique ce qui est nécessaire, comme la surveillance, les audits et les évaluations, les exercices et les tests d’intrusion, pour vérifier que les activités de sécurité sont conformes aux politiques.
• Sanctions en cas de non-respect. Spécifie les sanctions en cas de non-conformité, telles qu’une réprimande verbale et une note dans le dossier personnel de l’employé non conforme pour les incidents internes, ainsi que des amendes et/ou des poursuites judiciaires pour les activités externes.
• Annexes. Comprend des informations de référence supplémentaires, telles que des listes de contacts, d’autres politiques de sécurité pertinentes, des accords de niveau de service et des détails sur des déclarations de politique de sécurité spécifiques.

Les bonnes pratiques supplémentaires lors de la préparation d’une politique de sécurité sont les suivantes :

• La politique doit être élaborée par une équipe capable de résoudre les problèmes opérationnels, juridiques, concurrentiels et autres associés à la sécurité de l’information.
• Obtenez l’avis des services internes sur leurs exigences spécifiques en matière de sécurité.
• Discutez de la politique avec les RH pour garantir une conformité uniforme par les employés.
• Assurez-vous que la haute direction soutient la politique.
• Spécifiez qui peut accéder aux ressources informatiques et aux critères d’accès, tels que l’accès basé sur les rôles et l’accès privilégié.
• Incluez les exigences de sécurité pour les appareils physiques, tels que les ordinateurs portables et les pare-feu.
• Spécifiez les exigences de sécurité matérielle et logicielle, y compris les correctifs et autres mises à jour.
• Identifiez la fréquence des modifications apportées aux contrôles de sécurité.
• Identifiez comment former les employés sur la politique.
• Testez, examinez et mettez à jour régulièrement la politique pour garantir sa pertinence pour l’organisation, le respect des mandats réglementaires et l’amélioration continue.
• Auditez périodiquement la politique pour vous assurer que les contrôles de sécurité sont suivis et appropriés pour l’organisation.

Paul Kirvan, FBCI, CISA, est un consultant indépendant et rédacteur technique avec plus de 35 ans d’expérience dans la continuité des activités, la reprise après sinistre, la résilience, la cybersécurité, la GRC, les télécommunications et la rédaction technique.