Politique de sécurité de l'information

Définition

La politique de sécurité de l'information est le document de référence formalisant les orientations stratégiques, les principes directeurs et les règles qu'une organisation applique pour protéger la confidentialité, l'intégrité et la disponibilité de ses actifs informationnels. Approuvée par la direction générale, elle définit le périmètre de gouvernance de la sécurité, les rôles et responsabilités, y compris ceux du RSSI, ainsi que les objectifs de sécurité alignés sur la stratégie et les risques métier de l'organisation. Elle constitue l'exigence fondatrice de tout système de management de la sécurité de l'information conforme à la norme ISO 27001, et sert de socle à la déclinaison de politiques thématiques plus spécifiques, comme la politique de classification de l'information, la politique de gestion des accès ou la politique de gestion des correctifs. Le référentiel NIST CSF recommande également une politique formalisée comme fondement de la fonction de gouvernance. Pour être efficace, la politique de sécurité de l'information doit être communiquée à l'ensemble des collaborateurs, révisée périodiquement, généralement chaque année ou après un incident majeur, et accompagnée de procédures opérationnelles concrètes. Son absence ou son obsolescence est fréquemment relevée lors des audits de conformité, car elle prive l'organisation d'un cadre de référence opposable pour arbitrer les décisions de sécurité et sanctionner les manquements.