Comment élaborer une politique de sécurité – PSSI ?

Vous avez peut-être une idée de comment écrire la politique de sécurité de votre organisation. Toutefois, si vous souhaitez vérifier votre travail ou ajouter des point supplémentaires, accédez à la page de ressources Modèles de SANS Information Security Policy Templates . Ils ont créé vingt-sept politiques de sécurité que vous pouvez consulter et utiliser gratuitement.

Afin d’établir une bonne politique de sécurité, il y a des choses à savoir:

• Le but: Objectifs et attentes clairs de la politique.
• La conformité aux règles: les réglementations fédérales et nationales peuvent imposer certaines exigences d’une stratégie de sécurité. Il est donc essentiel de les répertorier.
• La date du dernier test: Les politiques doivent être un document évolutif, être régulièrement testées et contestées.
• La date de la dernière mise à jour de la stratégie: les documents de stratégie de sécurité doivent être mis à jour pour s’adapter aux modifications de l’organisation, aux menaces extérieures et à la technologie.
• Les contacts: les politiques de sécurité des informations sont censées être lues, comprises et suivies par toutes les personnes au sein d’une organisation. Par conséquent, s’il y a des questions, il doit y avoir quelqu’un pour y répondre.

Lire aussi: Formation de vos employés sur la sécurité informatique

Les questions à se poser lors de la création de votre politique de sécurité

Lorsque vous créez une stratégie de sécurité, il est utile de poser et de se poser des questions car en y répondant, vous apprendrez ce qui est important pour votre organisation et les ressources dont vous aurez besoin pour créer et gérer votre stratégie de sécurité. Voici quelques questions pour vous aider à démarrer:

• De qui aurez-vous besoin d’un buy-in?
• Qui sera le responsable de cette politique de sécurité?
• Qui est mon public pour cette politique?
• Quelles réglementations s’appliquent à votre secteur d’activité ?
• Qui a besoin d’accéder aux données de votre organisation?
• À qui appartiennent les données que vous gérez? Votre organisation? Vos clients?
• Combien de demandes sont reçues par semaine pour fournir un accès aux données?
• Comment ces demandes sont-elles remplies?
• Vos données sont-elles accessibles de l’extérieur? Pourquoi
• Comment et quand l’accès est-il révisé?
• Comment vous assurer qu’aucune donnée ne sera accédée et gérée sans autorisations explicites du ou des propriétaire(s) des données et de la gestion appropriée?
• Comment toutes les activités d’approvisionnement d’accès seront-elles enregistrées et disponibles pour vérification?
• Si les données n’ont pas été consultées pendant 18 mois, comment seront-elles identifiées et restreintes de manière à ce que seul le ou les propriétaires des données aient accès jusqu’à ce qu’une demande d’accès soit présentée par une autre personne?
• Comment alignerez-vous votre stratégie de sécurité sur les objectifs commerciaux de l’organisation?

Derniers conseils

Les politiques et stratégies de sécurité fonctionnent mieux lorsqu’elles sont succinctes et pertinentes. Les politiques doivent également répondre aux besoins de l’entreprise et être guidées par elle. Avec une maintenance régulière, la stratégie de sécurité de votre organisation aidera à protéger ses actifs.

La politique de sécurité d’une organisation jouera un rôle important dans ses décisions et son orientation, mais elle ne devrait pas modifier sa stratégie ou sa mission. Par conséquent, il est important de rédiger une politique tirée du cadre culturel et structurel existant de l’organisation afin de soutenir la continuité d’une bonne productivité et de l’innovation, et non comme une politique générique empêchant l’organisation et ses employés de réaliser leur mission et leurs objectifs.