La politique de sécurité des systèmes d’information, ou PSSI, est le document-cadre par lequel une organisation fixe ses objectifs de sécurité, les règles qui en découlent et les responsabilités de ceux qui doivent les appliquer. Elle traduit un choix de la direction : ce que l’établissement entend protéger, à quel niveau, et qui répond de quoi. Les procédures techniques, les standards de configuration et les chartes d’usage se rattachent tous à ce texte de référence, qui sert d’arbitre lorsque les besoins d’un projet entrent en tension avec les exigences de sécurité.
Dans le secteur financier, le document a aussi une portée réglementaire. Le règlement européen DORA impose aux entités financières un cadre documenté de gestion du risque informatique, qui comprend notamment des politiques de sécurité de l’information approuvées et tenues à jour.
Ce que contient une PSSI
Le périmètre ouvre généralement le texte : entités juridiques couvertes, systèmes concernés, sort des filiales et des prestataires qui exploitent une partie du SI. Lorsque ce périmètre reste flou, chaque règle donne lieu à des débats d’interprétation au lieu d’être appliquée. Viennent ensuite les principes directeurs, comme la proportionnalité des mesures aux enjeux ou le moindre privilège, puis la répartition des rôles entre la direction générale, le RSSI, les propriétaires d’actifs métiers et les utilisateurs.
Le cœur du document énonce des règles par domaine. Le contrôle d’accès y occupe une place importante : la politique précise comment la gestion des habilitations doit garantir que les droits accordés correspondent aux fonctions exercées, et quelles exigences d’authentification s’appliquent, y compris lorsque l’accès aux applications passe par une authentification unique (SSO). D’autres chapitres couvrent la sécurité de l’exploitation, les sauvegardes et leur articulation avec le plan de continuité d’activité, la journalisation, la sécurité des développements ou encore les relations avec les tiers.
Un dernier volet organise les dérogations. Aucune règle ne s’applique partout sans exception ; la politique prévoit donc un circuit formel : demande motivée, acceptation du risque par un responsable identifié, durée limitée et inscription dans un registre suivi dans le temps.
Une démarche portée par la direction
L’ANSSI a consacré un guide d’élaboration des PSSI à cette démarche. Il propose une méthode par phases, du cadrage initial jusqu’à la validation finale, ainsi qu’un catalogue de principes de sécurité dans lequel puiser.
Le point d’appui reste l’analyse de risque. Des règles génériques, déconnectées du risque cyber propre à l’établissement, ont peu de chances d’être suivies ; c’est la cartographie des risques qui permet de justifier les exigences les plus contraignantes et d’assumer, ailleurs, des règles plus souples.
Le portage par la direction générale n’est pas une formalité. C’est elle qui arbitre entre exigences de sécurité et fonctionnement des métiers, et c’est sa signature qui donne au document son autorité face aux directions opérationnelles. À l’inverse, un texte approuvé par le seul service informatique peine à s’imposer aux autres directions.
Décliner la politique en procédures et en chartes
Un document-cadre ne décrit ni la configuration d’un pare-feu ni la marche à suivre pour créer un compte. La PSSI se décline donc en étages : politiques thématiques (mots de passe, cloud, télétravail), procédures opérationnelles, standards techniques et modes opératoires. Chaque niveau détaille le niveau supérieur sans le contredire, et évolue à son propre rythme.
Pour les utilisateurs, la déclinaison prend la forme d’une charte informatique rédigée dans un langage accessible. Dans son guide de la sécurité des données personnelles, la CNIL recommande de lui donner une force contraignante, par exemple en l’annexant au règlement intérieur. Encore faut-il que la charte soit comprise : l’efficacité de la sensibilisation des collaborateurs conditionne largement l’application réelle des règles écrites.
PSSI, ISO 27001 et rôle du RSSI
La norme ISO/IEC 27001 fait de la politique de sécurité de l’information une pièce constitutive du système de management de la sécurité (SMSI) : la direction doit l’établir, la communiquer et vérifier qu’elle reste adaptée à l’organisation. Pour un établissement qui vise la certification ISO 27001, une PSSI existante fournit un socle, à condition d’être reliée aux autres exigences de la norme, de l’appréciation des risques à la déclaration d’applicabilité.
Au quotidien, l’animation revient au responsable de la sécurité des systèmes d’information. Le rôle du RSSI consiste à préparer le texte et ses révisions, à instruire les demandes de dérogation, à mesurer l’application des règles et à en rendre compte à la direction — sans se substituer à elle pour les arbitrages qui engagent l’appétence au risque de l’établissement.
Mettre à jour et contrôler l’application
Le texte perd en crédibilité dès qu’il mentionne des technologies retirées du SI depuis des années ou passe sous silence des usages devenus courants, comme le cloud. La revue intervient à échéance régulière, souvent annuelle ou bisannuelle, et hors calendrier après un incident significatif, une évolution réglementaire ou une transformation du SI telle qu’une fusion ou une externalisation.
Le contrôle de l’application s’appuie sur plusieurs sources. Les audits internes et les contrôles permanents vérifient les processus ; les outils techniques mesurent l’écart entre la règle et le terrain — la supervision par un SIEM peut par exemple révéler des usages de comptes contraires à la politique. Les écarts constatés alimentent un plan de remédiation, une dérogation formalisée ou, lorsqu’une règle s’avère inapplicable, sa révision.
Questions fréquentes sur la PSSI
Quelle différence entre la PSSI et la charte informatique ?
La PSSI est le document de gouvernance : elle fixe le cadre pour l’ensemble de l’organisation et s’adresse d’abord à ceux qui conçoivent et exploitent le SI. La charte informatique en est une déclinaison destinée aux utilisateurs, qui décrit en termes simples ce qui est permis et interdit dans l’usage quotidien des moyens informatiques.
Qui valide la PSSI ?
La direction générale, ou une instance qui en émane, comme un comité exécutif ou un comité des risques. Le RSSI prépare le document et coordonne les contributions des métiers, mais c’est la validation par la direction qui rend le texte opposable en interne et engage l’organisation sur les moyens nécessaires.
À quel rythme réviser une PSSI ?
Aucun texte ne fixe de fréquence universelle. L’usage consiste à combiner une échéance planifiée, fixée par l’organisation elle-même, et des réexamens déclenchés par les événements, comme un incident majeur ou une transformation profonde du système d’information. La norme ISO/IEC 27001 demande que la politique demeure adaptée à l’organisation, ce qui suppose de la réexaminer à intervalles réguliers.
La PSSI est-elle obligatoire ?
Tout dépend du statut de l’organisation. Pour les entités financières soumises à DORA, des politiques de sécurité de l’information documentées font partie du cadre exigé par le règlement. La directive NIS 2 impose de son côté des politiques de sécurité des systèmes d’information aux entités qui entrent dans son champ. Hors de ces périmètres, la PSSI reste une pratique recommandée, notamment par l’ANSSI dans son guide d’élaboration.
