Politique de sécurité du système d'information

plan d'action pour organisations

La politique de sécurité des systèmes d'information (PSSI) est un plan d'action défini pour maintenir un certain niveau de sécurité. Elle reflète la vision stratégique de la direction de l'organisme (PME, PMI, industrie, administration, État, union d'États…) en matière de sécurité des systèmes d'information (SSI).

Dépendance et dissociation

modifier

La politique de sécurité des systèmes d'information est intrinsèquement liée à la sécurité de l'information.

Aussi, un système d'information n'étant pas limité au système informatique, une politique de sécurité des systèmes d'information ne se limite pas à la sécurité informatique.

Description

modifier

La PSSI est le document de référence en matière de SSI de l'organisme. Elle définit les objectifs à atteindre et les moyens accordés pour y parvenir.

La démarche de réalisation de cette politique est basée sur une analyse des risques en matière de sécurité des systèmes d'information.

Après validation par les différents acteurs de la sécurité de l'information de l'organisme, la PSSI doit être diffusée à l'ensemble des acteurs du système d'information (utilisateurs, exploitants, sous-traitants, prestataires…). Elle constitue un outil de communication sur l'organisation et les responsabilités SSI, les risques SSI et les moyens disponibles pour s'en prémunir.

La sécurité du système d'information se base notamment sur la mise en œuvre d'infrastructures à clés publiques (Public key infrastructure - PKI).

Dans les grandes organisations en réseau, il faut intégrer l'analyse de la sécurité des données dans une réflexion plus large sur le cadre juridique et la mise en œuvre de registres de métadonnées.

Par exemple, pour tout ce qui touche aux applications industrielles de la recherche (voir Dictionnaire de métadonnées pour le référentiel des publications CNRS), une réflexion approfondie s'impose sur l'utilisation du certificat électronique, par rapport aux éléments et raffinements employés.

Élaboration d'une politique de sécurité du système d'information

modifier

En France, la DCSSI a élaboré entre 2002 et 2004 un guide pour la politique de sécurité du système d'information. Il se compose de quatre sections :

  1. Introduction
  2. Méthodologie
  3. Principes de sécurité
  4. Références SSI

Ce document est une mise à jour de documents datant de 1994.

Introduction

modifier

Voir détails : Section 1 - Introduction

Le guide définit les concepts, outre la PSSI :

  • les principes de sécurité,
  • les règles de sécurité.

Il définit le champ d'application et les acteurs auxquels le guide est destiné :

Il prend acte de la nouvelle nature des menaces : globales et transfrontières du fait de l'interconnexion des réseaux internet.

Il définit trois types de patrimoine à protéger :

Il définit la place de la PSSI dans le référentiel, en particulier :

  • les liens entre la PSSI et les lignes directrices de l'OCDE,
  • les liens entre la PSSI et les critères communs.

Il indique les bases de légitimité des règles d'une PSSI :

  • Lois, réglementations, normes, et recommandations issues d'instances internationales, nationales, ou professionnelles.
Les règles trouvent également leur justification dans les composantes de la culture de l'organisme (traditions, règlements internes).
  • Principes de protection des intérêts vitaux de l'État :
    • La protection des éléments non classifiés de défense,
    • Les informations relevant du secret de défense :
      • Protection du secret et des informations concernant la défense nationale et la sûreté de l'État (IGI 1300)
      • La sécurité des systèmes d'information qui font l'objet d'une classification de défense pour eux-mêmes ou pour les informations traitées (IGI 900),
      • La protection du secret entre la France et les États étrangers (II 50),
      • La protection du secret pour la protection des marchés et autres contrats (II 2000).
  • Principes de préservation des intérêts de l'organisme, en particulier les exigences vis-à-vis :
    • des fournisseurs,
    • des prestataires de services,
    • de la sous-traitance,
    • des autres organismes.

Méthodologie

modifier

Voir détails : Section 2 - Méthodologie

Principes de sécurité

modifier

Voir détails : Section 3 - Principes de sécurité

La section 3 aborde les différents domaines de la sécurité généralement couverts par une PSSI :

Principes organisationnels
Principes de mise en œuvre
Principes techniques

Références SSI

modifier

Voir détails :Section 4 - Références SSI

Les critères communs pour l'évaluation de la sécurité des technologies de l'information

Les lignes directrices de l'OCDE

Codes d'éthique des métiers des technologies de l'information

Les atteintes aux personnes

Les atteintes aux biens

Les atteintes aux intérêts fondamentaux de la nation, terrorisme et atteinte à la confiance publique

Les atteintes à la propriété intellectuelle

Les dispositions relatives à la cryptologie

Les dispositions relatives à la signature électronique

Déclinaisons

modifier

Passer des principes de SSI globale à des politiques spécialisées

modifier

Une fois les risques les plus graves identifiés, on peut se poser la question de décliner la PSSI globale en politiques de sécurité techniques par métier, activités ou systèmes. La PSSI globale servira également de base de cohérence entre ces politiques et entre toutes les études de sécurité.

Ainsi, on peut retrouver comme différents types de politiques de sécurité liées à la sécurité de l'information ou des données :

Annexes

modifier

Voir aussi

modifier

Bibliographie

modifier
  • (fr) OCTO Technology, ouvrage collectif, Gestion des Identités : Une Politique pour le Système d'Information, Octo Technology, 2007, (ISBN 2952589518).
  • (fr) Vuibert Sciences, Guinier D. - Chapitre : La politique de sécurité, p. 1486-1498, in l'encyclopédie de l'informatique et des systèmes d'information, 2088 pages, Vuibert Sciences, 2006, (ISBN 9782711748464).

Liens externes

modifier