Guide · Rédaction de la PSSI
Une politique de sécurité rangée dans un dossier ne protège personne. Cette page s’adresse au dirigeant, à l’office manager ou au responsable informatique qui doit produire une PSSI, une charte ou des procédures, parce qu’un client, un auditeur ou la croissance de l’entreprise le demande. Elle explique ce qu’il faut écrire, avec qui, et comment faire vivre le document une fois validé.
Sommaire
PSSI, c’est quoi ?
La politique de sécurité du système d’information, la PSSI, fixe les principes de sécurité de l’entreprise : ce qu’il faut protéger, qui est responsable de quoi, et les règles qui en découlent. Elle s’écrit pour l’entreprise réelle, avec ses outils, ses métiers et ses sites. Elle ne se limite pas à un texte de principe : elle s’accompagne de déclinaisons qui parlent aux salariés et aux équipes.
PSSI, charte et procédures
La charte informatique traduit les principes en règles d’usage : mots de passe, messagerie, appareils personnels, télétravail, outils partagés. Les procédures clés décrivent les gestes récurrents : arrivées et départs, sauvegardes, attribution des droits, réaction à un incident. Chaque niveau s’adresse à un lecteur différent. La direction valide la PSSI, les salariés lisent la charte, les personnes chargées de l’exploitation appliquent les procédures.
Une politique vivante
Une politique ne vaut que si elle décrit l’entreprise réelle et si les équipes la connaissent. Elle porte une date de révision, un responsable désigné et une méthode simple pour suivre les changements : nouvel outil, nouveau site, nouveau mode de travail. Sans cela, le texte vieillit sans que personne ne le remarque.
Quand faut-il s’en occuper ?
Plusieurs situations font remonter le sujet, souvent au moment où il devient pressant :
- Des règles jamais formalisées : les bonnes pratiques existent dans la tête du responsable informatique, mais aucun document ne les transmet aux équipes ni aux nouveaux arrivants.
- Une demande écrite venue d’un client : un donneur d’ordre ou un auditeur réclame la politique de sécurité de l’entreprise, et rien ne peut être présenté.
- Un document ancien : la PSSI date de plusieurs années et n’a pas été relue depuis que les outils ont changé.
- Un modèle téléchargé : le texte trouvé en ligne décrit une entreprise qui n’existe pas, avec des pratiques que personne n’applique.
- Des appareils personnels : ordinateurs ou téléphones privés accèdent à la messagerie et aux fichiers sans règle définie.
- Des départs traités au cas par cas : chaque sortie de salarié ferme ses accès d’une façon différente, parfois trop tard.
- Un incident sans référent : au moment d’un problème, personne ne sait qui prévenir ni dans quel ordre agir.
Chacun de ces signaux justifie de reprendre le sujet, même sans incident récent. Le point de départ est presque toujours le même : décrire ce qui se fait réellement, puis décider ce qui doit changer. Ce constat ne suppose pas de tout réécrire d’un coup, il permet de hiérarchiser les chantiers.
Comment se déroule un projet ?
Une PSSI se construit en trois temps. Le calendrier dépend surtout de la taille de l’entreprise, du nombre de métiers à couvrir et des documents déjà disponibles.
Avant la rédaction
Le point de départ est le recueil de l’existant : règles déjà appliquées, documents épars, exigences des clients, de l’assureur ou du secteur. Il s’appuie sur des échanges avec les responsables de service, car une règle jamais dite ne figure dans aucun fichier. Les outils réellement utilisés, les lieux de travail et les pratiques de télétravail sont relevés à ce stade.
Pendant la rédaction
La PSSI pose les principes, les rôles et les responsabilités. La charte se rédige ensuite en langage clair, avec des règles que chaque salarié peut appliquer. Les procédures sont écrites avec les personnes qui les exécutent, puis testées sur un cas réel : un départ fictif, une restauration de sauvegarde, une alerte simulée. La direction relit le document, le valide et le signe. Les modalités pour rendre la charte applicable aux salariés se vérifient avec les ressources humaines ou un conseil juridique.
Après la rédaction
L’appropriation décide de l’usage réel. Les managers reçoivent une présentation, les salariés un support court, et la charte entre dans l’accueil des nouveaux arrivants. Une revue périodique, dont la date est inscrite, reprend les règles au regard des changements de l’entreprise. Les publications de l’ANSSI peuvent servir de référence pendant tout ce travail, sans que leur contenu soit repris tel quel.
Ce qui distingue une bonne offre
Le prix dépend de la taille de l’entreprise, du nombre de documents attendus et des exigences extérieures à intégrer. Pour comparer deux propositions de même périmètre, regardez d’abord ce qui est livré : un texte rédigé à partir de l’existant, la liste des documents produits, des procédures écrites avec leurs responsables et une date de révision.
Demandez ensuite comment la proposition est construite. Une offre qui part d’un modèle générique livre un document propre mais étranger à l’entreprise. Une offre qui commence par des entretiens et une observation des pratiques décrit ce qui se passe réellement, y compris ce qui doit changer.
Vérifiez enfin ce qui suit la remise : une présentation aux managers, des supports pour les équipes, un temps prévu pour répondre aux questions et une révision planifiée. Un document validé puis oublié ne tient pas la promesse d’une politique appliquée. La validation par la direction donne son autorité au texte, mais c’est le suivi qui le rend utile.
Les erreurs fréquentes
- Copier un modèle sans le transformer : le document décrit des outils et des pratiques absents de l’entreprise. La parade est un recueil de l’existant avant toute rédaction.
- Écrire une charte que personne ne lit : les salariés ne savent pas quoi appliquer, et la règle reste théorique. La parade est un support court, des exemples concrets et une présentation à chaque équipe.
- Oublier les appareils personnels et le télétravail : les usages les plus courants restent hors du cadre. La parade est un chapitre dédié, relu à chaque révision.
- Ne pas dater le document : il vieillit sans que personne ne le voie. La parade est une date de révision, un responsable désigné et une revue inscrite au calendrier.
- Rédiger des procédures sans leurs exécutants : elles sont mal suivies ou contournées dès le premier cas réel. La parade est un test sur un cas concret avant validation.
Les questions à poser avant de signer
Quatre questions permettent de vérifier le sérieux d’une proposition avant de signer.
Comment les pratiques réelles sont-elles recueillies avant d’écrire ? La réponse doit décrire les entretiens, les personnes interrogées et les outils observés. Une proposition qui n’interroge personne produit une PSSI pour une entreprise imaginaire.
Les documents sont-ils écrits pour l’entreprise ou adaptés d’un modèle générique ? Un modèle peut servir de structure, mais la différence se voit dans les règles, les rôles et les noms des outils réellement utilisés.
Comment les équipes sont-elles associées et informées ? Une présentation aux managers, des supports courts et l’intégration dans l’accueil des nouveaux arrivants sont des réponses concrètes.
Qui assure la révision des documents, et à quel rythme ? Une date de revue, un responsable désigné et une méthode de suivi des changements évitent qu’un texte devienne obsolète sans que personne ne s’en aperçoive.
Une réponse précise, écrite et datée vaut davantage qu’un engagement donné à l’oral.