Politiques et procédures

Les politiques et les procédures transforment le savoir informel en pratiques reproductibles et applicables. Elles définissent les comportements attendus, attribuent les responsabilités et fournissent les éléments probants exigés par les auditeurs.

Si ce n'est pas écrit, vous ne pouvez ni l'appliquer ni le démontrer de manière cohérente.

La documentation de sécurité est organisée en niveaux :

• Politique : intentions et règles de haut niveau (ce qui doit être fait et pourquoi).
• Norme : exigences obligatoires précises.
• Procédure : instructions détaillées, étape par étape.
• Ligne directrice : meilleure pratique recommandée (facultative).

Veillez à bien distinguer les deux :

• Une politique énonce une règle : les mots de passe doivent comporter au moins 12 caractères.
• Une procédure explique comment faire : les étapes précises pour configurer la politique de mots de passe dans le fournisseur d'identité.

Les politiques sont stables ; les procédures évoluent avec les outils.

La plupart des programmes comprennent :

• Politique d'utilisation acceptable.
• Politique de contrôle des accès et des identités.
• Classification et traitement des données.
• Politique de réponse aux incidents.
• Continuité d'activité et reprise après sinistre.

L'AUP définit ce que les utilisateurs peuvent ou ne peuvent pas faire avec les systèmes et les données de l'entreprise. Elle couvre le courrier électronique, Internet, les appareils et les conséquences des violations, et sa prise de connaissance est généralement confirmée lors de l'intégration.

Une politique de contrôle des accès formalise le principe du moindre privilège et la fréquence des révisions.

• La manière de demander et d'approuver les accès.
• La définition des rôles et la séparation des tâches.
• La fréquence de révision et de révocation des accès (par exemple lors du départ d'un collaborateur).

Cette politique définit comment l'organisation détecte, signale et traite les incidents de sécurité. Elle précise les rôles, les voies d'escalade et les règles de communication afin qu'une crise soit gérée selon un plan plutôt que dans l'improvisation.

Chaque politique doit avoir un responsable chargé de la maintenir à jour, ainsi que des responsabilités clairement attribuées. Sans responsable, les documents deviennent obsolètes et perdent leur autorité.

• Le responsable approuve et tient le document à jour.
• Les parties prenantes le mettent en œuvre et le respectent.

Les documents doivent être approuvés officiellement et soumis à un contrôle de version.

• Notez l'auteur, l'approbateur, la date d'approbation et le numéro de version.
• Suivez les modifications afin que les auditeurs puissent consulter l'historique.
• Définissez un cycle de révision, généralement annuel.

Une politique que personne ne lit ne sert à rien. Diffusez les documents, formez le personnel et recueillez les attestations de prise de connaissance. La sensibilisation transforme les règles écrites en comportements réels et fournit des éléments probants de leur application.

Les politiques doivent avoir une portée concrète. Définissez les conséquences des violations et appuyez-les, lorsque c'est possible, par des mesures techniques (par exemple, appliquez la norme de mots de passe dans le fournisseur d'identité, et pas seulement sur papier). Une application cohérente préserve la crédibilité de la politique.

Distinguez une politique d'une procédure.

La documentation rend la sécurité reproductible et démontrable :

• Utilisez la hiérarchie : politique, norme, procédure, ligne directrice.
• Les politiques énoncent les règles ; les procédures donnent les étapes.
• Attribuez des responsables, approuvez les documents, gérez leurs versions et révisez-les régulièrement.
• Communiquez, formez et appliquez les règles pour donner une portée concrète aux documents.