Que doit contenir la PSSI informatique d'une PME ?
La PSSI d'une PME tient en quelques pages : elle fixe le périmètre et les enjeux, nomme qui décide et qui applique, et énonce les règles sur les comptes, les accès, les postes, les sauvegardes, les mises à jour, la messagerie, les incidents et les prestataires, avec une date de revue. Elle n'a pas besoin d'être longue ; elle doit être appliquée et vérifiée.
Les rubriques d'une PSSI de PME
- Périmètre et enjeux : les activités, les données et les systèmes couverts, et ce qu'une interruption coûterait.
- Rôles et responsabilités : la direction qui approuve la politique, un référent sécurité nommé, le prestataire informatique s'il y en a un.
- Accès et gestion des comptes : création, revue et suppression des comptes à l'arrivée et au départ, droits limités au besoin, comptes d'administration séparés et réservés à l'administration.
- Mots de passe et authentification multifacteur : règles de mots de passe, authentification multifacteur pour la messagerie, les accès à distance et les comptes d'administration.
- Postes et mobiles : postes et téléphones gérés, chiffrés, protégés, et conduite à tenir en cas de perte ou de vol.
- Sauvegardes et restauration testée : ce qui est sauvegardé, à quelle fréquence, une copie hors ligne, et un test de restauration à date fixe.
- Mises à jour : systèmes, logiciels et équipements réseau mis à jour dans un délai défini.
- Messagerie et sensibilisation : règles d'usage de la messagerie, vigilance face à l'hameçonnage, sensibilisation régulière des salariés.
- Gestion des incidents : qui prévenir, quoi faire dans la première heure, comment noter ce qui s'est passé.
- Prestataires et sous-traitants : leurs accès, leurs engagements de sécurité écrits dans le contrat.
- Revue et mise à jour : une revue au moins annuelle, et après tout changement important ou incident.
Ce que disent les sources
L'ANSSI publie un guide d'hygiène informatique qui regroupe 42 mesures, présentées comme un socle minimum : c'est la matière première des règles ci-dessus. Elle publie aussi un guide d'élaboration de politiques de sécurité des systèmes d'information, qui décrit la démarche et la structure d'une PSSI.
Une PSSI de PME n'a pas à suivre une norme. Si vous visez plus tard la norme ISO/IEC 27001, une PSSI bien tenue en constitue un point de départ.
Et ensuite
Une PSSI fixe des règles sur les comptes, les accès, les postes et les sauvegardes : elle dit ce que vous avez décidé, pas ce qui est réellement appliqué dans vos outils. Si votre messagerie et vos documents sont dans Microsoft 365, SYAGA Audit, diagnostic gratuit dont l'ouverture est prochaine, mesurera la configuration de votre locataire et vous donnera des faits pour vérifier ces règles. Ce diagnostic ne sera ni une certification ni une garantie de conformité, et il ne remplacera pas votre PSSI.
SYAGA Audit pour votre Microsoft 365 : diagnostic gratuit, ouverture prochaine
Suis-je concerné ? Le test en une minute
- Votre PSSI couvre-t-elle chacune des rubriques ci-dessus, même en une phrase ?
- Chaque règle a-t-elle un responsable nommé ?
- Avez-vous testé une restauration de sauvegarde et revu les comptes d'administration cette année ?
Trois « oui » : votre PSSI a les bases ; reste à vérifier qu'elle est appliquée. Sinon, voyez comment mettre en place une PSSI dans son entreprise, puis quel outil pour gérer sa PSSI dans la durée.
Gratuit: votre score + vos écarts. Le rapport détaillé et le constat étayé : 990 € HT, seulement si vous le décidez.
Le rapport est un diagnostic : il dit ce qui est constaté, il ne corrige rien à votre place.
SYAGA Audit est un outil de diagnostic au regard de votre environnement Microsoft 365 ; il ne se substitue pas à une démarche de conformité complète et ne constitue ni une certification ni une garantie de conformité réglementaire. Mesures qui reprennent les thèmes de l'ISO/IEC 27001, sans certification à ce jour.
Sources : guide d'hygiène informatique et guide d'élaboration d'une PSSI de l'ANSSI ; norme ISO/IEC 27001.