Une politique de sécurité définit les règles de protection des actifs d'une organisation. Elle précise ce qui est autorisé, ce qui est interdit et les responsabilités de chacun. Elle couvre notamment les exigences relatives aux mots de passe, les conditions d'utilisation, la classification des données, le signalement des incidents et l'accès à distance. Chaque domaine fait l'objet d'une politique spécifique ou d'une section au sein d'un document plus général. La politique constitue le fondement de l'organisation ; les procédures et les normes s'y ajoutent.

Une politique que personne ne lit est inutile. Les meilleures politiques sont courtes, claires et appliquées. Elles expliquent le pourquoi, et pas seulement le quoi. Les employés suivent les règles qu'ils comprennent et ignorent celles qui leur semblent arbitraires. L'élaboration d'une politique implique les parties prenantes de toute l'organisation : services juridiques, RH, informatique et unités opérationnelles, tous contribuent. La politique doit être conforme aux lois et réglementations en vigueur et être pratique. Une politique interdisant toutes les clés USB est facile à rédiger, mais difficile à appliquer. Une politique exigeant le chiffrement des clés autorisées est plus facile à mettre en œuvre. Les politiques doivent être révisées. L'entreprise évolue, les menaces changent et la réglementation évolue. Une révision annuelle permet de maintenir la politique à jour. Sans elle, le document décrit une entreprise qui n'existe plus.

Politiques de sécurité communes

• Utilisation acceptable — ce que les employés peuvent faire avec les systèmes de l'entreprise
• Contrôle d'accès — qui a accès à quoi et comment
• Classification des données — comment les données sont étiquetées et traitées
• Réponse aux incidents — comment signaler et gérer les violations de données
• Accès à distance — règles pour travailler hors du bureau

Une politique est une promesse. Elle indique aux employés ce que l'organisation attend d'eux et ce que celle-ci fera pour les protéger.