Des solutions IT
pour un monde
plus performant
Des solutions IT
pour un monde
plus performant
La Politique de Sécurité des Systèmes d’Information, ou PSSI, est souvent perçue comme un document réservé aux grandes organisations, dense et difficile à faire vivre. C’est une idée reçue qui coûte cher. Une PME ou une ETI sans PSSI navigue sans cap en matière de cybersécurité : chaque décision de sécurité est traitée au cas par cas, les responsabilités restent floues, et la conformité réglementaire devient un chantier permanent.
Ce guide détaille ce qu’est une PSSI, pourquoi votre entreprise en a besoin, comment la construire, et comment l’articuler avec vos autres documents de sécurité et une démarche ISO 27001.
La PSSI est le document de référence qui formalise l’ensemble des orientations stratégiques d’une organisation en matière de sécurité informatique. Elle exprime, dans un langage accessible à la direction comme aux équipes techniques, ce que l’entreprise souhaite protéger, pourquoi, et selon quels principes.
Concrètement, une PSSI répond à trois questions fondamentales :
La PSSI ne prescrit pas les solutions techniques dans le détail. Elle fixe un cadre. Les politiques opérationnelles (gestion des accès, continuité d’activité, gestion des incidents, etc.) viennent ensuite décliner ce cadre en règles concrètes et applicables.
Ce document n’est pas figé. Une PSSI qui n’est pas révisée régulièrement devient rapidement obsolète. Son efficacité tient précisément à son caractère vivant : elle doit évoluer avec votre organisation, vos outils et les menaces.
Sans PSSI, la sécurité informatique fonctionne en mode réactif. On traite les incidents au fil de l’eau, sans vision d’ensemble. Les décisions de sécurité sont prises par les équipes techniques en dehors de tout arbitrage stratégique.
La PSSI rompt avec cette logique. Elle place la sécurité au niveau de la direction : c’est un acte de gouvernance, pas seulement un sujet technique. Elle définit qui est responsable de quoi, selon quel processus et avec quels moyens. Pour les PME et ETI, ce cadrage est souvent la première étape qui permet de passer d’une sécurité « de facto » à une sécurité pilotée.
🔎 À savoir : L’ANSSI recommande que la PSSI soit formellement approuvée et portée par la direction générale. Ce soutien de la hiérarchie est une condition essentielle pour que le document soit réellement appliqué.
Les obligations réglementaires se multiplient et se renforcent. Trois référentiels majeurs concernent directement vos décisions en matière de sécurité :
Le RGPD exige de démontrer que des mesures techniques et organisationnelles appropriées protègent les données personnelles. Une PSSI formalisée constitue une preuve tangible de cette démarche vis-à-vis de la CNIL ou d’un client exigeant.
La directive NIS 2, transposée en droit français, impose aux entités concernées (secteurs essentiels et importants) de mettre en place une politique de sécurité documentée et des mesures de gestion des risques cyber. La PSSI est l’un des premiers éléments exigés lors d’un contrôle.
L’ISO 27001, norme de référence pour les systèmes de management de la sécurité de l’information (SMSI), place la PSSI au cœur de ses exigences. La clause 5.2 impose explicitement une politique de sécurité de l’information approuvée par la direction. C’est un prérequis à toute certification.
La grande majorité des incidents de sécurité implique une erreur humaine. Un collaborateur qui partage un mot de passe, ouvre une pièce jointe malveillante ou utilise une application non approuvée ne transgresse pas forcément délibérément les règles : souvent, il n’a simplement pas été informé qu’il en existait.
La PSSI pose les bases de cette information. Elle définit ce que chaque utilisateur est autorisé à faire, ce qui est interdit, et quelles en sont les conséquences. Couplée à une charte informatique signée et à des actions de sensibilisation cybersécurité des salariés, elle crée un cadre de responsabilité partagée entre l’entreprise et ses collaborateurs.
Ces trois documents se complètent, mais ne se substituent pas l’un à l’autre. Confondre leurs rôles aboutit soit à un doublon inutile, soit à des lacunes dans la couverture de la sécurité.
La PSSI est le document de niveau stratégique. Elle exprime les orientations de la direction, fixe les objectifs de sécurité et définit le périmètre global. Elle s’adresse à l’ensemble de l’organisation et engage la direction.
La charte informatique est le document contractuel opposable aux utilisateurs. Elle liste les droits et obligations des collaborateurs dans l’utilisation des ressources informatiques (postes, messagerie, internet, données). Elle se situe en dessous de la PSSI et en découle logiquement. En savoir plus dans notre article dédié à la charte informatique en entreprise.
Les politiques opérationnelles (ou politiques de sécurité spécifiques) déclinent la PSSI sur des périmètres précis : politique de contrôle des accès, politique de sauvegarde, politique de gestion des incidents, politique de sécurité des postes de travail, politique de gestion des prestataires. Elles sont techniques, détaillées et destinées aux équipes IT.
Cette articulation en trois niveaux garantit la cohérence sans alourdir chaque document avec des détails qui ne le concernent pas.
La PSSI commence par délimiter ce qu’elle couvre. Quels systèmes, quelles activités, quels sites géographiques ? Cette délimitation est volontaire : une PSSI exhaustive mais inapplicable ne vaut rien.
Les objectifs de sécurité sont ensuite exprimés selon les trois axes classiques : disponibilité des systèmes et données, intégrité des informations, confidentialité. À ces trois axes s’ajoute souvent la traçabilité, essentielle pour la détection des incidents et la conformité réglementaire.
Ce sont les valeurs et engagements qui guident toutes les décisions de sécurité. Par exemple : proportionnalité des mesures aux risques, défense en profondeur, moindre privilège, responsabilisation de chaque acteur. Ces principes donnent une cohérence à l’ensemble des règles qui suivent.
C’est le cœur opérationnel de la PSSI. Elle définit les grandes règles pour chaque domaine clé :
Qui est responsable de la sécurité informatique dans votre entreprise ? Qui valide les exceptions ? Qui traite un incident ? La PSSI répond à ces questions en désignant des rôles : RSSI, référent sécurité, DPO, direction générale. Elle précise également la fréquence de révision du document et les conditions de mise à jour.
Toute PSSI sérieuse commence par une analyse de risques informatiques. Identifier les actifs critiques, les menaces réalistes, les vulnérabilités existantes et l’impact potentiel des incidents permet de calibrer les mesures au regard des enjeux réels. Une PME de 50 personnes n’a pas les mêmes risques qu’une ETI industrielle soumise à NIS 2.
Cette analyse nourrit directement les choix de la PSSI : les domaines sur lesquels concentrer les efforts, les niveaux d’exigence à retenir, les priorités de mise en œuvre.
Une erreur fréquente consiste à vouloir d’emblée une PSSI alignée sur les référentiels les plus exigeants. Résultat : un document trop ambitieux, non applicable, qui reste dans un tiroir. Le niveau d’exigence doit être réaliste et progressif.
L’approche proportionnée est la seule viable. Il vaut mieux une PSSI courte, maîtrisée et appliquée à 100 %, qu’un pavé de 80 pages dont personne ne connaît l’existence. La maturité se construit par itérations.
🔎 À savoir : L’ANSSI publie un guide méthodologique gratuit pour l’élaboration d’une PSSI, destiné aux organisations qui souhaitent travailler avec la méthode EBIOS RM pour l’analyse de risques. Il constitue une base solide pour structurer la démarche.
La rédaction doit associer plusieurs parties prenantes : la direction générale (pour la validation et le portage), les équipes IT (pour la cohérence technique), et si possible des représentants métiers (pour que le document reste ancré dans la réalité des usages).
La validation formelle par la direction est une étape non négociable. Sans signature de la direction générale, la PSSI n’a pas de valeur réelle dans l’organisation. Elle devient un document technique parmi d’autres, sans portée stratégique.
La mise en vigueur d’une PSSI ne se limite pas à la diffuser par email. Elle implique :
La PSSI n’est pas un projet. C’est un processus continu. Sa valeur tient à sa capacité à rester en phase avec votre organisation.
Pour assurer le maintien en conditions de sécurité (MCS) de votre SI dans la durée, la PSSI doit s’inscrire dans un cycle d’amélioration permanent.
L’ISO 27001 est la norme internationale qui définit les exigences d’un système de management de la sécurité de l’information (SMSI). Sa certification atteste qu’une organisation a mis en place une approche structurée, documentée et auditée de la sécurité. Kincy est actuellement engagé dans cette démarche de certification ISO 27001, aux côtés de CyberVadis.
La PSSI est l’un des livrables centraux de l’ISO 27001. La norme exige explicitement une politique de sécurité de l’information formalisée, approuvée par la direction et communiquée aux parties prenantes (clause 5.2). Sans PSSI, la certification est inenvisageable.
Mais l’articulation va plus loin. L’ISO 27001 s’appuie sur un cycle PDCA (Plan, Do, Check, Act) que la PSSI doit refléter :
Pour une entreprise qui envisage la certification ISO 27001, construire sa PSSI dans une logique compatible avec la norme dès le départ est un gain de temps considérable. Et même sans objectif de certification, aligner la PSSI sur la structure ISO 27001 garantit un socle méthodologique robuste, reconnu par les auditeurs, les clients et les partenaires.
La gouvernance IT en PME est le terrain sur lequel cette cohérence prend tout son sens : une PSSI bien articulée avec l’ISO 27001 transforme la sécurité d’une contrainte en un actif stratégique.
—————————————
Élaborer une PSSI adaptée à votre entreprise, c’est avant tout faire des choix proportionnés à vos risques réels. Ni un catalogue d’interdictions inapplicables, ni un document vitrine jamais actualisé. C’est un cadre de travail vivant, porté par la direction, compris par les équipes, et cohérent avec vos obligations réglementaires.
Nos équipes techniques accompagnent les PME et ETI dans la structuration de leur démarche de sécurité depuis plus de 20 ans, dans une logique de transparence et de co-construction. La PSSI est souvent le point de départ d’une relation de fond sur la sécurisation de votre SI.