Une PSSI (politique de sécurité des systèmes d'information) est le document, approuvé par la direction, qui fixe les objectifs de sécurité d'une organisation, les règles qu'appliquent ses utilisateurs et ses prestataires, et les responsabilités de chacun. C'est la pièce centrale d'une politique de sécurité informatique : elle traduit les risques identifiés en règles applicables et vérifiables.
La question arrive rarement de l'intérieur. Elle vient d'un questionnaire sécurité client (« Disposez-vous d'une PSSI approuvée par la direction et revue dans l'année ? »), d'un audit, d'un projet ISO 27001 ou d'une entité qui découvre qu'elle entre dans le champ de NIS 2. Le RGPD pose lui aussi le principe : des mesures de sécurité appropriées au risque, et la capacité de démontrer qu'elles sont appliquées. Une fuite de données personnelles commence souvent là où aucune règle écrite n'existait.
Ce guide explique ce qu'est une PSSI, ce qui la distingue d'une charte informatique et d'un SMSI, ce qu'elle doit contenir selon ISO/IEC 27001:2022, puis propose un modèle de PSSI commenté pour une ETI, les étapes de rédaction et les erreurs qui la rendent inutile.
Qu'est-ce qu'une politique de sécurité informatique (PSSI) ?
La politique de sécurité informatique est le cadre qui organise la sécurité du système d'information d'un organisme. Elle est intrinsèquement liée à la sécurité des données. Son support est la PSSI : un document qui énonce la vision stratégique de la direction en matière de sécurité, les objectifs visés, les règles à appliquer et les moyens prévus pour les atteindre.
Il existe des modèles pour aider à la rédiger, dont celui de ce guide, mais une PSSI est toujours propre à l'organisme. Elle se construit en fonction :
- de l'environnement de l'organisme et de son secteur, avec ses obligations légales et contractuelles ;
- de son fonctionnement : sites, télétravail, prestataires, filiales ;
- de la composition de son système d'information : applications, cloud, postes, réseaux ;
- des risques identifiés sur ses informations, et de leur niveau de criticité.
La PSSI est évolutive. Elle se révise à chaque changement significatif (nouveau logiciel, renouvellement du matériel, acquisition, nouvelle réglementation) et à intervalles planifiés. Chaque révision porte sa date, son auteur, son approbateur et la liste des modifications.
PSSI et charte informatique : ne pas confondre
La charte informatique s'adresse aux utilisateurs : elle décrit l'usage attendu des outils (messagerie, mots de passe, poste de travail, usages personnels). La PSSI s'adresse d'abord à l'organisation : elle fixe les objectifs, les responsabilités et les règles que la DSI, le RSSI, les métiers et les prestataires mettent en œuvre. La charte est en général une annexe de la PSSI, et c'est elle qui rend les règles opposables aux salariés lorsqu'elle est annexée au règlement intérieur.
PSSI et SMSI : la politique est une pièce du système
Un SMSI (système de management de la sécurité de l'information) est l'ensemble des processus par lesquels un organisme apprécie ses risques, choisit ses mesures, vérifie qu'elles fonctionnent et les corrige. La PSSI n'en est qu'une pièce : la norme ISO/IEC 27001:2022 exige une politique de sécurité de l'information établie par la direction (clause 5.2), mais aussi une appréciation des risques, une déclaration d'applicabilité, un audit interne et une revue de direction. Une PSSI sans SMSI est un document ; un SMSI sans PSSI n'est pas certifiable.
Pourquoi mettre en place une politique de sécurité informatique ?
Pour une partie des organisations, la question est tranchée par le droit : l'article 21 de la directive NIS 2 impose aux entités essentielles et importantes des politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information. Le détail des dix mesures attendues est dans notre guide des obligations NIS 2, et les secteurs visés dans qui est concerné par NIS 2.
Ce que les textes et les normes demandent
- RGPD, article 32 : des mesures techniques et organisationnelles appropriées au risque, et une procédure pour tester et évaluer régulièrement leur efficacité. Le commentaire de l'article 32 du RGPD détaille ce que la CNIL en attend.
- RGPD, article 24.2 : lorsque c'est proportionné, la mise en œuvre de « politiques appropriées en matière de protection des données » par le responsable du traitement.
- Directive (UE) 2022/2555 dite NIS 2, article 21.2 a) : les politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information, pour les entités essentielles et importantes.
- ISO/IEC 27001:2022, clause 5.2 et mesure A.5.1 : une politique de sécurité de l'information approuvée par la direction, complétée de politiques thématiques publiées, communiquées et revues.
Le RGPD n'emploie pas le mot PSSI. Mais en cas de contrôle, la PSSI est l'une des premières pièces que l'on présente pour montrer que la sécurité est organisée, et non improvisée.
Lutter contre les incidents et les piratages informatiques
Télétravail, cloud, prestataires connectés au SI : la surface d'exposition s'élargit, et les attaquants se sont professionnalisés. Les menaces sont connues (hameçonnage, rançongiciel, fuite accidentelle, erreur de manipulation, piratage de données personnelles), et la PSSI fixe la règle commune qui permet aux équipes de sécurité, dont l'ingénieur sécurité informatique, d'agir sans renégocier chaque mesure.
Évaluer la maturité de son système d'information
Rédiger une PSSI oblige à faire l'état des lieux de l'existant : équipements, réseaux, logiciels, comptes, prestataires. C'est un excellent moyen de savoir où l'on en est en matière de sécurité, et d'identifier les forces, les faiblesses et les vulnérabilités du système d'information avant qu'un incident ne les révèle.
Inspirer confiance aux clients et aux partenaires
Une organisation qui traite des données personnelles doit montrer qu'elle en assure la sécurité. Les grands comptes le vérifient : la PSSI est l'une des pièces demandées dans un questionnaire fournisseur ou un plan d'assurance sécurité, et une politique signée et datée raccourcit la réponse (voir nos 6 astuces pour répondre aux questionnaires de sécurité).
Que contient une PSSI ? La structure type
ISO/IEC 27001:2022 fixe le socle de la politique générale (clause 5.2) : elle doit être adaptée à la mission de l'organisme, contenir des objectifs de sécurité ou le cadre pour les fixer, porter un engagement à satisfaire les exigences applicables et un engagement d'amélioration continue. Elle est disponible sous forme d'information documentée, communiquée en interne et mise à disposition des parties intéressées. La mesure A.5.1 ajoute qu'elle est approuvée par la direction, publiée, communiquée, que les personnes concernées en prennent connaissance, et qu'elle est revue à intervalles planifiés et à chaque changement significatif.
La partie générale
- Objet et engagement de la direction : pourquoi la politique existe, qui l'approuve.
- Périmètre : quels systèmes, quels sites, quelles personnes.
- Enjeux et objectifs de sécurité : disponibilité, intégrité, confidentialité, traçabilité, exprimés de façon mesurable.
- Références : lois, normes, engagements contractuels.
- Organisation et responsabilités : direction, RSSI, DPO, DSI, managers, utilisateurs, prestataires.
- Dérogations et sanctions : comment on demande une exception, ce qu'on risque à ne pas appliquer la règle.
- Revue et historique : fréquence de révision, versions, approbations.
Les règles, rangées selon les quatre thèmes de l'annexe A
Depuis l'édition 2022, l'annexe A d'ISO/IEC 27001 regroupe 93 mesures en quatre thèmes. Ranger les règles de la PSSI selon ces thèmes facilite le lien avec la déclaration d'applicabilité, et permet de vérifier qu'aucun domaine n'est oublié.
- Mesures organisationnelles (37 mesures, A.5) : politiques, rôles, inventaire des actifs, classification de l'information, contrôle d'accès, relations avec les fournisseurs, gestion des incidents, continuité d'activité, conformité légale et protection des données personnelles (A.5.34).
- Mesures liées aux personnes (8 mesures, A.6) : vérifications à l'embauche, clauses de confidentialité, sensibilisation et formation, processus disciplinaire, départs, télétravail, signalement des événements de sécurité.
- Mesures physiques (14 mesures, A.7) : zones sécurisées, contrôle des accès physiques, bureau propre et écran verrouillé, équipements hors des locaux, supports de stockage, mise au rebut sécurisée.
- Mesures technologiques (34 mesures, A.8) : postes de travail, comptes à privilèges, authentification, protection contre les logiciels malveillants, gestion des vulnérabilités, sauvegarde, journalisation, sécurité des réseaux, chiffrement, développement sécurisé.
Les politiques thématiques en annexe
La politique générale reste courte. Le détail opérationnel part dans des politiques thématiques, que la norme ISO/IEC 27002:2022 cite en exemple : contrôle d'accès, sécurité physique, gestion des actifs, transfert d'information, configuration des terminaux, sécurité des réseaux, gestion des incidents, sauvegarde, cryptographie, classification de l'information, gestion des vulnérabilités, développement sécurisé. On y ajoute en pratique :
- la charte informatique et les règles de télétravail ;
- la politique de mots de passe et d'authentification ;
- la gestion des habilitations et leur revue ;
- les règles de protection des données, dont l'anonymisation et la pseudonymisation ;
- les exigences de sécurité imposées aux prestataires et sous-traitants.
Modèle de PSSI pour ETI, commenté
Le modèle ci-dessous suit la structure type. Chaque section donne une rédaction d'exemple, entre guillemets, avec des champs à remplacer entre crochets, puis un commentaire sur ce qu'il faut adapter. Il est pensé pour une organisation de 100 à 5 000 personnes. Il ne remplace pas l'analyse de risques : les règles qu'il propose sont des points de départ, à garder, durcir ou retirer selon vos risques.
1. Objet et engagement de la direction
« La présente politique fixe les principes de sécurité de l'information de [Organisation]. Elle a été approuvée par [la direction générale] le [date]. La direction s'engage à fournir les ressources nécessaires à son application, à respecter les exigences légales, réglementaires et contractuelles applicables, et à améliorer en continu la sécurité de l'information. »
Commentaire : la signature de la direction n'est pas une formalité. C'est elle que l'auditeur ISO 27001 cherche en premier (clauses 5.1 et 5.2), et c'est elle qui donne au RSSI l'autorité pour faire appliquer les règles.
2. Périmètre
« Cette politique s'applique à l'ensemble des systèmes d'information de [Organisation] et de ses filiales [liste], qu'ils soient hébergés dans nos locaux ou chez des prestataires, et aux postes utilisés en télétravail. Elle s'impose à tous les collaborateurs, intérimaires, stagiaires et prestataires qui accèdent à ces systèmes. »
Commentaire : nommez les prestataires, y compris les freelances qui utilisent vos outils collaboratifs. Si vous visez une certification, le périmètre de la PSSI doit au moins couvrir celui du SMSI.
3. Objectifs de sécurité
« [Organisation] poursuit quatre objectifs : garantir la disponibilité de [services critiques], avec une reprise en moins de [durée] ; protéger la confidentialité des informations classées [Confidentiel] et des données personnelles ; garantir l'intégrité des données [financières, de santé, clients] ; assurer la traçabilité des accès aux informations sensibles. »
Commentaire : un objectif utile est mesurable (ISO/IEC 27001, clause 6.2). « Assurer la sécurité » n'en est pas un ; « restaurer le service de facturation en moins de 4 heures » en est un.
4. Références
« Cette politique s'appuie sur le RGPD (articles 5.1 f et 32), [la directive NIS 2 et sa transposition en droit français, si applicable], la norme ISO/IEC 27001:2022 et les engagements de sécurité pris envers nos clients [plans d'assurance sécurité, clauses contractuelles]. »
Commentaire : ne citez que les textes qui s'appliquent vraiment. Une PSSI qui vise dix référentiels sans les appliquer fragilise votre position en cas de contrôle.
5. Organisation et responsabilités
« La direction générale approuve la politique et arbitre les risques résiduels. Le RSSI pilote son application, tient le registre des dérogations et rend compte une fois par an. Le DPO est consulté sur toute mesure qui touche aux données personnelles et sur la gestion des violations. La DSI met en œuvre les mesures techniques. Chaque manager veille à leur application dans son équipe. Chaque utilisateur applique la charte informatique. »
Commentaire : écrivez des noms de fonctions, pas de personnes, pour que la politique survive aux départs (clause 5.3). Si le DPO cumule d'autres missions, l'article 38.6 du RGPD exige l'absence de conflit d'intérêts : il est consulté, il ne décide pas seul des moyens de sécurité.
6. Règles de sécurité
« Tout accès au système d'information est nominatif. L'authentification multifacteur est obligatoire pour les accès distants et les comptes à privilèges. Les droits d'accès sont revus au moins une fois par an. Les données critiques sont sauvegardées, dont une copie hors ligne, et la restauration est testée chaque [trimestre]. Toute violation de données personnelles est signalée sans délai au DPO, qui apprécie la notification à la CNIL dans les 72 heures. Les règles détaillées figurent dans les politiques thématiques annexées. »
Commentaire : chaque règle doit pouvoir être vérifiée. Une règle que personne ne contrôle n'est pas une règle, c'est une intention. Pour la gestion des incidents, notre guide sur les violations de données détaille les articles 33 et 34 du RGPD.
7. Sensibilisation et formation
« Chaque nouvel arrivant prend connaissance de la présente politique et de la charte informatique, et suit une formation à la sécurité dans son premier mois. Une action de sensibilisation est menée au moins une fois par an pour l'ensemble des collaborateurs. »
Commentaire : conservez la preuve de la prise de connaissance (accusé de lecture, émargement, suivi de formation). C'est elle que la mesure A.5.1 et la clause 7.3 font vérifier. Le volet données personnelles est détaillé dans notre guide sur la sensibilisation au RGPD.
8. Dérogations et sanctions
« Toute dérogation à cette politique est demandée par écrit au RSSI, motivée, limitée dans le temps et inscrite au registre des dérogations. Le non-respect de la politique expose son auteur aux sanctions prévues par le règlement intérieur [et par le contrat, pour les prestataires]. »
Commentaire : sans procédure de dérogation, les exceptions existent quand même, mais personne ne les voit. Le registre des dérogations est aussi l'un des documents que l'auditeur demande.
9. Revue et historique des versions
« Cette politique est revue au moins une fois par an, et à chaque changement significatif : nouvelle activité, incident majeur, évolution réglementaire. Historique : version [n°], [date], [auteur], [modifications], approuvée par [fonction]. »
Commentaire : une PSSI datée de trois ans ne passe aucun questionnaire sécurité sérieux. Fixez la date de la prochaine revue dans le document lui-même.
Rédiger sa PSSI : les étapes
Étape 1 : préciser les rôles et les responsabilités
La PSSI se mène comme un projet. Désignez un responsable (souvent le RSSI) qui rédige le document, et identifiez les acteurs : direction générale (qui valide), DSI, délégué à la protection des données s'il est désigné, RSSI, instances d'audit, et les utilisateurs auxquels les règles s'imposent.
Étape 2 : définir les enjeux et le périmètre
Dressez la liste des informations à protéger, en commençant par les plus critiques : secrets d'affaires, données financières, données personnelles et en particulier les données sensibles. Priorisez les objectifs selon leur criticité, et décidez si la politique s'applique aussi à l'extérieur des locaux (télétravail, prestataires).
Étape 3 : analyser l'existant et les risques
Inventoriez les éléments du système d'information (logiciels, matériels, interfaces, prestataires) et tenez cet inventaire à jour. Le registre des traitements en fournit déjà une bonne partie côté données personnelles. Puis appréciez les risques : vulnérabilités, impacts, probabilité. La méthode EBIOS Risk Manager de l'ANSSI est très utilisée en France, et Leto propose une matrice EBIOS pour structurer l'analyse. Un DPO qui a déjà conduit une AIPD en connaît la logique.
Étape 4 : déterminer les moyens et les procédures
Pour chaque risque prioritaire, identifiez les moyens nécessaires (matériels, humains, budgétaires) et les procédures à écrire : gestion des incidents, continuité d'activité, notification d'une violation de données à la CNIL. Les exigences imposées aux prestataires se vérifient par un audit des sous-traitants.
Étape 5 : définir les règles et les référentiels
Rédigez les règles à partir des risques, pas l'inverse. Trois référentiels publics aident à ne rien oublier : le guide d'élaboration de PSSI publié par la DCSSI, devenue l'ANSSI, dans sa version du 3 mars 2004 (méthodologie et référentiel de principes de sécurité), le guide de la sécurité des données personnelles de la CNIL, édition 2024 du 26 mars 2024, dont la fiche n°1 porte sur le pilotage de la sécurité, et les 93 mesures de l'annexe A d'ISO/IEC 27001:2022.
Étape 6 : prévoir la sensibilisation des utilisateurs
Le facteur humain se traite dans la PSSI, pas à côté. Prévoyez la charte informatique, une formation à l'arrivée, des actions de sensibilisation régulières et une communication sur les risques en cours (campagnes d'hameçonnage, fraude au président). Notre comparatif des outils de sensibilisation à la cybersécurité aide à choisir le format.
Étape 7 : faire valider, diffuser, revoir
La PSSI concerne tous les utilisateurs du système d'information : elle est validée et signée par la direction générale, diffusée, et sa prise de connaissance est tracée. Les politiques thématiques sont annexées. La date de la prochaine revue est fixée dès la première version.
Les erreurs fréquentes
- Une PSSI recopiée d'un modèle : des règles qui ne correspondent ni aux risques ni aux outils de l'organisme. Le premier entretien d'audit le révèle.
- Une PSSI jamais signée par la direction : sans approbation, le document n'a pas d'autorité, et ISO/IEC 27001 n'est pas satisfaite.
- Une PSSI jamais revue : un document daté de plusieurs années, qui ignore le cloud, le télétravail ou NIS 2.
- Un document de quatre-vingts pages : personne ne le lit. La politique générale tient en quelques pages ; le détail va dans les politiques thématiques.
- Des règles invérifiables : « les mots de passe doivent être robustes » sans critère ni contrôle.
- Les prestataires oubliés : la politique s'impose aux salariés, mais aucun contrat n'y renvoie.
- Le DPO tenu à l'écart : la PSSI et la conformité RGPD décrivent alors deux inventaires, deux procédures d'incident et deux évaluations de fournisseurs qui divergent.
Le guide cybersécurité : 5 bonnes pratiques rassemble les mesures de base à faire figurer dès la première version.
Questions fréquemment posées
Qu'est-ce qu'une PSSI ?
Une PSSI, ou politique de sécurité des systèmes d'information, est le document approuvé par la direction qui fixe les objectifs de sécurité de l'organisation, les règles applicables aux utilisateurs et aux prestataires, et les responsabilités de chacun. Elle s'accompagne de politiques thématiques et d'une charte informatique.
PSSI et SMSI : quelle différence ?
La PSSI est un document. Le SMSI, système de management de la sécurité de l'information, est le système qui l'élabore, la fait appliquer, mesure ses résultats et la corrige. ISO/IEC 27001:2022 exige une politique de sécurité de l'information (clause 5.2) : la PSSI est donc une pièce du SMSI.
Qui rédige la PSSI ?
En général le RSSI, ou à défaut le DSI, avec la contribution du DPO pour les données personnelles et des métiers pour les risques propres à leur activité. La direction générale ne la rédige pas, mais elle l'approuve et la signe : sans cette approbation, la politique n'a pas d'autorité.
Une PME doit-elle avoir une PSSI ?
Aucun texte n'impose le mot PSSI à toutes les entreprises. Mais le RGPD exige des mesures de sécurité appropriées et la capacité de les démontrer, NIS 2 impose des politiques de sécurité aux entités essentielles et importantes, et les clients la demandent dans leurs questionnaires. Pour une PME, une politique courte, signée et appliquée vaut mieux qu'un modèle complet jamais lu.
À quelle fréquence revoir la PSSI ?
Au moins une fois par an, et à chaque changement significatif : nouvelle activité, acquisition, incident majeur, évolution réglementaire. ISO/IEC 27001:2022 (mesure A.5.1) demande une revue à intervalles planifiés et en cas de changement important. Chaque révision est datée et approuvée.
La PSSI est-elle obligatoire ?
Elle l'est pour les entités soumises à NIS 2 (article 21), pour les administrations de l'État au titre de la PSSIE (circulaire du Premier ministre du 17 juillet 2014), et pour toute organisation qui vise la certification ISO/IEC 27001. Pour les autres, elle est le moyen le plus simple de démontrer la sécurité exigée par l'article 32 du RGPD.
Leto tient déjà la partie RGPD de votre SMSI
Registre des traitements, gestion des sous-traitants, questionnaires sécurité, violations de données : Leto outille au quotidien les briques que votre SMSI réutilise, et les garde à jour sans tableur. Pour voir comment elles s'articulent avec votre projet ISO 27001, demandez une démo à l'équipe Leto.
