Élaboration et révision des politiques de sécurité
Je suis généralement capable de déterminer en quelques minutes si une politique de sécurité a réellement été rédigée pour l’organisation qui la détient ou si elle a été copiée à partir d’un modèle et légèrement modifiée. Celles qui ont été copiées contiennent des références à des systèmes que l’entreprise n’utilise pas, à des rôles qui n’existent pas et à des exigences que personne n’a jamais appliquées. Elles ne servent qu’à cocher une case lors d’un audit, et toutes les personnes concernées savent pertinemment que c’est là leur seule utilité.
Une politique qui fonctionne réellement est suffisamment concise pour que les gens la lisent, suffisamment précise pour indiquer à chacun ce qu’il doit réellement faire dans une situation concrète, qu’il s’agisse d’utilisation acceptable, de classification des données, de signalement des incidents ou d’accès à distance, et qu’elle soit en adéquation avec ce que votre organisation est réellement en mesure d’appliquer. Une politique relative aux mots de passe qui impose des exigences que vos systèmes ne peuvent techniquement pas satisfaire, ou une règle de traitement des données que personne ne vérifie, donne l’impression aux collaborateurs que la politique n’est qu’une mise en scène, et cette attitude se répercute sur les politiques qui comptent réellement.
Comment je rédige et révise ces
Je commence par comprendre comment votre organisation fonctionne réellement, et non pas en reprenant le modèle d’un référentiel pour y inscrire simplement le nom de l’entreprise. Que doivent réellement faire les collaborateurs avec les données au quotidien ? Quels sont les systèmes concernés ? Quelle est votre tolérance au risque concernant, par exemple, l’utilisation d’appareils personnels ou l’accès à distance ? À partir de là, je rédige une politique qui reflète la réalité, en précisant clairement qui est chargé de la faire respecter et quelles sont les conséquences en cas de violation.
Si vous disposez déjà de politiques, je les examine à la lumière des pratiques réelles, ce qui met généralement en évidence des lacunes dans les deux sens : des exigences de la politique que personne ne respecte, et des pratiques que les gens adoptent mais auxquelles la politique ne fait absolument pas référence. Je préfère réduire un document de soixante pages à un format que les gens liront et respecteront réellement plutôt que de vous remettre un document exhaustif qui restera intact sur un espace de stockage partagé.
À qui s'adresse ce document ?
Si vos politiques actuelles ont été héritées, rédigées à partir de modèles ou n’ont pas été modifiées depuis leur création, si vous mettez en place un programme de sécurité et ne savez pas par où commencer pour la documentation, ou si un audit a révélé un écart entre la politique et la pratique, cela mérite d’être corrigé de manière appropriée.
N’hésitez pas à nous contacter et discutons ensemble de ce que vos politiques doivent réellement couvrir.