PSSI

La politique de sécurité des systèmes d'information, ou PSSI, est le document par lequel une organisation écrit ses règles : ce qui est permis, ce qui ne l'est pas, qui décide, qui contrôle, et ce qui arrive quand une règle n'est pas tenue. Elle ne décrit pas des configurations techniques — c'est le rôle des politiques spécialisées, accès, administration, sauvegarde — mais le cadre dans lequel ces choix sont faits.

Plusieurs référentiels l'exigent, sous des noms proches. ISO 27001 demande à la direction d'établir une politique de sécurité de l'information à sa clause 5.2. Le référentiel ReCyF de l'ANSSI la compte parmi les documents attendus. DORA en demande l'équivalent au titre de la protection et de la prévention. C'est d'ailleurs l'une des quatre familles d'actions qu'ALYDEA mutualise entre référentiels : écrite une fois, elle compte pour ISO 27001 et pour DORA.

Ce qui compte n'est ni sa longueur ni son élégance, mais deux choses vérifiables : son approbation par la direction, et sa diffusion. Une PSSI de quarante pages que le dirigeant n'a pas signée et que personne n'a lue ne démontre rien. Une politique courte, datée, approuvée et diffusée avec accusé de lecture tient devant un auditeur.