Quand la direction n’est pas au rendez-vous, la PSSI risque d’être mal rédigée
Cet article analyse les difficultés rencontrées lors de la rédaction d’une politique de sécurité des systèmes d’information (PSSI) lorsque la direction n’est pas suffisamment impliquée dans le processus. Selon les témoignages de professionnels, le manque d’engagement de la direction peut conduire à une PSSI mal conçue, mal appliquée ou inapplicable. L’article souligne l’importance pour la direction d’être proactive et de prendre ses responsabilités dans la conception de la PSSI, qui n’est pas seulement un document technique mais reflète également les orientations stratégiques de l’entreprise en matière de cybersécurité.
Points clés
- La rédaction d’une PSSI est un exercice complexe qui nécessite un équilibre entre la vision stratégique de la direction et les missions des responsables de la sécurité des systèmes d’information (RSSI)
- Lorsque cet équilibre est compromis, la PSSI risque d’être mal rédigée, mal appliquée ou inapplicable
- La PSSI doit être établie, définie et approuvée par la direction, conformément aux normes ISO-27001 et ISO-27002
- En pratique, les RSSI et collaborateurs SSI se plaignent souvent du manque d’implication et de la méconnaissance de la direction sur les enjeux de la PSSI
- Ce manque d’implication peut exposer la direction à des risques de responsabilité en cas de préjudice lié à la PSSI
- Le désintérêt de la direction envoie un mauvais signal managérial et nuit à l’implication des collaborateurs pour l’application de la PSSI
À retenir
Il est clair que la rédaction d’une PSSI ne peut pas être une simple délégation de la direction aux équipes techniques. La direction a la responsabilité de s’impliquer activement dans ce processus, de définir les orientations stratégiques et de collaborer étroitement avec les RSSI. Sinon, la PSSI risque de ne pas être à la hauteur des enjeux de cybersécurité de l’entreprise. Mais bon, ce n’est sûrement qu’un détail, la direction a sûrement d’autres priorités plus importantes que la sécurité de ses systèmes d’information, non ?
Sources
