De nombreux MSP de petite et moyenne taille ont du mal à rédiger leur politique de sécurité de l’information, surtout lorsqu’ils ne peuvent pas compter sur l’appui d’une équipe juridique. Beaucoup de techniciens informatiques s’inquiètent de la complexité juridique qu’ils imaginent liée à cet exercice.
Pourtant, une politique de sécurité de l’information n’a pas besoin d’être très complexe. Elle n’a pas besoin d’être longue, formelle ou juridiquement inattaquable pour apporter de la valeur à une entreprise. Bien rédigée, elle simplifie nettement l’onboarding des clients, fixe des attentes plus claires pour vos collaborateurs, favorise la responsabilisation en interne et démontre votre maturité opérationnelle lors des audits et des revues.
Vous souhaitez en savoir plus ? Regardez la vidéo « Rédiger une politique de sécurité de l’information exploitable sans appui juridique » pour plus de détails.
Guide pour créer une politique de sécurité de l’information pour MSP
📌 Prérequis :
- Vous devez disposer d’un accès administrateur aux systèmes clés des clients, comme AD, leur outil de sauvegarde et leurs plateformes de documentation.
- Vous devez pouvoir exporter les données depuis les outils antivirus, de sauvegarde ou de mise à jour.
- Vous devez déjà avoir une routine de sécurité en place, même si elle reste informelle.
- Vous avez besoin d’une plateforme de documentation comme l’outil de documentation NinjaOne.
Définir la structure de votre politique
Partez de ce modèle en 5 sections et complétez-le en fonction des besoins spécifiques de votre entreprise.
| Section | Description |
| Objectif | Définissez l’objectif de la politique, qui peut varier d’une entreprise à l’autre. Il peut s’agir, par exemple, d’énoncer les règles de protection des données clients ou de réduire le nombre de failles de sécurité. |
| Périmètre | À qui et à quoi cette politique s’applique-t-elle ? Indiquez les systèmes, les collaborateurs et les environnements concernés. |
| Rôles et responsabilités | Lorsque cette politique entrera en vigueur, qui sera responsable de quoi ? Définissez clairement les responsabilités des référents et le rôle attendu de chaque membre de l’équipe. |
| Pratiques de sécurité | Définissez les différentes pratiques de sécurité associées à cette politique. N’oubliez pas d’employer un langage simple, compréhensible par l’utilisateur moyen (par exemple : « Tous les ordinateurs portables doivent utiliser le chiffrement intégral du disque »). |
| Revue et application | Précisez comment et à quelle fréquence le respect de la politique doit être vérifié. Si des amendements ou des modifications sont nécessaires, décrivez également le processus et le calendrier à suivre. |
Adaptez le modèle à vos besoins. Ajoutez les sections nécessaires pour définir entièrement la politique de sécurité de l’information de votre MSP.
Vous pouvez également vous appuyer sur les modèles de politiques SANS ou sur d’autres modèles reconnus pour élaborer votre politique.
Rédiger dans un langage simple
Il est essentiel que vos collaborateurs comprennent votre politique de sécurité de l’information. Tous les employés doivent en saisir clairement le contenu. Sinon, elle risque de rester inefficace et de créer des failles, simplement parce que les personnes concernées ne savent pas ce qu’elles doivent faire.
Utilisez un langage clair et concis, et évitez le jargon inutile et les formulations juridiques génériques. Privilégiez des formulations simples et précises, comme dans les exemples suivants :
- « Tous les comptes de l’entreprise doivent utiliser la MFA (authentification forte). »
- « La mise à jour des appareils Microsoft doit être effectuée chaque semaine. »
- « Les employés doivent signaler les e-mails de phishing dans un délai de 24 heures. »
Ces phrases sont courtes et donnent des consignes claires et concrètes. Les employés comprendront facilement ce qu’on attend d’eux et ce qu’ils doivent faire.
Vous pouvez aussi relier les consignes de votre politique aux outils auxquels elles se rapportent. Par exemple :
- « Toutes les sauvegardes doivent être vérifiées chaque semaine à l’aide du script RMM ou du tableau de bord de sauvegarde. »
Automatiser le suivi des revues de politique
Utilisez un extrait de code Windows PowerShell pour enregistrer et consulter les horodatages. Le script ci-dessous crée par exemple une entrée dans le journal d’audit chaque fois qu’un utilisateur confirme avoir consulté la politique de sécurité de l’information. Il enregistre le nom d’utilisateur et l’horodatage dans un fichier CSV, ce qui fournit une preuve traçable de la prise de connaissance de la politique. Pour cela, suivez ces étapes :
- Ouvrez Windows PowerShell en tant qu’administrateur.
- Saisissez ceci puis appuyez sur Entrée :
# Policy review log entry
if (-not (Test-Path "C:\PolicyLogs")) {
New-Item -Path "C:\PolicyLogs" -ItemType Directory -Force | Out-Null
}
$meta = [pscustomobject]@{
PolicyName = "InfoSec Policy"
ReviewedBy = $env:USERNAME
ReviewDate = (Get-Date).ToString("s")
}
$meta | Export-Csv -Path "C:\PolicyLogs\ReviewLog.csv" -Append -NoTypeInformation -Encoding UTF8
Vous pourrez ainsi générer des journaux d’audit internes recensant les employés qui ont consulté et/ou accepté la politique. La tenue de ce fichier CSV constitue une preuve claire des revues de politique. Il peut servir lors des audits, faciliter la conformité aux normes de sécurité et démontrer la responsabilisation, en indiquant qui a pris connaissance de la politique et à quel moment.
Former les équipes et intégrer la politique aux processus quotidiens
La politique ne doit pas rester lettre morte. Elle doit s’intégrer aux processus quotidiens de chacun. Voici quelques pistes pour y parvenir :
- Intégrez la politique aux check-lists d’onboarding des clients.
- Appuyez-vous sur elle lors de la validation des sauvegardes, des audits de mise à jour et des revues antivirus.
- Formez toutes les nouvelles recrues à son application, à l’aide d’une présentation de synthèse concise ou d’un support de formation équivalent.
- Profitez des revues trimestrielles pour mettre à jour la politique en même temps que les systèmes et les outils, afin qu’elle reste adaptée à vos processus.
⚠️ Dépannage et points de vigilance
| Risques | Conséquences possibles | Solutions |
| Les techniciens ne lisent pas la politique. | Des failles de sécurité apparaîtront et pourront entraîner des violations à l’avenir. | Limitez la politique à quatre pages. Découpez-la en différentes sections et ajoutez des exemples visuels pour la rendre plus attrayante et plus facile à lire. |
| La politique est obsolète et personne ne sait qui en a la responsabilité. | Vous ne pourrez pas la modifier ni l’adapter à vos besoins. | Programmez un rappel trimestriel pour désigner un responsable de version de la politique. Si le responsable actuel quitte l’entreprise, assurez-vous que cette responsabilité est transmise à la bonne personne. |
| Les clients ne respectent pas la politique de sécurité. | Des failles de sécurité apparaîtront et pourront entraîner des violations à l’avenir. | Évoquez la politique dans les SLA et les documents d’onboarding. Vous pouvez aussi proposer des formations régulières pour maintenir leurs connaissances à jour. |
| Vous ne disposez pas d’assez de données pour les revues. | Vous ne pourrez pas mener vos revues ni combler les lacunes de votre processus actuel. | Appuyez-vous sur les horodatages, les tickets ou les journaux PowerShell. |
Idées d’intégration de la plateforme NinjaOne pour rédiger une politique de sécurité de l’information
NinjaOne propose de nombreux outils pour vous aider à concevoir et à appliquer votre politique de sécurité de l’information. Voici quelques possibilités offertes par notre outil RMM :
- Synchronisation de la documentation : conservez la politique de sécurité de l’information de chaque client dans l’outil de documentation NinjaOne.
- Scripts de conformité : tirez parti du moteur de scripts de NinjaOne pour lancer des vérifications automatisées sur les terminaux (contrôle du chiffrement des disques, validation de l’état de l’antivirus ou confirmation des niveaux de mise à jour).
- Application des exigences de sécurité via les politiques NinjaOne : garantissez la conformité grâce à l’automatisation basée sur les politiques et à l’application des configurations.
Améliorez la politique de sécurité de l’information de votre MSP, même sans appui juridique
Une politique de sécurité de l’information n’a pas besoin d’être très complexe ni d’être rédigée par une équipe juridique complète pour être utile à votre entreprise. Avec la bonne structure, un langage clair et une intégration à la plateforme, même les MSP sans appui juridique peuvent documenter leurs politiques de sécurité, limiter la confusion en interne et démontrer leur maturité opérationnelle auprès de leurs clients et des autres parties prenantes.
Une politique bien définie présente aussi plusieurs avantages majeurs. Elle facilite considérablement les audits et les échanges autour de la assurance cyber, et clarifie la responsabilité de chacun en matière de sécurité au sein de l’équipe. Les risques liés aux pratiques floues et non documentées diminuent également fortement.
Sujets connexes :
