Politique de sécurité des informations

Qu'est-ce qu'une politique de sécurité des informations ?

Sécurité de l'information (infosec) Désigne les politiques, processus et outils conçus et déployés pour protéger les informations et données sensibles de l'entreprise contre tout accès non autorisé. La sécurité de l'information repose sur trois aspects fondamentaux : la confidentialité, l'intégrité et la disponibilité. C'est ce que l'on appelle la triade CIA.

Les principes de la triade de la CIA garantissent trois objectifs clés

• Confidentialité : L'accès aux actifs de données doit être limité aux personnes autorisées uniquement
• Intégrité: Entretenir les systèmes informatiques, en veillant à ce qu'ils restent fiables et adaptés à leurs objectifs
• Disponibilité: Assurer l'autorisation les utilisateurs ont accès aux informations ou aux politiques pertinentes quand c'est nécessaire

Les politiques d'infosec établissent une liste de règles que les employés et autres parties prenantes (par exemple les fournisseurs) doivent suivre, le cas échéant. Cela comprend, sans toutefois s'y limiter :

• Contrôle d'accès
• Acceptable use
• Cybersécurité
• Bureau clair et écran clair
• Protection des données
• Classification des données
• Appareils mobiles

Il n’y a presque aucune différence entre un ensemble robuste de politiques de sécurité d’informations qui ne sont pas respectées et l’absence de politique de sécurité d’informations du tout. Les entreprises et les organisations ont besoin que leurs employés comprennent ce qui est requis d'eux. Tous les employés devront démontrer qu'ils connaissent et respectent les politiques de sécurité de l'information pertinentes.

Responsabilités et objectifs en matière de sécurité de l'information

C'est la responsabilité de la personne assignée Directeur de la sécurité de l'information (RSSI) ou responsable de la sécurité de l'information (ISM)) au sein d'une organisation pour garantir que tous les employés et systèmes sont conformes aux règles énoncées dans les politiques de sécurité de l'information.

Avant de mettre en œuvre une politique de sécurité de l'information, une entreprise doit définir ses objectifs et ceux de sa politique. Toute incohérence dans un cadre de sécurité de l'information peut rendre la politique de sécurité de l'information inefficace. Les politiques de sécurité de l'information doivent être régulièrement revues et modifiées par une organisation. Ces modifications doivent refléter toute évolution des risques, des pratiques de travail et des nouvelles technologies, entre autres.

Cela peut être accompli par l'organisation en adoptant, en adaptant et en ajoutant à sa documentation politique existante ou sécurité de l'information système de gestion (SMSI). Cela permet aux politiques de sécurité de l’information d’être tenues à jour, de rester complètes, cohérentes et pratiques.

L’importance des politiques de sécurité de l’information

Des politiques de sécurité de l'information bien établies permettent à toutes les parties prenantes et aux employés de comprendre le cadre de sécurité des informations de l'organisation. Les questions clés auxquelles une politique doit répondre sont les suivantes :

• Qui ? – Déterminer les personnes responsables des politiques
• Où? – Identifier les parties de l’organisation auxquelles les politiques s’appliquent
• C'est quoi? – Décider des informations spécifiques qui sont protégées dans les politiques
• Pourquoi ? – Établir l’objectif de la mise en œuvre des politiques

Ces politiques montrent également comment les risques organisationnels peuvent être atténués. Il s’agit notamment d’aider à :

• Protéger contre la fraude
• Protégez-vous contre les violations de données
• Protéger les secrets de l'industrie qui pourraient aider les concurrents
• Protéger les actifs numériques et la propriété intellectuelle
• Protéger la marque des atteintes à la réputation
• Protégez-vous contre les sanctions réglementaires financières
• Assurer la continuité des affaires
• Faire preuve de robustesse

Établir un cadre pour les politiques sont importantes pour la sécurité de vos informations. Un cadre vous permet de prendre des mesures pour faire respecter la conformité. Pour qu’une politique de sécurité de l’information soit efficace, elle devra être mise à jour en réponse à tout changement dans :

• Votre entreprise
• Menaces émergentes
• Résultats d'incidents antérieurs
• Exigences des parties prenantes
• Modifications de la loi
• Changements dans la technologie

Conformité réglementaire

Les politiques de sécurité des informations disponibles dans le commerce sont largement disponibles. Cependant, il n’existe pas de solution universelle. Différentes organisations et industries ont des normes et des exigences réglementaires différentes. Le RSSI doit tenir compte des obligations légales de son organisation lors de la création ou de l'adoption de politiques de sécurité de l'information. Si une organisation ne traite que des données publiques, elle sera soumise à un ensemble d'exigences réglementaires complètement différentes de celles d'une agence gouvernementale ou d'une société à responsabilité limitée.

Politique de sécurité des informations ISO 27001

Lorsqu'une organisation s'engage à gagner Certification ISO 27001, elle devra définir des lignes directrices pour ses politiques en matière de sécurité de l'information. Cela se fait en créant une politique de sécurité des informations de haut niveau.

La politique de sécurité de l'information qu'une organisation crée est la force motrice du SMSI de cette organisation (système de gestion de la sécurité de l'information). Il énonce les objectifs du Conseil politique et exigences en matière de sécurité de l’information. Il doit s'agir uniquement d'un document court, mais il doit être conforme aux les valeurs de l'organisation. Lorsqu'on vise à atteindre la norme ISO 27001 certification, le SMSI doit également répondre aux exigences de la norme.

La déclaration de politique doit exiger la participation de tout le personnel, tout en considérant également la participation de toutes les autres parties prenantes extérieures qui ont accès aux informations de l'organisation. informations et systèmes. Prenant en considération politique de sécurité, le conseil d'administration doit réfléchir à la manière dont cela affectera les parties prenantes de l'entreprise, ainsi qu'aux avantages et aux inconvénients que l'entreprise en subira.

Les avantages de suivre la norme ISO 27001 pour mettre en œuvre des politiques de sécurité de l'information

La norme ISO 27001 exige vous devez identifier vos risques liés à l'information, les évaluer puis les réduire à un niveau acceptable grâce à l'utilisation des contrôles prévus dans votre SMSI. Cela améliorera votre posture de sécurité des informations et, même si cela n'élimine pas le possibilité de violation, il réduit la probabilité d'occurrence et/ou l'impact d'une violation et vous donne des processus à suivre en cas de violation.

Une certification ISO 27001 accréditée par l'UKAS donnera aux clients, aux régulateurs et aux autres parties prenantes l'assurance que vous gérez efficacement la sécurité des informations. Il s'agit de la norme ISMS de bonnes pratiques reconnue au niveau international et vous donne un cadre à suivre pour gérer tous les actifs informationnels, pas seulement les données personnelles pour le RGPD.

Bon nombre des exigences obligatoires de GDPR sont abordées par la norme ISO 27001, vous avez donc déjà fait un grand pas vers sa mise en œuvre en matière de conformité. En d'autres termes; Si vous êtes déjà aligné sur la norme ISO 27001, vous représentez également un progrès important vers la conformité au RGPD.

Toutes les politiques de sécurité des informations doivent couvrir

Objectif : C’est ici que l’organisation expose l’objectif de sa politique et la manière dont elle envisage de la mettre en œuvre.

Portée: L'organisation définit ce que la politique couvrira, comme les réseaux, les emplacements, les utilisateurs et les fournisseurs.

Objectifs de sécurité : L'organisation crée des objectifs bien définis concernant la sécurité et la stratégie sur lesquels la direction est parvenue à un accord.

Législation: Il est également important que la politique de sécurité de l'information inclue des références à la législation ou à la certification pertinente dans laquelle l'entreprise travaille ou vers laquelle elle travaille, comme la certification ISO 27001.

D'autres éléments pourraient être inclus dans les politiques de sécurité des informations. Cependant, celles-ci peuvent varier en fonction de votre organisation, de ses activités et de ses besoins, etc. Pour une liste complète des annexes et politiques ISO 27001, cliquez ici s'il vous plait.

Que devrait couvrir un ensemble de politiques de sécurité de l’information ?

Il existe de nombreux éléments de la politique de sécurité de l’information.

Un RSSI devra déterminer la portée de ses politiques de sécurité des informations. Ceux-ci incluent, sans toutefois s'y limiter :

• Programmes de sécurité et utilisation appropriée
• Sécurité Internet
• Sécurité des données
• Sécurité physique actif
• Continuité de l'activité et reprise après sinistre
• Contrôles d'accès et sécurité
• Évaluation et analyse des risques
• Réponse et gestion des incidents

Pourquoi utiliser un SMSI pour gérer vos politiques de sécurité de l'information ?

ISMS.online fournit toutes les preuves derrière les politiques de sécurité de l'information qui fonctionnent dans la pratique et comprend un modèle de politique de sécurité de l'information de haut niveau que les organisations peuvent adopter, adapter ou ajouter pour répondre à leurs exigences rapidement et facilement.

Le Plateforme ISMS.online comprend une approche de gestion des risques. Il offre les outils d'identification, d'évaluation, d'évaluation et de contrôle des risques liés à l'information à travers la mise en place et la maintenance d'un SMSI suivant la norme ISO 27001. En option, vous pouvez également bénéficier du coach virtuel ISO 27001 qui offre des conseils d'experts pour chacune des normes ISO 27001. exigences et contrôles.