Cookies
Avec votre accord, nous utilisons un cookie publicitaire Meta pour mesurer nos annonces. Avec votre accord, nous mesurons aussi l'audience du site (Google Analytics) pour l'améliorer. Vous pouvez refuser : le site fonctionne pareil. Choix modifiable à tout moment via « Gestion des cookies ». En savoir plus
Une PSSI, ou politique de sécurité des systèmes d'information, est le document approuvé par la direction qui fixe les règles de protection des informations et des outils numériques de l'entreprise : qui est responsable de quoi, quelles règles s'appliquent et comment on vérifie qu'elles sont tenues. SecuriGeek la rédige avec vous, à la taille de votre PME ou ETI.
Vous préparez une certification ? La PSSI est une étape de notre accompagnement ISO 27001. Vous voulez d'abord situer votre niveau ? Commencez par le pré-diagnostic gratuit.
Définition
La PSSI traduit vos priorités de sécurité en règles écrites, connues et applicables. Ce n'est pas un document technique : c'est un engagement de la direction, que l'équipe informatique et les prestataires déclinent ensuite en procédures, et que la charte informatique traduit en consignes pour chaque utilisateur. Une bonne PSSI de PME est adaptée à votre organisation et assez claire pour être lue et appliquée par vos équipes.
Exemple de structure
Ce sommaire est un exemple de structure, à adapter à votre activité. La direction approuve la PSSI, puis elle est diffusée aux équipes et revue au moins une fois par an.
Activités, sites, systèmes, données sensibles et prestataires concernés. Objectifs de sécurité : confidentialité, intégrité et disponibilité des informations.
Rôle de la direction, du référent sécurité ou du RSSI, de l’équipe informatique, des métiers et des prestataires. Qui décide, qui applique, qui contrôle.
Accès et mots de passe, postes et mobiles, sauvegardes, réseau, services cloud, télétravail, fournisseurs, gestion des incidents et continuité d’activité.
Procédures associées, charte informatique, sensibilisation des équipes, traitement des exceptions et des écarts constatés.
Un responsable désigné, quelques indicateurs simples, une revue au moins annuelle et après chaque changement important.
Référentiels
Clients et assureurs
Les questionnaires des donneurs d'ordre et des assureurs cyber demandent souvent si vous disposez d'une politique de sécurité formalisée et approuvée. Une PSSI à jour permet de répondre avec un document, pas avec une promesse. Elle ne remplace pas les preuves d'application : sauvegardes testées, contrôle des accès, sensibilisation. Voir aussi notre accompagnement cyberassurance.
Modèle ou sur mesure
Un modèle de PSSI aide à voir la structure, mais il décrit l'entreprise de quelqu'un d'autre. Un auditeur ou un client repère vite une règle que personne n'applique. Une PSSI sur mesure part de vos outils, de vos prestataires et de vos risques réels : c'est elle qui tient lors d'un audit ou d'un questionnaire client.
Méthode
Six étapes, du cadrage à la diffusion. Si une analyse de risques complète est nécessaire, elle suit la méthode EBIOS Risk Manager (EBIOS RM) de l'ANSSI. Pour faire vivre la PSSI dans la durée, un RSSI externalisé peut porter sa revue.
Étape 1
Périmètre, sites, outils, obligations (clients, assureur, ISO 27001, NIS2) et documents existants. Le calendrier est fixé à ce stade.
Étape 2
Direction, informatique, ressources humaines, métiers et prestataires clés, pour écrire des règles qui collent à votre fonctionnement réel.
Étape 3
Une analyse ciblée sur vos activités sensibles, ou une analyse complète avec la méthode EBIOS RM de l’ANSSI si votre contexte l’exige.
Étape 4
Des règles claires, calibrées sur ce que vos équipes et vos prestataires peuvent réellement appliquer.
Étape 5
Relecture, arbitrages sur les risques acceptés, puis approbation formelle de la PSSI.
Étape 6
Présentation aux équipes, charte informatique, intégration dans l’accueil des nouveaux arrivants et plan de revue.
Budget et délai
Le prix dépend du nombre de sites, de la part d'informatique confiée à des prestataires, des documents déjà en place et du niveau d'analyse de risques nécessaire. Comparez avec notre grille des prix d'un audit cybersécurité si vous hésitez à commencer par un état des lieux.
Demander un devis pour votre PSSIQuestions fréquentes
Une PSSI (politique de sécurité des systèmes d’information) est le document, approuvé par la direction, qui fixe les règles de cybersécurité de l’entreprise : objectifs, rôles et responsabilités, accès, sauvegardes, gestion des incidents, prestataires. Elle dit ce qui doit être fait et par qui ; les procédures et la charte informatique précisent ensuite comment. Un client, un assureur ou un auditeur peut vous la demander.
Aucune loi n’impose aujourd’hui une PSSI à toutes les PME. Elle devient indispensable si vous visez la certification ISO 27001, qui exige une politique de sécurité approuvée par la direction. Si vous entrez dans le champ de NIS2, l’article 21 de la directive (UE) 2022/2555 prévoit des politiques d’analyse des risques et de sécurité des systèmes d’information, qu’une PSSI peut regrouper. Un client ou un assureur peut aussi l’exiger.
Pas de modèle prêt à signer. L’ANSSI (Agence nationale de la sécurité des systèmes d’information) diffuse un guide d’élaboration de PSSI, publié en 2004 par la DCSSI, l’ancien nom de l’agence. Il propose une méthode et des principes de sécurité à choisir selon votre contexte. Un modèle trouvé en ligne aide à voir la structure, mais il décrit rarement vos outils, vos prestataires et vos risques réels.
La PSSI s’adresse à l’entreprise : elle fixe les objectifs, les responsabilités et les règles, et la direction l’approuve. La charte informatique s’adresse aux utilisateurs : elle traduit ces règles en consignes concrètes sur les mots de passe, la messagerie, le poste de travail ou le télétravail. Les deux vont ensemble : sans PSSI, la charte manque de cadre ; sans charte, la PSSI reste inconnue des équipes.
La rédaction peut être confiée à un référent sécurité interne, à un RSSI (responsable de la sécurité des systèmes d’information) ou à un prestataire, à partir d’entretiens avec la direction, l’informatique et les métiers. La signature revient à la direction générale : c’est elle qui approuve les règles et les risques acceptés. Les équipes informatiques et les prestataires appliquent ensuite les mesures qui les concernent.
La rédaction d’une PSSI est proposée sur devis, et il n’y a pas de durée standard : le calendrier est fixé lors du cadrage. Le prix dépend du nombre de sites, de la part d’informatique confiée à des prestataires, des documents déjà en place et du niveau d’analyse de risques nécessaire. Le cadrage mesure ces points avant le chiffrage, pour ne pas vous proposer un ensemble de documents inutilement volumineux.
Au moins une fois par an, et après chaque changement important : incident, migration vers le cloud, nouveau prestataire, rachat ou nouvelle obligation. La norme ISO 27001 demande aussi de revoir les politiques à intervalles planifiés. Une PSSI qui cite des outils abandonnés affaiblit votre dossier face à un client ou à un assureur. Un RSSI externalisé peut porter cette revue dans la durée.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
