Politique de contrôles cryptographiques - PME

La Politique de contrôles cryptographiques P18S est une politique spécialisée construite pour les petites et moyennes entreprises (PME), spécifiquement adaptée à des rôles et processus simplifiés, notamment le rôle de « Directeur général », plutôt qu’à des intitulés propres aux grandes entreprises comme RSSI ou Centre opérationnel de sécurité (SOC). Elle garantit que ces organisations mettent en œuvre des contrôles cryptographiques robustes qui protègent la confidentialité, l’intégrité et l’authenticité des données métier et des données à caractère personnel. L’objectif principal de cette politique est de définir des exigences obligatoires en matière de chiffrement et d’autres mesures cryptographiques, en s’alignant directement sur les besoins de certification ISO/IEC 27001:2022 et sur des cadres réglementaires tels que le RGPD, la directive NIS2 et DORA de l’UE. Le champ d’application de la politique couvre l'ensemble du personnel, y compris les employés, les contractants et les tiers, qui traitent des données de l’entreprise, et s’applique à chaque système métier, terminal ou plateforme cloud qui stocke, transmet ou accède à des informations confidentielles. Elle s’applique à toutes les données classifiées conformément à la politique de classification des données de l’entreprise et couvre des contrôles cryptographiques tels que les méthodes de chiffrement, les certificats, les clés, les mots de passe et les modules de sécurité. Ses exigences de protection s’étendent aux données au repos, en transit et en cours d’utilisation, incluant le chiffrement des systèmes de sauvegarde, de la messagerie, des transferts externes et des sites web de l’organisation. Les objectifs de la politique sont simples : protéger les données sensibles et les données réglementées au moyen de mesures cryptographiques appropriées ; établir l’autorité et la responsabilité pour la sélection des outils, la configuration et la gestion des clés ; et garantir des contrôles préventifs solides contre l’accès non autorisé, l’altération ou la perte de données. La politique insiste sur le respect strict des obligations légales et des obligations réglementaires imposant le chiffrement et maintient l’importance d’une gestion efficace des certificats et des clés pour la sécurité opérationnelle. Les rôles et responsabilités sont rationalisés pour le contexte PME : le Directeur général (DG) assume la propriété de la politique et supervise la mise en application et l’approbation des exceptions. Le prestataire de support informatique ou un administrateur informatique interne gère l’exploitation quotidienne et la maintenance des technologies de chiffrement, des certificats et de la protection des systèmes de sauvegarde. Un Coordinateur Protection des données ou sécurité assure la conformité continue aux obligations de protection des données, à la gestion des risques et à la défense des droits en justice. Tous les employés et contractants doivent respecter l’utilisation approuvée du chiffrement et ne doivent contourner aucun mécanisme de sécurité. Les principales caractéristiques de gouvernance incluent une revue annuelle de la politique (ou à la suite d’une violation majeure ou d’un changement majeur), la documentation complète de toutes les activités de chiffrement et de gestion des clés, ainsi que des exigences strictes relatives à l’utilisation d’algorithmes cryptographiques conformes aux bonnes pratiques du secteur (tels que AES-256, RSA 2048 et TLS 1.2 ou plus récent). Les protocoles non sécurisés ou obsolètes doivent être bloqués, et toutes les clés doivent être stockées de manière sécurisée avec un accès contrôlé et revu régulièrement, jamais en clair. Le chiffrement des systèmes de sauvegarde, la gestion des certificats, la planification de scénarios de risque et un processus de gestion des exceptions bien documenté sont des exigences centrales. Les violations entraînent des conséquences définies, et toutes les défaillances cryptographiques sont consignées, font l’objet d’une enquête et donnent lieu à une réponse dans le cadre des procédures de gestion des violations. Cette politique correspond au modèle PME, ce qui la rend particulièrement adaptée aux organisations disposant de moins de ressources ou de personnel spécialisé en sécurité, tout en assurant un alignement complet avec ISO/IEC 27001:2022 et les exigences réglementaires pertinentes.