Politique de sensibilisation et de formation à la sécurité de l’information - PME

La Politique de sensibilisation et de formation à la sécurité de l’information (numéro de document : P08S) est spécifiquement conçue pour les petites et moyennes entreprises (PME), avec une adaptation à leur structure organisationnelle et des rôles simplifiés, tels que le Directeur général et le gestionnaire de bureau/Ressources humaines (RH), plutôt que des équipes dédiées à la sécurité ou à l’informatique. Malgré ces rôles simplifiés, la politique est pleinement alignée sur des normes internationales, notamment ISO/IEC 27001:2022, NIS2, EU DORA et le RGPD, garantissant une conformité élevée et une mise en œuvre efficace. L’objectif de cette politique est de faire de la sécurité de l’information une responsabilité centrale à l’échelle de l’organisation. Elle impose que chaque employé, contractant et tiers disposant d’un accès aux systèmes ou aux données comprenne ses responsabilités en matière de sécurité. Les objectifs de la politique sont de minimiser les erreurs humaines, principal vecteur des incidents de sécurité, d’améliorer les capacités de détection et d’escalade des incidents et de notification des incidents, et de développer une culture durable de comportement conscient de la sécurité. Le personnel doit suivre une formation initiale de sensibilisation à la sécurité, une formation de rappel annuelle et recevoir des formations ad hoc ou des mises à jour déclenchées par événement, afin que les pratiques de sécurité restent visibles et opportunes à tous les niveaux et dans tous les services. Un point fort de cette politique PME est l’accent mis sur une gouvernance adaptée aux rôles. Le Directeur général approuve les obligations de formation et escalade les problèmes de conformité, tandis que les Ressources humaines (RH) ou le gestionnaire de bureau coordonnent la fourniture et la documentation de la formation, suivent l’achèvement et veillent à ce que tout le personnel atteste la prise de connaissance des politiques clés et des accords de non-divulgation. Les responsables de département renforcent ces efforts au niveau des équipes, et chaque employé ou contractant est explicitement responsable de sa participation et de l’adoption des comportements de sécurité enseignés (tels que l’hygiène des mots de passe et la notification des incidents). La section Gouvernance décrit des exigences pratiques, notamment ce qui doit être couvert lors de l’intégration (par exemple, pratiques de mots de passe, Politique d'utilisation acceptable, Notification des incidents, sécurité du télétravail), la manière dont les formations de rappel annuelles sont dispensées (via des formats flexibles comme la formation en ligne ou des réunions d'information en présentiel), ainsi que la nécessité d’une communication et d’une formation immédiates à la suite d’un incident de sécurité significatif. Toutes les activités de formation et les attestations sont consignées de manière centralisée, fournissant une piste d’audit robuste pour les revues de conformité, la certification ISO ou RGPD, ou des exigences d’assurance. L’atténuation des risques est traitée de manière systématique : la politique identifie des causes courantes de violations (telles que les attaques par hameçonnage ou la mauvaise gestion des données sensibles) et prescrit une formation obligatoire, des rappels automatisés réguliers et l’utilisation de supports engageants. Des procédures de gestion des exceptions, par exemple lorsque des employés sont en congé, sont définies afin d’éviter des lacunes de sensibilisation. Les conséquences de la non-conformité sont claires, allant de rappels pour les premiers manquements à des restrictions des partages réseau ou à des mesures disciplinaires pour les récidivistes. La préparation à l’audit et l’amélioration continue sont intégrées via des revues annuelles et des revues post-incident, la gestion des versions et des étapes d’attestation de prise de connaissance de la politique, reflétant l’évolution du paysage des risques et des changements réglementaires. Cela crée un cadre défendable, conforme et efficace pour instaurer une sensibilisation à la sécurité dans les PME, quelle que soit leur taille ou leur expertise interne.