Trop de politiques de sécurité finissent oubliées au fond d’un intranet. Pourtant, la politique de sécurité de l’information est le socle de toute démarche ISO 27001. Découvrez comment rédiger une politique claire, engageante et réellement appliquée par vos équipes.

Une politique que personne ne lit

Il y a deux ans, j’ai accompagné une PME pour sa certification ISO 27001. J’ai d’abord interrogé trois employés au hasard concernant leur connaissance de la politique de sécurité de l’information de l’entreprise. Aucun n’en avait entendu parler.

Cette scène, je l’ai revue des dizaines de fois. Des politiques de sécurité enterrées au fond d’un serveur, écrites dans un jargon incompréhensible, que seuls les auditeurs semblent lire. Résultat : elles ne servent à rien.

Et pourtant, ces documents sont essentiels. Sans politique claire, pas de cadre pour la sécurité, pas de vision partagée, et pas de certification ISO 27001 possible. Mais surtout : pas d’adhésion des équipes.

Alors, comment transformer ce qui est souvent perçu comme une « obligation administrative » en un document réellement utile, compris et appliqué par tous ? Voici ce que j’ai appris sur le terrain.

Qu’est-ce qu’une politique de sécurité de l’information ?

Commençons par le commencement. Une politique de sécurité de l’information, ou PSI, est un document stratégique qui définit la vision, les objectifs et les principes d’une organisation en matière de protection de l’information.

Elle fixe les grandes lignes :

• Ce qu’on protège : les données clients, les systèmes critiques, la propriété intellectuelle
• Pourquoi on le fait : obligations légales (RGPD, NIS 2), risques métier, réputation
• Comment on s’y prend : rôles, responsabilités, règles générales

C’est en quelque sorte la « constitution » de la sécurité dans une entreprise. Elle donne le cadre, fixe les règles du jeu et oriente toutes les politiques et procédures plus détaillées (contrôle d’accès, gestion des incidents, sauvegarde, etc.). Elle est applicable à tous les acteurs d’une organisation et doit être comprise par tous. Il ne faut pas la confondre avec la PSSI, ou Politique de Sécurité du Système d’Information. Celle-ci traduit les principes définis par la PSI en règles techniques et opérationnelles propres aux systèmes d’information (infrastructures, réseaux, accès, etc.).

Elle est généralement composée de plusieurs sous-politiques et chartes, plus détaillées, destinées aux équipes IT et aux utilisateurs internes en particulier. J’y consacrerai un article dédié dans le futur proche.

Pourquoi la plupart des politiques échouent

La norme ISO 27001 impose que la direction formalise une politique de sécurité. Ce texte doit fixer les grands principes, les objectifs et les responsabilités. Sur le papier, ça semble simple.

Dans la pratique, j’ai vu trop de politiques échouer pour les mêmes raisons :

• Elles sont trop longues et trop techniques. Un document de 40 pages rempli de termes comme « périmètre de défense en profondeur » ou « gestion des vulnérabilités selon le cycle PDCA »… personne ne va au bout.

• Elles sont copiées-collées. Un template ISO trouvé en ligne, avec des phrases génériques qui auraient pu être écrites pour n’importe quelle entreprise. Zéro pertinence.

• Elles sont écrites pour les auditeurs. Pas pour les gens qui vont les appliquer au quotidien. Résultat : les collaborateurs ne s’y retrouvent pas, et le document perd toute crédibilité.

• Elles ne sont jamais diffusées ni expliquées. Une fois validée, la politique disparaît dans les profondeurs de SharePoint. Personne ne sait qu’elle existe.

Je me souviens d’une entreprise où la politique parlait encore de « sauvegardes sur disque » alors qu’ils étaient passés au cloud depuis trois ans. Difficile de prendre le document au sérieux.

Avant d’écrire : posez les bonnes questions

Une politique réussie, c’est d’abord une politique contextualisée. Avant de toucher au clavier, prenez le temps de réfléchir à ces questions ou d’en discuter en équipe :

• À qui s’adresse-t-on vraiment ? Employés du siège ? Équipes terrain ? Prestataires externes ? Direction générale ? Une politique « one-size-fits-all » n’existe pas. Comme pour toute rédaction, si vous ciblez tout le monde, vous ne toucherez personne.

• Quel est le périmètre précis ? Toute l’entreprise ? Une filiale spécifique ? Uniquement les systèmes informatiques ? Plus vous êtes clair sur le scope, plus votre document sera pertinent.

• Quels sont vos enjeux majeurs ? Une banque s’inquiète des fuites de données clients. Une PME industrielle craint l’arrêt de production après une cyberattaque. Un cabinet médical doit protéger des dossiers patients. Votre politique doit refléter VOS risques, pas ceux d’un manuel générique.

• La direction est-elle vraiment impliquée ? Sans engagement clair du top management, la politique restera une coquille vide. Si votre PDG ne signe pas, ne cautionne pas, ne communique pas dessus… autant ne pas la rédiger.

Mon conseil : ne partez jamais d’une feuille blanche, mais ne vous contentez pas non plus de copier-coller. Inspirez-vous de modèles ISO 27001 ou du framework NIST, mais adaptez-les au langage et à la culture de votre organisation.

Les 5 sections indispensables d’une politique efficace

Voici la structure que je recommande, testée sur une dizaine de certifications ISO 27001 réussies :

1. Introduction et engagement de la direction

Commencez par une déclaration courte et signée du dirigeant. Pas une page entière, juste trois ou quatre phrases qui montrent que la sécurité vient d’en haut.

Exemple : « La protection de nos données et de celles de nos clients est une priorité stratégique pour notre entreprise. Cette politique définit notre engagement commun en matière de sécurité de l’information. »

2. Champ d’application

Qui est concerné ? Quels systèmes, quelles données, quels sites ?

Soyez précis : « Cette politique s’applique à tous les collaborateurs, stagiaires, prestataires et partenaires ayant accès aux systèmes d’information de [nom de l’entreprise], sur tous nos sites en France et à l’étranger. »

3. Objectifs de sécurité

Pourquoi cette politique existe-t-elle ? Listez 3 à 5 objectifs concrets :

• Protéger les données clients conformément au RGPD
• Garantir la disponibilité de nos systèmes critiques
• Prévenir les cyberattaques et détecter les incidents rapidement
• Maintenir la confiance de nos clients et partenaires

4. Principes directeurs et responsabilités

Ici, vous posez les règles du jeu. J’aime structurer cette partie autour de trois piliers simples :

• Confidentialité : les informations sensibles ne sont accessibles qu’aux personnes autorisées.

• Intégrité : les données doivent être exactes, complètes et protégées contre toute modification non autorisée.

• Disponibilité : les systèmes critiques doivent être accessibles quand on en a besoin.

Ajoutez ensuite les rôles clés :

• Direction générale : valide la politique, alloue les ressources
• RSSI ou responsable sécurité : pilote la sécurité au quotidien
• Managers : appliquent la politique dans leurs équipes
• Tous les collaborateurs : respectent les règles et signalent les incidents

5. Règles essentielles d’une politique de sécurité de l’information

Cette section donne les grandes orientations, sans transformer la politique en manuel de procédures. Elle doit rester courte et concise : 

• Utilisation des systèmes : respect de la charte informatique, pas d’usage personnel abusif
• Gestion des accès : principe du moindre privilège, revue régulière des droits
• Incidents de sécurité : tout incident doit être signalé immédiatement
• Sauvegarde et continuité : des sauvegardes régulières assurent la résilience
• Fournisseurs et partenaires : la sécurité s’applique aussi à nos tiers
• Conformité : respect des lois (RGPD, sectorielles) et des contrats
• Gestion des exceptions : toute exception doit être documentée, limitée dans le temps, et faire l’objet d’un suivi.

Terminez par une note sur le suivi : « Cette politique est revue annuellement et mise à jour lors de tout changement majeur (nouvelle réglementation, évolution des risques, etc.). »

Rédiger pour être lu : le style fait toute la différence

Une politique n’est pas un roman, mais ce n’est pas non plus un code juridique. Voici comment rendre votre texte lisible :

Montrez la différence : avant/après

• Avant : « L’utilisateur est tenu de procéder au verrouillage de sa session lors de toute interruption temporaire de son activité professionnelle. »

• Après : « Vous quittez votre bureau ? Verrouillez toujours votre écran au préalable. »

Règles d’or du style

• Phrases courtes : 15-20 mots maximum
• Voix active : « Vous devez signaler » plutôt que « Un signalement doit être effectué »
• Vocabulaire simple : bannissez le jargon technique inutile
• Exemples concrets : illustrez chaque règle par un cas pratique
• Format aéré : titres clairs, listes à puces, paragraphes courts

Voici un test simple : si votre stagiaire de 20 ans comprend la politique du premier coup, vous avez réussi. Si elle doit relire trois fois la même phrase, recommencez.

Déployer et faire vivre la politique (sinon, elle meurt)

Une bonne rédaction ne suffit pas. Pour que la politique soit réellement utilisée, elle doit être communiquée et intégrée dans le quotidien de l’entreprise.

Diffusion multicanal

• Intranet : une page dédiée, facile à trouver (pas à 5 clics de profondeur)
• Onboarding : une session obligatoire pour tout nouveau collaborateur
• Affichage : un résumé visuel (infographie) dans les espaces communs
• Email : un message du dirigeant lors du lancement, avec un résumé en 10 points

Sensibilisation continue

• Ateliers : 1 ou 2 sessions de 30 minutes par équipe pour expliquer les règles
• Quiz : testez la compréhension de façon ludique
• Campagnes internes : rappels réguliers sur les bonnes pratiques

Une entreprise avec laquelle j’ai travaillé a créé une série de vidéos courtes (2 minutes) avec des mises en situation humoristiques. Le taux d’engagement a explosé.

Feedback et amélioration

Demandez l’avis de vos équipes ou organisez des groupes de travail avec un panel représentatif. Vous découvrirez des points de friction que vous n’aviez pas imaginés.

Et surtout : mettez à jour régulièrement. Une politique qui cite encore « Windows XP » ou « le serveur Lotus Notes » perd instantanément toute crédibilité.

Les pièges à éviter absolument

Après des années sur le terrain, voici les erreurs que je vois encore trop souvent :

• Rédiger pour l’auditeur au lieu de l’utilisateur. Votre objectif n’est pas de cocher des cases ISO, c’est de protéger réellement votre entreprise.

• Faire un document trop exhaustif. La politique donne le cadre. Les procédures détaillées (comment créer un compte, comment gérer un incident) ont leur place dans d’autres documents.

• Négliger la communication après publication. « On l’a mis sur l’intranet » ne suffit pas. Si vous ne communiquez pas activement, personne ne lira.

• Penser que c’est figé. La sécurité évolue, les menaces changent, votre entreprise grandit. Votre politique doit suivre.

• Oublier le ton. Un document froid et impersonnel sera ignoré. Une politique qui parle aux gens, avec un minimum de chaleur humaine, sera lue.

Mes dernières réflexions : la politique comme levier culturel

La politique de sécurité de l’information n’est pas un simple document ISO à archiver. C’est le socle de la culture sécurité de votre organisation.

Bien rédigée, claire et partagée, elle devient un outil d’adhésion, pas une contrainte. Elle montre que la direction prend le sujet au sérieux. Elle donne à chacun les clés pour agir. Elle crée un langage commun.

Alors, avant de cliquer sur « publier » ou « envoyer à l’auditeur », posez-vous cette question simple : est-ce que mes collègues vont comprendre, retenir et appliquer ce qui est écrit ?

Si la réponse est non, recommencez. Parce qu’une politique ignorée, c’est une sécurité affaiblie.

Vous avez des questions sur le sujet ou vous souhaitez rédiger une politique claire, compréhensible et utile ? Contactez-moi !