Les politiques et procédures sont les instruments écrits qui expriment comment une organisation entend protéger ses informations et ses systèmes et comment cette intention se concrétise en pratique. Elles forment une hiérarchie. Les politiques énoncent une intention de haut niveau et la position de la direction, les normes définissent des exigences obligatoires précises telles que des configurations requises, les lignes directrices proposent des pratiques recommandées, et les procédures donnent des instructions pas à pas pour réaliser une tâche.
Dans la gouvernance, cet ensemble documentaire est le pont entre la stratégie et l'exécution. La direction approuve la politique pour signaler le cap et la responsabilité, et les niveaux inférieurs déclinent ce cap en exigences de plus en plus concrètes que le personnel peut suivre de façon cohérente. La hiérarchie maintient les principes stables à l'écart des détails qui changent plus souvent, de sorte qu'une modification d'une norme technique n'oblige pas à rouvrir une politique approuvée par le conseil d'administration.
Des politiques et procédures claires sont importantes car elles rendent explicite le comportement attendu, favorisent des décisions cohérentes et fournissent la référence à l'aune de laquelle les audits et les enquêtes sont évalués. Elles démontrent aussi la diligence raisonnable aux régulateurs et aux clients.
Des documents efficaces sont dotés d'un propriétaire, gérés en versions, revus selon un calendrier et communiqués aux personnes qu'ils encadrent. Une politique que personne ne lit ou qui n'est jamais mise à jour n'offre guère de protection, si bien que l'adoption et la revue périodique font partie du travail, et non d'une considération secondaire.
Références#
- ISO/IEC 27002, Mesures de sécurité de l'information, qui traite des politiques documentées et des procédures d'exploitation.
- NIST SP 800-53, Security and Privacy Controls for Information Systems and Organizations.