Politiques de sécurité de l’information
Des politiques illisibles ne protègent personne. Nous rédigeons ou révisons un cadre clair, proportionné à votre taille, que vos équipes peuvent réellement appliquer.
Ce qu’on voit trop souvent
Le réflexe le plus coûteux, c’est de télécharger 40 politiques et d’y coller le logo. Personne ne les lit, personne ne sait quoi faire lundi matin, et l’audit le voit tout de suite.
- politique et procédure mélangées dans le même fichier
- des textes qui décrivent une banque, pas votre PME
- aucune approbation datée, aucune revue
- les équipes n’ont jamais été informées de ce qui les concerne
- un « pack ISO » acheté, jamais adapté aux outils réels
De quoi s’agit-il
Une politique dit l’intention de la direction : ce qui est attendu, pour qui, avec quelle autorité. Une procédure dit comment on s’y prend. ISO 27001 exige les deux, au bon niveau, pas une encyclopédie.
Nous rédigeons un cadre documentaire que votre équipe peut ouvrir : politique-cadre, politiques thématiques vraiment nécessaires, et le lien vers les procédures opérationnelles. Moins de pages, plus d’usage.
Où ça se situe dans ISO 27001
Le module ancre la clause 5.2 (politique) et alimente la maîtrise documentaire de la clause 7.5. Il ne remplace pas la gouvernance (périmètre, SoA) ni la sensibilisation.
Ce que comprend ce module
- Inventaire des politiques existantes
- Politique cadre et politiques thématiques essentielles
- Alignement sur vos risques, pas sur un modèle générique
- Processus de revue, d’approbation et de diffusion
Comment on travaille
Inventaire de l’existant
Ce qui existe déjà, ce qui est copié, ce qui n’est jamais lu. On garde ce qui est vrai.
Architecture documentaire
Politique-cadre, politiques thématiques, procédures. On sépare intention et mode d’emploi.
Rédaction adaptée
Textes calés sur vos outils, vos rôles et votre taille. Pas un roman, pas un gabarit vide.
Approbation et diffusion
Qui signe, où ça vit, comment les gens concernés en sont informés. Une politique non diffusée n’existe pas.
Ce que vous recevez
- Politique cadre de sécurité de l’information
- 4 à 8 politiques thématiques applicables (accès, fournisseurs, incidents, etc.)
- Registre de revue et d’approbation
- Plan de diffusion aux employés concernés
Pour qui
PME qui ont des documents trop longs, trop génériques, ou aucune politique approuvée par la direction.
Pour qui ce n’est pas
Ce module n’est pas la SoA, ni un programme de formation. Il n’écrit pas non plus 93 procédures, une par contrôle de l’Annexe A.
Durée type
3 à 6 semaines selon le volume à réécrire.
Ce que vous devez fournir
Vous donnez accès aux documents actuels, aux outils (partage de fichiers, RH, TI) et à un décideur qui peut signer. Un responsable métier par thème accélère le travail.
Limites de ce module
Ce module livre le cadre documentaire. La gouvernance (périmètre, SoA, classification) et la sensibilisation se traitent à part.
Questions fréquentes
- Faut-il une politique par contrôle de l’Annexe A ?
- Non. Une politique cadre et quelques politiques thématiques suffisent. Le reste se gère par procédures et preuves.
- Pouvez-vous partir de nos documents actuels ?
- Oui. Nous réécrivons ce qui est utilisable et retirons le jargon qui n’aide ni l’équipe ni l’auditeur.
- Qui doit signer les politiques ?
- La direction, ou la personne déléguée. Sans signature et date de revue, le document ne tient pas en audit.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.