Qu’est-ce qu’une politique de sécurité?+
C’est le document par lequel la direction fixe les règles de protection de l’information de l’organisation et désigne qui en répond. Elle dit ce qui doit se faire, par exemple que chaque compte de courriel utilise une deuxième étape de connexion. Les procédures expliquent ensuite comment appliquer chaque règle. Clients, assureurs et auditeurs demandent habituellement les deux.
De quelles politiques de sécurité une PME a-t-elle besoin?+
La plupart des petits bureaux ont besoin d’une politique de sécurité de l’information, d’une politique d’utilisation acceptable, d’une politique d’accès et de mots de passe, d’une procédure de sauvegarde et d’un plan d’intervention en cas d’incident. S’ajoutent souvent le télétravail, les fournisseurs et la conservation. L’ensemble exact dépend de vos clients, de votre assureur et des référentiels visés.
Que doit contenir une politique de sécurité de l’information?+
Elle indique l’information détenue, le membre de la direction qui répond de sa protection, les autres politiques et procédures applicables, l’approbation des exceptions et la date de révision. Elle reste courte et lisible. Le détail technique va dans les procédures, ce qui garde la politique stable pendant que les systèmes changent.
Peut-on simplement télécharger des politiques toutes faites?+
C’est possible, mais un document générique décrit des mesures que votre bureau n’a peut-être pas. Quand un assureur, un auditeur ou un client compare l’écrit à vos systèmes, ces différences deviennent des constats. Nous rédigeons chaque politique selon votre configuration réelle et inscrivons ce qui manque comme objectif daté, pour que ce que vous signez corresponde à ce que vous faites.
À quelle fréquence faut-il réviser les politiques de sécurité?+
Au moins une fois par année, et après tout changement important : nouveau système, passage à l’infonuagique, nouveau référentiel ou incident. Le cadre de cybersécurité 2.0 du NIST décrit comme résultat attendu une politique révisée selon l’évolution des exigences, des menaces, de la technologie et de la mission. Nous pouvons mener cette révision avec vous, sur entente.
Des politiques écrites suffisent-elles pour ISO 27001, SOC 2 ou CyberSécuritaire Canada?+
Elles en sont une partie nécessaire, et l’évaluateur externe vérifie aussi que les règles sont appliquées dans les faits. Le certificat ISO 27001 vient d’un organisme de certification accrédité, le rapport SOC 2 d’un cabinet de CPA, la certification CyberSécuritaire Canada d’un organisme du programme. Nos pages de préparation décrivent le reste du travail.
Les politiques peuvent-elles être rédigées en français et en anglais?+
Oui. Chaque document peut être rédigé en français, en anglais ou dans les deux langues, avec la même structure et la même numérotation : le personnel de Gatineau et d’Ottawa lit les mêmes règles, et une politique citée lors d’un audit reste le même document. Les langues sont fixées dans la lettre de mandat.
Combien coûte la rédaction de politiques de sécurité?+
Le prix dépend du nombre de documents, du nombre de personnes à rencontrer, des référentiels visés par le tableau, des langues et de la vérification ou non de vos systèmes. Après une conversation de 30 minutes, nous inscrivons un prix fixe dans la lettre de mandat, qui couvre exactement les documents qui y figurent.
