Une politique de sécurité de l'information pour un prestataire de services informatiques décrit, en langage simple et sur papier, la façon dont votre organisation gère l'accès, les équipements et les personnes qui y travaillent en votre nom. Pour un prestataire de services informatiques, cela tourne autour de trois choses principales : la façon dont vous gérez à distance les systèmes des clients, qui a accès à ces systèmes, et ce que vous organisez avec les sous-traitants qui prennent en charge une partie du travail. Sans ce document sur papier, il y a souvent une façon de travailler, mais rien que vous puissiez montrer si quelqu'un vous la demande.
Et on vous la demande. Un client qui relève lui-même de l'obligation de diligence de la directive NIS2 doit évaluer ses prestataires — et un prestataire de services informatiques se trouve souvent en haut de la liste, précisément parce qu'il a accès aux systèmes de plusieurs clients en même temps. Le questionnaire de sécurité qui suit demande rarement un document de politique épaisse. Il demande une réponse courte et reconnaissable à quelques questions récurrentes. Cette réponse est obtenue plus rapidement si la politique est déjà écrite, plutôt que de devoir la formuler à nouveau à chaque questionnaire.
Objet et champ d'application : ce que couvre la politique et ce qu'elle ne couvre pas
Le premier élément est simple mais souvent omis : pour qui s'applique cette politique, et sur quoi ne s'applique-t-elle pas. Pour un prestataire de services informatiques, cela signifie généralement une délimitation entre vos propres systèmes internes et les systèmes clients que vous gérez ou dans lesquels vous travaillez. Un lecteur — ou un client qui demande la politique — doit pouvoir voir en un paragraphe si elle porte sur votre propre automatisation administrative, sur l'infrastructure que vous gérez pour les clients, ou sur les deux. Sans cette délimitation, chaque section suivante est difficile à évaluer.
Gestion à distance : ce que vous établissez concrètement
Si vous gérez à distance les systèmes des clients, la politique doit indiquer comment ces connexions sont établies, quels outils sont utilisés et qui peut les démarrer. Il ne s'agit pas d'un manuel technique, mais des lignes qu'un client reconnaît : travaillez-vous avec une route d'accès fixe et contrôlée ou tout employé peut-il se connecter à tout moment, une session est-elle enregistrée, et que se passe-t-il si un appareil utilisé pour l'accès à distance est perdu ou remplacé. Les autorités de contrôle et les clients examinent cette section en particulier pour la clarté : y a-t-il une ligne dans la politique qui correspond à ce qui se passe réellement en pratique.
Accès aux systèmes clients : accords qui ressortent dans un questionnaire
L'accès aux systèmes clients est une question différente de la gestion à distance, même s'ils se chevauchent souvent en pratique. La politique décrit ici de préférence qui, au sein de votre organisation, a accès à quel environnement client, selon quel rôle, et comment cet accès est retiré lorsque quelqu'un change de fonction ou quitte l'entreprise. De nombreux questionnaires de sécurité des clients posent précisément cette question : non pas si vous avez une politique de mots de passe, mais si l'accès est lié à un rôle et régulièrement réexaminé. Celui qui a déjà cela par écrit n'a pas besoin de trouver la réponse au moment où le questionnaire arrive.
Sous-traitants : qui voit quoi, et qui en est responsable
Le troisième élément souvent absent chez un prestataire de services TIC est la position des sous-traitants. Si vous travaillez avec un tiers externe pour l'hébergement, une partie du support technique ou une gestion spécialisée, la politique doit préciser les conditions applicables : ce tiers a-t-il accès aux systèmes clients, et si oui, sous quelles conditions, et qui au sein de votre organisation est responsable en cas de problème chez ce sous-traitant. Un donneur d'ordre qui évalue votre politique souhaite souvent voir exactement cela — non pas parce que travailler avec des sous-traitants est un problème, mais parce que l'absence de clarté à ce sujet en est un.
Qui établit la politique et quand elle est révisée
Un dernier élément souvent oublié est la responsabilité : qui au sein de l'organisation a établi la politique et quand elle a été révisée pour la dernière fois. Dans une petite entreprise, c'est souvent le directeur lui-même ; dans une organisation un peu plus grande, cela peut être une personne désignée comme responsable. Plus important que le titre est qu'un nom et une date y soient associés, afin qu'un donneur d'ordre ou une autorité de contrôle puisse voir que le document n'a pas été établi et oublié par la suite.
Les éléments précis attendus dépendent du secteur dans lequel vous opérez et du donneur d'ordre qui pose la question. la base de connaissances avec des thèmes selon la situation fournit pour chaque situation un aperçu de ce qui s'y rapporte. Si vous souhaitez d'abord savoir si votre organisation est affectée par la directive NIS2 par le biais de la chaîne d'approvisionnement, alors une indication basée sur quelques questions vous aide à préciser cela. De nombreuses questions que les clients se posent à ce sujet reviennent dans les questions que d'autres prestataires de services TIC ont également posées, et celui qui souhaite savoir sur quoi sont basées ces réponses les retrouve via l'explication de nos sources et de notre méthode.
Si vous n'avez pas encore une image claire de la situation de votre organisation, commencez par le contrôle NIS2 gratuit. Il vous donne en quelques minutes une indication et une étape suivante, sans qu'un compte ne soit nécessaire.