PSSI & documentation sécurité Politique de sécurité informatique (PSSI) : construisez un cadre de sécurité adapté à votre entreprise

PSSI signifie Politique de Sécurité des Systèmes d'Information. C'est l'acronyme usuel, en France, pour désigner le document cadre de la politique de sécurité informatique. Voir la définition →

La PSSI est le document cadre qui définit les règles de sécurité applicables au système d'information d'une organisation. Elle traduit les objectifs de sécurité en règles concrètes : responsabilités, accès, utilisation des outils, protection des données, gestion des incidents, sauvegardes, prestataires et continuité. Voir ce qu'est une PSSI →

Elle sert à formaliser les règles, responsabilités et exigences de sécurité : qui décide, quelles pratiques sont attendues, comment réagir en cas d'incident et comment contrôler. Elle aligne direction, IT, métiers et prestataires sur un cadre commun, applicable au quotidien — pas un document théorique oublié dans un dossier. Voir ce qui rend une PSSI exploitable →

Une PSSI couvre généralement la gouvernance et les responsabilités, la gestion des accès, la sécurité des postes et des équipements, les réseaux et infrastructures, les sauvegardes, la gestion des incidents, la sécurité des prestataires, le télétravail et la mobilité, la continuité d'activité et le contrôle. Le contenu exact est calibré selon le SI, les risques, l'activité et les exigences applicables. Les politiques et procédures opérationnelles (charte, accès, incidents, sauvegarde…) précisent ensuite comment l'appliquer. Voir le contenu type d'une PSSI →

On cadre le périmètre, on analyse l'existant, on interviewe les métiers et l'IT, on définit responsabilités et principes, on rédige un document applicable — pas un modèle générique —, on fait valider par la direction, on déploie, puis on contrôle et on revoit. Une PSSI se construit avec les équipes, elle ne s'importe pas d'un modèle. Voir la méthode de rédaction →

La direction en porte la responsabilité. La rédaction est généralement menée par le RSSI, la DSI ou un prestataire, avec les métiers concernés. Ce n'est pas un document « IT seul » : sans validation de la direction et appropriation des équipes, elle reste lettre morte.

Une PSSI nommée comme telle n'est pas universellement obligatoire pour chaque entreprise. Elle devient exigée ou fortement attendue selon les obligations particulières et le contexte : certification ISO 27001, NIS2, marchés publics, contrats clients, secteurs réglementés. Même hors obligation formelle, elle reste utile dès que le SI, les données ou les prestataires le justifient.

La PSSI est le document de gouvernance global destiné à structurer la sécurité du SI. La charte informatique définit les règles d'utilisation des outils numériques applicables aux utilisateurs (mots de passe, messagerie, équipements, Internet, logiciels, stockage, comportements attendus). La charte peut découler de la PSSI, mais elle ne la remplace pas. Voir PSSI vs charte informatique →

La PSSI est le document cadre : elle pose les orientations et les règles de sécurité. Le SMSI (système de management de la sécurité de l'information), notamment selon ISO 27001, organise plus largement le management : gouvernance, risques, objectifs, contrôles, amélioration et preuves. La PSSI est une brique du SMSI, pas le SMSI. Voir le lien PSSI / ISO 27001 →

Une PSSI structurée constitue une brique importante d'une démarche ISO 27001. Rédiger une PSSI ne suffit pas à obtenir une certification : le SMSI exige aussi risques, contrôles, preuves et amélioration continue. Voir PSSI et ISO 27001 →

La PSSI pose le cadre de sécurité, y compris des principes de continuité. Le Plan de Continuité d'Activité (PCA) est un plan opérationnel : comment l'entreprise continue à fonctionner en mode dégradé pendant un incident. C'est un travail de résilience plus lourd qu'un simple chapitre de PSSI ; il est dimensionné selon la complexité du SI et peut faire l'objet d'un cadrage spécifique.

Le PCA (Plan de Continuité d'Activité) définit comment l'entreprise continue à fonctionner en mode dégradé pendant un incident. Le PRA (Plan de Reprise d'Activité) définit comment revenir à un fonctionnement normal après l'incident. Ils sont complémentaires, pas interchangeables. Un PCA ou un PRA complets font l'objet d'un cadrage spécifique.

Oui, comme base de réflexion — mais pas comme document opérationnel sans adaptation. Un modèle générique ne reflète ni votre SI, ni vos métiers, ni vos obligations. Il ne passe généralement pas un audit ISO 27001. Voir l'écart entre modèle et PSSI exploitable →

À titre indicatif : PSSI Essentielle 1 800–3 500 € HT, PSSI + procédures opérationnelles 3 500–6 500 € HT, gouvernance sécurité complète 5 000–9 000 € HT+. Le prix dépend notamment de la taille du SI, des sites, des entités, de la maturité, de la documentation, du nombre de politiques filles, des exigences sectorielles, du besoin de PCA/PRA, des entretiens, de la formation et du déploiement. Un PCA ou un PRA complets font l'objet d'un cadrage spécifique. Voir les tarifs →

En pratique, compter souvent 4 à 8 semaines, selon le périmètre, la documentation disponible, le nombre d'entretiens et le délai de validation. Une PSSI essentielle peut aller plus vite ; une gouvernance complète, avec procédures, formation et déploiement, prend davantage de temps. Ce n'est pas une durée universelle. Voir les étapes de rédaction →

Une mise à jour annuelle n'est pas une obligation universelle : cela dépend du contexte et des exigences applicables. Une revue périodique est recommandée, mais surtout chaque évolution importante (nouvel outil, cloud, incident, fusion, réglementation, prestataire critique) doit conduire à vérifier si la politique reste adaptée. Voir les déclencheurs de mise à jour →

Non. Elle organise les règles de sécurité mais doit être accompagnée de mesures techniques, humaines et organisationnelles réellement mises en œuvre : accès, sauvegardes, détection, sensibilisation, procédures d'incident. Sans application, la PSSI reste un document. Voir le parcours audit, pentest, protection et ISO 27001 →