Introduction
L’IFAPME et les Centres de formation, soucieux de maîtriser les risques liés à leur système d’information et conscients des enjeux associés, ont décidé de mettre en œuvre une approche globale et cohérente de protection de leur patrimoine informationnel. Celui-ci peut exister sous diverse formes : information imprimée ou écrite sur papier, stockée électroniquement, parlée lors de conversations,...
Quelle que soit la forme que prend l’information et quel que soit le moyen de partage, de stockage ou de communication, elle doit toujours être protégée de manière adéquate face aux sources de vulnérabilités potentielles qui se renouvellent sans cesse.
En effet, comme toute institution, l’IFAPME et les Centres de formation doivent faire face à une multitude de risques et menaces. En cas de faille de sécurité, des informations essentielles peuvent être divulguées, faussées ou des services rendus indisponibles.
Ce document décrit les principes minimaux à respecter par l’ensemble des collaborateurs de l’IFAPME et des Centres de formation afin d’assurer une sécurité efficace et continue de leurs informations traitées et produites par les différents directions, services et centres de formation de l’IFAPME.
Par ailleurs, l’IFAPME et les Centres de formation sont soumis à différentes obligations légales et règlementations liées à leurs missions et à la sécurité de l’information. Le respect de ces exigences et le lien de confiance qui existent envers les membres du personnel et les bénéficiaires sont essentiels au maintien de sa réputation et de son bon fonctionnement.
Ce document s’inscrit dans la mise en œuvre d’un Système de Management de la Sécurité de l’Information (SMSI) largement inspiré des normes ISO 27001 et 27002, couvrant les systèmes d’information de l’IFAPME et des Centres de formation. Il doit permettre d’aboutir à un niveau de sécurité jugé adéquat en fonction des besoins métiers.
Champ d'application
Personnes concernées :
La politique globale de sécurité de l’information s’applique à tous les collaborateurs de l’IFAPME et des centres de formations qui sont utilisateurs de ses ressources informationnelles. Elle s’étend à tout tiers externe dûment autorisé à y accéder (sous-traitants, fournisseurs et partenaires).
Actifs concernés :
Elle s’applique à toute information détenue par l’IFAPME et les Centres de formation du réseau ou à laquelle l’IFAPME ou les Centre de formation ont accès, que cette information soit conservée ou non sur un support quelconque (y compris le papier), par l’IFAPME, les Centres de formation ou un tiers, les réseaux, les systèmes d’information, les logiciels, les équipements informatiques utilisés. Les éventuels systèmes d’information des fournisseurs et des partenaires de l’IFAPME et des Centres de formation sont également concernés dans la mesure où ils peuvent influer sur la sécurité du système d’information.
Activités concernées :
Elle concerne l’ensemble des activités composant le cycle de vie de l’information, à savoir : la définition, la collecte, l’enregistrement, le traitement, la modification, la diffusion, la conservation (archivage, sauvegarde et récupération), et la destruction (mise au rebut) des actifs informationnels de l’IFAPME et des Centres de formation du réseau, que ces activités soient conduites dans ses locaux ou à distance. La politique reste volontairement indépendante des technologies pour garantir, d’une part, son applicabilité dans tous les contextes techniques, d’autre part, la maîtrise de son processus d’évolution. La présente Politique est applicable sans restriction à tous les projets gérés par l’IFAPME et les Centres de formation.
Approche utilisée
Une Politique de Sécurité de l’Information efficace requiert un large ensemble de sous-politiques, de procédures, charte de bonnes pratiques associées. Les sous-politiques sont applicables à l’IFAPME et aux Centres de formation et donc discutées à l’échelle du Réseau tandis que les procédures et chartes peuvent différer d’une entité à l’autre puisque adaptées aux contextes respectifs.
Plutôt que d’utiliser un document unique pour exprimer la Politique de Sécurité de l’Information (PSI) qui serait difficile à communiquer et à diffuser le choix se porte donc sur une hiérarchie structurée de documents qui permet une plus grande souplesse dans le développement, l’évolution et la communication de la Politique de Sécurité de l’Information.
La présente politique traduit principalement l’engagement de l’IFAPME et les Centres de formation, les principes de base, les objectifs de l’organisation et, finalement, aborde l’ensemble des sujets de manière résumée. Ce document global intègre une simplification du vocabulaire afin de favoriser une appropriation rapide et maximale de la politique concernée par les membres du personnel visé.
Les politiques spécifiques plus détaillées et les procédures associées sont le prolongement pratique de
cette politique sur le terrain. Elles s’adressent plus concrètement aux utilisateurs et gestionnaires du
système d’information.
Gestion du risque
Les besoins en sécurité qui découlent de la PSI doivent pouvoir se baser sur une analyse systématique et répétable des risques encourus par l’IFAPME et les Centres de formation.
Les efforts et les coûts des mesures de sécurité mises en œuvre pour réduire les risques doivent être mis en équilibre avec l’ampleur des risques réellement encourus, par application du principe de proportionnalité. C’est précisément le but que poursuivent, d’une part, l’analyse des risques qui identifie, quantifie et prioritise les risques, d'autre part, le traitement des risques qui identifie les mesures de sécurité à mettre en place pour réduire ces risques à un niveau jugé acceptable tant par la direction de l’IFAPME que par les directions de Centres.
Les analyses de risques doivent impliquer les propriétaires des informations et du système d’information concernés, ainsi que le Conseiller en Sécurité de l’Information(CSI). C’est à partir de ces résultats, mis à disposition du CSI, qu’il guidera ses observations et pourra conseiller sur les actions à entreprendre selon les priorités à fixer et pour la mise en œuvre des mesures de sécurité appropriées pour mitiger les risques.
Engagement du management du Réseau IFAPME et objectifs visés
Garantir la sécurité de l’information constitue une priorité essentielle pour le management de l’IFAPME et des Centres de formation, qui s’engage dès lors dans ce sens.
Les directions de l’IFAPME et des Centres de formation souscrivent pleinement à cette PSI et soutiennent la création, la mise en œuvre et le maintien de politiques, procédures et standards liés à la sécurité de l’information.
Elle soutient que chaque personne ou service propriétaire d’informations ou de systèmes détient la responsabilité de la gestion des risques y afférent et de leur contrôle.
Elles assignent des responsabilités précises, prévoient l’organisation et l’encadrement nécessaire pour permettre la mise en œuvre de cette politique globale et s’assurer en permanence que :
- Les risques de sécurité sont identifiés et contrôlés pour que leurs impacts potentiels soient réduits;
- La sécurité de l’information est considérée comme une préoccupation importante au sein des activités du réseau IFAPME;
- La sécurité de l’information est gérée de manière professionnelle et selon une approche cohérente pour l’ensemble du Réseau.
Les directions de l’IFAPME et des Centres de formation endossent la responsabilité finale du contenu de la PSI et de la bonne communication de ce contenu aux personnes concernées.
Elles garantissent que les principes et objectifs de sécurité sont, d'une part, bien alignés avec la mission et les objectifs du Réseau et, d’autre part, en accord avec la législation et la réglementation en vigueur. Elles marquent dès lors leur soutien à la réalisation des objectifs suivants :
- Garantir la continuité de service et la disponibilité du système d’information de manière qu’une information puisse être accédée ou qu’un processus puisse rendre le service attendu en temps voulu et dans les conditions d’usage prévues ;
- Garantir l’intégrité des données « métier » critiques de manière que celles-ci ne soient ni détruites ni altérées d’aucune façon sans autorisation, à la suite d’une erreur ou une malveillance;
- Maintenir un niveau de confidentialité des données transitant par les supports de l’IFAPME et des Centres de formation en limitant la divulgation et l’utilisation de celle-ci aux seules personnes autorisées ;
- Garantir le respect de la vie privée des individus et des obligations légales se rapportant au traitement des données à caractère personnel ;
- Assurer la conformité au RGPD et le respect de sa PSI ;
- Sensibiliser et former les utilisateurs à la sécurité des actifs informationnels, aux conséquences d’une atteinte à leur sécurité ainsi qu’à leur rôle et leurs obligations en la matière ;
- Garantir que les aspects relatifs à la sécurité sont intégrés dans les contrats conclus avec les tiers (exemple ; les sous-traitants) ;
- S’assurer que la mise à disposition d’informations s’effectue au moyen d’un système de gestion des utilisateurs et des accès ;
- S’assurer que, lors du développement ou de l’acquisition des systèmes d’information, les mesures de sécurité adéquates seront intégrées, dès le début de la phase de projet et jusqu’à l’opérationnalisation de celui-ci ;
- Veiller à ce que les infractions à la politique de sécurité de l’information soient rapportées, examinées et traitées au moyen d’un processus de gestion des incidents ;
- Intégrer les processus critiques au processus de gestion des risques interne ;
- Assurer l’amélioration continue de la sécurité de l’information.
Sous-politiques basées sur l'ISO 27002 - Code de bonnes pratiques
Politique d’organisation de la sécurité de l’information
L’objectif de cette politique est d’assurer la mise en place d’une approche cohérente et professionnelle de gestion de la sécurité de l’information au sein du réseau IFAPME.
Politique de sécurité des ressources humaines
L’objectif de cette politique est de garantir que les collaborateurs du Réseau IFAPME comprennent leurs responsabilités et sont aptes à exercer le rôle qui leur est confié. Elle vise également à réduire le risque de vol, fraude ou abus des infrastructures informatiques mises à leur disposition.
Politique de gestion des actifs
L’objectif de cette politique est d’assurer la classification, la circulation, le stockage et la destruction des informations et du système d’information en fonction de critères de confidentialité, de disponibilité et d'intégrité.
Politique de contrôle des accès
L’objectif de cette politique est ; d’une part, de limiter les risques d’accès non autorisés afin de garantir l’intégrité et la confidentialité des données jugées sensibles et critiques ; d’autre part, de protéger les utilisateurs au regard de la réglementation, en limitant leur utilisation du système d’information aux stricts besoins de leurs activités professionnelles.
Politique de gestion de la cryptographie
L’objectif de cette politique est de garantir au sein du réseau de l’IFAPME l'utilisation correcte et efficace des mesures cryptographiques permettant de protéger la confidentialité, l'intégrité et l'authenticité des informations.
Politique de sécurité physique et environnementale
Les objectifs de cette politique sont ; d’une part, de préserver les actifs de l’IFAPME (équipements, informations, documents) des causes physiques pouvant induire un dommage et un dysfonctionnement des moyens nécessaires au fonctionnement des activités essentielles de l’IFAPME ; d’autre part, d’assurer un fonctionnement fiable des équipements techniques ou de sécurité.
Politique de sécurité liée à l’exploitation
L’objectif de cette politique est d’assurer une exploitation correcte et sécurisée du système d’information du réseau IFAPME.
Politique de sécurité des communications
L’objectif de cette politique est d’assurer la sécurité des différents réseaux informatiques du réseau IFAPME et de ses connexions externes et de maintenir la protection des informations y transitant. Le périmètre traité au sein de cette politique inclut :
- Les réseaux informatiques internes du Réseau IFAPME, filaires ou sans-fil ;
- Les connexions externes et les accès distants ;
- La messagerie électronique.
Politique d’acquisition, de développement et de maintenance des systèmes d’information
L’objectif de cette politique est d’assurer l’intégration de la sécurité lors de l’acquisition, du développement et de la maintenance du Systèmes d’Information de l’IFAPME ou d’un Centre de formation.
Politique de relations avec les fournisseurs
L’objectif de cette politique est de garantir la protection des actifs du Réseau IFAPME accessibles aux fournisseurs. Elle vise également à assurer le respect, par les fournisseurs, d’un niveau de sécurité adéquat défini explicitement dans les accords conclus avec eux.
Politique de gestion des incidents de sécurité
L’objectif de cette politique est d’assurer de manière standardisée une gestion des incidents de sécurité survenus au sein du réseau IFAPME afin d'adopter les mesures nécessaires pour en prévenir la reproduction.
Gestion de la continuité des activités
Les objectifs de cette politique sont :
- De pallier l’indisponibilité du système d’information (destruction totale ou partielle de la salle informatique, de serveurs, des moyens réseaux, ...) ;
- D’être conforme avec la réglementation en vigueur ;
- De préserver l’image de marque du Réseau IFAPME.
Cette politique vise donc à préparer le Réseau IFAPME face aux situations exceptionnelles créées par des sinistres majeurs. Elle doit également lui permet de faire face à des situations nécessitant un arrêt d’activité, telles qu’une mise en production ou un déménagement.
Politique de gestion de la conformité
L’objectif de cette politique est de s’assurer que l’IFAPME et les Centres de formation et leur système d’information soient conformes à toute obligation légale, réglementaire, statutaire ou contractuelle relative à la sécurité de l’information et puisse répondre aux exigences de sécurité qui y sont définies.
Cette politique aborde également la protection de la vie privée et protection des données à caractère personnel.
Sanctions
Toute personne qui, volontairement, par négligence ou par omission, va à l’encontre de la politique de sécurité de l’information ou qui contrevient aux mesures de sécurité de l’information en place engage sa responsabilité et s’expose à des sanctions « potentielles ».
Par toute personne est entendu : tout membre du personnel de l’IFAPME et des Centres de formation, tout autre tiers externe (fournisseur, partenaire, invité).
Les directions de l’IFAPME et des Centres de formation peuvent décider d’appliquer ou non de telles sanctions selon la nature, la gravité et les conséquences des dites actions. Le cas échéant, ils seront passibles de sanctions prévues au contrat le liant à son employeur (contrat tiers ou contrat de travail), ou en vertu des dispositions de la législation applicable en la matière.
Dispositions générales
Entrée en vigueur
La présente politique entre en vigueur à la date de son approbation par le conseil du Réseau IIFAPME.
Diffusion
Des mesures adéquates sont mises en place pour sensibiliser et impliquer chaque collaborateur qui est l’acteur principal de la protection des informations. Une utilisation responsable des ressources est favorisée au moyen de :
- La diffusion de cette politique,
- La vulgarisation des termes et des concepts pour que chacun puisse se l’approprier,
- La formation des collaborateurs dès leur engagement,
- La mise à disposition de ces documents sur la gestion documentaire électronique,
- Les campagnes de sensibilisation et formations dispensées de manière périodique.
Évaluation et révision
Ce document sera revu périodiquement, selon un processus d’évaluation permanente et de mise en adéquation de la politique aux nouvelles vulnérabilités, menaces ou changements dans l'infrastructure. La périodicité de la revue de la politique globale et des sous- politiques est trisannuelle ou plus fréquemment si des changements majeurs dans l’organisation entre l’IFAPME et les Centres de formation se produisent, en tenant compte des évolutions règlementaires et technologiques.
Toute modification à la présente politique est ensuite soumise au CRI pour approbation.