Organisation de la SSI en entreprise - Structuration et déploiement

Lorganisation de la SSI (Sécurité des systèmes d’information) peut être vue selon plusieurs approches complémentaires. Il s’agit à la fois d’un sujet de gouvernance du risque, mais aussi d’un ensemble de mesures organisationnelles, techniques, mais aussi de moyens organisés autour d’objectifs de sécurité déployés dans une organisation.

« Organiser la sécurité des systèmes d’information est toujours un balancier entre objectifs de sécurité d’une part et expérience utilisateurs d’autre part, les deux sous contrainte de ressources, mais aussi de temps. L’une de nos difficultés est de ne pas tomber dans un tout sécuritaire qui réduirait drastiquement les performances ni de tomber dans l’autre travers conduisant à omettre la sécurité sous contrainte d’efficiences et d’efficacité uniquement financière ou commerciale. On doit en permanence osciller entre le Safety first et le business first, les deux enjeux ont leurs pratiques non négociables soit des limites de risque à ne pas franchir dans le cas de la sécurité et la nécessaire prise en compte des besoins opérationnels dans l’autre cas et c’est cela qu’il faut tenter d’organiser… », nous expliquait un responsable sécurité des systèmes d’information d’un groupe industriel interrogé en 2024.

Organiser la sécurité des systèmes d’information suppose plusieurs enjeux : définir les grandes lignes et principes à respecter dans une organisation.

On peut la voir, par exemple, sous celui de principes essentiels ; le plus important d’entre eux étant sans conteste de ne jamais oublier que la sécurité passe d’abord par les acteurs du système. Mais, énoncer des principes n’est pas suffisant, il faut aussi dire quelles conséquences il convient d’en tirer sur le plan de l’organisation : perte de réputation, dégradation de la qualité de service lié à une interruption des SI, pertes financières associées, sanctions règlementaires pour non-respect de l’article 32 du RGPD (Règlement général sur la protection des données) prévoyant la sécurisation des traitements de données personnelles, par exemple.

La SSI sous l’angle de l’articulation entre la technique et l’organisation, car les moyens techniques, ainsi que la sécurité, ne sont pas une fin en soi, mais sont au service d’objectifs de sécurité définis au regard d’un cadre de gestion des risques TIC dédié. Il revient à l’entreprise de définir ses priorités de traitement des risques TIC/numériques et de définir l’allocation des moyens de détection de prévention et de réaction sur les risques dits prioritaires. À titre illustratif face au risque d’intrusion externe, parfois appelée cyberattaque, les moyens mis en œuvre vont consister à décliner à la fois des solutions techniques et organisationnelles, mais aussi des solutions privilégiant...