Chapitre 616 minIntermédiaire
PSSI et charte informatique : rôle et contenu
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- expliquer le rôle d'une PSSI et son lien avec l'analyse de risques ;
- situer PSSI, politiques, procédures et charte informatique ;
- dire à quelle condition une charte informatique s'impose aux salariés ;
- rédiger des règles de charte claires, reliées à un risque.
4 exercices corrigés1 schéma
La PSSI (politique de sécurité des systèmes d'information) est le document de référence dans lequel la direction fixe les objectifs, les règles et l'organisation de la sécurité de son système d'information. La charte informatique traduit une partie de ces règles pour les utilisateurs ; elle devient opposable aux salariés, et donc sanctionnable, quand elle est annexée au règlement intérieur. Ce chapitre explique ce que contiennent ces deux documents, comment ils découlent de l'analyse de risques, qui fait quoi, et comment rendre une charte applicable, une question déjà posée à l'E7.
La PSSI : de l'analyse de risques aux règles
Une PSSI répond à la question : quelles règles de sécurité l'organisation s'impose-t-elle, et pourquoi ? Le « pourquoi », c'est l'analyse de risques : chaque règle importante doit répondre à un risque identifié. Sans analyse, une PSSI recopie un modèle trouvé sur Internet ; avec, elle protège ce qui compte vraiment pour cette organisation.
Les sujets d'E7 placent souvent la PSSI au départ du contexte. En 2025, la directrice des systèmes d'information de l'organisation cliente avait défini une PSSI, et c'est dans ce cadre qu'il fallait procéder à une analyse des risques. En 2024, la PSSI prévoyait plusieurs mesures : des actions de sensibilisation, l'application stricte de la charte informatique et le chiffrement des données personnelles et sensibles.
Une PSSI est :
- validée par la direction : sans engagement de la direction, elle reste un vœu pieux, et personne ne débloque de budget ;
- adaptée à l'organisation : une PSSI de laboratoire médical ne ressemble pas à celle d'une agence de communication ;
- applicable : des règles que personne ne peut respecter décrédibilisent tout le document ;
- révisée régulièrement : après une nouvelle analyse de risques, un incident, un changement d'organisation.
Le contenu type d'une PSSI
Il n'existe pas de plan imposé, mais une PSSI couvre en général les mêmes thèmes. Voici une structure courante, avec un exemple de règle de Rhône Analyses pour chacun.
| Thème | Ce qu'on y trouve | Exemple de règle chez Rhône Analyses |
|---|---|---|
| Périmètre et enjeux | Ce que couvre la politique, les valeurs métier, les obligations légales | La politique couvre les six laboratoires, le portail MonRésultat et les prestataires ayant un accès au SI |
| Organisation et responsabilités | Qui décide, qui pilote, qui applique | La directrice valide la PSSI ; Claire Fabre, RSSI, la pilote ; chaque responsable de laboratoire la fait appliquer |
| Classification des informations | Les niveaux de sensibilité et les règles associées | Les résultats et dossiers patients sont classés « secret médical » : stockage chiffré, accès nominatif |
| Gestion des accès et des comptes | Création, revue, suppression des comptes ; mots de passe ; second facteur | Tout accès depuis l'extérieur exige un second facteur ; les droits sont revus chaque semestre |
| Postes de travail et mobilité | Configuration, mises à jour, chiffrement, supports amovibles | Les disques des portables sont chiffrés ; les clés USB personnelles sont interdites sur les postes de laboratoire |
| Réseau et infrastructure | Cloisonnement, filtrage, accès distants, Wi-Fi | Les automates sont isolés dans un réseau dédié ; le Wi-Fi des patients n'a accès qu'à Internet |
| Développement et applications | Exigences de sécurité dans les projets, tests, gestion des vulnérabilités | Toute nouvelle fonctionnalité du portail passe une revue de sécurité et des tests d'accès avant la mise en production |
| Sauvegarde et continuité | Fréquence, conservation, tests, plan de continuité | Sauvegarde quotidienne, une copie déconnectée, restauration testée chaque trimestre |
| Gestion des incidents | Signalement, traitement, notification | Tout incident suspecté est signalé immédiatement au support ; les violations de données sont notifiées à la CNIL dans les 72 heures |
| Prestataires | Exigences contractuelles, accès, contrôles | Tout prestataire signe un engagement de confidentialité ; ses accès sont ouverts à la demande |
| Sensibilisation | Formation, campagnes | Formation annuelle obligatoire, exercice d'hameçonnage simulé deux fois par an |
| Conformité et contrôle | Audits, indicateurs, révision | Revue annuelle de la PSSI ; audit externe tous les deux ans |
Qui fait quoi
| Acteur | Rôle en sécurité |
|---|---|
| Direction | Fixe les objectifs, valide la PSSI, alloue le budget, accepte les risques résiduels |
| RSSI (responsable de la sécurité des systèmes d'information) | Pilote l'analyse de risques, rédige et fait vivre la PSSI, conseille, contrôle, gère les incidents de sécurité. Dans une PME, c'est souvent une casquette du responsable informatique |
| DSI ou service informatique | Met en œuvre les mesures techniques, administre les systèmes, applique les procédures |
| DPO (délégué à la protection des données) | Veille au respect du RGPD, conseille sur les analyses d'impact, est le contact de la CNIL (chapitre 8) |
| Responsables métier | Expriment les besoins DICP, sont propriétaires des risques de leur activité |
| Utilisateurs | Respectent la charte, signalent les incidents |
| Prestataires | Respectent les clauses de sécurité de leur contrat et la charte s'ils accèdent au SI |
La pyramide documentaire
La PSSI n'est pas un document unique de 200 pages. Elle se décline en plusieurs niveaux, du plus stable au plus détaillé.
| Niveau | Document | Public | Exemple |
|---|---|---|---|
| Stratégique | PSSI | Direction, RSSI, encadrement | « Tout accès distant au SI exige une authentification à deux facteurs. » |
| Tactique | Politiques thématiques | Équipe informatique | Politique d'accès distants : VPN, outils autorisés, second facteur, journalisation |
| Opérationnel | Procédures, consignes | Techniciens | Procédure d'ouverture d'un accès de télémaintenance à la demande |
| Utilisateurs | Charte informatique, guides | Tous les salariés et prestataires | « Ne communiquez jamais votre mot de passe, y compris au support informatique. » |
La charte informatique
La charte informatique (ou charte d'utilisation des moyens informatiques) fixe les droits et devoirs des utilisateurs du système d'information. Elle est rédigée simplement, pour être comprise par tous. Son contenu habituel :
- le périmètre : à qui elle s'applique (salariés, stagiaires, intérimaires, prestataires) et quels moyens elle couvre (postes, téléphones, messagerie, Internet, applications) ;
- les comptes et mots de passe : usage strictement personnel, interdiction de les communiquer, verrouillage de la session ;
- l'usage des outils : usage professionnel, tolérance d'un usage personnel raisonnable, interdiction d'installer des logiciels, règles pour les supports amovibles et les services en ligne non autorisés ;
- les données : confidentialité, données personnelles, classement des fichiers ;
- la mobilité et le télétravail : protection du matériel, connexion par le VPN, réseaux Wi-Fi publics ;
- le signalement : que faire face à un courriel suspect, une perte de matériel, un comportement anormal ;
- les contrôles : les journaux conservés, les contrôles possibles et leurs conditions, car le Code du travail interdit de collecter des informations sur un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L. 1222-4) ;
- les sanctions en cas de manquement.
Les administrateurs ont des droits étendus : beaucoup d'organisations leur font signer une charte administrateur spécifique, qui encadre l'usage de ces droits (pas de consultation des messageries ou des fichiers personnels sans motif et sans procédure, confidentialité sur ce qu'ils voient, traçabilité de leurs actions).
Rendre la charte opposable aux salariés
Une charte simplement envoyée par courriel n'a pas de valeur contraignante : en cas de manquement, l'employeur aura du mal à sanctionner sur ce fondement. Pour qu'elle s'impose aux salariés, la solution la plus sûre est de l'annexer au règlement intérieur. Elle suit alors la même procédure que lui (article L. 1321-4 du Code du travail) :
- avis du comité social et économique (CSE) ;
- communication à l'inspection du travail ;
- dépôt au greffe du conseil de prud'hommes ;
- information des salariés, par affichage ou tout moyen la portant à leur connaissance.
Le règlement intérieur est obligatoire dans les entreprises d'au moins 50 salariés (article L. 1311-2 du Code du travail). Dans une entreprise plus petite qui n'en a pas, la charte peut être annexée au contrat de travail et signée par chaque salarié ; elle ne s'impose alors qu'à ceux qui l'ont signée. Pour les personnes qui ne sont pas salariées (prestataires, intérimaires, stagiaires), on leur fait signer la charte ou on l'intègre au contrat avec leur employeur.
C'est exactement la question B1.2 du sujet 2024 de l'option SLAM : préciser à quelle condition réglementaire la charte informatique peut s'imposer aux employés. La réponse attendue : son annexion au règlement intérieur, avec la procédure qui l'accompagne.
Charte, sanctions et responsabilité
Un manquement à une charte opposable est une faute que l'employeur peut sanctionner (avertissement, mise à pied, voire licenciement selon la gravité), dans le respect de la procédure disciplinaire. Indépendamment de la charte, certains faits sont des infractions pénales : accéder ou se maintenir frauduleusement dans un système informatique est puni de trois ans d'emprisonnement et de 100 000 € d'amende (article 323-1 du Code pénal, dans sa version issue de la loi du 24 janvier 2023).
Exemple, inspiré du même sujet 2024 : un salarié confie ses identifiants à un stagiaire pour qu'il se connecte à l'intranet.
- Le salarié manque à la charte (les identifiants sont personnels et ne se communiquent pas) : c'est une faute disciplinaire. Il reste responsable des actions faites avec son compte, puisque les journaux les lui attribuent.
- Le stagiaire utilise un accès qui ne lui a pas été attribué : selon les circonstances, cela peut constituer un accès frauduleux, même s'il pensait bien faire, et sa convention de stage l'engage en général à respecter les règles de l'organisation.
- Pour l'organisation, la preuve est perdue (on ne sait plus qui a fait quoi) et le principe du moindre privilège est contourné.
Les autres documents et guides de référence
La PSSI s'appuie sur des référentiels publics, utiles à citer dans une copie et gratuits en ligne :
| Document | Éditeur | Ce qu'il apporte |
|---|---|---|
| Guide d'hygiène informatique | ANSSI | 42 mesures de base pour sécuriser un système d'information, une excellente base de socle de sécurité |
| Guide de la sécurité des données personnelles (édition 2024) | CNIL | Les mesures attendues pour protéger des données personnelles, sous forme de fiches |
| Recommandation sur les mots de passe (2022) | CNIL | Les règles de longueur et de complexité selon le contexte d'authentification |
| Attaques par rançongiciels, tous concernés | ANSSI | Prévention et réaction face à un rançongiciel |
| Guides et fiches EBIOS Risk Manager | ANSSI | La méthode d'analyse de risques (chapitre 4) |
Comment la PSSI et la charte tombent à l'E7
- 2024 (SLAM) : la PSSI fixe des mesures ; on demande la condition pour que la charte s'impose aux employés, puis d'analyser le cas d'un salarié qui a divulgué ses identifiants (infractions, faute du stagiaire, risques encourus).
- 2025 (SLAM) : la PSSI justifie l'analyse de risques ; une nouvelle politique de mots de passe (changement tous les six mois, interdiction de reprendre l'un des cinq derniers) doit être implémentée dans la base de données par un déclencheur.
Retiens le lien : analyse de risques → PSSI → politiques et procédures → charte et réglages techniques. Une question sur une règle de sécurité attend souvent que tu cites le risque qu'elle traite.
Pour aller plus loin. La valeur juridique de la charte et les limites du contrôle des salariés sont développées dans le chapitre Charte informatique du cours Droit et RGPD, et la sensibilisation des utilisateurs dans le chapitre Sensibiliser les utilisateurs du cours Cybersécurité : les fondamentaux.
Exercices
Exercice 1 sur 4 PSSI, politique, procédure ou charte ? Réussi À revoir
Dans quel document trouve-t-on normalement chacune de ces phrases ?
- « La sécurité du système d'information est une priorité de la direction ; elle repose sur une analyse de risques revue chaque année. »
- « Ne branchez jamais une clé USB trouvée ou offerte sur un poste de l'entreprise. »
- « Pour restaurer un fichier : ouvrir la console de sauvegarde, sélectionner le serveur, puis la date… »
- « Les mots de passe des comptes d'administration comptent au moins 15 caractères et sont stockés dans un coffre-fort de mots de passe. »
Voir la réponseMasquer la réponse de l'exercice 1
- La PSSI : un principe stratégique, porté par la direction.
- La charte informatique : une consigne pour tous les utilisateurs, en langage simple.
- Une procédure : des étapes opérationnelles pour un technicien.
- Une politique thématique (politique de mots de passe ou de gestion des comptes à privilèges), destinée à l'équipe informatique.
Tu avais trouvé ?
Exercice 2 sur 4 La charte est-elle opposable ? Réussi À revoir
Pour chaque situation, dis si l'employeur peut s'appuyer sur la charte pour sanctionner, et pourquoi.
- Une entreprise de 120 salariés a annexé sa charte au règlement intérieur après avis du CSE ; elle l'a transmise à l'inspection du travail, déposée au greffe du conseil de prud'hommes et affichée.
- Une entreprise de 200 salariés a envoyé sa charte par courriel à tout le monde, sans autre formalité.
- Une entreprise de 20 salariés, sans règlement intérieur, fait signer la charte à chaque nouvel embauché avec son contrat depuis 2024. Un salarié embauché en 2019, qui ne l'a jamais signée, ne la respecte pas.
Voir la réponseMasquer la réponse de l'exercice 2
- Oui : la charte est annexée au règlement intérieur, et la procédure de l'article L. 1321-4 du Code du travail a été suivie (avis du CSE, inspection du travail, greffe, information des salariés).
- Non, pas sur ce fondement : un simple envoi ne rend pas la charte contraignante. L'entreprise, qui a plus de 50 salariés et donc un règlement intérieur obligatoire, doit l'y annexer en suivant la procédure. Un comportement gravement fautif peut toutefois être sanctionné sur d'autres fondements (obligation de loyauté, infraction pénale).
- Non pour ce salarié : sans règlement intérieur, une charte annexée au contrat de travail ne s'impose qu'aux salariés qui l'ont signée. L'entreprise doit lui faire signer, par exemple par un avenant, ou adopter un règlement intérieur volontairement.
Tu avais trouvé ?
Exercice 3 sur 4 Rédiger des règles de charte (SLAM et SISR) Réussi À revoir
Une agence immobilière de 30 salariés généralise le télétravail deux jours par semaine. Rédige cinq règles de charte informatique pour les télétravailleurs, chacune en une phrase claire, et indique pour chacune le risque qu'elle réduit.
Voir la réponseMasquer la réponse de l'exercice 3
Exemple de réponse :
- « Connectez-vous aux applications de l'agence uniquement par le VPN fourni, avec votre code de double authentification. » Risque : interception des échanges et accès d'un tiers avec un mot de passe volé.
- « Verrouillez votre session dès que vous quittez votre poste, même chez vous. » Risque : consultation des dossiers clients par un proche ou un visiteur (confidentialité).
- « N'utilisez pas votre ordinateur professionnel pour un usage familial et ne le prêtez à personne. » Risque : installation d'un logiciel malveillant par un autre utilisateur.
- « Enregistrez vos documents sur l'espace de stockage de l'agence, jamais sur une clé USB ou un service en ligne personnel. » Risque : perte ou fuite de données et absence de sauvegarde.
- « Signalez immédiatement au support la perte ou le vol de votre matériel, ou tout courriel suspect. » Risque : réaction tardive à un incident (blocage du compte, effacement à distance).
Toute règle claire, applicable et reliée à un risque est acceptée. Une règle impossible à respecter (« ne jamais ouvrir de pièce jointe ») est à éviter.
Tu avais trouvé ?
Exercice 4 sur 4 Des identifiants prêtés Réussi À revoir
Dans un cabinet comptable, une collaboratrice en congé communique son identifiant et son mot de passe à un collègue pour qu'il valide des déclarations à sa place. Une erreur dans une déclaration provoque une pénalité pour un client.
- Quels critères DICP cette pratique dégrade-t-elle ?
- Quelle règle de la charte est enfreinte, et par qui ?
- Propose une mesure organisationnelle et une mesure technique pour que la situation ne se reproduise pas.
Voir la réponseMasquer la réponse de l'exercice 4
- Surtout la preuve : les journaux attribuent les validations à la collaboratrice, alors qu'elle était absente ; impossible d'établir qui a commis l'erreur. Aussi la confidentialité (le collègue accède à des dossiers qui ne lui étaient peut-être pas attribués) et le principe du moindre privilège.
- La règle « les identifiants sont strictement personnels et ne doivent pas être communiqués ». La collaboratrice l'enfreint en les communiquant ; le collègue en les utilisant.
- Organisationnelle : une procédure de délégation pendant les absences (le responsable attribue temporairement les dossiers à un collègue, avec ses propres identifiants). Technique : une fonction de délégation ou de rôle temporaire dans le logiciel, et le second facteur sur le téléphone de la titulaire, qui rend le partage du mot de passe inutile, car il ne suffit plus pour se connecter.
Tu avais trouvé ?