Informations documentées

Etablir un référentiel documentaire est nécessaire pour que les objectifs de sécurité poursuivis par le SMSI soient atteints, vérifiés et documentés. Le référentiel documentaire permet que les politiques, processus, procédures, preuves et enregistrements du SMSI soient rédigée et conservées de façon sécurisée par l'organisation.

Le présent référentiel documentaire prend la forme d'un Wiki. Ce mode de gestion documentaire répond aux exigences portant sur la gestion des informations documentaires : mise à jour, description et approbation des différents versions des documents, …

Les enregistrements du SMSI (Indicateurs, supports d'audit, de Copil,…) sont stockés par l'organisation.

Les documents sont hiérarchisés par niveau : la Politique de sécurité est le document de plus haut niveau du SMSI. S'ajoutent à celle-ci d'autres documents appelés politiques thématiques qui constituent le socle documentaire du SMSI.

Les procédures opérationnelles portent un chapeau appelé “politique thématique” qui rappelle les enjeux, objectifs et contribution de chaque procédure opérationnelle à l'amélioration de la sécurité du système d'information et à l'atteinte des objectifs de sécurité.

• Le responsable de l'Organisation s'assure que le documentation est correcte et à jour. Il relit et valide la rédaction des différentes procédures.

• Le chargé d'exécution du SMSI est en charge de la rédaction de certaines procédures, politiques et modes opératoire du SMSI. Il est aidé en cela par les personnels de l'Organisation pour la rédaction des procédures d'exploitation
• Les personnels de l'Organisation ont pour mission de signaler l'absence d'une procédure nécessaire à l'activité. Ils peuvent aussi faire remonter des améliorations ou des évolutions à apporter aux procédures existantes.

Les informations documentées sont organisées en différents types de documents au travers du présent site pour faciliter et expliciter les chaînages. Les types de documents sont :

• Les référentiels normatifs (ISO 27001 et son annexe A, référentiel HDS, PSSIE)
• Les procédures propres au fonctionnement du SMSI
• Les procédures opérationnelles pour le fonctionnement de l'Organisation
• Les modes opératoires à l'appui de ces procédures
• L'analyse et le traitement des risques
• La planification et l'exécution des actions
• Les enregistrements d'exécution des procédures

Les exigences propres à l'ISO 27001 et au référentiel HDS sont récapitulées dans des pages dédiées, et complétées d'un paragraphe explicatif comportant des liens vers les preuves de respect de ces exigences.

Pour l'annexe A, une page est dédiée à chacune des mesures de l'annexe, détaillant les attentes typiques de mise en œuvre de la mesure, le statut de la mesure (effective, programmée ou non retenue), la mise en œuvre effective et les preuves à l'appui. Celles-ci n'ont qu'un rôle de référencement et ne doivent pas contenir d'instructions qui ne seraient pas reprises dans une procédure du SMSI et/ou une procédure opérationnelle.

Les procédures propres au fonctionnement du SMSI sont référencées dans les pages Politique de sécurité et Procedures_operationnelles. Elle comportent une déclaration de politique de sécurité, qui en est la partie communicable aux parties prenantes, et des procédures à usage interne.

Ces procédures sont destinées à l'équipe de pilotage du SMSI. Elles sont toutefois consultables par l'ensemble des personnels ayant accès au site.

A des fins d’accessibilité et d'intelligibilité, les politiques thématiques sont incluses en tête des procédures correspondantes dans un chapitre Politique ... qui en précise les objectifs fondés notamment sur les attendus des mesures de sécurité.

Les procédures opérationnelles concernent le fonctionnement de l'Organisation,. Elles sont, pour la plupart rattachées à des classes d'actifs sensibles. Elles définissent des rôles, des responsabilités et des processus, mais ne fixent pas le détail des actions, qui est reporté aux modes opératoires. Elles sont rédigées par le responsable de l'Organisation et le chargé d'exécution du SMSI. et sont communiquées au reste de l'Organisation au moyen du présent site.

La mise à jour des procédures est faite en tenant compte : des vulnérabilités techniques constatées ou connue, des analyses post-mortem des incidents de sécurité, des conclusions des audits, de certification ou de conformité, des revues de configuration, d'un changement ou de la mise en place d'un nouveau projet.

Les modes opératoires sont des guides pratiques saisis directement par les intervenants, sans validation préalable par le COPIL SMSI, et permettant de consigner le détail des opérations pour une action ou une procédure.

L'analyse et le traitement des risques s'appuient sur trois modèles des pages:

• Les pages de risque décrivent un événement redouté, sa gravité, sa décision de traitement, et le lient à l'ensemble des scénarios pouvant mener à l'occurrence de l'événement redouté.
• Les pages de scénario décrivent un scénario pouvant amener à l'occurrence d'un ou plusieurs événements redoutés, ses vraisemblances actuelle (en l'état courant des mesures de mitigation) et future (en l'état à venir des mesures de mitigation), ainsi que l'ensemble des mesures pertinentes parmi celles de l'annexe A.
• Les pages de mesure décrivent la mise en œuvre d'une mesure de sécurité de l'annexe A, comme expliqué ci-dessus au chapitre des référentiels normatifs, ainsi que son état (effective, programmée ou non retenue), sa justification et ses preuves.

Plusieurs synthèses sont générées automatiquement à partir de ces pages:

• La liste des risques, la liste des scénarios et la liste des mesures,
• Le tableau des risques,
• Le plan de traitement des risques,
• La déclaration d'applicabilité,
• Les niveaux courants de risques, avec des indicateurs synthétiques selon divers modes de calcul.

La planification et le suivi d'exécution des actions s'appuient sur deux modèles de pages:

• Les événements, qui représentent le fait déclencheur de l'action.
• Les actions, auxquelles sont assignées un pilote, une échéance, un avancement, etc.

A partir de ces pages sont générés automatiquement:

• Le suivi des événements, classés par type d'événement
• Le suivi des actions, triées par échéance

Ces enregistrements sont définis et référencés spécifiquement par chaque procédure.

Le système documentaire propre au SMSI de l'Organisation comporte:

• Le présent site
• L'outil de gestion des tickets pour la gestion des demandes de service, des incidents et des changements.

En dehors des partages d'information explicitement permis par les outils, la diffusion de tout document ou extraction de données en dehors de l'Organisation est soumise à l'approbation préalable écrite d'un membre du responsable de l'Organisation.

Les informations documentées sont classées en fonction d'un type de document et d'un processus de rattachement. Les types de documents sont:

• les référentiels applicables, éventuellement chaînés avec les éléments permettant de démontrer la conformité à leurs exigences.
• les politiques, qui définissent les objectifs et responsabilités globalement (déclaration de politique de sécurité) ou sur un thème donné (politiques thématiques).
• les procédures, qui définissent les étapes et responsabilités dans la mise en œuvre des politiques.
• les déclarations, qui sont partagées avec les clients de l'Organisation (et notamment des annexes aux contrats)
• les modes opératoires, qui sont des guides pratiques évolutifs pour la réalisation de certaines tâches.
• les documents de structure, qui servent à naviguer entre les différents autres documents.
• les enregistrements associés à l'exécution des procédures.
• les documents obsolètes.

Les processus sont:

• Le fonctionnement propre du SMSI: pilotage, revues, audits.
• Au sein du fonctionnement SMSI, la gestion des risques (évaluation et traitement).
• Le fonctionnement opérationnel de l'Organisation pour mettre les services à la disposition des utilisateurs.
• La relation aux utilisateurs, notamment contractuelle.
• La gestion des ressources humaines.

Certains documents comportent en outre un type technique, utilisé dans des traitements de chaînage:

• risques, scénarios et mesures pour la gestion des risques.
• événements et actions.
• actifs sensibles, services supports et fournisseurs.

La liste des documents permet de filtrer l'ensemble des documents par type de document, processus, et éventuellement type technique.

Les audiences et rétentions des informations documentées sont déterminées par leur type de document, leur processus de rattachement, et éventuellement le type de page pour les données structurées. Les règles de gestion sont configurées dans les paramètres de la gestion documentaire.

Les audiences identifiées sont, elles s'imbriquent dans l'ordre suivant :

• TECH - Les personnels de l'Organisation
• PILOTAGE SMSI - Uniquement les membres du COPIL et membres de la revue de direction.
• USER - Les usagers courants ou pressentis des services de l'Organisation
• PUBLIC - Tout le monde

Les politiques générales et thématiques ainsi que les procédures associées sont mises à jour autant que nécessaires notamment lors de l'analyse des incidents et lors du traitement des constats d'audit.

Les politiques générales et thématiques sont mises à disposition via le présent site :

• Politique de Sécurité
• Procédures opérationnelles

Seuls le responsable de l'Organisation et le chargé d’exécution du SMSI ont un droit d'écriture sur ces pages.

Une page modifiée passe en état brouillon, et n'est visible que des membres du COPIL SMSI jusqu'à ce qu'elle soit approuvée. Les utilisateurs en lecture seule voient la dernière version approuvée.

Les publications sont datées et les écarts entre versions tracés grâce à la gestion d'historique du Wiki. Toutes les versions publiées antérieures sont conservées.

Les politiques générales et thématiques sont revues au moins une fois tous les 2 ans. Ces revues sont enregistrées sous forme d'événements de catégorie 'Revue de documents' et sont répertoriées dans Revues des politiques