Politique de Sécurité des Systèmes d'Information

Notre établissement, avec l'ensemble des établissements universitaires de Grenoble s'est doté d'une Politique de Sécurité des Systèmes d'Information (PSSI). Il s’agissait d'un projet pilote national pour le ministère de l’enseignement supérieur et de la recherche, qui a permis l'élaboration d'une politique générique pour l'ensemble des établissements d'enseignement supérieur.

• La PSSI se matérialise par un ensemble documentaire présentant les règles de sécurité à appliquer et à respecter, ainsi que l'organisation permettant son adaptation permanente au contexte de l'établissement.

• Elle reflète la vision stratégique de la direction en matière de sécurité de l’information en termes de gestion des risques et accroît la confiance des utilisateurs et des partenaires. C’est un outil de communication sur l’organisation et les responsabilités en terme de sécurité des systèmes d’information, les risques et les mesures adoptées pour s’en prémunir.

• La PSSI s'inscrit dans une démarche globale en cohérence avec la politique de l'établissement et dans un cycle d'amélioration continue. Elle permet d'aborder la sécurité par une gestion des risques, à partir des enjeux à prendre en compte, des besoins et objectifs de sécurité, des moyens humains et financiers pouvant y être affectés et des risques résiduels que l'établissement décide d'accepter.

• Le document politique générale de sécurité des systèmes d'information (PGSSI) (pdf) exprime les enjeux et les grands objectifs de sécurité ; il propose les mesures organisationnelles et techniques pour atteindre les objectifs de sécurité cibles.
  Ces mesures seront détaillées et déclinées dans l'établissement, selon un plan d'actions établi sur 2011 et 2012, sous la forme de guides de bonnes pratiques pour tous les utilisateurs et de mesures spécifiques destinées aux personnes selon leurs responsabilités.

• La PSSI s'appuie pour son application et sa révision périodique sur un système de management de la sécurité de l'information (qui fait l'objet de la norme ISO 27001) et fonctionnant sur le modèle de l'amélioration continue.
  Cette organisation est décrite dans le document politique de management de la sécurité de l'information (PMSI) (pdf). Il précise notamment l'organisation des instances de pilotage et des acteurs de la sécurité des systèmes d’information, dans chaque établissement et au niveau inter-universitaire.

• Le tableau suivant résume l'organisation des différents comités assurant le management de la sécurité de l'information :
  
  

• Les documents « Règles de sécurité » :

1. Règles de sécurité relatives à l'organisation de la PSSI (pdf)
2. Règles de sécurité relatives à la gestion des biens physiques (pdf)
3. Règles de sécurité relatives au matériel hors des locaux (pdf)
4. Règles de sécurité relatives au contrôle de l'accès au SI (pdf)
5. Règles de sécurité relatives aux mots de passe (pdf)
6. Règles de sécurité relatives au suivi des incidents de sécurité (pdf)

• Les chartes :

1. Charte d'usage du Système d'Information des Établissements Universitaires du PRES « Université de Grenoble » (pdf)
2. Charte des Administrateurs Systèmes, Réseaux et Systèmes d’Information des Établissements Universitaires du PRES « Université de Grenoble » (en travaux)
3. Politique générale de gestion des journaux informatiques des Établissements Universitaires du PRES « Université de Grenoble » (pdf)
4. Charte régissant l'usage du Système d'Information par les organisations syndicales de l'Université de Savoie (en travaux)

• Autres documents :

1. Exemple type de « mentions légales » à faire figurer sur tout site web de l'établissement (pdf). Voir le mode d'emploi (pdf)

• Pour faire face à la montée des cyber-attaques, l’État s'est doté d'une Politique de Sécurité des Systèmes d’Information (PSSIE, consultable ici) dont la première version a été publiée par circulaire le 17 juillet 2014.
  ⇒ Voir également la présentation de la PSSIE sur le site de l'ANSSI.