Des politiques de sécurité de l’information écrites sont essentielles à la sécurité de l’information organisationnelle. Cela vaut aussi bien pour les grandes que pour les petites entreprises, car des normes de sécurité peu rigoureuses peuvent entraîner la perte ou le vol de données et d’informations personnelles. Les politiques écrites donnent l’assurance aux employés, visiteurs, entrepreneurs ou clients que votre entreprise prend au sérieux la sécurisation de leurs informations.
Les politiques de sécurité de l’information sont des instructions écrites pour garder les informations en sécurité. Les politiques devraient inclure des conseils sur les mots de passe, l’utilisation des appareils, l’utilisation d’Internet, la classification des informations, la sécurité physique – comme dans la sécurisation physique des informations – et les exigences de rapport.
Politique de mot de passe/NIP
Développer une politique de mot de passe et de numéro d’identification personnel permet de s’assurer que les employés créent leurs identifiants de connexion ou d’accès de manière sécurisée. L’orientation commune est de ne pas utiliser d’anniversaires, de noms ou d’autres informations facilement accessibles.
Contrôles des appareils
Des méthodes appropriées d’accès aux ordinateurs, tablettes et smartphones devraient être établies pour contrôler l’accès aux informations. Les méthodes peuvent inclure des lecteurs de cartes d’accès, des mots de passe et des NIP.
Les appareils devraient être verrouillés lorsque l’utilisateur s’éloigne. Les cartes d’accès doivent être retirées, et les mots de passe et les NIP ne doivent pas être écrits ou stockés dans un endroit où ils pourraient être accessibles.
Évaluez si les employés doivent être autorisés à apporter et à accéder à leurs propres appareils sur le lieu de travail ou pendant les heures de travail. Les appareils personnels ont le potentiel de distraire les employés de leurs tâches, ainsi que de créer des brèches accidentelles dans la sécurité de l’information.
Lorsque vous concevez des politiques pour l’utilisation des appareils personnels, tenez compte du bien-être des employés. Les familles et les proches ont besoin d’un contact avec les employés s’il y a une situation à la maison qui requiert leur attention. Il peut s’agir de fournir un moyen pour les familles de transmettre des messages à leurs proches.
Il convient d’élaborer des procédures pour signaler la perte et la détérioration des appareils liés à l’entreprise. Vous pourriez vouloir inclure des méthodes d’enquête pour déterminer la faute et l’étendue de la perte d’information.
Utilisation d’Internet/du Web
L’accès à Internet sur le lieu de travail devrait être limité aux seuls besoins professionnels. Non seulement l’utilisation personnelle du web immobilise les ressources, mais elle introduit également les risques de virus et peut permettre aux pirates d’accéder à des informations.
Le courrier électronique devrait être effectué par le biais de serveurs et de clients de messagerie professionnelle uniquement, à moins que votre entreprise ne soit construite autour d’un modèle qui ne le permet pas.
De nombreuses escroqueries et tentatives d’infiltration des entreprises sont initiées par le biais du courrier électronique. Des conseils pour traiter les liens, les tentatives apparentes d’hameçonnage ou les courriels de sources inconnues sont recommandés.
Développez des accords avec les employés qui minimiseront le risque d’exposition des informations sur le lieu de travail par le biais des médias sociaux ou d’autres sites de réseautage personnel, à moins qu’ils ne soient liés à l’entreprise.
Cryptage et sécurité physique
Vous pouvez vouloir développer des procédures de cryptage pour vos informations. Si votre entreprise dispose d’informations telles que les numéros de carte de crédit des clients stockés dans une base de données, le cryptage des fichiers ajoute une mesure de protection supplémentaire.
Les procédures de contrôle des clés et des cartes-clés, telles que les journaux de délivrance des clés ou les clés distinctes pour différentes zones, peuvent aider à contrôler l’accès aux zones de stockage des informations.
Si une identification est nécessaire, développez une méthode de délivrance, de consignation, d’affichage et d’inspection périodique de l’identification.
Établissez une procédure pour les visiteurs. L’enregistrement des visiteurs, les badges d’accès et les journaux permettront de contrôler les visites inutiles.
Politique de sécurité Exigences en matière de rapports
Les employés doivent comprendre ce qu’ils doivent signaler, comment ils doivent le faire et à qui ils doivent le faire. Des instructions claires devraient être publiées. La formation devrait être mise en œuvre dans la politique et être menée pour s’assurer que tous les employés comprennent les procédures de signalement.
Habilitez votre équipe
Une clé pour créer des politiques efficaces est de s’assurer que les politiques sont claires, faciles à respecter et réalistes. Des politiques trop compliquées ou trop contrôlantes encourageront les gens à contourner le système. Si vous communiquez la nécessité de la sécurité de l’information et donnez à vos employés les moyens d’agir s’ils découvrent un problème de sécurité, vous développerez un environnement sûr où l’information est en sécurité.