Formation politique de sécurité interne (PSSI)

Objectifs de la formation

• Comprendre le rôle et les enjeux d’une Politique de Sécurité des Systèmes d’Information (PSSI).
• Savoir structurer une PSSI adaptée au contexte d’une organisation (TPE/PME, multi-sites, métiers réglementés).
• Définir des règles internes claires : accès, mots de passe, données, cloud, postes, mobilité, prestataires.
• Mettre en place une gouvernance SSI : responsabilités, procédures, contrôles, sensibilisation.
• Déployer et faire vivre la PSSI : communication, adoption, mise à jour, suivi et amélioration continue.

Public visé

• Dirigeants et responsables d’entreprise.
• Responsables informatiques / IT.
• Référents cybersécurité, responsables qualité / conformité.
• Responsables RH et managers (règles internes et discipline).
• Chefs de projet (outils, accès, prestataires, cloud).

Pré-requis

• Utilisation courante des outils numériques.
• Connaissance générale des processus internes (utilisateurs, accès, outils, données).
• Aucun prérequis technique avancé en cybersécurité.

Contenu de la formation

1. Introduction : pourquoi une PSSI

• Menaces actuelles et impacts business (arrêt d’activité, fuite de données, fraude).
• La PSSI : définition, objectifs, périmètre.
• Différences : PSSI, charte informatique, procédures SSI.
• Niveaux d’exigence selon taille, secteur, exposition (télétravail, cloud, prestataires).

2. Principes fondamentaux de sécurité

• Confidentialité, intégrité, disponibilité.
• Traçabilité et responsabilité.
• Défense en profondeur et moindre privilège.
• Gestion du risque : approche pragmatique en entreprise.

3. Périmètre et cartographie SSI

• Inventaire des actifs : postes, serveurs, réseaux, applications, cloud.
• Cartographie des données : sensibles, personnelles, stratégiques.
• Flux et points d’entrée : email, VPN, mobile, accès externes.
• Analyse rapide des risques (menaces, vulnérabilités, impacts).

4. Gouvernance et responsabilités

• Rôles : direction, IT, managers, utilisateurs, prestataires.
• Process décisionnel : validation, arbitrage, exceptions.
• Responsabilités juridiques et organisationnelles.
• Indicateurs et revues SSI.

5. Règles internes : identités et gestion des accès

• Gestion des comptes : création, modification, suppression.
• MFA, gestionnaires de mots de passe, politiques de renouvellement.
• Accès privilégiés (admins) et comptes à risques.
• Gestion des accès prestataires, intérimaires, sous-traitants.
• Journalisation et traçabilité des accès.

6. Postes de travail, mobilité et télétravail

• Durcissement de base : mises à jour, antivirus/EDR (principes), chiffrement.
• Politique BYOD (équipements personnels) : règles et limites.
• Télétravail : Wi-Fi, VPN, partages, imprimantes, confidentialité.
• Sécurisation mobiles : verrouillage, MFA, effacement à distance (principes).

7. Données, confidentialité et RGPD (alignement PSSI)

• Classification des données et règles de stockage.
• Partage interne/externe : droits, liens, expiration, contrôle.
• Sauvegardes : stratégie, tests de restauration, responsabilités.
• Minimisation des données et conformité RGPD côté usages internes.

8. Cloud, outils collaboratifs et messagerie

• Règles pour Microsoft 365 / Google Workspace / outils SaaS.
• Gestion documentaire : SharePoint/Drive/OneDrive (droits, espaces, partage).
• Messagerie : anti-phishing, pièces jointes, règles d’escalade.
• Interdictions ou restrictions : outils non validés, comptes personnels.

9. Sécurité réseau (niveau initiation)

• Segmentation et zones de confiance (notions).
• Pare-feu et filtrage (principes).
• Accès distant : VPN, bastion (notions).
• Wi-Fi entreprise vs invités : séparation et règles.

10. Gestion des incidents et continuité

• Définition d’un incident SSI.
• Procédure de signalement : qui, quand, comment.
• Premières mesures : isolement, collecte d’informations, escalade.
• Continuité d’activité : priorités, sauvegardes, reprise.
• Retours d’expérience : amélioration post-incident.

11. Sensibilisation, discipline et conformité interne

• Sensibilisation continue : formats et messages.
• Intégration des règles dans l’onboarding.
• Rappels réguliers et tests (ex : exercices phishing).
• Règles disciplinaires : traçabilité, respect, sanctions (cadre RH).

12. Déploiement et mise à jour de la PSSI

• Rédaction : structure type et niveaux (PSSI + procédures + charte).
• Communication interne : adoption, engagement direction.
• Gestion des exceptions : registre, validation, durée.
• Revue annuelle / trimestrielle : mise à jour, KPI, audits internes.

13. Cas pratiques professionnels

• Élaboration d’une trame de PSSI adaptée à un cas PME.
• Définition de 10 règles prioritaires “quick wins”.
• Construction d’une procédure incident simple.
• Mise en place d’un plan de déploiement interne (communication + adoption).

Méthodes pédagogiques

• Apports structurés et orientés opérationnel.
• Études de cas (PME, multi-sites, prestataires, télétravail).
• Ateliers guidés de construction de PSSI.
• Échanges et retours d’expérience.

Moyens pédagogiques

• Modèle de PSSI (trame) et charte informatique.
• Check-lists : accès, télétravail, cloud, incident, sauvegardes.
• Exemples de règles internes et procédures.
• Supports de synthèse remis aux stagiaires.

Modalités d’évaluation

• Questionnaire de validation des connaissances.
• Production d’un livrable : trame PSSI + règles prioritaires + procédure incident.
• Évaluation de la capacité à adapter la PSSI au contexte de l’organisation.
• Attestation de fin de formation remise au stagiaire.