Comment imposer une politique de sécurité informatique de façon positive?
il y a 6 ans par PascalW

Salut Pascal,

Félicitation ;) pour ta prise de poste. Est-ce que tu peux m'en dire un peu plus sur le contexte? Je pourrais peut-être te proposer un retour d'expérience plus précis si tu le souhaites.

Sinon, voilà ce que je ferais de manière assez générale :

Après avoir fait un premier audit, j'établirai un plan avec 9 priorités sur le court , moyen et long terme (3 par période).

En inscrivant, tant des mesures techniques, pratique, organisationnel ou de gouvernance (tout dépend le niveau de maturité et organisationnel en fait).

Dans un premier lieu j'expliquerai le plan à ma direction, exposer les risques sans être alarmiste, proposer des solutions et les projets pour les atténuer ou les éliminer.

Après il faut un plan de communication (réunion plénière, s'appuyer sur les managers, utiliser les outils de diffusion(intranet, mailling liste, parler au gens aussi,etc..) )  et mettre en oeuvre le plan au fur et à mesure.

Quelques conseils en vrac :

• Être exemplaire, intègre et ne pas faire de clientélisme (la sécurité c'est transverse et plus on a de responsabilité plus on doit le comprendre).
• S'appuyer dans un premier temps sur un groupe pilote peut être une bonne stratégie et te permettra d'ajuster et de tester tes mesures (et cela te donnera des arguments pour les plus réfractaires(il y en a toujours))
• Il faut rassurer, être dans l'empathie, mais surtout rappeler que tu es là pour aider.
• Être à l'écoute de  tes utilisateurs et les aider à trouver des solutions et mettre les mains si besoin (Il peut y avoir des problèmes nécessitant des ajustements, mais aussi de de la mauvaise volonté...)
• Responsabiliser : Il m'arrive sur certaine mesure de laisser de l'autonomie, par exemple nous avons des espaces sécurisés pour les données personnelles, l'utilisateur à la possibilité de ne pas les utiliser et de stocker sur son disque, par contre s’il perd ses données à cause d'une panne matérielle ou d'une fausse manip tant pis pour lui.
• Organiser des ateliers pour former, expliquer, donner des astuces (on l'a fait avec mon équipe pour 90% du personnel et on a eu de très bons retours).

Dans le plan ce que je mettrais à chaud :

   - Les chartes informatiques : utilisateurs, fournisseurs, mais aussi administrateurs ;)

   - Stratégie de mot de passe

  - Suppression des comptes avec pouvoirs

 - Renforcement des backups et des moyens de reprises sur les ressources critiques

 - Filtrage des accès Internet

 - Suppression des comptes généraux qui ne sont pas nécessaires...

 - Commencer à bosser sur une PSSI

Je finirais par dire que la bienveillance c'est super  (la mode bisounours des réseaux sociaux très peu pour moi désolé) mais attention à ne pas éclipser ton rôle et tes priorités. Un bon manager doit être transparent sur ses missions, pédagogues à l'écoute,  mais doit garder le cap et porter les décisions difficiles (tout en restant le plus zen possible) vaste programme.

Je te souhaite en tout cas beaucoup de réussite, n'hésite pas au besoin.

A+

Et si la sécurité informatique était un jeu ?

Pour avoir testé avec succès sur des enfants (et beaucoup de personnes dites "adultes" sont des grands enfants)

- A partir de l'obligation de changer son mot de passe tous les mois : organiser un "concours" doté d'un petit cadeau (valorisation qui peut être toute symbolique) à ceux qui découvrirons les mots de passe de leurs collègues (ne pas oublier d'en profiter d'organiser une information sur la constitution de mots de passe "fort"

- A partir de l'obligation de réaliser des sauvegardes : organiser un tirage au sort où l'heureuse gagnante (pas toujours les mecs quand même !) sera celui qui restaurera ses données en moins de XXX temps après avoir trouvé un poste informatique neuf sur son bureau en arrivant le matin ...

- A partir de la nécessité d'identifier les pourriels et autres joyeusetés reçues dans sa boite à courriel : un petit cadeau au premier qui signalera au DSI une réception douteuse ...

- A toi d'imaginer comment rendre le sujet ludique ... un façon de sensibiliser ... mais n'oublie pas qu'il faut aussi savoir manier le bâton ... une bonne réprimande est souvent nécessaire à titre d'exemple ...

Bonjour, en attendant le bus... en vrac... 

imposer et positif ?

une charte pratique si faite par volontaires et qq réfractaires bien choisis ! 

Comme les pompiers : opération alerte aux virus 

avec temoignages d’entreprises qui ont failli y passer 

concours « les plusieurs gros risques en si »

bref ou en es tu de la sensibilisation et des comportements à risque ? 

Ah le bus arrive ! 

Bonbe journee 

bonjour PascalW, tu as décroché un poste, bravo ! :)

Puisque tu as su créer le bon climat, peut-être pourrais-tu réunir les personnes, et leur mettre en mains les éléments en leur demandant de t'aider à créer les conditions de la sécurité, moyennant quoi tu leur transmettras des savoirs pouvant aussi être utiles chez eux (ex : la séparation des rôles admin/utilisateurs, diverses méthodes pour créer de bons mots de passe pouvant être retenus ou retrouvés facilement par associations d'idées etc.)

Et leur proposer d'échanger sur les problèmes qu'ils rencontrent, sur les stratégies qu'ils ont pu eux-même mettre en place pour leur propre compte, etc. (faire des tables rondes en somme ?)

Et que faire quand un système est compromis pour rétablir la situation… Donc, n'oublie pas que les utilisateurs en entreprise sont encore des utilisateurs une fois chez eux, et qu'ils ont souvent des besoins, voire même leurs propres ressources.

Qu'en penses-tu ?

J'ai cru lire plus haut une « infantilisation ». Le problème, c'est que, psychologiquement, tous les gens sont infantiles. D'ailleurs, pourquoi existerait-il des lois – les mêmes pour tous – si chacun de nous était capable de se responsabiliser par le simple fait du bon sens ? Personnellement, je vous inviterais plutôt à être « dur, mais juste » (un peu comme le sergent instructeur de l’armée). Par contre, ne faites surtout pas appel à l’intelligence des gens : elle est souvent absente. Ayez plutôt comme modèle l’État qui part du principe que nous sommes tous des escrocs (pour les impôts) ou des personnes plus coupables qu’innocentes (pour la justice pénale). En clair : les libertés doivent être gagnées par des actes, des faits concrets… et non être offertes sur un plateau d’argent. Pour finir, je vais me permettre de citer Jean Jacques Rousseau (1712-1778) qui disait : « il n’y a point de liberté sans lois » (et c'est aussi là un excellent sujet de philosophie ;)).

Chez Blue note systems, nous avons mis en place une charte de sécurité et de confidentialité et la mise en oeuvre de différents outils pour faciliter le respect de la charte (outil de gestion de mot de passe par exemple).

La mise en oeuvre d'outils et la réalisation de formations en complément de l'application d'une charte facilitent son adoption.

Après suivant le contexte les outils et méthodes peuvent être très différentes.

Bonjour,

Le maillon faible étant l'humain, il est primordiale avant toute chose de travailler sur la sensibilisation des équipes. Et cela ne doit pas être fait qu'une fois... Si la situation le justifie de part la sensibilité des activités de l'entreprise, un soutien par exemple du référent régional de l'ANSSI est envisageable.

Ensuite, il faut mettre en place une stratégie mise en application par une politique acceptée collectivement. Les dirigeants et managers devant jouer le jeu... Sinon cela n'aura que peu d'effet !

@PascalW Bravo et félicitations pour ton poste ! :)

Pour avoir oeuvré pendant quelques années en tant que prestataire technique, l'adhésion à des process ou à des contraintes de la part des utilisateurs est très complexe.

Ce que j'ai pu en apprendre, c'est qu'il faut une part d'imposé, une part de "concerté" et une part de "ça répond à mon besoin".

Pour l'imposé, l'important est surtout que si un "Shadow SI" (même individuel) se met en place, il ne puisse impacter le SI officiel. Autrement dit, une réelle déconnexion. Pas évident, mais c'est au patron de monter au front en manifestant l'intransigeance sur l'imposé.

Pour le concerté, ça passe par la sensibilisation et la formation, l'accompagnement, etc...

Enfin, il y a le "ça répond à mon besoin" ou dit autrement, le "quelle est la réelle valeur ajoutée de la sécurité pour ce que je fais, les tâches que j'exécute" ? C'est la stratégie du gagnant-gagnant : pourquoi, en tant qu'utilisateur, j'ai intérêt *personnellement et individuellement* à mettre en place une stratégie et des outils de sécurité.

User d'analogie pour expliquer permet la compréhension, mais rarement l'acceptation. Mais les sécuriser avec des règles imposées, une égalité (concertation) face à ces règles et la confiance dans ces règles et dans leur adaptation à chacun sont des gages d'adhésion.

Et là, pour ces 3 principes, il y a autant de réponses que d'entreprises ou d'organisations avec chacune ses Points of Failure qu'il faut sécuriser...