Les règles de sécurité du numérique

La sécurité du numérique à l'université repose sur quelques textes, qui ne s'adressent pas aux mêmes lecteurs. Les connaître, c'est savoir ce que l'on peut faire, ce que l'on doit faire, et à qui s'adresser.

Comment ces textes s'articulent¶

• La politique de sécurité des systèmes d'information (PSSI) est le texte de référence. Elle découle d'une analyse des risques et s'applique à tout le système d'information : matériels, logiciels, données, mais aussi organisation, personnes et locaux. Elle s'adresse d'abord à ceux qui conçoivent, exploitent et pilotent le système d'information ;
• la charte du bon usage des systèmes d'information traduit ces règles pour tous les utilisateurs : étudiants, personnels, et tiers à qui l'université ouvre un accès. Elle est annexée au règlement intérieur, et chacun est réputé en avoir pris connaissance ;
• des politiques thématiques précisent la PSSI sur un sujet. La première est la politique de classification de l'information, qui dit comment protéger une information selon sa sensibilité.

Les pages pratiques de ce site — stocker, partager, chiffrer, voyager — mettent ces textes en gestes du quotidien.

Qui fait vivre la sécurité¶

• le président de l'université approuve la PSSI ; il est aussi le responsable de la publication sur les sites de l'université ;
• le comité de pilotage stratégique fixe les orientations ; la PSSI est rédigée sous sa responsabilité ;
• le comité de sécurité opérationnelle coordonne la mise en œuvre, relaie les décisions du comité de pilotage et lui rend compte de l'état de la sécurité. Il tient la PSSI à jour, propose chaque année le plan de sensibilisation, examine les projets sensibles et les outils de chiffrement ;
• le responsable de la sécurité des systèmes d'information (RSSI) anime la démarche, reçoit les signalements, valide les achats qui touchent au système d'information et instruit les dérogations : rssi@univ-tours.fr ;
• la direction du numérique (DSI) met en œuvre les mesures : surveillance des réseaux et des serveurs, antivirus, sauvegardes, mises à jour, gestion des comptes ;
• le délégué à la protection des données (DPO) veille au respect du RGPD : on le consulte avant de créer un fichier de données personnelles, et on lui signale toute fuite de ces données : dpo@univ-tours.fr ;
• les directeurs de composantes, d'unités et de services appliquent ces règles dans leur périmètre ;
• chaque utilisateur, enfin, applique la charte et signale ce qui lui paraît anormal.