La politique de sécurité des systèmes d'information

La politique de sécurité des systèmes d'information (PSSI) est le document de référence de l'université en matière de sécurité. Elle énonce les règles opérationnelles à mettre en œuvre pour protéger le patrimoine informationnel de l'établissement, règles qui découlent des mesures choisies en réponse aux risques évalués sur tout son périmètre.

Elle s'applique à l'ensemble du système d'information : les moyens que l'université met en œuvre pour ses missions de formation, de recherche et de gestion. Au-delà des matériels, des logiciels et des données, elle fixe des règles pour l'organisation, pour les personnes qui exploitent ces systèmes et pour les locaux qui les accueillent.

Ses objectifs¶

Les systèmes d'information portent une grande part des activités de l'université : enseignement à distance, environnement numérique de travail, recherche, gestion. La PSSI doit concourir aux objectifs de l'établissement — développer l'insertion professionnelle, conforter la recherche, développer la vie étudiante, améliorer l'enseignement, optimiser le fonctionnement de l'université — en protégeant la disponibilité, l'intégrité et la confidentialité des informations qui les servent.

Elle s'inscrit dans les lois et règlements en vigueur, et définit les relations avec les autorités : l'ANSSI et les CERT pour les incidents graves, la CNIL pour les données personnelles, RENATER pour le réseau de la recherche et de l'enseignement.

Son organisation¶

• un comité de pilotage stratégique fixe les orientations, sous la responsabilité duquel la PSSI est rédigée ;
• un comité de sécurité opérationnelle coordonne les activités de sécurité, relaie les décisions du comité de pilotage et lui donne la visibilité sur l'état de la sécurité. Il met la PSSI à jour en fonction des évolutions du système d'information, des besoins et des risques ;
• le RSSI anime la démarche au quotidien, avec la DSI qui met en œuvre les mesures techniques ;
• des contrôles vérifient que les règles sont appliquées et efficaces : au moins un audit par an, et le suivi des règles sur des projets représentatifs.

Qui fait quoi dans la sécurité du numérique

Les domaines couverts¶

Ce qu'elle demande à chacun¶

La plupart des mesures de la PSSI relèvent des équipes informatiques. Certaines règles concernent pourtant chaque personne dans son travail :

• votre accès est strictement personnel : identifiant et mot de passe ne se prêtent pas, même à un collègue ou à un informaticien ;
• vous n'êtes pas administrateur de votre poste : c'est une exception, accordée sur demande motivée et validée par votre hiérarchie ;
• les données sensibles vont sur les serveurs de l'université, sécurisés et sauvegardés, pas sur le disque du poste. Si c'est inévitable, dans un espace chiffré (où stocker ses données, chiffrer ses données sensibles) ;
• une information sensible sur un support amovible est chiffrée (clés USB et disques externes) ;
• le bureau reste rangé : pas de document sensible à la vue de tous ; tableaux et paperboards effacés, impressions sensibles récupérées aussitôt ;
• un matériel ne sort pas des locaux sans autorisation, et ne part pas au rebut sans passer par les équipes informatiques, qui effacent les données de façon sûre ;
• un projet qui manipule des données sensibles ou personnelles commence par une étude de sécurité : prévenez le RSSI et le DPO (dpo@univ-tours.fr) dès le départ. Un achat qui touche au système d'information est validé par le RSSI ;
• les logiciels s'obtiennent auprès de sources sûres et s'utilisent selon leur licence ;
• les outils qui contournent ou testent la sécurité — analyseurs de réseau, outils d'audit — sont réservés aux administrateurs autorisés ; tout autre usage demande l'accord préalable du RSSI ;
• un compte inutilisé pendant six mois est désactivé ;
• tout événement suspect se signale, le plus vite possible, à votre responsable ou au RSSI.