[{"data":1,"prerenderedAt":14},["ShallowReactive",2],{"article:fr:la-politique-de-securite-de-l-information-iso-27001-ce-que-l-article-5-2-demande-les-neuf-sections-les-erreurs-qu-un-auditeur-releve-et-une-page-qui-la-redige":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"answer":9,"body":13},"fr","la-politique-de-securite-de-l-information-iso-27001-ce-que-l-article-5-2-demande-les-neuf-sections-les-erreurs-qu-un-auditeur-releve-et-une-page-qui-la-redige","La politique de sécurité de l'information ISO 27001 : ce que l'article 5.2 demande, les neuf sections d'une politique courte, les erreurs qu'un auditeur relève, et une page qui la rédige","L'article 5.2 demande à la direction une politique adaptée à la finalité de l'entreprise, qui porte les objectifs de sécurité ou le cadre pour les fixer, s'engage sur les exigences applicables et sur l'amélioration du système, et est documentée, communiquée et disponible pour les parties qui en ont besoin. Cela fait sept choses, dont aucune n'est un nombre de pages. Une bonne politique pour une entreprise de logiciels tient en deux pages en neuf sections : finalité, périmètre, pourquoi la sécurité compte ici, engagements, objectifs, rôles, les politiques thématiques en dessous, conformité, et communication et revue. Les erreurs qu'un auditeur relève sont le modèle avec le nom d'une autre entreprise, les trente pages que personne n'a lues, l'approbation manquante, des objectifs que personne ne peut mesurer et une politique qu'aucun nouvel arrivant n'a vue. Une page gratuite rédige la politique à partir de dix réponses en six langues.","2026-09-13",{"who":10,"when":11,"do":12},"La direction d'une entreprise de logiciels qui construit un système de management de la sécurité de l'information ISO 27001, et la personne qui fait tourner le système pour elle ; la politique est le premier document qu'un auditeur de certification demande et celui sous lequel toute autre politique de sécurité se range.","Avant que les politiques thématiques ne soient rédigées, parce qu'elles se rangent sous elle, et avant le premier audit interne, parce que l'article 5.2 est vérifié contre l'approbation, la date, la trace de communication et les objectifs ; puis à chaque revue de direction et chaque fois que l'activité, ses obligations ou ses risques changent.","Rédigez deux pages en neuf sections dans les mots de l'entreprise, nommez qui l'approuve et qui fait tourner le système, fixez trois à cinq objectifs mesurables, publiez-la là où chaque arrivant la lit, datez l'approbation et revoyez-la au moins une fois par an ; la page gratuite rédige le projet à partir de dix réponses.","\nLa politique de sécurité de l'information est le document le plus court d'un système ISO 27001 et celui que l'on rate le plus souvent, parce que c'est celui que l'on achète le plus souvent. Une politique modèle fait trente pages, nomme des mesures que l'entreprise n'applique pas et a un jour porté le nom d'une autre entreprise ; un auditeur la reconnaît à la première page. L'article 5.2 demande quelque chose de bien plus petit : une politique de la direction adaptée à ce pour quoi l'entreprise existe, qui porte les objectifs de sécurité ou le cadre pour les fixer, engage l'entreprise sur les exigences auxquelles elle est soumise et sur l'amélioration du système, et qui est écrite, dite aux personnes à l'intérieur et montrée à celles à l'extérieur qui en ont besoin. Cela fait sept choses, et aucune n'est un nombre de pages. Cet article lit l'article pour une entreprise de logiciels, expose les neuf sections qu'une politique de deux pages porte, liste ce qu'un auditeur relève, et décrit la [page gratuite](\u002Fiso-27001\u002Fpolicy) qui rédige la politique à partir de dix réponses en six langues.\n\n## Ce que l'article demande, et ce qu'il ne demande pas\n\nQuatre des sept choses portent sur le contenu et trois sur la gestion. Le contenu : la politique doit être adaptée à la finalité de l'entreprise, de sorte que la politique d'une plateforme de paie parle de données de paie et des clients qui les confient, pas de « l'organisation » ; elle doit porter les objectifs ou le cadre pour les fixer, ce qui explique que la politique nomme les objectifs qu'elle mesure ; elle engage l'entreprise sur les exigences qui s'appliquent à elle, la loi, les réglementations et les contrats consignés dans le contexte du système ; et elle engage sur l'amélioration continue, ce qui en pratique signifie l'audit interne, la revue de direction et les actions correctives que le reste de la norme demande. La gestion : la politique est une information documentée au titre de l'article 7.5, avec un responsable, une version et une approbation ; elle est communiquée dans l'entreprise, ce qu'un auditeur vérifie en interrogeant un nouvel arrivant ; et elle est disponible pour les parties intéressées lorsque c'est approprié, un client ou un auditeur sur demande. Ce que l'article ne demande pas, c'est une longueur, un modèle, une cérémonie de signature ou une liste de mesures : les mesures appartiennent à la déclaration d'applicabilité, et les règles sur chaque sujet appartiennent aux politiques thématiques que A.5.1 demande sous celle-ci.\n\n## Les neuf sections d'une politique courte\n\nUne politique qui satisfait l'article et se lit bien tient en neuf sections. Finalité : ce que l'entreprise protège et pourquoi, en un paragraphe qui nomme le produit. Périmètre : qui et quoi la politique lie, en renvoyant à la déclaration de périmètre de l'article 4.3 plutôt qu'en la répétant. Pourquoi cela compte ici : le moteur honnête, que les clients fassent de la sécurité une condition des affaires, qu'un régulateur l'impose, que les appels d'offres exigent le certificat ou que l'entreprise l'ait choisi avant que quiconque le demande. Engagements : le processus de risque avec des critères d'acceptation validés par la direction, les exigences applicables, la sensibilisation et la formation que les personnes reçoivent, la mesure, l'audit, la revue et l'amélioration du système, et les ressources dont il a besoin. Objectifs : les lignes mesurables de l'article 6.2, trois à cinq. Rôles : la direction, la personne qui fait tourner le système, les propriétaires des systèmes et des informations, et tous les autres, chacun avec une ligne de responsabilité. Les politiques en dessous : la liste des politiques thématiques, pour qu'un lecteur sache où vivent les règles sur l'accès, la cryptographie, la sauvegarde, le développement, les fournisseurs et les incidents, et la règle selon laquelle cette politique prévaut en cas de désaccord. Conformité : comment elle est vérifiée et ce qu'un manquement signifie. Communication et revue : où elle est publiée, qu'elle fait partie de l'intégration, et le cycle et les déclencheurs de la revue.\n\n## Des objectifs qu'un auditeur peut mesurer\n\nL'article 6.2 demande des objectifs qui découlent de la politique, peuvent être mesurés lorsque c'est praticable, sont suivis, dits aux personnes et tenus à jour, chacun avec un plan derrière. La politique est l'endroit où ils sont énoncés, et l'erreur est de les énoncer comme des adjectifs. « Nous prenons la sécurité au sérieux » n'est pas un objectif ; « le service est disponible au niveau engagé envers les clients ou au-dessus, mesuré chaque mois » en est un, comme « aucune divulgation non autorisée confirmée d'informations de clients, et chaque accès aux données de production rattaché à une personne nommée », « chaque changement revu et testé avant mise en production, et aucune vulnérabilité critique connue laissée en production au-delà du délai de correction convenu », « chaque fournisseur ayant un accès évalué avant son entrée et revu selon le calendrier », « chaque incident consigné, évalué et, lorsqu'une obligation de notification s'applique, notifié dans son délai » et « chacun suit une sensibilisation à la sécurité à son arrivée et au moins une fois par an, et l'accès est retiré le dernier jour ». Chacun de ceux-là est une ligne sur laquelle la revue de direction de l'article 9.3 rend compte, avec un chiffre à côté, et c'est ce que l'auditeur cherche quand il ouvre le compte rendu de la revue après la politique.\n\n## Les erreurs qu'un auditeur relève\n\nLe modèle avec le nom d'une autre entreprise encore dans un pied de page, ou avec des mesures que la déclaration d'applicabilité exclut. La politique de trente pages qui répète la norme, que personne n'a lue et que le nouvel arrivant ne sait pas résumer. L'approbation manquante : pas de nom, pas de date, pas de version, ou une version plus ancienne que le dernier changement de l'activité. Des objectifs écrits comme des intentions, sans rien dans la revue de direction qui les mesure. Aucune trace de communication : la politique existe dans un dossier, mais l'intégration ne la mentionne pas et le personnel ne l'a pas vue, ce qui échoue sur la partie « communiquée » de l'article. Aucune revue depuis la première version, dans une entreprise qui a changé de produits, d'hébergement ou de fournisseurs depuis. Et une politique de tête qui contredit une politique thématique, comme une règle de mot de passe dans l'une et une autre dans l'autre, sans indication de celle qui prévaut. Chacune est un constat au premier audit, et chacune s'évite en écrivant moins et en datant.\n\n## Quoi en faire\n\nRépondez aux dix questions de la [page gratuite](\u002Fiso-27001\u002Fpolicy) : ce que l'entreprise livre, pourquoi elle tient le système, si elle traite des données à caractère personnel de clients, développe du logiciel, externalise le développement ou a des locaux, qui fait tourner le système, qui approuve la politique, le cycle de revue et les objectifs qu'elle mesurera. La page rédige les neuf sections en mots simples et liste les politiques thématiques que les réponses appellent. Modifiez-la jusqu'à ce qu'elle sonne comme l'entreprise, faites-la signer et dater par l'approbateur, publiez-la là où chaque arrivant la lit, et emportez les objectifs à la revue de direction. Rédigez ensuite la [déclaration de périmètre](\u002Fiso-27001\u002Fscope) à laquelle elle renvoie, le [registre des risques](\u002Fiso-27001\u002Frisk-register) que les engagements promettent, et la [déclaration d'applicabilité](\u002Fiso-27001\u002Fstatement-of-applicability) qui liste les mesures ; StandardOS rédige la politique et les politiques thématiques en dessous à partir des mêmes réponses, versionnées, et transforme le cycle de revue en une date au calendrier.\n",1789383964089]