Rédaction de politiques de sécurité au Rwanda

Qu’est-ce que la rédaction de politiques de sécurité, et qui en a besoin

C’est la rédaction, la revue et le déploiement de politiques pratiques comme l’utilisation acceptable, les mots de passe et l’authentification multifacteur, la gestion des accès, le traitement des données, la sauvegarde et le signalement des incidents. Chaque politique est écrite en langage clair pour ceux qui doivent l’appliquer, et appuyée autant que possible par des contrôles techniques, pour qu’elle décrive le comportement réel des systèmes. Elle convient aux organisations qui préparent un audit, une revue de bailleur ou une visite du régulateur, et à toute organisation dont les règles de sécurité n’existent que dans la tête de quelques personnes.

Le problème qu’elle résout

Les règles non écrites disparaissent avec ceux qui les détiennent. Les modèles trop longs sont rangés et ignorés. Les politiques qui contredisent le fonctionnement réel des systèmes apprennent au personnel que les règles ne comptent pas. Les bonnes politiques se situent entre les deux : assez courtes pour être lues, assez précises pour guider l’action, et fidèles au fonctionnement réel. Elles vous donnent aussi une réponse défendable quand un bailleur, un auditeur ou un régulateur demande comment la sécurité et les données personnelles sont gérées.

Les politiques et la loi

La loi rwandaise sur la protection des données attend des organisations qui traitent des données personnelles qu’elles les protègent par des mesures appropriées, tiennent un registre de leurs activités de traitement et signalent les violations à l’Autorité nationale de cybersécurité dans les 48 heures. Les politiques sont le moyen de faire de ces attentes une pratique quotidienne : qui peut accéder aux données personnelles, combien de temps elles sont conservées, comment elles sont partagées et ce que fait le personnel quand il soupçonne une violation. Les établissements supervisés par la Banque nationale du Rwanda ont aussi besoin de politiques de sécurité documentées au titre de son règlement sur la cybersécurité.

Nous rédigeons des politiques qui soutiennent la conformité, mais nous ne sommes pas juristes. Lorsqu’une politique a des conséquences juridiques ou en droit du travail, nous la signalons pour une revue par votre conseiller juridique ou RH.

Ce qui fait qu’une politique est suivie

• Courte. Une ou deux pages par politique, avec les règles d’abord et les explications ensuite.
• Précise. Vos systèmes réels, nommément, plutôt que « les actifs informationnels de l’organisation ».
• Appuyée par des contrôles. Si la politique exige l’authentification multifacteur, le système l’impose.
• Portée par un responsable. Chaque politique désigne une personne responsable et une date de revue.
• Communiquée. Le personnel la lit, idéalement lors d’une courte présentation, et en accuse réception.

Un exemple : une politique de mots de passe et de connexion sur une page

Pour illustrer le niveau de détail visé, une politique type d’une page pourrait dire : chaque compte utilise une phrase de passe d’au moins quatre mots, jamais réutilisée sur un autre site ; l’authentification multifacteur est obligatoire pour la messagerie, les fichiers et chaque système métier ; les mots de passe ne sont jamais partagés, envoyés par message ou notés sur les bureaux ; les comptes administrateurs sont séparés des comptes du quotidien ; et toute compromission suspectée est signalée immédiatement à une personne désignée, sans reproche pour le signalement. Chaque règle correspond à un réglage que nous configurons, pour que la politique et le système disent la même chose.

Ce que comprend le travail

1. Découverte. Nous identifions comment la sécurité fonctionne aujourd’hui, formellement et informellement, par des entretiens et un examen technique léger.
2. Priorisation des politiques qui comblent vos plus grandes failles.
3. Rédaction en langage clair, propre à vos systèmes.
4. Revue avec la direction, l’informatique et les RH, en ajustant les règles qui ne fonctionneraient pas en pratique.
5. Déploiement : une courte présentation au personnel, une procédure d’accusé de réception et un calendrier de revue.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Un premier ensemble de politiques pour une seule organisation prend généralement une à deux semaines, cycles de revue compris. Le coût dépend du nombre de politiques, de l’effort de découverte nécessaire, du nombre de sites et de services concernés, et des référentiels particuliers auxquels les politiques doivent se conformer, comme les exigences d’un régulateur ou les conditions d’un bailleur.

Les erreurs que nous voyons souvent

Des politiques copiées d’un modèle en ligne, qui citent des systèmes, des lois ou des fonctions inexistants dans votre organisation. Des politiques rédigées mais jamais communiquées au personnel. Des politiques qui décrivent un idéal que personne ne suit, ce qui est pire que pas de politique, car cela crée une fausse assurance. Aucun responsable ni date de revue, si bien que la politique devient lentement obsolète. Et des politiques qui exigent des choses que la technologie n’impose pas, que le personnel apprend vite à ignorer.