Qu'est-ce que la PSSI ? Définition, contenu et mise en pratique

Dernière mise à jour : 2026-10-15

Qu'est-ce que la PSSI ? La politique de sécurité des systèmes d'information est le document validé par la direction qui fixe ce que l'entreprise protège, contre quels risques, qui en est responsable et quelles règles chacun applique. Toutes les procédures et tous les audits s'y réfèrent. La difficulté consiste à la prouver sur le terrain, à commencer par la sécurité du parc informatique : chaque ordinateur et chaque smartphone concernés.

Qu'est-ce que la PSSI ?

La PSSI, ou politique de sécurité des systèmes d'information, est un ensemble écrit de principes et de règles qui définit les objectifs de sécurité d'une organisation et la manière de les atteindre. Elle couvre la technique (réseaux, terminaux, applications, données), l'organisation (rôles, gouvernance, prestataires) et l'humain (droits d'accès, sensibilisation, usages). Elle est signée par la direction, diffusée aux collaborateurs et révisée régulièrement.

Une PSSI répond à trois questions. Que faut-il protéger, et pourquoi ? Quels risques l'entreprise accepte-t-elle, réduit-elle ou transfère-t-elle ? Quelles règles s'appliquent à tous, du dirigeant au prestataire basé à l'étranger ? Les procédures opérationnelles, comme l'enrôlement d'un nouveau poste ou le signalement d'un e-mail de phishing, découlent de la politique et la mettent en œuvre.

Quatre critères structurent presque toutes les PSSI : la disponibilité, l'intégrité et la confidentialité de l'information (le triptyque « DIC »), complétées par la traçabilité, c'est-à-dire la capacité à savoir qui a fait quoi et quand. Une bonne politique traduit ces objectifs abstraits en règles concrètes et vérifiables.

PSSI : la définition selon les référentiels

En France, la notion est structurée par l'ANSSI, qui a publié une méthode d'élaboration de PSSI et dont le guide d'hygiène informatique regroupe 42 mesures souvent reprises comme socle des règles techniques. Les administrations de l'État appliquent leur propre référentiel, la PSSIE (politique de sécurité des systèmes d'information de l'État).

Dans les entreprises qui visent une certification, la PSSI correspond à la « politique de sécurité de l'information » exigée par l'ISO/IEC 27001 (chapitre 5.2). En anglais, on parle d'information security policy, ou d'ISSP dans les groupes francophones. Une PSSI de premier niveau est généralement complétée par des politiques thématiques : charte informatique, politique de télétravail, politique BYOD ou politique de mots de passe.

Pourquoi une entreprise a-t-elle besoin d'une PSSI ?

Sans PSSI, les décisions de sécurité dépendent de la personne en charge au moment où elles se posent. La politique donne un mandat à l'équipe IT, rend les règles opposables aux salariés et aux prestataires, et fournit les preuves que demandent clients, auditeurs et autorités. Pour une scale-up qui vend à de grands comptes, elle conditionne souvent la signature.

Trois facteurs poussent généralement une entreprise à formaliser sa PSSI :

• La certification. L'ISO/IEC 27001 exige une politique de sécurité documentée et approuvée par la direction, et les auditeurs SOC 2 examinent les politiques écrites. Sans PSSI, pas de certificat. Notre article sur la norme ISO 27001 détaille ces deux référentiels.

• La réglementation. La directive NIS2 impose aux entités essentielles et importantes des « politiques relatives à l'analyse des risques et à la sécurité des systèmes d'information » (article 21). En France, sa transposition passe par le projet de loi Résilience, dont l'examen à l'Assemblée nationale a de nouveau été reporté début octobre 2026. Le RGPD (article 32) exige déjà des mesures techniques et organisationnelles appropriées, et la CNIL attend des mesures documentées en cas de contrôle.

• Les exigences clients. Les grands comptes envoient des questionnaires de sécurité avant de signer. « Tous vos ordinateurs sont-ils chiffrés ? », « Comment révoquez-vous les accès au départ d'un salarié ? » : la réponse renvoie à la PSSI et aux preuves qui l'accompagnent.

Le coût de l'absence de politique est mesurable. Le Data Breach Investigations Report 2025 de Verizon attribue environ 60 % des violations de données à un facteur humain et relève que l'implication d'un tiers a doublé, à 30 % des cas (Verizon DBIR). Sensibilisation et règles fournisseurs, deux volets centraux d'une PSSI, répondent directement à ces deux risques.

Que contient une PSSI ?

Une PSSI type comprend un périmètre et un contexte, des objectifs de sécurité, une répartition des rôles, puis des règles thématiques : gestion des actifs, contrôle d'accès, sécurité des terminaux, réseau et cloud, prestataires, gestion des incidents, continuité d'activité, sensibilisation et conformité. Elle précise enfin son mode de révision, la gestion des dérogations et les sanctions.

Le plan ci-dessous reprend les thèmes attendus par la plupart des auditeurs, en cohérence avec les mesures organisationnelles, humaines, physiques et technologiques de l'ISO/IEC 27002:2022.

La précision compte plus que le volume. Une PSSI de 15 pages qui indique « les ordinateurs doivent être chiffrés » pèse moins qu'un document de 5 pages qui précise « tous les ordinateurs de l'entreprise utilisent FileVault ou BitLocker, imposé par le MDM, avec un contrôle de conformité mensuel ». Les étapes de rédaction, de validation et de déploiement sont détaillées dans notre guide pour définir et mettre en place une PSSI.

Comment la PSSI s'applique-t-elle aux ordinateurs et smartphones ?

Le volet terminaux est celui où la PSSI est le plus souvent mise à l'épreuve : les ordinateurs portables et les smartphones sortent des bureaux, contiennent des données de l'entreprise et passent entre les mains de chaque salarié. La politique doit exiger un inventaire complet, le chiffrement des disques, des mises à jour automatiques, une gestion centralisée par MDM, une procédure perte ou vol et un effacement certifié à chaque restitution ou fin de vie.

Ces règles ont une base normative précise. L'ISO/IEC 27002:2022 consacre des mesures spécifiques aux terminaux utilisateurs (8.1), à l'inventaire des actifs (5.9), à la cryptographie (8.24), aux équipements utilisés hors des locaux (7.9) et à la mise au rebut ou la réutilisation sécurisée des matériels (7.14). Un auditeur ne se contente pas de lire la règle : il demande la preuve qu'elle s'applique à chaque appareil.

De la règle à la preuve : la checklist terminaux

C'est sur ce point que la plupart des modèles de PSSI restent théoriques. Chaque exigence ci-dessous est associée à la preuve qu'un auditeur ou un questionnaire de sécurité client demandera.

Les équipes à distance compliquent l'exercice. Quand les collaborateurs travaillent dans plusieurs pays, les appareils sont expédiés, réparés et restitués d'une frontière à l'autre, et la chaîne de preuve se rompt facilement : un ordinateur resté chez un ancien salarié à l'étranger est à la fois un trou dans l'inventaire et un risque de fuite. La PSSI doit donc désigner une source unique pour l'inventaire et un responsable pour chaque étape. Le choix de l'outil est traité dans notre guide pour choisir et installer un MDM.

Quelle différence entre PSSI, SMSI et charte informatique ?

La PSSI énonce les règles. Le SMSI (système de management de la sécurité de l'information) est le dispositif complet défini par l'ISO/IEC 27001 pour les planifier, les appliquer, les mesurer et les améliorer. La charte informatique est un document plus court, issu de la PSSI, rédigé pour les salariés et souvent annexé au règlement intérieur.

La PSSI est donc l'un des premiers livrables d'un SMSI, pas un substitut. Notre article qu'est-ce que le SMSI détaille son fonctionnement, et le guide ISO 27001 présente les étapes, les délais et les outils de la certification.

Encadré pratique : votre PSSI est-elle prête pour un audit ?

• La politique est signée et datée par la direction, avec un responsable nommé.

• Son périmètre couvre toutes les entités et tous les pays où travaillent des salariés.

• Elle s'appuie sur une analyse de risques à jour.

• Chaque règle est vérifiable (outil, seuil, fréquence).

• L'inventaire du parc correspond à la liste des appareils enrôlés dans le MDM.

• Les rapports de chiffrement et de conformité OS sont exportables à la demande.

• Les traces d'offboarding prouvent la restitution du matériel et la révocation des accès pour chaque départ.

• Un certificat d'effacement existe pour chaque appareil réattribué ou sorti du parc.

• Les salariés ont signé la charte informatique et suivi une sensibilisation à la sécurité.

• La politique a été revue dans les 12 derniers mois, et après tout incident majeur ou réorganisation.

Appliquez votre PSSI sur chaque terminal avec Fleet

Une PSSI n'est crédible que si ses preuves côté terminaux le sont : un inventaire fidèle à la réalité, des rapports de chiffrement et de version d'OS pour chaque poste, un verrouillage ou un effacement à distance quand un appareil disparaît, une restitution tracée pour chaque départ. Tout cela peut se gérer à la main, mais avec des équipes réparties dans plusieurs pays, chaque étape ajoute du temps, des trous dans la piste d'audit et du risque.

Fleet prend en charge le volet terminaux de votre politique de sécurité dans une seule plateforme, dans plus de 150 pays :

• Règles appliquées par le MDM : le MDM Fleet applique vos politiques de sécurité, avec enrôlement, configuration et effacement à distance ; les partenaires sécurité de Fleet sont certifiés ISO 27001 et SOC 2.

• Inventaire prêt pour l'audit : chaque appareil, sa version d'OS et son statut de conformité sont suivis dans le Cockpit.

• Conforme dès le premier jour : les appareils arrivent préconfigurés grâce à l'enrôlement zero-touch (Apple Business Manager ou votre MDM), aucun poste n'est remis hors politique.

• Départs maîtrisés : commande, livraison, stockage, transfert et réattribution des appareils depuis un seul outil, sans fournisseur local par pays.

• Renouvellement planifié : les appareils sont renouvelés tous les 3 ans, ce qui maintient le parc sur des OS supportés, et Fleet gère leur seconde vie.

Fleet équipe déjà plus de 100 000 utilisateurs dans 1 500 entreprises. Réservez une démo et découvrez comment Fleet transforme votre PSSI en preuves sur chaque appareil.

FAQ

La PSSI est-elle obligatoire ?

Pas pour toutes les entreprises. Elle est exigée pour la certification ISO 27001, attendue lors d'un audit SOC 2, et la directive NIS2 l'impose aux entités concernées une fois transposée. Hors de ces cas, aucune loi ne l'impose en tant que telle, mais le RGPD exige des mesures de sécurité que la CNIL attend de voir documentées.

Qui rédige la PSSI ?

Le RSSI ou le DSI la rédige généralement, avec la contribution des RH, du juridique, de la finance et des métiers. La direction générale doit la valider et la signer, car elle engage des moyens et s'applique à tous. Les PME font souvent appel à un consultant pour la première version.

À quelle fréquence faut-il mettre à jour une PSSI ?

Au moins une fois par an, et à chaque changement significatif : nouvelle filiale ou nouveau pays, incident majeur, nouvelle réglementation, changement d'outil clé comme le MDM ou l'annuaire. L'ISO 27001 impose que la politique soit tenue à jour dans une logique d'amélioration continue.

Quelle est la différence entre une PSSI et une charte informatique ?

La PSSI fixe les objectifs et les règles de sécurité de toute l'organisation ; elle s'adresse à la direction, à la DSI et aux auditeurs. La charte informatique traduit une partie de ces règles en obligations concrètes pour les salariés et peut devenir opposable lorsqu'elle est annexée au règlement intérieur.

Existe-t-il un modèle de PSSI ?

Oui. L'ANSSI met à disposition une méthode d'élaboration et son guide d'hygiène informatique, et de nombreux modèles reprennent la structure de l'ISO/IEC 27002. Un modèle doit toutefois être adapté au périmètre, aux risques et aux outils réels de l'entreprise pour passer un audit.

Conclusion

La PSSI fixe les objectifs, les règles et les responsabilités qui protègent le système d'information, et c'est le premier document que lisent auditeurs, clients et autorités. Sa crédibilité repose sur des preuves, et pour la plupart des entreprises en croissance, ces preuves commencent par le parc : inventaire, chiffrement, mises à jour, MDM, offboarding et effacement certifié.