La política de seguridad de los sistemas de información (PSSI) es un plan de acción definido para mantener un cierto nivel de seguridad. Refleja la visión estratégica de la gestión de la organización (PYME, SMI, industria, administración, Estado, uniones de Estados, etc.) en materia de seguridad de los sistemas de información (ISS).
La política de seguridad de los sistemas de información está intrínsecamente vinculada a la seguridad de la información .
Además, dado que un sistema de información no se limita al sistema informático , una política de seguridad de los sistemas de información no se limita a la seguridad informática .
El PSSI es el principal documento de referencia de ISS de la organización. Es un elemento fundacional que define los objetivos a alcanzar y los medios otorgados para lograrlos.
El proceso de implementación de esta política se basa en un análisis de los riesgos de seguridad del sistema de información.
Después de la validación por parte de los distintos actores de la seguridad de la información de la organización, el PSSI debe distribuirse a todos los actores del sistema de información (usuarios, operadores, subcontratistas, proveedores de servicios, etc.). Por tanto, constituye una verdadera herramienta de comunicación sobre la organización y las responsabilidades de ISS, los riesgos de ISS y los medios disponibles para protegerse contra ellos.
La seguridad del sistema de información se basa tradicionalmente en la implementación de una infraestructura de clave pública (PKI).
En opinión de los expertos , la implementación de una infraestructura de clave pública en un mundo abierto no es realmente efectiva sin ciertas precauciones. En las grandes organizaciones en red, es necesario integrar el análisis de seguridad de los datos en una reflexión más amplia sobre el marco legal y la implementación de registros de metadatos .
Por ejemplo, para todo lo relacionado con las aplicaciones de investigación industrial (ver Diccionario de metadatos para el repositorio de publicaciones del CNRS ), se requiere una reflexión profunda sobre el uso del certificado electrónico , en relación a los elementos y refinamientos utilizados.
En Francia, la DCSSI elaboró entre 2002 y 2004 una guía para la política de seguridad de los sistemas de información. Consta de cuatro secciones:
Este documento es una actualización de documentos que datan de 1994 .
Ver detalles: Sección 1 - Introducción
La guía define los conceptos, además del PSSI:
Define el alcance y los actores a los que está destinada la guía:
Toma nota de la nueva naturaleza de las amenazas : globales y transfronterizas debido a la interconexión de las redes de Internet .
Define tres tipos de patrimonio a proteger:
Define el lugar del PSSI en el repositorio, en particular:
Indica las bases de legitimidad de las reglas de un PSSI:
Ver detalles: Sección 2 - Metodología
Ver detalles: Sección 3 - Principios de seguridad
La Sección 3 analiza las diferentes áreas de seguridad que generalmente cubre un PSSI:
Principios organizativosVer detalles: Sección 4 - Referencias SSI
Criterios comunes para la evaluación de la seguridad de la tecnología de la información
Las directrices de la OCDE
Códigos de ética para profesiones de tecnología de la información
Ataques a personas
Daños a la propiedad
Ataques a los intereses fundamentales de la nación , terrorismo y daño a la confianza pública
Violaciones de propiedad intelectual
Las disposiciones relativas a la criptología.
Las disposiciones relativas a la firma electrónica
Una vez identificados los riesgos más graves, podemos plantearnos la cuestión de descomponer el PSSI global en políticas de seguridad técnica por negocio , actividad o sistema. El PSSI general también servirá como base para la coherencia entre estas políticas y entre todos los estudios de seguridad.
Así, podemos encontrar diferentes tipos de políticas de seguridad relacionadas con la seguridad de la información o los datos :