Gouvernance & politique de sécurité Mis à jour : Juin 2026

Beaucoup de PME confondent gouvernance et gestion IT. La gestion IT, c'est l'opérationnel : patcher les serveurs, configurer les firewalls, répondre aux tickets. La gouvernance, c'est répondre à des questions de direction : quels risques acceptons-nous ? Qui est responsable si quelque chose va mal ? Comment savons-nous que nous sommes en sécurité ?

Le modèle des trois lignes de défense (Three Lines of Defense) est le cadre de référence international pour répartir ces responsabilités :

Pour une PME de moins de 100 personnes, ces trois lignes peuvent être assurées par 2-3 personnes (et un auditeur externe annuel), mais les rôles doivent rester distincts. La même personne ne devrait pas à la fois configurer les systèmes et auditer leur configuration.

La cybersécurité n'est plus une affaire purement technique depuis l'entrée en vigueur de la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels). Cette loi crée des obligations précises — et engage la responsabilité personnelle des dirigeants en cas de manquement.

Au-delà de la Loi 25, d'autres obligations sectorielles s'appliquent selon votre secteur :

• Santé (Québec) : Loi sur les services de santé et les services sociaux — encadrement strict des dossiers patients.
• Services financiers : lignes directrices AMF/FCAC sur la résilience opérationnelle et la gestion des risques technologiques.
• Contrats gouvernementaux : exigences SMSI de plus en plus fréquentes dans les appels d'offres fédéraux et provinciaux.

La bonne pratique : faire un inventaire de vos obligations légales en 90 minutes avec un juriste spécialisé. C'est un investissement négligeable comparé au coût d'une amende ou d'un litige.

Une Politique de Sécurité de l'Information (PSSI) est le document fondateur de votre gouvernance cyber. Ce n'est pas un document technique — c'est un document de direction qui exprime les intentions et les engagements de l'organisation en matière de sécurité.

Une PSSI complète, alignée avec la norme ISO 27001 (clause 5.2), contient obligatoirement les sections suivantes :

Volume total cible pour une PME : 6 à 10 pages. Au-delà, personne ne la lira. En dessous de 4 pages, elle manque de substance et ne passera pas un audit.

La PSSI la plus courante en PME est celle qui dort dans un tiroir ou un dossier SharePoint jamais ouvert. Voici comment éviter ce piège dès la rédaction.

Processus de rédaction en 4 étapes :

1. Inventaire des actifs et des risques (½ journée) : listez ce que vous protégez — données clients, systèmes critiques, propriété intellectuelle. C'est le périmètre de votre PSSI.
2. Rédaction collaborative (CISO ou responsable IT + direction + RH) : chaque section est rédigée par le propriétaire du domaine. La direction rédige la section "Objet et périmètre". Les RH co-rédigent "Utilisation acceptable".
3. Validation juridique : faire relire par un juriste les sections sur la classification des données, la gestion des incidents et les sanctions. 2h de consultation, pas plus.
4. Approbation formelle : signature de la direction générale sur la version finale. Cette signature est la preuve que la sécurité est un engagement de la direction, pas une initiative IT.

Les 5 erreurs fatales à éviter :

• Copier-coller un template internet sans l'adapter à votre contexte — les auditeurs le voient immédiatement.
• Rédiger la PSSI uniquement par l'IT, sans impliquer la direction — elle devient un document technique que personne ne lit.
• Ne jamais la communiquer — chaque employé doit signer (ou valider numériquement) avoir lu et compris la politique.
• Ne jamais la mettre à jour — la PSSI devient obsolète en 12-18 mois si elle n'intègre pas les nouvelles menaces et les changements organisationnels.
• Inclure des contrôles que vous n'appliquez pas — une PSSI qui décrit l'idéal plutôt que la réalité est un risque légal.

Processus de révision annuelle (3 réunions) :

1. Réunion 1 — Bilan (1h) : quels incidents ont eu lieu ? Quels contrôles ont failli ? Quelles nouvelles menaces sont apparues ?
2. Réunion 2 — Mise à jour (2h) : révision section par section, ajustement des contrôles.
3. Réunion 3 — Validation et communication (30min) : approbation direction, distribution de la nouvelle version, confirmation de lecture par tous.

La PSSI est le document cadre. Elle est appuyée par des politiques filles — des documents opérationnels courts (1 page maximum) qui donnent des règles claires sur un sujet précis. Une politique d'une page qu'on lit, c'est infiniment plus efficace qu'un manuel de 40 pages qu'on ne lit pas.

Chaque politique fille doit comporter : une date d'entrée en vigueur, une date de révision, le nom du propriétaire, et la procédure de dérogation (car les dérogations non documentées sont une source de risque majeure).

Le modèle RACI (Responsible / Accountable / Consulted / Informed) est l'outil le plus simple et le plus efficace pour éliminer les zones grises dans la gestion de la sécurité. Lors d'un incident, la question "à qui appartient ce problème ?" ne devrait jamais se poser.

• R — Responsible : fait le travail. Peut être plusieurs personnes.
• A — Accountable : rend compte du résultat. Une seule personne par ligne. C'est elle qui répond si ça ne se fait pas.
• C — Consulted : est sollicitée pour son expertise avant la décision. Communication bidirectionnelle.
• I — Informed : est informée après coup. Communication unidirectionnelle.

Sans CISO interne : si vous n'avez pas de CISO, attribuez le rôle "A" des processus sécurité au DG ou à un directeur désigné, et le rôle "R" à votre responsable IT. Envisagez un vCISO (Virtual CISO) — un CISO externe à temps partiel — pour les organisations de 20 à 150 personnes : coût mensuel de 2 000 à 5 000 $, pour une expertise qu'on ne peut pas embaucher à temps plein.

Un comité de sécurité mal animé devient rapidement une réunion que tout le monde redoute — trop longue, trop technique, sans décision. Voici comment le rendre utile.

Composition recommandée :

• CISO ou responsable sécurité (animateur)
• Directeur général (décideur budgétaire)
• Directeur financier (si la sécurité impacte des investissements)
• Responsable RH (sensibilisation, départs)
• Responsable juridique ou DPO (conformité, incidents)
• Optionnel : 1 représentant des équipes métier

Fréquence : trimestrielle pour une PME, mensuelle si vous êtes dans un secteur réglementé ou après un incident majeur.

Le compte-rendu du comité doit tenir sur une page : décisions prises, propriétaires, délais. Distribué sous 48h. Si une décision n'est pas actée par écrit avec un propriétaire et une date, elle ne sera pas exécutée.

Un tableau de bord sécurité pour la direction doit se lire en 2 minutes et conduire à une décision — pas à une présentation de 45 diapositives. La règle : 7 indicateurs maximum, code couleur RAG (Rouge / Amber / Vert), tendance sur 3 mois.

Ce tableau de bord est accompagné d'une section Top 3 risques ouverts : trois phrases maximum par risque (description, impact potentiel, action en cours). C'est sur ces risques que la direction doit se prononcer — les autres indicateurs sont du contexte.

Beaucoup de PME confondent audit et évaluation interne. Les deux sont utiles, mais ils répondent à des questions différentes et ont des forces différentes.

Plan d'audit annuel type pour une PME :

• T1 — Audit interne accès et comptes : revue de tous les comptes actifs, privilèges, MFA. Désactivation des comptes orphelins.
• T2 — Audit interne sauvegardes : test de restauration complet, vérification de la règle 3-2-1, revue des logs de sauvegarde.
• T3 — Audit interne conformité PSSI : les politiques sont-elles appliquées ? Les employés connaissent-ils les règles ?
• T4 — Audit externe : mandater un tiers pour une revue indépendante. Fournir les résultats des 3 audits internes comme contexte.

Choisir un auditeur externe : vérifiez les certifications (CISA pour les systèmes d'information, ISO 27001 Lead Auditor pour la conformité ISO), demandez 2-3 références dans votre secteur, et clarifiez dès le départ le format du rapport livrable.

Le plus grand obstacle à l'investissement en sécurité n'est pas le budget — c'est la communication. Les CISO qui obtiennent des budgets sont ceux qui parlent le langage des risques business, pas le langage des techniques de sécurité.

La traduction risque IT → risque business :

• ❌ "Notre EDR n'est pas à jour sur 23% des postes." → ✅ "Un employé sur quatre peut être compromis sans qu'on le détecte, exposant nos données clients."
• ❌ "Nous n'avons pas de SIEM." → ✅ "Si un attaquant s'introduit aujourd'hui, nous ne le découvrirons pas avant 3-6 mois — la moyenne sectorielle est 207 jours."
• ❌ "Le dernier pentest a révélé 14 vulnérabilités High." → ✅ "Un audit indépendant a identifié 14 portes d'entrée pour un ransomware. Corriger les 3 principales coûte 8 000 $ ; le coût moyen d'un ransomware en PME est 460 000 $."

Structure d'un rapport mensuel CISO → DG (1 page) :

Ce format se lit en 90 secondes. Si un DG doit vous demander "et alors ?" après lecture, le rapport n'est pas assez actionnable.

La communication de crise doit être préparée avant l'incident. Quand un ransomware chiffre vos serveurs à 3h du matin, personne n'a le temps de rédiger un message de crise. Les organisations qui gèrent bien une crise sont celles qui ont des templates prêts.

Les trois audiences et leurs attentes :

• Employés : veulent savoir si leur emploi est en danger, ce qu'ils doivent faire, et quand la situation sera rétablie. Message : rassurant, honnête, avec des instructions claires.
• Clients et partenaires : veulent savoir si leurs données sont compromises et si le service sera rétabli. Message : factuel, engagement de transparence, pas de sur-promesse.
• Régulateurs et médias : la Commission d'accès à l'information (CAI) doit être notifiée "dans les meilleurs délais" pour tout incident à risque de préjudice sérieux (Loi 25). Message : précis, complet, avec chronologie de l'incident.

Chronologie de crise type — Ransomware :