Skip to main content

Politique de sécurité des systèmes d'information (PSSI)

ClassificationPublic
DiffusionLibre
Résumé

La présente politique définit les principes et les règles applicables en matière de sécurité des systèmes d'information au sein de DIALOG. Elle constitue le document de référence du domaine SSI et s'adresse à la fois aux équipes internes (Direction, responsable de la sécurité, équipes techniques et utilisateurs), aux clients de DIALOG et aux auditeurs intervenant dans le cadre des contrôles de conformité, notamment au titre du RGPD, des recommandations de l'ANSSI et de la norme ISO/IEC 27001.

1. Objet et champ d'application​

La présente politique vise à garantir un niveau de sécurité adapté aux risques, afin d'assurer la confidentialité, l'intégrité, la disponibilité et la traçabilité des systèmes d'information et des données qu'ils traitent, en cohérence avec les exigences réglementaires, contractuelles et organisationnelles applicables.

Elle s'applique à l'ensemble des systèmes d'information de DIALOG, quels que soient leur nature, leur usage ou leur mode d'hébergement, ainsi qu'à l'ensemble des personnes impliquées dans leur conception, leur exploitation, leur utilisation ou leur administration, qu'elles soient internes ou externes.

2. Références et documents de référence​

La présente politique s'appuie sur les textes réglementaires, référentiels et documents internes qui constituent le cadre de référence applicable à la sécurité des systèmes d'information au sein de DIALOG.

2.1. Références réglementaires et normatives​

Sans s'y limiter, la politique de sécurité des systèmes d'information tient compte notamment :

  • Du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), et en particulier de son article 32 relatif à la sécurité des traitements ;
  • De la norme ISO/IEC 27001 relative aux systèmes de management de la sécurité de l'information, dont la traçabilité avec le corpus interne est tenue dans le référentiel de correspondance ISO 27001 et ANSSI (non disponible sur ce site) ;
  • Des recommandations et bonnes pratiques publiées par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) ;
  • Des exigences applicables aux systèmes d'information dans le cadre de projets réalisés pour des acteurs publics, lorsque celles-ci sont requises.

2.2. Documents internes de référence​

La mise en œuvre opérationnelle des principes définis par la présente politique s'appuie notamment sur les documents internes suivants :

  • La politique de protection des données personnelles ;
  • La politique de sécurité RH (non disponible sur ce site), qui constitue le volet RH de la sécurité des systèmes d'information ;
  • La politique de gouvernance des projets (non disponible sur ce site) ;
  • La politique de gouvernance documentaire ;
  • Les référentiels et procédures de sécurité des systèmes d'information ;
  • Les plans relatifs à la sécurité, à la continuité et à l'exploitation des systèmes d'information.

Ces documents précisent, chacun dans leur périmètre, les modalités organisationnelles, techniques ou opérationnelles applicables.

3. Définitions et principes généraux​

3.1. Définitions​

Au sens de la présente politique, les termes suivants sont entendus comme suit :

  • Système d'information : ensemble organisé de ressources permettant de collecter, stocker, traiter et diffuser de l'information, incluant notamment les infrastructures, applications, données et services associés ;
  • Sécurité des systèmes d'information : ensemble des mesures techniques, organisationnelles et humaines visant à protéger les systèmes d'information contre les menaces susceptibles d'affecter leur confidentialité, leur intégrité, leur disponibilité ou leur traçabilité ;
  • Incident de sécurité : événement susceptible de porter atteinte à la sécurité des systèmes d'information, qu'il soit intentionnel ou accidentel ;
  • Utilisateur : toute personne autorisée à accéder ou à utiliser tout ou partie des systèmes d'information.

Cette liste s'appuie sur les définitions communément admises et sur les référentiels de bonnes pratiques en matière de sécurité des systèmes d'information.

3.2. Principes généraux​

La sécurité des systèmes d'information au sein de DIALOG repose sur les principes généraux suivants :

  • Responsabilité, la sécurité des systèmes d'information relevant de l'ensemble des acteurs impliqués, à tous les niveaux de DIALOG ;
  • Approche par les risques, consistant à adapter les mesures de sécurité aux risques identifiés et aux enjeux associés ;
  • Proportionnalité, les mesures de sécurité étant définies en tenant compte du contexte, des usages et des impacts potentiels ;
  • Défense en profondeur, reposant sur la combinaison de mesures complémentaires, organisationnelles, techniques et humaines ;
  • Séparation des rôles et des accès, afin de limiter les risques d'erreur, d'abus ou de compromission ;
  • Amélioration continue, la sécurité des systèmes d'information étant régulièrement évaluée et renforcée en fonction des évolutions des menaces, des usages et de DIALOG.

4. Objectifs de la sécurité des systèmes d'information​

La sécurité des systèmes d'information a pour objectif de protéger les actifs informationnels de DIALOG et de garantir la continuité, la fiabilité et la confiance associées à ses activités.

À ce titre, la politique de sécurité des systèmes d'information vise notamment à :

  • Assurer la confidentialité des informations, en limitant l'accès aux données aux seules personnes autorisées ;
  • Garantir l'intégrité des systèmes et des données, afin de prévenir toute altération non autorisée ou non maîtrisée ;
  • Maintenir la disponibilité des systèmes d'information et des services associés, en particulier pour les activités critiques ;
  • Préserver la traçabilité des actions réalisées sur les systèmes d'information, afin de permettre l'analyse, le contrôle et la détection des événements de sécurité ;
  • Protéger les données à caractère personnel, en cohérence avec la politique de protection des données personnelles et les exigences du RGPD ;
  • Réduire l'exposition aux risques de sécurité, en tenant compte des menaces, des vulnérabilités et des impacts potentiels ;
  • Renforcer la confiance des utilisateurs, des clients et des partenaires, notamment dans le cadre de projets impliquant des acteurs publics.

Ces objectifs s'inscrivent dans une démarche globale de maîtrise des risques et d'amélioration continue de la sécurité des systèmes d'information.

5. Gouvernance de la sécurité des systèmes d'information​

La sécurité des systèmes d'information repose sur une gouvernance clairement définie, permettant d'assurer une prise de décision adaptée, une coordination efficace des acteurs et une mise en œuvre cohérente des mesures de sécurité.

5.1. Responsabilité de la Direction​

La Direction porte la responsabilité globale de la sécurité des systèmes d'information.

À ce titre, elle définit les orientations stratégiques, valide les principes de sécurité et arbitre les décisions structurantes en matière de sécurité des systèmes d'information.

5.2. Rôle du responsable de la sécurité des systèmes d'information​

Le responsable de la sécurité des systèmes d'information coordonne la mise en œuvre de la politique de sécurité et contribue à son application au sein de DIALOG.

Il est notamment chargé de :

  • Proposer et faire évoluer les règles de sécurité applicables aux systèmes d'information ;
  • Accompagner les projets et les équipes dans la prise en compte des exigences de sécurité ;
  • Contribuer à l'analyse et à la gestion des risques de sécurité ;
  • Participer à la gestion des incidents de sécurité et à la mise en œuvre des actions correctives.

5.3. Rôle des équipes et des utilisateurs​

Les équipes et les utilisateurs contribuent à la sécurité des systèmes d'information dans le cadre de leurs activités.

À ce titre, ils sont notamment tenus de :

  • Respecter les règles de sécurité définies par la présente politique et les documents associés ;
  • Adopter des comportements responsables et vigilants dans l'utilisation des systèmes d'information ;
  • Signaler sans délai tout incident ou événement susceptible d'affecter la sécurité.

6. Gestion des risques et approche par les risques​

La sécurité des systèmes d'information au sein de DIALOG repose sur une approche structurée de gestion des risques, visant à identifier, analyser et traiter les risques susceptibles d'affecter les systèmes d'information et les données qu'ils traitent.

Cette approche permet d'adapter les mesures de sécurité aux enjeux réels, en tenant compte des menaces, des vulnérabilités et des impacts potentiels.

6.1. Identification et analyse des risques​

DIALOG met en œuvre des actions visant à identifier et analyser les risques de sécurité, notamment lors :

  • De la conception ou de l'évolution des systèmes d'information ;
  • Du lancement de nouveaux projets ou services ;
  • De la modification significative des usages, des architectures ou des modes d'hébergement.

L'analyse des risques prend en compte :

  • La nature et la sensibilité des informations traitées ;
  • Les menaces susceptibles d'affecter les systèmes d'information ;
  • Les impacts potentiels sur les activités, les personnes et les engagements contractuels.

6.2. Traitement et acceptation des risques​

Les risques identifiés font l'objet d'un traitement adapté, reposant sur :

  • La mise en œuvre de mesures de sécurité appropriées ;
  • La réduction des risques à un niveau acceptable ;
  • L'acceptation formalisée des risques résiduels, lorsque cela est nécessaire.

Les décisions relatives au traitement ou à l'acceptation des risques relèvent des instances de gouvernance compétentes, en fonction du niveau d'enjeu identifié.

6.3. Suivi des risques​

Les risques de sécurité font l'objet d'un suivi dans le temps, afin de :

  • Prendre en compte l'évolution des menaces et des vulnérabilités ;
  • Adapter les mesures de sécurité mises en œuvre ;
  • Intégrer les enseignements issus des incidents et des retours d'expérience.

7. Principes de sécurité applicables aux systèmes d'information​

La sécurité des systèmes d'information repose sur la mise en œuvre de principes de sécurité communs, applicables à l'ensemble des systèmes, services et données, quels que soient leur usage ou leur mode d'hébergement.

Ces principes constituent le socle sur lequel s'appuient les mesures organisationnelles, techniques et humaines définies dans les documents de référence associés.

7.1. Classification de l'information​

La classification de l'information constitue un principe transverse qui conditionne l'application proportionnée des autres principes de sécurité, notamment en matière d'accès, de protection, de journalisation, de sauvegarde et de gestion des vulnérabilités.

À ce titre, DIALOG distingue plusieurs niveaux de sensibilité, auxquels sont associées des règles de manipulation, de stockage, d'échange et de destruction adaptées. Une attention particulière est portée aux données à caractère personnel et aux informations relevant d'un haut niveau de confidentialité.

Le cadre normatif de classification — principes, responsabilités, intégration aux processus, marquage, articulation avec la gouvernance documentaire et la continuité — est défini par la politique de classification de l'information. Les niveaux de classification, les règles de gestion par niveau, les règles de marquage manuel et les cas d'usage sont déclinés dans le référentiel de classification de l'information (non disponible sur ce site).

7.2. Gestion des accès et des habilitations​

L'accès aux systèmes d'information et aux données est strictement limité aux personnes autorisées, en fonction de leurs missions et de leurs responsabilités.

Cela se traduit notamment par :

  • Attribuer les droits d'accès selon le principe du moindre privilège ;
  • Gérer les habilitations tout au long du cycle de vie des utilisateurs ;
  • Mettre en œuvre des mécanismes d'authentification adaptés aux enjeux de sécurité.

Ces principes sont mis en œuvre dans le cadre de la procédure de gestion des habilitations (non disponible sur ce site) et s'articulent, pour le volet cycle de vie des collaborateurs, avec la politique de sécurité RH (non disponible sur ce site). Les règles d'utilisation des comptes, des identifiants, des moyens d'authentification et plus généralement des ressources numériques opposables aux utilisateurs sont définies dans la politique d'usage acceptable des systèmes d'information (non disponible sur ce site).

7.3. Protection des systèmes et des données​

Les systèmes d'information et les données font l'objet de mesures visant à prévenir les accès non autorisés, les altérations et les pertes d'information.

Les mesures associées comprennent notamment :

  • Mettre en œuvre des mesures de protection adaptées aux risques identifiés ;
  • Assurer la sécurité des environnements de production, de test et de développement ;
  • Protéger les données sensibles et les données à caractère personnel.

7.4. Journalisation et traçabilité​

Les actions significatives réalisées sur les systèmes d'information font l'objet d'une journalisation appropriée, afin de permettre la détection, l'analyse et l'investigation des événements de sécurité.

À ce titre, DIALOG veille notamment à :

  • Mettre en place des mécanismes de traçabilité adaptés aux enjeux de sécurité ;
  • Assurer la conservation et la protection des journaux de sécurité ;
  • Limiter l'accès aux journaux aux seules personnes autorisées.

Les modalités opérationnelles de journalisation, de centralisation et d'exploitation des journaux sont décrites dans le manuel d'exploitation et de sécurité (non disponible sur ce site) et la procédure de supervision et de monitoring (non disponible sur ce site).

7.5. Sauvegardes et restauration​

Les systèmes d'information font l'objet de sauvegardes régulières, afin de permettre la restauration des données et des services en cas d'incident.

Cette exigence implique notamment de :

  • Définir des stratégies de sauvegarde adaptées aux besoins métiers et aux risques ;
  • Tester périodiquement les capacités de restauration ;
  • Protéger les supports de sauvegarde contre les accès non autorisés et les pertes.

Les modalités opérationnelles de sauvegarde, de restauration et de protection des supports sont décrites dans la procédure de sauvegarde et de restauration (non disponible sur ce site).

7.6. Gestion des vulnérabilités et des mises à jour​

La sécurité des systèmes d'information prend en compte la gestion des vulnérabilités et des mises à jour de sécurité.

Cela suppose notamment de :

  • Identifier et corriger les vulnérabilités affectant les systèmes et les applications ;
  • Maintenir les composants logiciels et matériels à un niveau de sécurité approprié ;
  • Prendre en compte les alertes de sécurité et les recommandations applicables.

Les modalités opérationnelles d'identification, d'évaluation, de qualification et de remédiation des vulnérabilités sont décrites dans la procédure de gestion des vulnérabilités (non disponible sur ce site).

7.7. Sécurité physique​

La sécurité des systèmes d'information ne peut être pleinement assurée sans une protection adaptée des locaux, des équipements et des supports physiques qui les hébergent. À ce titre, DIALOG s'attache à protéger l'accès aux locaux et aux zones sensibles abritant des composants critiques, notamment les espaces techniques et la baie informatique, par des dispositifs adaptés de contrôle d'accès, d'identification des moyens d'accès, de traçabilité et de supervision.

L'attribution, la restitution et le suivi des moyens d'accès physiques (clés, badges) constituent un volet à part entière du cycle de vie des collaborateurs et des intervenants, dont les modalités opérationnelles sont précisées dans la politique de sécurité RH (non disponible sur ce site) et dans les procédures RH associées (onboarding, offboarding, prestataires).

7.8. Maîtrise des relations fournisseurs​

Le recours à des fournisseurs, prestataires et sous-traitants constitue un facteur de risque structurant pour la sécurité des systèmes d'information, la protection des données à caractère personnel et la continuité d'activité. À ce titre, DIALOG s'attache à encadrer l'ensemble du cycle de vie de ces relations — qualification, sélection, contractualisation, exploitation, suivi et fin — selon des exigences proportionnées au niveau de risque que chaque fournisseur fait peser sur l'organisation.

Cela suppose notamment de :

  • identifier et qualifier les fournisseurs au regard de la criticité des informations, des systèmes et des processus impactés ;
  • encadrer contractuellement chaque relation (clauses de sécurité, de confidentialité, de protection des données, de notification d'incident, de réversibilité, de droit d'audit) ;
  • maîtriser les accès accordés aux fournisseurs en appliquant strictement le moindre privilège, la traçabilité et la révocation en fin de mission ;
  • superviser et contrôler les activités des fournisseurs dans la durée, et capitaliser les retours d'expérience ;
  • prendre en compte les enjeux spécifiques liés aux services cloud et à la chaîne d'approvisionnement TIC.

Le cadre normatif transverse — principes, typologie, cycle de vie, responsabilités, articulation avec les sous-cas (sous-traitants RGPD, prestataires individuels, services cloud) — est défini par la politique de gestion des fournisseurs. Les modalités opérationnelles propres aux sous-traitants au sens de l'article 28 du RGPD sont précisées dans la procédure de gestion des sous-traitants (non disponible sur ce site) ; les modalités relatives aux prestataires individuels et aux renforts dans la procédure de gestion des prestataires et renforts (non disponible sur ce site).

7.9. Cryptographie​

La cryptographie constitue un principe transverse de protection : elle est mobilisée pour assurer la confidentialité, l'intégrité, l'authenticité et, lorsque cela est requis, la non-répudiation des informations manipulées par DIALOG. Sa mise en œuvre est proportionnée au niveau de classification des données et à la criticité des systèmes concernés.

Cela suppose notamment de :

  • chiffrer les données au repos dans les bases de données structurantes (notamment via le chiffrement transparent SQL Server — TDE — sur les bases clients) et dans les sauvegardes ;
  • chiffrer les communications via TLS 1.2/1.3 et IPsec, en excluant les versions et suites obsolètes ;
  • protéger les mots de passe utilisateurs par hachage avec sel individualisé (Bcrypt par défaut) et encadrer strictement les rares cas de chiffrement réversible ;
  • gérer le cycle de vie des clés et des secrets dans un coffre-fort de référence (Passbolt, en cours de déploiement à l'échelle de l'entreprise) ;
  • proscrire les algorithmes et protocoles obsolètes (DES, 3DES, RC4, MD5, SHA-1, TLS ≤ 1.1, modes ECB) ;
  • intégrer la pseudonymisation comme mesure complémentaire pour les jeux de données de test.

Le cadre normatif est défini par la politique de cryptographie (non disponible sur ce site). Le catalogue concret des algorithmes et protocoles admis (avec statut), les paramètres minimaux, les règles de gestion des clés et les anti-patterns proscrits sont déclinés dans le référentiel de cryptographie (non disponible sur ce site).

7.10. Rétention, archivage et fin de vie de l'information​

La maîtrise du cycle de vie de l'information — de sa création à sa destruction définitive — constitue un volet à part entière de la sécurité. DIALOG conserve les informations le temps strictement nécessaire à la finalité poursuivie, augmenté des durées rendues nécessaires par les obligations légales, réglementaires ou contractuelles applicables, et organise la fin de vie des informations selon des modalités garantissant leur destruction effective ou leur archivage maîtrisé.

Cela suppose notamment de :

  • distinguer les trois phases du cycle de vie de l'information — base active, archivage intermédiaire, archivage définitif ou purge ;
  • appliquer des durées proportionnées résultant du plus contraignant des régimes applicables (finalité, RGPD, obligations sectorielles, engagements contractuels) ;
  • pour les données personnelles traitées en qualité de sous-traitant, appliquer les durées fixées par les clients responsables de traitement dans la phase de cadrage et restituer ou détruire les données en fin de marché conformément à l'article 28.3.g du RGPD ;
  • pour les logs, respecter les obligations spécifiques (notamment la conservation LCEN à 12 mois glissants pour les logs de connexion) et les durées contractuelles propres à chaque marché ;
  • pour les autres catégories (documents juridiques, contractuels, comptables, RH, projets, corpus), respecter les durées de référence définies dans le référentiel ;
  • privilégier l'effacement cryptographique (crypto-erase) lorsque les données sont chiffrées au repos, et le wipe NIST SP 800-88 ou la destruction physique en repli ;
  • matérialiser toute opération de destruction par un certificat de destruction signé.

Le cadre normatif est défini par la politique de rétention et d'archivage (non disponible sur ce site). Les durées concrètes par catégorie d'information, les mécanismes techniques associés et la matrice des contrôles applicables sont précisés dans le référentiel de rétention et d'archivage (non disponible sur ce site).

8. Sécurité des projets et évolution des systèmes​

La sécurité des systèmes d'information est prise en compte dès les phases amont des projets et lors de toute évolution significative des systèmes existants, afin de prévenir les risques et d'assurer un niveau de sécurité adapté tout au long du cycle de vie des systèmes.

8.1. Intégration de la sécurité dès la conception​

Les projets impliquant la création, l'évolution ou le déploiement de systèmes d'information intègrent les exigences de sécurité dès les phases de cadrage et de conception.

Cela implique notamment de :

  • Identifier les enjeux de sécurité associés au projet ou à l'évolution envisagée ;
  • Prendre en compte les exigences de sécurité dans les choix d'architecture, de conception et d'organisation ;
  • Articuler les exigences de sécurité avec les autres exigences transverses, notamment en matière de protection des données personnelles et d'exploitation.

8.2. Sécurité des environnements et des mises en production​

La gouvernance des projets prend en compte la sécurité des environnements techniques et des opérations de mise en production.

À ce titre, DIALOG veille notamment à :

  • Assurer une séparation appropriée des environnements de développement, de test et de production ;
  • Encadrer les opérations de mise en production afin de limiter les risques pour la sécurité et la disponibilité des systèmes ;
  • Vérifier la conformité des évolutions aux exigences de sécurité applicables avant leur mise en service.

8.3. Évolution et maintien du niveau de sécurité​

Les évolutions des systèmes d'information font l'objet d'un suivi visant à maintenir un niveau de sécurité cohérent avec les risques identifiés.

Les mesures associées comprennent notamment :

  • Évaluer les impacts des évolutions sur la sécurité des systèmes existants ;
  • Adapter les mesures de sécurité en fonction des changements apportés ;
  • Intégrer les retours d'expérience issus des projets et des incidents de sécurité.

9. Gestion des incidents de sécurité​

DIALOG met en œuvre une organisation permettant de détecter, signaler, analyser et traiter les incidents de sécurité des systèmes d'information, afin d'en limiter les impacts et d'en tirer les enseignements nécessaires.

Un incident de sécurité peut concerner la confidentialité, l'intégrité, la disponibilité ou la traçabilité des systèmes d'information et des données qu'ils traitent.

9.1. Détection et signalement​

DIALOG s'attache à ce que tout événement susceptible d'affecter la sécurité des systèmes d'information puisse être détecté et signalé dans les meilleurs délais. À ce titre, des canaux de signalement sont mis à disposition des collaborateurs et des intervenants externes, et la sensibilisation au signalement constitue un volet permanent du dispositif de sécurité.

9.2. Analyse et traitement​

Les incidents font l'objet d'une qualification fondée sur leur gravité, leurs impacts potentiels et leur périmètre, puis d'un traitement reposant sur des actions correctives et préventives adaptées. La gestion des incidents est coordonnée entre les acteurs de la sécurité, des projets et de l'exploitation, et associe le délégué à la protection des données lorsque l'incident concerne des données à caractère personnel.

9.3. Traçabilité et retour d'expérience​

Chaque incident, ainsi que les décisions et les actions associées, fait l'objet d'une documentation permettant d'en assurer la traçabilité, de répondre aux obligations de preuve et de capitaliser sur les retours d'expérience. Les enseignements tirés des incidents alimentent l'évolution des pratiques de sécurité et des documents de référence du corpus.

9.4. Articulation avec le corpus opérationnel​

Les modalités opérationnelles de gestion des incidents — détection, qualification, traitement, communication interne et externe, post-incident — sont décrites dans la procédure de gestion des incidents de sécurité (non disponible sur ce site). Les incidents impliquant des données à caractère personnel sont traités conformément à la politique de protection des données personnelles et à la procédure de gestion des violations de données (non disponible sur ce site). Le modèle de compte rendu d'incident SSI/RGPD (non disponible sur ce site) constitue le support de formalisation associé.

10. Continuité et disponibilité des systèmes d'information​

DIALOG veille à assurer la continuité et la disponibilité de ses systèmes d'information, en cohérence avec les enjeux métiers, les exigences contractuelles et les risques identifiés.

La continuité des systèmes d'information constitue un élément essentiel de la sécurité, en particulier pour les services critiques ou à fort impact en cas d'indisponibilité.

10.1. Prise en compte de la continuité d'activité​

La gouvernance de la sécurité des systèmes d'information intègre les enjeux de continuité d'activité et de reprise des services. DIALOG identifie les systèmes et services critiques nécessitant un niveau de disponibilité renforcé, définit des objectifs de continuité et de reprise adaptés à leurs enjeux, et articule les exigences de sécurité avec les dispositifs de continuité et de maintien en conditions opérationnelles.

10.2. Prévention des indisponibilités​

Des mesures sont mises en œuvre afin de réduire les risques d'indisponibilité, en s'appuyant notamment sur la résilience des architectures critiques, sur l'anticipation des impacts des évolutions, des opérations de maintenance et des incidents, et sur une coordination étroite avec les équipes en charge de l'exploitation et de la production.

10.3. Tests et amélioration continue​

La continuité et la disponibilité des systèmes d'information font l'objet d'un suivi et d'une amélioration continue : tests périodiques des dispositifs de continuité et de reprise lorsque cela est pertinent, prise en compte des enseignements issus des incidents et des tests réalisés, adaptation des dispositifs en fonction de l'évolution des risques et des usages.

10.4. Articulation avec le corpus opérationnel​

Les modalités opérationnelles de continuité et de reprise — analyse d'impact, scénarios, objectifs de reprise, dispositifs techniques et organisationnels, exercices et retours d'expérience — sont décrites dans le plan de continuité et de reprise d'activité (PRA) (non disponible sur ce site) et dans le plan de maintien en condition de sécurité (PMCS) (non disponible sur ce site). Les exigences transverses applicables aux services exploités, notamment en matière de disponibilité, sont précisées dans le plan d'assurance sécurité (PAS) (non disponible sur ce site).

11. Sensibilisation, contrôle et amélioration continue​

La mise en œuvre effective de la présente politique repose sur l'appropriation de ses principes par l'ensemble des acteurs concernés, sur le contrôle régulier de son application et sur l'intégration continue des enseignements tirés du contexte et des retours d'expérience.

11.1. Sensibilisation et formation​

DIALOG sensibilise régulièrement les collaborateurs aux enjeux de sécurité des systèmes d'information et aux bonnes pratiques associées. Les personnes impliquées dans la conception, l'exploitation et l'administration des systèmes d'information bénéficient en outre de formations ciblées sur les règles de sécurité applicables. Le volet RH de la sensibilisation et de la formation est précisé dans la politique de sécurité RH (non disponible sur ce site). Les règles d'usage opposables aux utilisateurs et leur acceptation formalisée sont définies dans la politique d'usage acceptable des systèmes d'information (non disponible sur ce site) et matérialisées par l'engagement d'usage des systèmes d'information (non disponible sur ce site) signé lors de l'intégration.

11.2. Contrôle et audits​

Des actions de contrôle sont mises en œuvre afin de vérifier le respect de la présente politique et des documents de référence associés. DIALOG réalise par ailleurs, en interne ou avec l'appui de tiers, des audits relatifs à la sécurité des systèmes d'information, notamment dans le cadre des engagements pris auprès des clients ou en vue d'évaluations normatives. Les écarts ou non-conformités constatés font l'objet d'actions correctives proportionnées, dont la mise en œuvre est suivie jusqu'à leur clôture.

11.3. Amélioration continue et évolution de la politique​

DIALOG assure le suivi régulier de l'application de la présente politique et intègre les retours d'expérience issus des incidents de sécurité, des audits, des actions de contrôle, ainsi que de l'évolution des menaces, des vulnérabilités et des usages. Sur cette base, la présente politique et les documents de référence associés sont actualisés chaque fois que nécessaire. Les mises à jour sont documentées et diffusées auprès des parties concernées.

12. Entrée en vigueur, versionnement et diffusion​

12.1. Entrée en vigueur et validation​

La présente politique entre en vigueur à compter de sa date de validation par la Direction de DIALOG. Elle s'applique à l'ensemble des systèmes d'information relevant de son périmètre à compter de cette date.

Le versionnement de la politique suit les règles définies par la politique de gouvernance documentaire ; la version courante est portée par le suffixe vMAJEUR.MINEUR du nom du fichier.

12.2. Cadence de revue​

La présente politique fait l'objet d'une revue annuelle, ainsi que d'une mise à jour chaque fois que nécessaire en cas d'évolution significative du contexte (réglementation, organisation, architecture, retours d'expérience d'incidents ou d'audits). Les modalités de capitalisation des évolutions sont précisées au chapitre 11.3.

12.3. Diffusion et application​

La politique est diffusée auprès des collaborateurs concernés par la conception, l'exploitation, l'administration ou l'utilisation des systèmes d'information, et est mise à leur disposition par tout moyen approprié.

Elle peut être communiquée, le cas échéant, aux clients, partenaires ou autorités compétentes, notamment dans le cadre de projets ou de contrôles, dans le respect des règles de confidentialité applicables.

Tout manquement aux principes définis par la présente politique est susceptible d'entraîner des mesures appropriées, conformément aux règles internes et aux engagements contractuels en vigueur.

13. Documents associés​

La présente politique s'appuie sur les politiques articulées, les procédures, les plans, les référentiels et les modèles suivants du corpus DIALOG, qui en précisent l'application opérationnelle.

13.1. Politiques articulées​

13.2. Procédures​

  • Gestion des habilitations (non disponible sur ce site) ;
  • Gestion des incidents de sécurité (non disponible sur ce site) ;
  • Gestion des vulnérabilités (non disponible sur ce site) ;
  • Manuel d'exploitation et de sécurité (non disponible sur ce site) ;
  • Mise en production et exploitation courante (non disponible sur ce site) ;
  • Sauvegarde et restauration (non disponible sur ce site) ;
  • Supervision et monitoring (non disponible sur ce site) ;
  • Gestion des sous-traitants RGPD (non disponible sur ce site) ;
  • Gestion des prestataires et renforts (non disponible sur ce site).

13.3. Plans​

  • Plan d'assurance sécurité (PAS) (non disponible sur ce site) ;
  • Plan de maintien en condition de sécurité (PMCS) (non disponible sur ce site) ;
  • Plan d'assurance qualité (PAQ) (non disponible sur ce site) ;
  • Plan de continuité et de reprise d'activité (PRA) (non disponible sur ce site).

13.4. Référentiels​

  • Classification de l'information (non disponible sur ce site) ;
  • Cryptographie (non disponible sur ce site) ;
  • Rétention et archivage (non disponible sur ce site) ;
  • Exigences RGS, ANSSI et ISO 27001 (non disponible sur ce site) ;
  • Mesures techniques et organisationnelles (non disponible sur ce site) ;
  • Principes d'architecture sécurisée (non disponible sur ce site) ;
  • Dossier d'architecture technique Memberz (DAT) (non disponible sur ce site) ;
  • Référentiel de correspondance ISO 27001 et ANSSI (non disponible sur ce site) ;
  • Référentiels externes (non disponible sur ce site).

13.5. Modèles​

  • Compte rendu d'incident SSI/RGPD (non disponible sur ce site) ;
  • Engagement d'usage des systèmes d'information (non disponible sur ce site) ;
  • Engagement de confidentialité (non disponible sur ce site).

Le PMCS modèle a été retiré du corpus le 15 mai 2026 (campagne MOD.C2). La référence unique est désormais le Plan de Maintien en Condition de Sécurité (PMCS) (non disponible sur ce site). Les versions client sont produites par dérivation à partir de ce plan, dans l'attente d'une application de génération de documents personnalisés (cf. roadmap 2026).