Politique de sécurité.
La politique de sécurité du système informatique est de plus en plus associée à l'acronyme PSSI, pour « Politique de Sécurité du Système d'Information ».
La structure générale d'une politique de sécurité peut aborder les points suivants :
Par rapport à cette structure, la PSSI peut aborder un certain nombre de thèmes correspondant aux principaux domaines techniques du système informatique et du système d'information qu'il me en œuvre. On y recense notamment les thèmes suivants :
Selon nous, les caractéristiques d'une PSSI de bonne qualité sont les suivantes :
A notre sens, la PSSI doit être communiquée à tout le personnel pour lui permettre de comprendre dans le détail l'impact de la SSI dans son entreprise et la manière dont il a été décidé de la gérer. Cette diffusion de la PSSI peut parfois être plus difficile à réaliser, notamment si les objectifs adoptés négligent explicitement certains risques.
Analyse des risques.
Les principales étapes d'une analyse des risques sont les suivantes :
La réalisation d'une analyse des risques apporte des informations très intéressantes pour la définition de la politique de sécurité. Toutefois, de notre point de vue, cette approche masque certaines des décisions qui doivent être prises pour aboutir à la définition de la politique de sécurité : la rentabilité n'est pas un critère suffisant pour décider la mise en place de certaines mesures de sécurité, par ailleurs l'évaluation des menaces et de certains dommages reste assez subjective et rend la plupart des méthodes moins mécaniques qu'elles ne l'avouent.
« Spécifications ».
Les spécifications de sécurité peuvent toucher à différents sujets concernant la SSI, avec l'objectif de décrire de manière précise les règles souhaitables et leurs motivations (c'est à dire les informations à protéger) :
Guides de configuration ou de recette.
Les guides de configuration ou de recette identifient des points de contrôles :
Ils sont déclinés précisément, par exemple par :
Ils couvrent des éléments de configuration et de gestion concrets, par exemple pour certains paramètres réseau des systèmes d'exploitation suivants :
 echo "0" > /proc/sys/net/ipv4/ip_forward
 echo "1" > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
 net.inet.ip.forwarding=0
 vm.swapencrypt.enable=1 
Documents de mise en service et de suivi.
Après contrôle (réussi ou non) de la sécurité d'un système, un document de mise en service identifiant les non-conformités constatées et les vulnérabilités résiduelles du système concrétise l'autorisation de mise en service du système et doit permettre par exemple l'ouverture des accès réseau.
Des failles peuvent également être constatées a posteriori par des contrôles de sécurité.
Dans chacun de ces cas, le suivi de la sécurité doit s'appuyer sur des documents identifiant les problèmes résiduels connus et permettant de maintenir ou de faire progresser la sécurité des différents systèmes. On trouve notamment parmi ces documents des matrices de conformité ou des fiches de suivi.

Sécurité des systèmes informatiques/Sécurité informatique/La veille technologique sécurité