Pourquoi une PSSI sur Word finit souvent par dormir dans un dossier
La majorité des PME rédigent leur PSSI une fois, la font valider, puis l'oublient. Sans processus de suivi, le document ne survit pas aux changements, nouvel outil cloud adopté sans mise à jour de la politique, départ de la personne qui portait le sujet, revue annuelle jamais faite faute de rappel. Au moment d'un contrôle ou d'un incident, la PSSI existe sur le papier mais ne reflète plus la réalité du système d'information.
La question n'est donc pas seulement "avec quoi rédiger sa PSSI", mais "avec quoi la faire vivre dans le temps". Ce sont deux problèmes différents, et le second est celui que la plupart des PME négligent.
Les 3 niveaux de solution pour piloter sa PSSI
| Approche | Fonctionnement et cas d'usage |
|---|---|
| Bureautique simple | Document Word ou Google Docs partagé, historique de versions natif, rappel calendrier pour la revue annuelle. Adapté à une structure de 1 à 10 personnes, sans obligation de certification. |
| Wiki interne | Page dans un outil de documentation d'équipe (type Notion, Confluence, BookStack), liée aux autres procédures internes. Adapté à une PME en croissance avec plusieurs documents de gouvernance à relier entre eux. |
| Plateforme GRC dédiée | Outil spécialisé conformité (type Eramba, Vanta, Drata, ISMS.online) avec mapping des contrôles, registre de risques et workflow de validation. Adapté à une démarche de certification ISO 27001 ou NIS2. |
Ce qu'une vraie solution de gestion PSSI doit permettre
Peu importe le niveau choisi, une gestion sérieuse de la PSSI couvre ces points :
- Versionnement, savoir quelle version est en vigueur et ce qui a changé depuis la précédente
- Workflow de validation, qui doit approuver une modification avant qu'elle prenne effet
- Rappel de revue, une échéance qui ne dépend pas de la mémoire d'une seule personne
- Lien avec le registre de risques, chaque règle de la PSSI devrait répondre à un risque identifié, pas exister par principe
- Traçabilité des exceptions, quand une règle n'est pas respectée temporairement, avec justification et date de retour à la normale
Installer une plateforme GRC complète pour piloter la PSSI d'une entreprise de 3 personnes est souvent contre-productif, l'outil demande plus de maintenance que le processus qu'il est censé simplifier. Mieux vaut un document bien tenu et réellement suivi qu'un logiciel sophistiqué à moitié configuré.
Comment choisir selon votre situation
Le bon choix dépend de trois facteurs simples à évaluer :
- La taille de l'organisation, plus il y a de monde et de systèmes, plus la traçabilité automatisée devient utile
- L'objectif de conformité, viser une certification ISO 27001 justifie un outil GRC, un cadre de bon sens ne le justifie pas forcément
- La disponibilité réelle pour maintenir l'outil, un outil non maintenu est pire qu'un document simple bien tenu
Questions fréquentes
Qu'est-ce qu'une solution de gestion PSSI ?
C'est l'outil ou la méthode utilisée pour rédiger, faire vivre, faire réviser et tracer les décisions liées à la Politique de Sécurité des Systèmes d'Information, du simple document Word partagé jusqu'à une plateforme GRC dédiée.
Faut-il un logiciel GRC pour gérer sa PSSI dans une petite PME ?
Non, pas nécessairement. Pour une structure de quelques personnes, un document versionné avec une revue calendarisée suffit largement. Un outil GRC dédié devient pertinent en visant une certification ISO 27001 ou en gérant plusieurs référentiels en parallèle.
Quelle différence entre gérer sa PSSI sur Word et sur une plateforme GRC ?
Un document Word ne trace ni les versions, ni les validations, ni les échéances de revue. Une plateforme GRC ajoute le versionnement, les rappels automatiques, le lien avec le registre de risques et la traçabilité en cas d'audit.
Quand passer à une solution de gestion PSSI dédiée ?
Généralement au moment où l'entreprise engage une démarche de certification (ISO 27001, NIS2), gère plusieurs sites ou filiales, ou constate que la PSSI existante n'est plus suivie faute de processus de revue formalisé.
Besoin d'aide pour structurer le suivi de votre PSSI ?
ONYX-CYBER accompagne les PME dans la rédaction et le suivi de leur PSSI, avec un niveau d'outillage adapté à la taille réelle de l'entreprise, dans le cadre de nos missions GRC.
Demander un accompagnement