Elle définit ce que l'organisation attend et pourquoi, précise son périmètre et ses principes directeurs, et attribue la responsabilité des décisions et de la supervision. Une politique peut s'appliquer à toute l'organisation ou viser un sujet, un système, un processus ou un risque particulier.
Les politiques utiles traduisent les obligations et les décisions de risque en exigences applicables. Elles doivent se rattacher à des normes, référentiels, procédures, conditions contractuelles et configurations techniques plus spécifiques, plutôt que de tenter de contenir chaque détail de mise en œuvre.
Points clés
Contenu de la politiqueÉnoncer la finalité, le périmètre, les exigences obligatoires, les rôles responsables, l'autorité de décision, les moyens d'application et les lois, contrats, risques ou engagements de l'organisation qui la motivent.
UtilisabilitéObtenir une approbation responsable, communiquer la politique aux personnes concernées, la garder accessible et fournir la formation, les normes, les procédures et les ressources nécessaires pour la suivre.
Exceptions et évolutionConsigner les approbations, les mesures compensatoires, les responsables et les dates d'expiration des exceptions ; revoir la politique selon un calendrier et après tout changement significatif de contexte métier, technologique, de menace ou réglementaire.
Limite importantePublier une politique n'établit ni sa mise en œuvre, ni la conformité, ni une sécurité effective. Les exigences doivent être réalisables, traduites dans la pratique, supervisées et corrigées lorsque les preuves révèlent des écarts ou des effets indésirables.