Comment créer une politique de sécurité informatique

Pourquoi formaliser une politique de sécurité, même pour 5 personnes ?

Une PSI n’est pas un luxe de grande entreprise : c’est un document juridique qui (1) vous protège en cas de litige avec un employé qui aurait fui des données, (2) vous met en conformité avec la loi 2008-12 et la CDP avant un contrôle, et (3) divise par 5 le risque de ransomware ou fuite par négligence. Une PSI de 8 pages signée par tous coûte 0 FCFA à produire (avec ce guide) et peut éviter une perte qui se chiffrerait en millions. C’est l’investissement à plus haut ROI de la sécurité.

Pourquoi votre entreprise a besoin d’une politique de sécurité informatique

Une politique de sécurité informatique (PSI) est un document qui definit les règles, les procedures et les responsabilités pour protéger les systèmes d’information de votre entreprise. Au Sénégal, la majorité des PME n’ont aucune politique formalisee, ce qui les rend vulnerables aux cyberattaques, aux pertes de données et aux sanctions legales.

La loi sénégalaise 2008-12 sur la protection des données personnelles et la loi 2008-11 sur la cybercriminalite imposent des obligations aux entreprises. Une PSI vous met en conformite et protège votre activité.

Structure d’une politique de sécurité informatique

Une PSI complété pour une PME sénégalaise doit couvrir ces 10 domaines :

1. Politique de gestion des accès

Principe du moindre privilege

Chaque employe ne doit avoir accès qu’aux ressources strictement nécessaires a son travail :

• Comptable : accès au logiciel comptable (Sage, Wave Accounting), dossiers financiers, pas aux serveurs techniques
• Commercial : accès au CRM, catalogues produits, pas aux données comptables detaillees
• Développeur : accès aux serveurs de développement, pas aux serveurs de production sans autorisation
• Direction : accès large mais avec 2FA obligatoire sur tous les systèmes sensibles

Gestion du cycle de vie des accès

• Arrivee : création des comptes avec les droits minimums, signature de la charte informatique
• Changement de poste : revue des droits, suppression des anciens accès, attribution des nouveaux
• Depart : désactivation immediate de TOUS les comptes le jour du depart (email, VPN, applications, WiFi). C’est le point le plus souvent neglige dans les PME sénégalaises

Cas réel : une PME a Dakar a découvert qu’un ancien employe, parti 6 mois plus tot, avait toujours accès au Drive partage et aux emails de l’entreprise. Il avait copie la base clients pour un concurrent.

2. Politique de mots de passe

3. Politique de protection des données

Classification des données

Regles de stockage

• Les données confidentielles ne doivent jamais être stockees sur un PC personnel sans chiffrement
• Utiliser Google Drive / OneDrive avec des dossiers partagés et des permissions definies
• Interdire le stockage de données professionnelles sur des clés USB non chiffrees
• Les données clients doivent être stockees dans un système avec journalisation (qui a accédé quoi et quand)

4. Politique d’utilisation des equipements

Equipements de l’entreprise

• Chaque PC doit avoir un mot de passe de session et un verrouillage automatique après 5 minutes d’inactivite
• L’antivirus (Windows Defender au minimum) doit être actif et a jour
• Les mises a jour Windows et applications doivent être installees dans les 7 jours suivant leur publication
• Interdiction d’installer des logiciels non autorises (pas de logiciels pirates)
• Les disques durs doivent être chiffres (BitLocker) pour les PC portables

BYOD (Bring Your Own Device)

Si les employes utilisent leurs téléphones personnels pour le travail (cas très courant au Sénégal) :

• Le téléphone doit avoir un code de verrouillage (PIN ou biometrie)
• Les applications professionnelles (email, Drive, WhatsApp Business) doivent être protégées par mot de passe
• En cas de perte ou vol, l’employe doit signaler immédiatement pour que les accès soient revoques
• Separation des données personnelles et professionnelles (profil professionnel Android si possible)

5. Politique réseau et Internet

• WiFi bureau : mot de passe WPA3 de 20+ caracteres, change tous les 3 mois. Réseau invite séparé pour les visiteurs
• VPN : obligatoire pour tout accès a distance aux ressources de l’entreprise
• WiFi public : interdit pour accéder aux ressources de l’entreprise sans VPN
• Filtrage : bloquer les sites a risque (jeux, streaming pendant les heures de travail si nécessaire)
• Telechargements : interdire les téléchargements de logiciels depuis des sites non officiels

6. Politique de messagerie et communication

Email professionnel

• Utiliser exclusivement l’email professionnel pour les communications d’entreprise (pas de Gmail/Yahoo personnel)
• Ne jamais ouvrir de pieces jointes .exe, .bat, .vbs, .js. En cas de doute, demander a l’expediteur de confirmer par un autre canal
• Ne jamais envoyer de données confidentielles (mots de passe, numéros de compte) par email non chiffré
• Vérifier l’adresse email de l’expediteur avant de répondre a une demande sensible

WhatsApp et messageries

Au Sénégal, WhatsApp est souvent utilise pour les communications professionnelles :

• Utiliser WhatsApp Business avec un numéro dedie pour l’entreprise
• Ne jamais partager de mots de passe, codes d’accès ou informations bancaires par WhatsApp
• Les groupes WhatsApp professionnels doivent avoir un administrateur qui contrôle les ajouts
• Rappel : même si WhatsApp est chiffré, les captures d’écran et les sauvegardes non chiffrees restent des risques

7. Politique de gestion des incidents

Procedure en cas d’incident de sécurité

1. Détection : l’employé constate une anomalie (PC lent, fichiers chiffres, email suspect ouvert, compte piraté)
2. Alerte : prévenir immédiatement le responsable IT ou la direction. Ne pas essayer de résoudre seul
3. Confinement : deconnecter le PC du réseau (debrancher le cable, désactiver le WiFi) pour empecher la propagation
4. Évaluation : le responsable IT evalue la gravite et l’etendue de l’incident
5. Remediation : nettoyer, restaurer depuis les sauvegardes, changer les mots de passe compromis
6. Communication : informer les parties prenantes (direction, clients affectés si données compromises, CDP si données personnelles)
7. Documentation : écrire un rapport d’incident (date, nature, impact, actions prises, lecons apprises)

Contacts d’urgence

8. Politique de sauvegardes

La règle 3-2-1

• 3 copies de chaque donnée importante
• 2 supports différents (disque dur interne + cloud, ou NAS + cloud)
• 1 copie hors site (cloud ou disque dur stocké ailleurs)

Fréquence de sauvegarde recommandee

Tests de restauration

Regle absolue : une sauvegarde qui n’a jamais ete testee ne vaut rien. Testez la restauration au minimum une fois par trimestre :

• Restaurez un fichier aleatoire depuis la sauvegarde et vérifiez son integrite
• Testez la restauration complété de la base de données sur un environnement de test
• Mesurez le temps de restauration (RTO : Recovery Time Objective)

9. Formation et sensibilisation

Programme de formation recommande

10. Conformite legale au Sénégal

Loi 2008-12 sur les données personnelles

• Déclaration des fichiers de données personnelles aupres de la CDP (cdp.sn)
• Consentement des personnes avant collecte de leurs données
• Droit d’accès, de rectification et de suppression des données
• Obligation de sécurité : protéger les données personnelles contre les accès non autorises
• Notification en cas de violation de données

Si vous avez des clients europeens (RGPD)

• Le RGPD s’applique si vous collectez des données de residents europeens, même depuis le Sénégal
• Politique de confidentialite obligatoire sur votre site web
• Consentement explicite pour les cookies et newsletters
• Possibilité de designer un DPO (Delegue a la Protection des Données) même s’il n’est pas obligatoire pour les petites structures

Modèle de charte informatique a faire signer

Chaque employe doit signer une charte informatique qui résume ses obligations. Points essentiels a inclure :

• Engagement a respecter la politique de mots de passe
• Interdiction d’installer des logiciels non autorises
• Obligation de signaler tout incident de sécurité immédiatement
• Regles d’usage des equipements professionnels et BYOD
• Confidentialite des données de l’entreprise et des clients
• Consequences en cas de non-respect (avertissement, sanction, licenciement selon la gravite)
• Acceptation de la surveillance des systèmes informatiques dans le cadre legal

Erreurs fréquentes

1. PSI calquée sur un modèle américain ou européen

Cause : on télécharge un template SANS-XYZ ou ISO 27001 anglais et on le traduit. Résultat : 80 pages que personne ne lit, des références à des lois inapplicables, et des contraintes (HIPAA, PCI-DSS) hors-sujet pour la PME sénégalaise.

Solution : partez du contexte local : lois 2008-11 et 2008-12, CDP, BCEAO, ARTP. Une PSI de 6-10 pages adaptée vaut mieux qu’un document de 80 pages générique.

2. Pas de procédure de départ d’employé

Cause : un employé part en weekend, ne revient jamais, et 6 mois plus tard ses accès Google Workspace, Wave Pro et Drive partagé sont toujours actifs. Risque de fuite ou sabotage.

Solution : checklist offboarding signée le jour J : désactivation comptes, récupération badges/clés/téléphone pro, transfert des données critiques, changement des mots de passe partagés, révocation 2FA. Un seul responsable avec ce check-list, applicable en moins de 2 heures.

3. Politique signée mais jamais relue ni mise à jour

Cause : on rédige la PSI en 2022, on la fait signer, et plus personne n’y touche. Trois ans plus tard, elle mentionne Twitter, des plafonds Wave de 500 000 FCFA et l’ancien hébergeur.

Solution : revue annuelle obligatoire (date inscrite dans la PSI). Mise à jour après chaque incident significatif. Document dans un dossier collaboratif (Notion, Confluence, Google Docs) avec historique.

4. Charte informatique présentée mais jamais signée

Cause : on présente la PSI à l’oral en réunion mais sans signature individuelle. En cas de litige, l’employé pourra dire qu’il « n’avait pas vu » le document.

Solution : chaque employé signe une charte informatique (1-2 pages) lors de l’embauche. Document conservé dans son dossier RH. Signature numérique acceptable (DocuSign, Acrobat Sign, ou même un PDF + photo signée).

5. Mots de passe administrateur partagés en clair dans un Excel

Cause : « mots-de-passe-it.xlsx » sur le Drive partagé contient les credentials du serveur, du WiFi, du VPS Hetzner et de l’admin WordPress. Tout employé du Drive y a accès.

Solution : Bitwarden Teams ou 1Password Business (gratuit jusqu’à 10 utilisateurs sur certains plans). Permissions par dossier, journalisation des accès, partage temporaire pour les prestataires.

Checklist de mise en place pour une PME

• Rediger la politique de sécurité informatique (adapter ce guide a votre contexte)
• Faire valider par la direction
• Présenter a tous les employes lors d’une reunion
• Faire signer la charte informatique individuelle
• Déployer un gestionnaire de mots de passe (Bitwarden)
• Activer le 2FA sur tous les comptes critiques
• Mettre en place les sauvegardes 3-2-1
• Tester les sauvegardes
• Programmer la premiere session de sensibilisation
• Vérifier la conformite avec la loi 2008-12 (déclaration CDP si nécessaire)
• Planifier la revue annuelle de la politique

À lire ensuite

• Créer des mots de passe inviolables — base technique de la politique mots de passe.
• Configurer la 2FA partout — application directe de la PSI.
• Protéger votre entreprise contre les ransomwares — section gestion d’incidents.
• Protéger vos données personnelles en ligne — pour bien comprendre la loi 2008-12 / CDP.
• Cadre officiel : CDP Sénégal et CISA — Cyber Essentials Toolkit.
• Modèles gratuits : SANS Information Security Policy Templates (à adapter au contexte sénégalais).