Je poursuis l’objectif de contrôle que j’avais abordé la fois dernière. Après l’inventaire des biens et la désignation du propriétaire (ou du gestionnaire), la norme ISO 27002 de 2013 recommande, très justement, deux choses : donner des directives pour l’utilisation correcte des biens et pour leur restitution en fin de contrat.

Directives d’utilisation

Personne ne prête sa voiture ou sa maison à un autre sans lui indiquer quelles règles il désire voir suivre. Il doit en être de même, en entreprise, pour les informations et les moyens qui permettent de les stocker, de les exploiter et de les échanger.

Le propriétaire des biens indique donc clairement comment il entend que chacun des biens dont il est responsable soient gérés sur toute sa durée de vie : de l’acquisition à la mise au rebut. Il indique aussi comment ils seront manipulés, entretenus et stockés.

Les règles concernent également l’utilisation des moyens privées du personnel et des contractants pour le stockage, l’exploitation et la communication des informations de l’entreprise.

Ces directives sont documentées et communiquées à tous ceux qui auront accès aux biens comme il l’a autorisé : les salariés, les tiers sous contrat, les fournisseurs et sous-traitants. Ces directives contiennent également les exigences de sécurité et de protection.

Ces directives indiquent également quelles responsabilités peuvent être déléguées et quelles reposent sur chacun.

Restitution des biens

Tout comme des règles (voir Bonnes Pratiques 6) régissent l’achèvement ou modification des responsabilités associées au contrat de travail, le propriétaire indique quel biens seront restitués quand le salarié ou le contractant cessera son contrat ou le verra modifié.

Des règles sont documentées explicitant les procédures et les conditions selon lesquelles les biens matériels et immatériels (donc également électroniques) que l’entreprise lui avait confiés seront restitués. De même, les connaissances essentielles sur les activités et la protection des biens de l’entreprise détenues par un salarié ou un contractant sont documentées et conservées par l’entreprise avant son départ.

Ces directives indiquent également comment sont restituées et effacées les informations de l’entreprise que le personnel et les contractants auront stockées sur leurs équipements personnels. Ainsi, durant la période de préavis, aucun personnel ou contractant n’est plus autorisé à copier ou à conserver des informations sensibles concernant l’entreprise.

Il doit aller de soi que les règles d’utilisation sont proportionnelles à la valeur des biens et, donc, au niveau de classification des informations.

Ces règles sont-elles clairement documentées dans votre entreprise ? Comprenez-vous toutes les responsabilités qui reposent sur vous ? N’hésitez pas à m’interroger pour éclaircir ce qui vous reste obscur.

A bientôt, plus en sécurité avec vos informations.

Jean-Luc