Les quatre types
- Politique : ce qui doit se passer et pourquoi. Courte, stable, approuvée par la direction.
- Standard : la règle précise et mesurable, comme une longueur minimale de mot de passe.
- Procédure : comment le faire, étape par étape, et qui fait chaque étape.
- Ligne directrice : un conseil de bonne pratique, non obligatoire.
Comment savoir où va chaque chose
- Si cela change quand un outil change, cela n'a pas sa place dans une politique.
- Si cela dit qui fait quoi dans quel ordre, c'est une procédure.
- Si ne pas le faire peut vous faire échouer à un audit, ce ne doit pas être une ligne directrice.
- Si deux documents disent la même chose, l'un finira faux : gardez-la dans un seul et renvoyez-y.
Qui approuve quoi
La direction approuve les politiques. Les responsables de processus approuvent en général les procédures et les standards. Chaque document porte son responsable, sa version, sa date d'approbation et sa prochaine date de revue.
Questions
- L'ISO 27001 exige-t-elle des procédures ?
- Elle exige des informations documentées là où la norme le dit et là où vous le jugez nécessaire. La mesure 5.37 de l'annexe A demande des procédures d'exploitation documentées.
- Un seul document peut-il contenir la politique et la procédure ?
- Dans une petite entreprise, oui. Gardez-les toutefois en parties séparées : les règles changent moins souvent que les étapes.