Pourquoi et comment mettre en place une charte informatique dans votre PME ?

La cybersécurité : un enjeu majeur

Les piratages informatiques peuvent être extrêmement dommageables pour les entreprises, aussi bien au niveau financier – avec un coût mondial estimé à plus de 1 000 milliards de dollars^⁠2 par an – qu’en matière de réputation et d’image. Par ailleurs, une entreprise doit pouvoir assurer ses clients que leurs données personnelles sont en sécurité, et d’autant plus pour leurs données sensibles. Enfin, le cadre réglementaire, à l’image du RGPD, devient plus précis en matière de conservation et de protection des données.

Dans ces conditions, rédiger une charte informatique peut s’avérer très utile pour fixer des règles claires d’utilisation des systèmes d’information. Elle permet également de partager les bonnes pratiques informatiques au sein de l’entreprise. À travers une telle charte, une entreprise ne travaille pas uniquement à sensibiliser ses collaborateurs sur ce sujet majeur, elle se dote d’un instrument juridique qui détaille les sanctions applicables en cas de non-respect des règles.   

Comment rédiger une charte informatique ? 

L’ANSSI a réalisé un guide⁠⁴ à destination des PME et ETI rappelant les 8 points indispensables à l’élaboration d’une charte informatique. Les voici : 

1. Définir l’objectif : expliquez pourquoi cette charte est mise en place et le rôle essentiel que chaque collaborateur aura à jouer.
2. Proposer des définitions claires et précises : la charte doit être compréhensible par tous les utilisateurs, quel que soit leur degré de familiarité avec l’informatique.
3. Préciser l’objet et sa portée : la charte vise à présenter explicitement les droits et devoirs des différents utilisateurs, selon leur rôle/fonction dans l’entreprise.  
4. Déterminer les usages : il vous faudra répertorier en amont les outils informatiques mis à disposition des utilisateurs, puis recenser les besoins auxquels le SI doit répondre, pour être en mesure de déterminer précisément les usages autorisés. Quelques exemples d’usages à réglementer : le transfert de documents de poste en poste via clé USB, l’envoi de p.j. par mail, la navigation internet à titre privé… L’ANSSI propose de nombreuses ressources⁠5 pour vous accompagner dans la définition de ces usages.
5. Définir les devoirs de l’utilisateur : ils découlent directement des bons usages définis précédemment, et reposent sur des principes tels que la vigilance, le respect de la confidentialité ou encore la discrétion. Parmi ces devoirs, citons notamment : ne jamais confier à des tiers ses moyens d’authentification personnels, ou des informations à des personnes non habilitées…  
6. Établir des mesures de contrôle : il faudra définir et lister ces mesures et les conditions de leur mise en œuvre.
7. Prévoir des sanctions proportionnées : « Il est impératif de prévoir une échelle de sanctions disciplinaires […] proportionnée à la gravité du manquement », estime l’ANSSI. Les sanctions prévues peuvent aller jusqu’au licenciement, dans les cas les plus graves.
8. S’assurer de l’opposabilité de la charte : une charte informatique n’a aucune valeur contraignante en soi. Elle n’est « opposable » que si elle a été portée à la connaissance de l’utilisateur. Elle peut être signée à part ou en tant qu’annexe à son contrat de travail. Elle peut également être annexée au règlement intérieur de l’entreprise après consultation des instances représentatives du personnel et transmission à l’inspection du travail. 

Comme elle obéit à un certain nombre de règles, la rédaction d’une charte informatique n’est donc pas à la prendre à la légère. Il s’agit d’un document riche et dense qui nécessite de penser en amont toutes les dimensions de la sécurité de votre système d’information. L’ANSSI recommande ainsi, et à juste titre, de s’accompagner d’un spécialiste lors de sa rédaction.

Vous êtes intéressé par cette thématique ? Ces sujets sont fait pour vous : 

- Cyberattaque : un nouveau dispositif d’alerte public pour les entreprises

- L’intelligence artificielle au service des entreprises

- Conformité au RGPD : comment rattraper votre retard en 2021 ?

Sources rédactionnelles :

^{1 L'ANSSI et le BSI alertent sur le niveau de la menace cyber en France et en Allemagne dans le contexte de la crise sanitaire
2 Le coût exorbitant de la cybercriminalité pour l’économie mondiale
3 Cybersécurité :  5 % des cyberattaques sont liées à une erreur humaine
4 Guide d'élaboration d'une charte d'utilisation des moyens informatiques et des outils numériques 
5 Guide d’hygiène informatique, Guide des bonnes pratiques de l’informatique, etc.}