7.3 — Sensibilisation

Pas une formation sur comment faire un travail — une sensibilisation à pourquoi ce travail compte pour la sécurité, et à ce qui arrive quand les règles ne sont pas suivies.

Exigence obligatoire · Information documentée requise : non

En langage clair

La 7.3 exige que toute personne effectuant un travail sous le contrôle de l’organisation connaisse trois choses : ce que dit la politique de sécurité, comment son propre travail contribue au bon fonctionnement du SGSI, et ce que cela signifie — pour elle, personnellement — si elle ne suit pas les règles.

Pourquoi cette exigence existe

La plupart des incidents de sécurité impliquent un employé ordinaire faisant quelque chose qui avait du sens pour lui à ce moment — cliquer sur un lien, partager un mot de passe pour aider un collègue, sauter une étape sous pression d’échéance. La sensibilisation existe parce qu’un contrôle bien conçu dont personne ne comprend le sens sera contourné la première fois qu’il devient gênant.

Scénario : un employé désactive un outil de sécurité qui signale continuellement un fichier d’affaires légitime comme suspect, parce que personne n’a jamais expliqué pourquoi cet outil compte ni qui appeler plutôt que de le contourner. Une formation de sensibilisation qui couvre « voici la politique, voici pourquoi elle existe, voici ce qui arrive si vous la contournez, et voici qui contacter » prévient exactement cela.

Ce que la norme attend

La norme attend que les personnes effectuant un travail sous le contrôle de l’organisation soient sensibilisées à la politique de sécurité de l’information ; à leur contribution à l’efficacité du SGSI, incluant les avantages d’une performance de sécurité améliorée ; et aux implications d’une non-conformité aux exigences du SGSI.

En pratique

• Déployer la sensibilisation pour toute personne ayant accès aux systèmes ou données de l’organisation, pas seulement les employés ayant « sécurité » dans leur titre — contractants et personnel temporaire inclus.
• Rendre le contenu pertinent au rôle : ce que les développeurs doivent savoir sur le codage sécurisé diffère de ce que la finance doit savoir sur la fraude aux factures.
• Renouveler la sensibilisation régulièrement, pas seulement à l’accueil — une session unique à l’embauche ne satisfait pas une exigence continue.

Preuves que l’auditeur demandera

• Des registres de complétion des sessions de sensibilisation, couvrant tout le personnel concerné, contractants inclus.
• Le contenu réel de la sensibilisation, montrant qu’il couvre la politique, la contribution individuelle et les conséquences de la non-conformité — pas seulement des conseils génériques de cyberhygiène.

Pièges courants

• Un contenu de sensibilisation générique et prêt-à-l’emploi sans mention de la politique propre à l’organisation ni de ses conséquences.
• Contractants et personnel temporaire exclus de la sensibilisation parce qu’ils ne sont pas sur la liste de paie formelle.

Exigences liées

• 7.2 Compétence — la sensibilisation est le socle pour tout le monde ; la compétence est une exigence plus approfondie pour des rôles précis.
• 7.4 Communication — la communication continue renforce ce que la formation de sensibilisation établit.
• Clause parente : Clause 7 Support.