{"id":698,"date":"2026-08-25T18:41:00","date_gmt":"2026-08-25T22:41:00","guid":{"rendered":"https:\/\/saogcyber.ca\/rediger-un-plan-de-securite-du-systeme-pss-que-les-evaluateurs-peuvent-suivre\/"},"modified":"2026-10-07T16:56:27","modified_gmt":"2026-10-07T20:56:27","slug":"rediger-un-plan-de-securite-du-systeme-pss-que-les-evaluateurs-peuvent-suivre","status":"publish","type":"post","link":"https:\/\/saogcyber.ca\/fr\/rediger-un-plan-de-securite-du-systeme-pss-que-les-evaluateurs-peuvent-suivre\/","title":{"rendered":"R\u00e9diger un Plan de s\u00e9curit\u00e9 du syst\u00e8me (PSS) que les \u00e9valuateurs peuvent suivre"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un PSS utile n’est pas un r\u00e9sum\u00e9 de politiques. Il s’agit d’une description contr\u00f4l\u00e9e et fond\u00e9e sur des preuves du syst\u00e8me, de son p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 et de la mani\u00e8re dont les exigences applicables sont mises en \u0153uvre dans la pratique. <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point cl\u00e9\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’objectif : un lecteur ind\u00e9pendant doit pouvoir comprendre ce qui est dans le p\u00e9rim\u00e8tre, comment c’est prot\u00e9g\u00e9, qui en est responsable et o\u00f9 les preuves \u00e0 l’appui peuvent \u00eatre trouv\u00e9es.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Commencer par le syst\u00e8me, pas par les contr\u00f4les\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

D\u00e9finir les syst\u00e8mes et composants dans le p\u00e9rim\u00e8tre, les informations qu’ils traitent, stockent ou transmettent, l’environnement d’exploitation, les fournisseurs de services externes et les connexions \u00e0 d’autres syst\u00e8mes. Le diagramme de p\u00e9rim\u00e8tre, l’inventaire des actifs et les diagrammes de flux de donn\u00e9es doivent raconter la m\u00eame histoire. Si ces sources sont contradictoires, l’\u00e9valuateur doit d’abord r\u00e9soudre la question du p\u00e9rim\u00e8tre avant de s’appuyer sur le reste du PSS. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

D\u00e9crire la mise en \u0153uvre, pas l'intention\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

Pour chaque exigence de s\u00e9curit\u00e9 applicable, indiquer ce qui est mis en \u0153uvre, o\u00f9 cela fonctionne, qui en est responsable et comment son fonctionnement est d\u00e9montr\u00e9. Utiliser des r\u00e9f\u00e9rences claires aux politiques, proc\u00e9dures, configurations, tickets, journaux et comptes rendus de r\u00e9vision. \u00c9viter les d\u00e9clarations g\u00e9n\u00e9riques telles que \u00ab l’organisation suit les meilleures pratiques du secteur \u00bb. <\/span><\/span><\/p>\n

Les mesures de protection planifi\u00e9es doivent \u00eatre identifi\u00e9es comme telles. Elles ne constituent pas une preuve qu’une exigence est actuellement satisfaite, et tout \u00e9l\u00e9ment de rem\u00e9diation autoris\u00e9 doit \u00eatre suivi dans le plan d’action et jalons appropri\u00e9. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Utiliser des r\u00e9f\u00e9rences sans cr\u00e9er un labyrinthe\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

Un PSS peut faire r\u00e9f\u00e9rence \u00e0 des documents existants plut\u00f4t que de r\u00e9p\u00e9ter chaque d\u00e9tail technique. Cette approche fonctionne lorsque chaque r\u00e9f\u00e9rence poss\u00e8de un titre clair, un responsable, une version et un emplacement contr\u00f4l\u00e9. Conserver une seule source faisant autorit\u00e9 pour chaque fait. Copier les m\u00eames d\u00e9tails de configuration dans plusieurs documents cr\u00e9e des incoh\u00e9rences \u00e0 mesure que l’environnement \u00e9volue. <\/span><\/span><\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Un test pratique pour chaque exigence\n<\/h2>\t\t\t\t<\/div>\n\t\t
\n\t\t
\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Question<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00c0 quoi r\u00e9pondre<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Quelle<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

mesure de s\u00e9curit\u00e9 est en place ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

O\u00f9<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

est-elle mise en \u0153uvre dans l’environnement \u00e9valu\u00e9 ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Qui<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

est responsable de son exploitation et de sa r\u00e9vision ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Preuve<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

quel enregistrement, configuration ou r\u00e9sultat de test d\u00e9montre la performance ?<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Maintenir la coh\u00e9rence du PSS avec l'environnement\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n

Les \u00e9valuations utilisent l’examen de documents, les entretiens et les tests. Le PSS doit donc correspondre \u00e0 la configuration qu’un \u00e9valuateur observe, \u00e0 l’explication fournie par le personnel et aux enregistrements g\u00e9n\u00e9r\u00e9s par les op\u00e9rations normales. Les probl\u00e8mes courants incluent des diagrammes obsol\u00e8tes, des noms de produits retir\u00e9s, des d\u00e9pendances cloud ou de services g\u00e9r\u00e9s omises, des fr\u00e9quences de r\u00e9vision contradictoires et des d\u00e9clarations de mise en \u0153uvre non \u00e9tay\u00e9es par des preuves. <\/p>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Le traiter comme un document op\u00e9rationnel contr\u00f4l\u00e9\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n
\n
\n

Lier les mises \u00e0 jour du PSS \u00e0 la gestion du changement. Le r\u00e9viser lorsque les syst\u00e8mes, connexions r\u00e9seau, fournisseurs de services, flux d’informations, sites ou responsabilit\u00e9s changent, et selon un cycle p\u00e9riodique d\u00e9fini. Parce qu’un PSS peut contenir des d\u00e9tails sensibles sur l’architecture et la s\u00e9curit\u00e9, le prot\u00e9ger contre toute divulgation non autoris\u00e9e et contr\u00f4ler l’acc\u00e8s \u00e0 la version approuv\u00e9e actuelle. <\/span><\/span><\/p>\n<\/div>\n<\/div>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Alignement CMMC et CPCSC\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

Pour le CMMC, la norme NIST SP 800-171 Rev. 2 exige que le PSS d\u00e9crive le p\u00e9rim\u00e8tre du syst\u00e8me, l’environnement d’exploitation, la mise en \u0153uvre des exigences de s\u00e9curit\u00e9 et les relations ou connexions avec d’autres syst\u00e8mes. La norme canadienne ITSP.10.171 exige de m\u00eame un plan de s\u00e9curit\u00e9 et de confidentialit\u00e9 du syst\u00e8me couvrant les composants, les types d’informations, les menaces, les d\u00e9pendances, les mesures de protection et les r\u00f4les responsables. Une description de syst\u00e8me commune peut soutenir les deux programmes, mais chaque \u00e9valuation n\u00e9cessite toujours sa propre correspondance et ses propres preuves. <\/span><\/span><\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t\t

Point cl\u00e9\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n

Un PSS solide aide un \u00e9valuateur \u00e0 naviguer dans l’environnement ; il ne tente pas de persuader l’\u00e9valuateur. L’exactitude, la tra\u00e7abilit\u00e9 et la coh\u00e9rence sont plus pr\u00e9cieuses que la longueur. Le document doit rendre la r\u00e9alit\u00e9 mise en \u0153uvre facile \u00e0 v\u00e9rifier et les lacunes restantes impossibles \u00e0 mal interpr\u00e9ter. <\/p>\n<\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Point cl\u00e9\n\n<\/h2>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

SAOG Cyber aide les fournisseurs des secteurs a\u00e9rospatial, de la d\u00e9fense et industriel \u00e0 d\u00e9finir les p\u00e9rim\u00e8tres d’\u00e9valuation, \u00e0 \u00e9laborer des plans de s\u00e9curit\u00e9 du syst\u00e8me, \u00e0 aligner les preuves et \u00e0 se pr\u00e9parer aux \u00e9valuations CMMC et CPCSC.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Un PSS utile n’est pas un r\u00e9sum\u00e9 de politiques. Il s’agit d’une description contr\u00f4l\u00e9e et fond\u00e9e sur des preuves du syst\u00e8me, de son p\u00e9rim\u00e8tre de s\u00e9curit\u00e9 et de la mani\u00e8re dont les exigences applicables sont mises en \u0153uvre dans la pratique. <\/p>\n","protected":false},"author":1,"featured_media":699,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_thinkrank_schema_form_data":"","_thinkrank_selected_schema_type":"","_thinkrank_additional_schemas":"","_thinkrank_canonical_url":"","_thinkrank_og_title":"","_thinkrank_og_description":"","_thinkrank_og_image":"","_thinkrank_twitter_title":"","_thinkrank_twitter_description":"","_thinkrank_twitter_image":"","_thinkrank_imported_from":"","_thinkrank_focus_keywords":[],"_thinkrank_focus_keyword":"","_thinkrank_robots_meta_enabled":0,"_thinkrank_robots_meta":"","_thinkrank_advanced_robots_meta":"","_thinkrank_exclude_from_search":0,"_thinkrank_exclude_from_archives":0,"_thinkrank_primary_category":0,"page_builder":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"categories":[31],"tags":[],"class_list":["post-698","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-grc"],"_links":{"self":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/698","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/comments?post=698"}],"version-history":[{"count":1,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/698\/revisions"}],"predecessor-version":[{"id":700,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/posts\/698\/revisions\/700"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media\/699"}],"wp:attachment":[{"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/media?parent=698"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/categories?post=698"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/saogcyber.ca\/fr\/wp-json\/wp\/v2\/tags?post=698"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}