The French national IT security policy, PSSIE, establishes the security measures relevant to all French state IT systems. All the state administrations are concerned by this PSSIE: ministries, public establishments, state services and independant administrative authorities. Thereby, ISAE-SUPAERO, a third level high school and research centre, has engaged itself to reconsider its entire security policy according to the PSSIE.
The PSSIE develops ten core principles concerning the choice of trustworthy elements to build IT systems, security governance and awareness raising of the different protagonists. These principles are developped across 183 rules, organized in different chapters, for instance: policy-organisation-governance, property management or network security.
Facing the difficulty of purely and simply adopting all these rules, ISAE-SUPAERO has decided to adopt a structured method consisting in submitting each rule into a four step process: study, arbitration, planning and implementation. In order to conduct these steps in an optimal way, and to promote a collaborative approach, automated production and traceability, the entire process is instrumented by a collaborative project management tool built on the open-source software Redmine.
La Politique de Sécurité des Systèmes d'Information de l'Etat - PSSIE - fixe les règles de protection applicables aux systèmes d’information de l’État. Portée par la circulaire du Premier ministre n° 5725/SG du 17 juillet 2014, la PSSIE s’applique à tous les systèmes d’information des administrations de l’État : ministères, établissements publics sous tutelle d’un ministère, services déconcentrés de l’État et autorités administratives indépendantes. C'est dans ce cadre que l'ISAE-SUPAERO, école supérieure d'enseignement et de recherche formant des ingénieurs dans le secteur aérospatial, s'est engagée dans la refonte complète de sa politique de sécurité.
La PSSIE s'articule autour de dix principes fondamentaux portant sur le choix d’éléments de confiance pour construire les systèmes d’information, sur la gouvernance de la sécurité et sur la sensibilisation des acteurs. Ces dix principes se déclinent à travers un ensemble de 183 règles présentées selon une structuration en différents chapitres, par exemple la politique-organisation-gouvernance, la gestion des biens ou encore la sécurité des réseaux.
Face à la difficulté d'adopter purement et simplement ces règles, l'ISAE-SUPAERO a décidé d'adopter une démarche structurée consistant à faire passer chaque règle dans un processus en quatre étapes : étude, arbitrage, planification et la mise en œuvre. Afin de pouvoir mener ces différentes étapes de manière optimale, et développer une approche favorisant une démarche collaborative, une production automatisée et une traçabilité, l'ensemble du processus est instrumenté par un outil de gestion de projet collaboratif construit sur le logiciel open-source Redmine.