Éthique professionnelle en sécurité de l'information

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 8 minutes

Un pare-feu bien configuré ne protège rien si la personne qui en a la charge accepte un pot-de-vin pour en désactiver une règle. La technique ne suffit jamais à elle seule : la profession de la sécurité de l’information repose aussi sur un code de déontologie, c’est-à-dire un engagement à se comporter d’une certaine manière, indépendamment de ce que la technologie permettrait de faire.

Pourquoi un code de déontologie professionnel ?

Les grandes certifications de sécurité de l’information (ISC2, (ISC)²-CISSP/SSCP, ISACA, etc.) exigent de leurs titulaires qu’ils signent un code d’éthique avant de pouvoir passer l’examen, puis qu’ils s’y conforment pendant toute la durée de leur certification. Ce n’est pas une formalité : un manquement grave peut entraîner la révocation de la certification, au même titre qu’un échec technique.

Le préambule de ce type de code part d’un principe simple : la sécurité et le bien-être de la société, le bien commun, le devoir envers ceux que l’on sert et le devoir envers ses pairs exigent d’adhérer — et d’être perçu comme adhérant — aux normes éthiques les plus élevées. Quatre idées s’y superposent :

La sécurité et le bien-être de la société. Les systèmes d’information sont vitaux : les protéger, c’est éviter des dommages matériels et parfois humains à ceux qui en dépendent.
Le bien commun. Les infrastructures critiques (énergie, santé, finance) rendent des services partagés dont tout le monde bénéficie — et dont la défaillance nuit à tout le monde.
Le devoir envers ses mandants. Un devoir envers ceux pour qui l’on travaille, quel que soit leur niveau hiérarchique.
Le devoir envers ses pairs. Un devoir envers les autres professionnels de la sécurité, qui forment une communauté de pratique mondiale.

Les quatre canons

Le code se résume généralement à quatre canons, volontairement courts et universels :

Protéger la société, le bien commun, la confiance du public et l’infrastructure.
Agir de manière honorable, honnête, juste, responsable et légale.
Fournir un service diligent et compétent à ceux que l’on sert.
Faire progresser et protéger la profession.

Ces canons ne sont pas une reformulation du préambule : ils indiquent comment y adhérer concrètement. Protéger ce qui a de la valeur suppose d’agir avec honneur et justice ; servir avec diligence et compétence demande une rigueur de tous les instants, y compris envers les clients des organisations qui nous emploient. Le dernier canon rappelle une responsabilité souvent sous-estimée : se former en continu. La sécurité de l’information n’est jamais un acquis définitif — chaque jour apporte une occasion de renforcer la profession.

En cas de conflit entre ces canons, l’ordre de priorité est celui de leur énumération : le premier canon (protéger la société) l’emporte toujours sur les suivants.

Le code d’éthique organisationnel

Au-delà du code professionnel individuel, chaque organisation définit en général son propre code d’éthique — un document qui traduit ces principes généraux dans le contexte concret de l’entreprise : règles de confidentialité envers les clients, politique de cadeaux et de conflits d’intérêts, procédure de signalement d’un comportement suspect (whistleblowing), sanctions disciplinaires en cas de manquement.

Un bon code d’éthique organisationnel n’est pas qu’une liste d’interdictions. Il doit :

être connu de tous les employés, pas seulement de l’équipe sécurité ;
être applicable sans ambiguïté excessive — un code trop vague ne protège personne ;
prévoir un canal de signalement clair et sans crainte de représailles ;
s’articuler avec les obligations légales et réglementaires du secteur (santé, finance, données personnelles).

Pourquoi cela compte pour un professionnel technique

On pourrait croire que l’éthique est l’affaire des dirigeants, pas des techniciens. C’est faux : un administrateur système a souvent un accès plus direct et plus large aux données sensibles qu’un cadre supérieur. La confiance qu’on lui accorde repose précisément sur ce code — et c’est elle qui permet à une organisation de déléguer des accès à haut privilège sans tout vérifier en permanence.

Synthèse

Les grandes certifications de sécurité exigent la signature d’un code de déontologie avant l’examen, et son respect continu ensuite.
Le code se résume à quatre canons hiérarchisés : protéger la société, agir honorablement, servir avec diligence, faire progresser la profession.
Un code d’éthique organisationnel complète ce cadre général par des règles concrètes propres à l’entreprise.
L’éthique n’est pas réservée aux dirigeants : plus l’accès technique est large, plus l’engagement éthique individuel compte.

Prochain chapitre

La triade CIA et les propriétés de la sécurité de l’information

Junior TSAFACK – 09/10/2026