La sécurité des systèmes d’information s’inscrit dans la dépendance croissante des entreprises envers leur SI en perspective du nombre grandissant d’incidents de sécurité. Dans cette recherche, nous nous intéressons à la gestion des risques SI, pour laquelle la littérature souligne le manque d’implication des top-managers. Nous abordons cette problématique sous l’angle de la décision des dirigeants, au travers de quatre approches théoriques : modèles des perceptions managériales des risques SI, perception des risques en psychologie, théorie néo-institutionnelle et théorie sur l’adoption symbolique des innovations. L’objectif est de rendre intelligible les influences sur l’adoption symbolique de la SSI. Nous employons une méthode qualitative organisée autour de 17 études de cas dans des entreprises d’activités variées. La SSI y est observée comme un processus de décision de gestion des risques SI. Nos résultats montrent la pertinence d’étudier la SSI selon une perspective individuelle de gestion des risques. D’une part, les caractéristiques de l’évaluation psychologique des risques éclairent les biais pour la gestion du risque SI. D’autre part, l’étude de ces biais apporte une perspective nouvelle sur la compréhension de l’investissement des top-managers pour la SSI. Nous montrons l’insensibilité des top-managers à l’exposition du risque, une préférence à aborder les risques sous l’angle des menaces. Aussi, nous exposons les influences qui contribuent à adopter une SSI technique et non managériale pourtant suggérée dans la littérature. Enfin, notre analyse fait émerger des perspectives pour prolonger la compréhension d’une SSI réactive, décriée par les auteurs en SSI. / The information system security for which the interest joins in the increasing dependence of companies to them information system and in prospect of increasing number of security incidents. We are interested in the information system risk management, for whom the literature underlines the lack of involvement of top-managers.We approach the concern under the view of the decision of top executives for ISS, through four theoretical streams: the models of the managerial perceptions of IS risks, the risks perception in psychology, the institutional theory and the theory about symbolic adoption of the innovations. The aim is to make intelligible the influences on the symbolic adoption of such ISS approach. We use a qualitative method organized around 17 case studies in companies with varied activities. Our results highlight the relevance to study the ISS according to an individual perspective of risk management. On one hand, the characteristics of the psychological evaluation of the risks enlighten the biases for the management of the information system risk. On the other hand, the study of these biases brings a new perspective on the understanding of the investment of the top executives for the ISS. In particular, we underline the insensitivity of the top managers in the exposure of the risk, a preference to approach the risks under a threats point of view. We expose the influences which contribute to adopt a technical and not managerial ISS such as suggests by the Research. Finally, our analysis brings to the foreground perspectives to extend the comprehension of a reactive ISS, defame by ISS’ academics.

This thesis proposes a design of information security methodology in the company. After the theoretical bases of this thesis is introduced company for which is intended this work. Then is performed analysis of risks based on selected assets and potential threats. Followed by design of the measures to minimize the creation of possible risks in the company.

This master thesis describes creation of system for audit support of information security management. In the next chapters I will explain what is the information security, system of information security, audit system and what standards we have for this. Last but not least is described how to create a system for audit support. The whole design is created with usage of standards for quality management and information security management. System is oriented for web environment.