Les 10 mesures de sécurité des TI : No 7, Protéger l’information au niveau de l’organisme - ITSM.10.097

2.2 Menaces internes

Par « menace interne », on entend toute personne qui connaît l’infrastructure et l’information de votre organisation, ou qui y a accès, et qui utilise ses connaissances ou son accès d’une façon malveillante ou involontaire pour nuire à l’organisation. Les menaces internes peuvent poser des risques à vos employés, à vos clients, à vos actifs, à votre réputation et à vos intérêts.

En règle générale, lorsque nous parlons d’une menace interne, nous pensons à quelqu’un qui veut mal faire. En effet, un individu peut lancer des attaques ciblées en utilisant à mauvais escient des accès privilégiés ou des comptes généraux pour installer un maliciel ou voler de l’information sensible.

Toutefois, quiconque a accès à l’infrastructure ou à l’information de votre organisation (p. ex. les employés, les entrepreneurs ou les fournisseurs de services) peut causer des dommages involontairement. Par exemple, les comportements suivants peuvent causer des menaces internes involontaires :

• perdre un dispositif mobile ou un support amovible;
• accorder un accès d’utilisateur à l’information sensible allant au-delà des exigences requises pour l’exercice des fonctions d’un employé ;
• gérer de façon inadéquate de l’information sensible (p. ex. la stocker incorrectement, ne pas appliquer des marquages de protection ou des mises en garde de distribution).

Une menace interne peut toucher la confidentialité, l’intégrité et la disponibilité des systèmes et de l’information de votre organisation. Par exemple, une menace interne peut entraîner une divulgation non intentionnelle d’information sensible ou un vol intentionnel de la propriété intellectuelle, la perturbation des services de l’organisation ou la destruction d’information essentielle.

Pour obtenir de plus amples renseignements, consultez l’ITSAP.10.003, Comment protéger votre organisation contre les menaces internes ^{Note de bas de page 4}.

2.3 Menaces pour la chaîne d’approvisionnement

Vous devez vous assurer de gérer les risques associés à votre chaîne d’approvisionnement dans le cadre des activités liées à votre plan de cybersécurité et de gestion des risques. Votre chaîne d’approvisionnement comprend tout fournisseur, service, équipement, logiciel ou processus qu’utilise votre organisation.

Même si votre organisation dispose d’un programme de cybersécurité rigoureux, les systèmes et l’information de l’organisation demeurent à risque si votre chaîne d’approvisionnement est compromise. Les auteurs de menace peuvent tenter de compromettre la chaîne d’approvisionnement en infiltrant des fournisseurs et des vendeurs de confiance, violant ainsi la confiance présumée qui vous lie à vos fournisseurs et à vos vendeurs.

Pour obtenir de plus amples renseignements sur la protection de votre chaîne d’approvisionnement, consultez l’ITSAP.00.070, Sécurité de la chaîne d’approvisionnement pour les petites et moyennes organisations ^{Note de bas de page 5}.

3.1 Établissement de la valeur (RA-2)

En établissant la valeur de l’information de votre organisation, vous pouvez classer par ordre de priorité ce qui nécessite d’être protégé.

Vous pouvez déterminer la valeur de l’information organisationnelle en évaluant les préjudices possibles pouvant résulter d’une inaptitude à protéger sa confidentialité, son intégrité et sa disponibilité. Lorsque vous déterminez la valeur de l’information, tenez compte des types d’information suivants :

• Information essentielle aux activités : Information sur laquelle compte votre organisation pour ses activités courantes (p. ex. information sur les ventes, plans d’intervention en cas d’urgence) ;
• Information sensible :Information devant rester confidentielle ou à laquelle seules certaines personnes peuvent accéder (p. ex. données personnelles ou financières, propriété intellectuelle);
• Documents et preuves : Information devant être protégée contre toute modification non autorisée (p. ex. contrats ou reçus).

Pour obtenir de plus amples renseignements sur la façon de déterminer la valeur des actifs et des systèmes d’information, consultez l’ITSAP.40.001, Protection de l’information de grande valeur : Conseils pour les petites et moyennes organisations ^{Note de bas de page 6} et la section 2.3 des Contrôles de cybersécurité de base pour les petites et moyennes organisations ^{Note de bas de page 3}.

3.2 Classification et catégorisation (RA-2)

Parallèlement à l’établissement de la valeur de l’information organisationnelle, vous devriez également la classer par groupes ou classes en fonction de son niveau de sensibilité. Les marquages de classification qu’applique votre organisation peuvent varier selon que vous faites partie d’un ministère ou d’une organisation non gouvernementale ou privée. La classification appropriée de l’information vous permet de mieux gérer l’information et de la protéger contre tout accès non autorisé ou toute distribution non autorisée, ainsi que contre la conservation et l’élimination inappropriées.

La catégorisation de l’information organisationnelle répond à plusieurs objectifs, comme le démontrent les exemples suivants :

• il reflète la valeur que votre organisation a attribuée à l’information;
• il représente la tolérance au risque de l’organisation;
• il détermine comment votre organisation assure la confidentialité, l’intégrité et la disponibilité de l’information.

Lorsque l’information organisationnelle est correctement classifiée et catégorisée, votre organisation est mieux placée pour la gérer tout au long de son cycle de vie, la conserver et l’éliminer de façon appropriée, ainsi que la protéger contre tout accès et toute distribution non autorisés. De plus, en ayant une bonne connaissance de votre information, vous pouvez mettre en œuvre les contrôles de sécurité appropriés et gérer les risques en fonction de la tolérance au risque définie par votre organisation.

4.1 Conservation et élimination (SI 12 et MP-6)

Vous devez vous assurer que l’information, les documents et les supports sont conservés aussi longtemps qu’ils sont nécessaires à des fins professionnelles pour répondre aux exigences réglementaires et juridiques. L’information a différentes exigences en matière de conservation selon l’usage qui en est fait. Par exemple, d’un point de vue législatif et réglementaire, vous devez conserver les renseignements financiers plus longtemps que les renseignements d’ordre administratif, comme les notes de comités ou de réunions. Votre organisation a la responsabilité de créer et de tenir un calendrier de conservation qui décrit la durée de conservation de l’information et les mesures à prendre pour l’éliminer entièrement (p. ex. la détruire ou la conserver).

Lorsque l’information atteint la fin de son cycle de vie, vous devez vous assurer qu’elle est éliminée adéquatement (p. ex. déchiquetage, incinération, démagnétisation) pour empêcher la rémanence et les atteintes à la protection des données. Si l’information ou les supports ne sont pas correctement détruits, il pourrait rester des données résiduelles ou des données pourraient être récupérées et reconstituées.

Remarque : Si vous réutilisez un support physique ou électronique, ou si celui-ci n’est plus sous le contrôle de votre organisation, vous devez vous assurer qu’il a été bien nettoyé. Dans certains cas, il pourrait s’avérer judicieux de nettoyer le support, comme un disque dur, avant de le détruire. Une telle intervention assure une meilleure protection.

Si votre organisation utilise des fournisseurs de services infonuagiques (FSI), vous devriez prendre connaissance de certains défis liés à la destruction adéquate de l’information. Vous avez moins de contrôle en ce qui a trait à garantir que l’information est correctement retirée des actifs physiques. Vous devez inclure les détails relatifs à la conservation et à l’élimination de l’information dans votre accord sur les niveaux de service avec un fournisseur de services. Un aspect de l’élimination des données à prendre en compte dans le nuage est le cryptodéchiquetage. Grâce à cette méthode d’élimination des données, la clé de chiffrement affectée à la protection des données est intentionnellement supprimée ou écrasée. Cette méthode ne peut s’appliquer qu’aux données qui ont été chiffrées. Votre organisation devrait chiffrer ses données sensibles et exclusives lorsqu’elles sont au repos, en transit et utilisées, pour ainsi assurer la protection de la confidentialité, de l’intégrité et de la disponibilité de vos données.

4.2 Inventaire et suivi (CM-8)

Votre organisation devrait disposer d’un inventaire de tous les systèmes d’information et de leurs composants (p. ex. le matériel, les logiciels, les bases de données, les réseaux et les personnes). Vous avez la responsabilité de déterminer les critères concernant les types de composants de système d’information (p. ex. les microprocesseurs, les cartes mères, les logiciels, les contrôleurs programmables et les dispositifs réseau) qui font partie de l’inventaire.

Les renseignements concernant les composants doivent être suffisamment détaillés pour répondre aux exigences de votre organisation en matière de suivi et de production de rapports. Pour chaque composant, vous devriez dresser une liste des renseignements concernant sa configuration, y compris toutes les déviations approuvées, ainsi que toutes les personnes, avec leurs coordonnées, qui sont responsables de ce composant. Assurez-vous d’inclure des renseignements propres au système (p. ex. association de systèmes, propriétaire du système, licence de logiciel, versions logicielles) et des spécifications d’inventaire matériel (p. ex. fabricant, type de dispositif, modèle, numéro de série et emplacement physique). Pour ce qui est des composants ou des dispositifs en réseau, vous devriez également inclure les noms des machines et les adresses réseau.

Assurez-vous de passer cet inventaire en revue. Vous devriez mettre à jour l’inventaire lorsque, par exemple, les systèmes d’information sont mis à jour et lorsque des composants sont installés et retirés. Vous pourriez également utiliser des mécanismes automatisés pour vous permettre de tenir votre inventaire à jour, complet et exact.

Dans le cadre de la tenue d’un inventaire, assurez-vous de passer en revue les configurations cryptographiques de vos logiciels et de votre matériel. Pour permettre une agilité cryptographique, votre inventaire devrait comporter les algorithmes cryptographiques configurés pour chaque composant. L’agilité cryptographique constitue une pratique exemplaire permettant de changer facilement les algorithmes de chiffrement utilisés dans les applications et les protocoles pour maintenir la sécurité des systèmes malgré la découverte de nouvelles vulnérabilités cryptographiques. Cette pratique repose principalement sur la configuration et ne nécessite pas d’importantes mises à jour logicielles ou matérielles. Pour obtenir de plus amples détails, consultez l’ITSAP.40.01, Conseils sur la mise en œuvre de l’agilité cryptographique ^{Note de bas de page 7}.

4.3 Sauvegarde (CP-9)

Sauvegarder l’information de votre organisation est une autre mesure que vous pouvez prendre pour protéger l’information. Lorsque vous sauvegardez l’information, vous créez un double exemplaire qui est stocké dans un emplacement différent. Votre organisation doit déterminer un emplacement de stockage adéquat en fonction de l’évaluation des risques et du niveau de sensibilité de l’information.

Les sauvegardes protègent la disponibilité de l’information advenant une panne ou la compromission d’un système. Par exemple, si votre organisation est victime d’une attaque par rançongiciel, vous détenez une copie de l’information qui a été chiffrée par l’auteur de menace. Si les données sont perdues, vous pouvez avoir recours aux sauvegardes pour récupérer les données et poursuivre vos activités commerciales.

5.1 Modèles organisationnels de déploiement de dispositifs mobiles (MP-7 et SA-9)

Les dispositifs mobiles sont essentiels pour la majorité des organisations, mais votre organisation doit convenir d’un modèle de propriété pour ces dispositifs.

Votre organisation devrait envisager l’utilisation de l’un des quatre modèles organisationnels de déploiement de dispositifs mobiles existants. Optez pour un modèle qui répond le mieux à vos objectifs commerciaux, à vos exigences en matière de sécurité et à votre cadre de gestion des risques. Voici les quatre modèles de déploiement :

• dispositifs réservés au travail et appartenant à l’organisation (COBO pour Corporately owned and for business only);
• dispositifs pouvant servir à des fins personnelles et appartenant à l’organisation (COPE pour Corporately owned and personally enabled);
• dispositifs au choix (CYOD pour Choose your own device);
• dispositifs personnels (BYOD pour Bring your own device).

Vous devez définir clairement le modèle de déploiement de dispositifs mobiles que votre organisation a mis en place, en vous assurant qu’il est conforme aux exigences en matière de politique et que les employés comprennent les implications du modèle. Au moment de choisir un modèle, veillez à tenir compte des aspects suivants :

• Quels types de dispositifs sont compris dans ce modèle (p. ex. fournisseur, téléphones intelligents, tablettes, ordinateurs portables et autres dispositifs de l’IdO)?
• Qui est chargé de payer le dispositif?
• Qui gère les dispositifs et qui est responsable du soutien connexe?
• Quelles applications sont autorisées à être exécutées sur les dispositifs?
• Quel est le niveau d’intégration du dispositif au réseau organisationnel?

Bien que l’intégration de dispositifs mobiles en milieu de travail comporte des avantages, vous devez trouver un équilibre entre cette intégration et la capacité à réduire les risques associés aux dispositifs non gérés qui se connectent à votre réseau.

Au moment de déployer des dispositifs mobiles dans votre organisation, vous devriez tenir compte des risques et des avantages liés aux différents modèles de déploiement. Dans certains cas, il peut s’avérer pratique de fournir l’équipement (p. ex. des serveurs, des postes de travail, des ordinateurs portables et des dispositifs mobiles) aux employés, à condition de s’être doté d’un cadre de gestion des dispositifs et d’avoir instauré un processus de gestion des changements de configuration. Si votre organisation décide d’autoriser les employés à utiliser leurs propres dispositifs mobiles à des fins professionnelles, il conviendra de mettre en place une stratégie de contrôle rigoureuse et de passer en revue les technologies et les exigences juridiques en matière de séparation des renseignements personnels et organisationnels. Votre organisme peut utiliser la gestion unifiée des terminaux (UEM pour Unified Endpoint Management) pour assurer la sécurité des dispositifs mobiles. L’UEM combine les fonctionnalités de la gestion des dispositifs mobiles et des processus organisationnels de gestion du déploiement de dispositifs mobiles.

5.1.1 Modèle COBO

Dans un modèle COBO, les dispositifs mobiles sont fournis par l’organisation et lui appartiennent. Ce modèle interdit l’utilisation de dispositifs personnels dans le cadre des activités professionnelles, et il interdit un usage personnel des dispositifs de l’organisation. Dans certains cas, il peut s’avérer pratique de fournir aux employés l’équipement dont ils ont besoin pour accomplir leurs tâches (p. ex. des serveurs, des postes de travail, des ordinateurs portables et des dispositifs mobiles), car cela permet à votre organisation de contrôler plus étroitement les mécanismes de sécurité mis en place sur les dispositifs. Vous pouvez également installer un logiciel antivirus et d’autres mesures de protection pour protéger les dispositifs.

5.1.2 Modèle COPE

Dans un modèle COPE, votre organisation fournit aux employés des dispositifs, mais vous permettez aussi aux employés de les utiliser comme dispositifs personnels. L’équipement et les dispositifs COPE vous permettent de mieux contrôler les mécanismes de sécurité mis en place. De plus, lorsqu’un employé quitte votre organisation, vous conservez l’équipement et les dispositifs.

Vous devez vous assurer que l’information sensible et votre infrastructure TI organisationnelle sont adéquatement protégées. Il est recommandé que les données professionnelles et personnelles, y compris les applications, les comptes de courriel et les contacts, soient séparées sur ces dispositifs. Différentes solutions sont offertes pour séparer les données personnelles des données professionnelles. Certains exemples de solutions comprennent l’utilisation d’applications distinctes pour le travail ou l’utilisation de fonctions de verrouillage ou de dossiers sécurisés pour les renseignements commerciaux. Vous devez vous assurer que toutes les données sensibles sont chiffrées et stockées de manière sécurisée.

Votre organisation doit prendre des mesures supplémentaires pour protéger les dispositifs mobiles, car ils risquent davantage d’être exploités par des auteurs de menace que les dispositifs appartenant à l’organisation (p. ex. les ordinateurs de bureau et les ordinateurs portables) qui ne sont utilisés qu’en milieu de travail et qui fonctionnent sur les réseaux de l’organisation.

5.1.3 Modèle CYOD

Dans un modèle CYOD, vous permettez à vos employés de choisir des dispositifs figurant sur une liste de dispositifs que votre organisation a approuvés pour un usage professionnel. Votre organisation choisit les dispositifs et elle continue à les gérer, ce qui signifie que vous avez un meilleur contrôle sur les mesures de sécurité mises en œuvre, les applications exécutées sur les dispositifs et les fonctions auxquelles ont accès les utilisateurs.

5.1.4 Modèle BYOD

De nombreuses raisons expliquent pourquoi votre organisation pourrait permettre aux employés d’utiliser les dispositifs personnels pour le travail. Lorsque le modèle PAP est en place, l’organisation peut économiser de l’argent qui autrement aurait été dépensé pour l’achat de dispositifs mobiles pour tous les employés et pour l’utilisation d’une technologie moderne avec laquelle les employés sont à l’aise.

Toutefois, votre organisation doit tenir compte des risques connexes liés à la sécurité avant d’informer les employés qu’ils peuvent utiliser leurs dispositifs personnels. Bien que cette section ne couvre pas tous les risques connexes, vous devriez envisager ce qui suit :

• Comment allez-vous gérer et prendre en charge différents dispositifs?
• Comment allez-vous limiter l’accès ou le partage de l’information effectué au moyen des dispositifs personnels?
• Quels contrôles techniques (p. ex. applications conteneurisées, gestion des dispositifs mobiles) allez-vous mettre en œuvre?
• Quelles sont vos responsabilités légales en ce qui concerne la protection des renseignements personnels?
• Comment allez-vous régler les incidents de sécurité si un téléphone personnel est perdu ou volé?
• Comment allez-vous vous assurer que l’information contenue dans les dispositifs personnels est sauvegardée ou nettoyée lorsqu’un employé quitte l’organisation?

Il est recommandé d’effectuer une évaluation des menaces et des risques (EMR) avant de mettre en œuvre un modèle BYOD. Étant donné que l’utilisation de dispositifs personnels peut avoir une incidence sur la vie privée, vous devriez évaluer les risques relatifs à la vie privée qui pourraient survenir.

Il vous faudrait également créer une politique visant à informer les utilisateurs de l’utilisation acceptable qui doit être faite d’un dispositif personnel et des comportements auxquels on s’attend de leur part. Les politiques doivent être communiquées au personnel au moyen de programmes de formation afin de vous assurer que chacun comprend ses rôles et ses responsabilités.

Pour de plus amples renseignements sur ce modèle de déploiement, prière de consulter l’ITSM.70.003, Sécurité des appareils des utilisateurs finaux pour les modèles de déploiement Prenez vos appareils personnels (PAP) ^{Note de bas de page 10}.

5.2 Dispositifs mobiles et déplacements

Vous devez tenir compte de certains risques si vos employés se déplacent avec des dispositifs professionnels. En effet, les auteurs de menace sont plus susceptibles de cibler des personnes qui occupent des postes supérieurs ou de direction. N’oubliez pas que, dans certains pays, les centres d’affaires et les réseaux téléphoniques des hôtels peuvent être surveillés, et les chambres sont parfois fouillées. Lors d’un voyage, il faut donc supposer que les bureaux, les hôtels, les cafés Internet et les autres lieux publics ne sont pas privés.

Au moment de déterminer les endroits qui posent problème, il faut définir les configurations nécessaires pour les dispositifs, s’assurer que les dispositifs sont configurés selon l’usage prévu avant le déplacement et appliquer des mesures de protection au dispositif au retour du déplacement.

Avant le déplacement, vous devez déterminer si la destination ou la nature de l’événement pourrait susciter une préoccupation et vous assurer que les dispositifs sont configurés adéquatement. Il serait de mise d’aviser les employés de prendre des mesures de précaution en désactivant des fonctionnalités comme la technologie Bluetooth et le casque d’écoute, et en faisant une sauvegarde des données sur les dispositifs qu’ils transportent avec eux. Il faut prévenir les employés de ne pas utiliser de réseaux Wi-Fi inconnus, non sécurisés ou publics.

Lorsque les employés reviennent d’un voyage d’affaires, les services TI doivent analyser tous les dispositifs avant qu’ils ne soient connectés aux systèmes ou aux réseaux de l’organisation. Vous devez appliquer des mesures de protection particulières aux dispositifs à la fin du voyage. Par exemple, il convient d’examiner les dispositifs afin de détecter tout signe de trafiquage physique, ainsi que de nettoyer ou de recréer l’image du lecteur de disque dur. Il peut y avoir des scénarios dans lesquels il serait approprié d’utiliser des dispositifs réservés aux déplacements ou « jetables ». Parfois, la mise hors service d’un dispositif peut s’avérer préférable que de l’autoriser à se reconnecter à votre réseau.

6.1 Identification des risques connexes (AC-20 et SA-9)

Les systèmes d’information externes, comme les applications Internet et infonuagiques, peuvent s’avérer économiques et efficaces. Toutefois, votre organisation n’assure habituellement pas la supervision directe des contrôles de sécurité mis en œuvre sur des systèmes externes ou n’a aucune autorité sur ces contrôles. À titre d’exemple, votre organisation est vulnérable aux cyberattaques si les employés utilisent leurs dispositifs personnels pour le travail et que ces dispositifs sont dotés de logiciels désuets ou non corrigés, ou d’applications utilisées par les employés sans que ceux-ci aient reçu les permissions appropriées préalables pour les utiliser. Un autre exemple est lorsque les employés de votre organisation utilisent des plateformes sur Internet pour partager des fichiers ou participer à des appels vidéo, car ces plateformes ne sont pas contrôlées par l’architecture ou l’infrastructure de sécurité des TI de votre organisation. Moins vous avez de contrôle sur les systèmes et les dispositifs qui traitent, stockent ou transmettent de l’information organisationnelle, moins vous devriez êtes confiant que votre information est protégée. Il est recommandé que votre organisation effectue une évaluation des risques et une évaluation de la chaîne d’approvisionnement avant de sanctionner l’utilisation de dispositifs personnels, d’applications ou de systèmes Internet et infonuagiques pour les employés. Pour obtenir de plus amples renseignements sur l’évaluation des risques et l’évaluation des risques liés à la chaîne d’approvisionnement, consultez l’ITSG-33 ^{Note de bas de page 2} et l’ITSAP.10.070, La cybersécurité et la chaîne d’approvisionnement : Évaluation des risques ^{Note de bas de page 11}.

Avant de passer un contrat avec un fournisseur de services potentiel, comme un FSI, vous devez établir les données qui seront accessibles au fournisseur de services et le niveau de sensibilité de ces données. En comprenant vos données et leur niveau de sensibilité, vous pourrez déterminer les contrôles de sécurité requis pour les protéger adéquatement.

La sensibilité des données se mesure par l’incidence que peut avoir une compromission sur la capacité de votre organisation à réaliser son mandat. Il existe trois niveaux de sensibilité des données :

• Élevé (E) : La compromission a une incidence cruciale ou prohibitive sur la capacité de votre organisation à s’acquitter de son mandat;
• Moyen (M) : La compromission a une incidence majeure sur la capacité de votre organisation à s’acquitter de son mandat;
• Faible (F) : La compromission a une incidence modérée sur la capacité de votre organisation à s’acquitter de son mandat.

Votre organisation a toujours la responsabilité de protéger la confidentialité, l’intégrité et la disponibilité de vos réseaux, de vos systèmes et de votre information. Pour protéger vos systèmes en cas de compromission, de dommage ou de préjudice, vous ne devriez autoriser l’utilisation d’un système externe que si vous vous êtes assuré que ce système est doté de contrôles de sécurité qui sont en conformité avec vos plans et politiques de sécurité. Afin de vérifier les contrôles, vous pourriez, par exemple, faire appel à un tiers ou utiliser des évaluations ou attestations indépendantes. Choisissez une méthode qui répond au niveau de confiance requis par votre organisation.

Votre organisation peut déterminer qu’il existe un niveau de risque plus élevé si l’utilisation de ces dispositifs est interdite; nous recommandons donc de limiter l’utilisation de ces dispositifs de la manière suivante :

• veiller à ce que des contrôles de sécurité approuvés soient appliqués sur les dispositifs avant qu’il soit possible de les connecter aux systèmes de l’organisation;
• restreindre l’accès des dispositifs à certains types d’informations, de services ou d’applications;
• utiliser des techniques de virtualisation pour limiter les activités de traitement et de stockage des serveurs ou d’autres composants des systèmes de l’organisation;
• s’assurer que les utilisateurs consentent aux conditions de l’organisation.

Au moment de conclure une entente avec un FSI ou un fournisseur de services gérés (FSG), la question du stockage des données doit faire l’objet de discussions, et les termes de l’accord doivent être convenus. Lorsque les données sont stockées à l’extérieur de l’infrastructure de votre organisation, vous devez savoir exactement où ces données seront stockées, par exemple, l’emplacement géographique du centre de données du FSI ou du FSG. L’emplacement de vos données est important, car les données stockées à l’extérieur du Canada sont assujetties à des lois et à des règlements différents en matière de protection des renseignements personnels, de sécurité et de propriété des données. Selon le domaine ou le secteur auquel appartient votre organisation, les données pourraient également être assujetties à des normes et à des règlements différents qui régissent la conservation, la divulgation à des tiers et la chaîne de possession. Assurez-vous de documenter les termes de la résidence des données dans votre accord sur les niveaux de service (ANS) avec le FSI ou le FSG.

6.2 Documentation des accords (AC-20 et SA-9)

Lorsque des systèmes d’information appartiennent à une autre organisation ou à un fournisseur de services et qu’ils sont exploités ou maintenus par ceux-ci, vous devez documenter tous les accords avec les tiers. Par exemple, vous devriez vous assurer d’avoir un accord sur les niveaux de service avec les FSI. Ces accords décrivent le niveau de service auquel vous vous attendez du FSI. Ils définissent également les attentes à l’égard du rendement des contrôles de sécurité, les résultats mesurables ainsi que les exigences en matière de solution et d’intervention pour les situations de non-respect ou les incidents de sécurité. Les ANS doivent refléter les politiques et les procédures de sécurité de l’organisation. Il vous faut également revoir tous les accords régulièrement.

Votre organisation et le fournisseur de services ont tous deux un rôle à jouer dans la protection des systèmes et des données. À titre de propriétaire des données, votre organisation est légalement responsable de leur sécurité. Par conséquent, il est crucial que vous définissiez explicitement les exigences de votre organisation en matière de sécurité et que vous posiez les bonnes questions à un FSI ou à un FSG avant de vous inscrire à un service. Cette information vous permettra de définir une entente de niveau de service efficace avec des fournisseurs de services tiers.

7.1 Surveillance continue (AU-1)

Vous devez vous assurer que tous les terminaux sont surveillés en permanence. Grâce à la surveillance des dispositifs, vous pouvez détecter et suivre tout comportement inhabituel ou toute compromission suspecte.

Les systèmes d’information de votre organisation doivent comporter des journaux d’audit pour s’assurer que les événements (p. ex. les mises à jour, les changements, les tentatives d’authentification) sont enregistrés aux fins d’examen. Vous devez veiller à ce que les journaux ne soient accessibles qu’aux personnes autorisées. N’oubliez pas que si vous avez externalisé certains services, il peut alors être plus difficile d’obtenir les journaux.

Nous recommandons également d’utiliser des mécanismes automatisés, comme le balayage périodique, pour détecter la présence de composants matériels, logiciels et micrologiciels non autorisés dans le système d’information. Si des composants non autorisés sont détectés, vous devriez désactiver leur accès au réseau et isoler ces composants (p. ex. dans un bac à sable).

8.1 Coordonnées

Pour de plus amples renseignements sur la mise en œuvre des conseils formulés dans ce document ou sur une autre des 10 mesures de sécurité des TI, veuillez communiquer par téléphone ou par courriel avec le :

Centre d’appel

email contact@cyber.gc.ca |Mobile 613-949-7048 or 1‑833‑CYBER‑88