Création de l’Équipe d’intervention

La Direction générale de l’Organisme doit organiser et maintenir une équipe d’intervention en matière de sécurité informatique ou être en contact avec un tiers proposant des services de réponse en matière de sécurité, capable de fournir une notification accélérée des problèmes, des services de contrôle des dommages et de correction des problèmes en cas d’urgences liées à l’informatique, telles que des infestations virales et des intrusions de pirates informatiques.

Responsabilités de l’Équipe d’intervention

L’équipe d’intervention en matière de sécurité informatique doit élaborer, mettre à jour périodiquement et tester régulièrement des plans d’intervention d’urgence qui prévoient le maintien en fonctionnement des systèmes informatiques et de communication critiques en cas d’interruption ou de dégradation du service.

Disponibilité de l’Équipe d’intervention

L’Équipe d’intervention en matière de sécurité informatique de l’Organisme doit toujours être disponible pour répondre aux alertes comprenant, sans s’y limiter, des preuves d’activité non autorisée, la détection de points d’accès sans fil non autorisés, des alertes critiques de détection d’intrusion et des signalements de modifications non autorisées de systèmes critiques ou de fichiers de contenu.

Gestion des incidents

Les membres de l’Équipe d’intervention en matière de sécurité informatique doivent être clairement définis par la Direction générale. Ces personnes doivent se voir conférer l’autorité nécessaire pour définir les procédures et méthodologies qui seront utilisées pour gérer les incidents de sécurité spécifiques.

Personne désignée pour tous les événements de sécurité

Sauf s’ils sont expressément reconnus comme porte-parole autorisés de l’Organisme, aucun Employé ne peut parler à la presse ou à toute autre partie externe de l’état actuel d’une situation d’urgence ou d’un incident de sécurité récemment vécu.

Informations dans le cadre de procédures judiciaires

Il est interdit aux Employés ou aux Partenaires de fournir des dossiers de l’Organisme, ou des copies de ceux-ci, à des tiers extérieurs ou à des fonctionnaires gouvernementaux, que ce soit en réponse à une assignation à comparaître ou autrement, à moins d’avoir obtenu au préalable l’autorisation de la Direction générale de l’Organisme. De même, il est interdit aux Employés de témoigner de faits dont ils ont eu connaissance dans l’exercice de leurs fonctions officielles, à moins d’avoir obtenu au préalable l’autorisation de la Direction générale de l’Organisme.

Gestion des mots de passe et double authentification

Afin de prévenir la divulgation involontaire d’informations sensibles, les Employés et les Partenaires de l’Organisme doivent utiliser un gestionnaire de mot de passe approuvé par le Responsable du service informatique. Les mots de passe doivent contenir un minimum de 11 caractères alphanumériques et inclure au moins un caractère spécial.

De plus, les Employés et les Partenaires de l’Organisme doivent activer et utiliser lorsque possible un système de double authentification sur l’ensemble des logiciels, applications, sur l’application web ou tout autre système ou logiciel permettant d’avoir accès aux données personnelles des Utilisateurs. La double authentification est également demandée pour l’Organisme.

Réponse aux intrusions

Le responsable du service informatique doit documenter et réviser périodiquement les procédures de réponse aux intrusions. Ces procédures doivent inclure la séquence d’actions que les Employés et les Partenaires de l’Organisme doivent suivre en cas de suspicion d’intrusion dans le système d’information, qui a l’autorité pour effectuer quelles actions en réponse, et quels sont les ressources disponibles pour aider à la réponse. Tous les Employés et les Partenaires devant suivre ces procédures doivent être formés périodiquement et familiarisés avec ces procédures.

Résolution des incidents de sécurité de l’information

Tous les incidents de sécurité de l’information doivent être traités avec la participation et la coopération de l’Équipe d’intervention en matière de sécurité informatique.

Modifications de sécurité après compromission du système

Chaque fois qu’un système a été compromis, ou est suspecté d’avoir été compromis par une partie non autorisée, le Responsable du service informatique doit immédiatement faire recharger une version fiable du système d’exploitation ainsi que tous les logiciels liés à la sécurité, et toutes les modifications récentes des permissions et accès doivent être examinées pour détecter d’éventuelles modifications non autorisées.

Intrusions système suspectées

Chaque fois qu’un système est suspecté d’avoir été compromis, l’ordinateur concerné doit être immédiatement déconnecté de tous les réseaux, et les procédures prédéterminées doivent être suivies pour s’assurer que le système est exempt de compromission avant de le reconnecter au réseau.

Problèmes d’accès non autorisé

Chaque fois qu’un accès non autorisé au système est suspecté ou avéré, les Employés ou les Partenaires de l’Organisme doivent prendre des mesures immédiates pour mettre fin à cet accès ou demander l’assistance du Responsable du service informatique.

Confidentialité des enquêtes internes

Jusqu’à ce que des accusations soient portées ou des mesures disciplinaires prises, toutes les enquêtes sur des allégations de comportement criminel ou abusif doivent être maintenues strictement confidentielles afin de préserver la réputation de la partie suspectée.

Participation aux procédures judiciaires

Tout Employé ou Partenaire de l’Organisme convoqué par assignation à comparaître ou de toute autre manière devant un conseil judiciaire ou un organisme gouvernemental, en rapport avec les services fournis par l’Organisme, doit immédiatement notifier par écrit le Conseiller juridique et la Direction générale de l’Organisme.

L’utilisation de toutes les ressources informatiques partagées de l’Organisme, utilisées pour les activités de production doit être surveillée en continu et enregistrée. Ces données d’historique d’utilisation doivent ensuite être fournies en temps réel aux systèmes d’alerte de sécurité désignés par le Responsable du service informatique (systèmes de détection d’intrusion, systèmes de détection de virus, systèmes de détection de spam, etc.).

Rapports d’incidents

Tous les incidents présumés de sécurité de l’information doivent être signalés aussi rapidement que possible via le Canal de communication désigné de l’Organisme.

Système d’alerte de sécurité de l’information

Le Responsable du service informatique doit établir, maintenir et tester périodiquement un système de communication permettant aux Employés et aux Partenaires de l’Organisme de signaler rapidement aux membres du personnel appropriés tout problème présumé de sécurité de l’information.

Alternatives de signalement

Les Employés de l’Organisme peuvent également signaler immédiatement tous les problèmes, vulnérabilités et incidents présumés liés à la sécurité de l’information à leur responsable hiérarchique.

Protection des lanceurs d’alerte

L’Organisme protégera les Employés qui signalent de bonne foi ce qu’ils estiment être une violation des lois ou des réglementations, ou des conditions pouvant mettre en danger la santé ou la sécurité des autres Employés. Cela signifie que ces Employés ne seront pas licenciés, menacés ou discriminés parce qu’ils dénoncent ce qu’ils considèrent comme un acte répréhensible ou une situation dangereuse.

Les Employés qui signalent au Responsable du service informatique un problème de sécurité, une vulnérabilité ou une situation contraire au Code d’éthique de l’Organisme peuvent, à leur seule discrétion, avoir leur identité strictement confidentielle. Cela signifie que l’identité du lanceur d’alerte ne sera pas révélée à son supérieur hiérarchique, aux autres membres de la Direction générale, ni aux autres Employés de l’Organisme qui ne sont pas directement impliqués dans la réception du signalement.

Dommages et pertes de systèmes hors site

Les Employés doivent signaler immédiatement à leur supérieur hiérarchique ainsi qu’au Responsable du service informatique tout dommage ou perte de matériel informatique, de logiciel ou d’informations de l’Organisme qui leur ont été confiés.

Alertes et avertissements système

Les Employés et Partenaires doivent signaler promptement toutes les alertes de sécurité, les avertissements, les vulnérabilités suspectées et similaires au service de soutien technique. Les Employés et Partenaires sont interdits d’utiliser les systèmes de l’Organisme pour transmettre de telles informations à d’autres personnes, qu’elles soient internes ou externes à l’Organisme.

Activités non autorisées

Les Employés et Partenaires doivent signaler immédiatement au Responsable du service informatique toute perte non autorisée ou modification des données de production informatisées. Toute utilisation douteuse des fichiers, des bases de données ou des réseaux de communication doit également être signalée immédiatement au Responsable du service informatique.

Demandes inattendues d’informations de connexion

Mis à part les écrans de connexion réguliers et attendus, les Utilisateurs doivent se méfier de toutes les fenêtres contextuelles, sites web, messages instantanés et autres demandes de nom d’utilisateur et de mot de passe API-Enfance. Les Utilisateurs qui rencontrent ces demandes doivent s’abstenir de fournir leur nom d’utilisateur et leur mot de passe API-Enfance, et signaler rapidement les circonstances au soutien technique.

Divulgation involontaire d’informations sensibles

Les divulgations non intentionnelles d’informations sensibles de l’Organisme sont des problèmes graves et doivent être immédiatement signalées à la fois à la Direction générale et au comité sécurité du conseil d’administration d’API-Enfance. Un tel signalement doit avoir lieu dès que la divulgation est connue, ou dès qu’il existe des motifs raisonnables de croire qu’une divulgation a eu lieu.

Dysfonctionnements logiciels

Tous les dysfonctionnements apparents d’un logiciel doivent être signalés immédiatement à la Direction générale ou au Responsable du service informatique.

Points d’accès sans fil non autorisés

Si un point d’accès sans fil non autorisé est détecté sur le réseau API-Enfance, l’Équipe d’intervention en matière de sécurité informatique doit être informée.

Signalement de violation externe

À moins d’être tenues par la loi ou la réglementation de signaler les violations de sécurité de l’information aux autorités externes, la Direction générale, en collaboration avec le conseiller juridique (ou son représentant) et l’Équipe d’intervention en matière de sécurité informatique doivent évaluer les avantages et les inconvénients de la divulgation externe avant de signaler ces violations.

Signalement de faille de sécurité suspectée à des tiers

Si un problème vérifiable de sécurité des systèmes d’information, ou un problème présumé mais probable, a entraîné l’exposition d’informations privées ou confidentielles de tiers à des personnes non autorisées, ces tiers doivent être informés immédiatement de la situation (dans les trois jours calendaires). L’annexe D propose un modèle de lettre pouvant être utilisé pour communiquer.

Perte ou divulgation d’informations sensibles

Si des informations sensibles sont perdues, divulguées à des parties non autorisées, ou si l’on soupçonne qu’elles ont été perdues ou divulguées à des parties non autorisées, leur propriétaire ainsi que le Responsable du service informatique doivent être immédiatement informés (dans les trois jours calendaires).

Exploitation des vulnérabilités du système et des informations sur les victimes

Les Employés et les Partenaires de l’Organisme ne doivent pas divulguer publiquement des informations sur les personnes, les organisations ou les systèmes spécifiques qui ont été endommagés par des crimes informatiques et des abus informatiques. De même, les méthodes spécifiques utilisées pour exploiter certaines vulnérabilités du système ne doivent pas être divulguées publiquement.

Divulgation de la vulnérabilité des fournisseurs

Si les Employés ou les Partenaires de l’Organisme découvrent une vulnérabilité sérieuse dans un système d’information, et que cette vulnérabilité peut être directement attribuée à une faiblesse dans le matériel et/ou les logiciels d’un certain fournisseur, ce fournisseur doit être rapidement et confidentiellement informé du problème par le Responsable du service informatique.

Contacts avec les forces de l’ordre et la justice pénale

Chaque décision concernant l’implication des forces de l’ordre dans les incidents ou problèmes de sécurité de l’information doit être prise par la Direction générale de l’Organisme. De même, chaque contact informant les forces de l’ordre d’un incident ou d’un problème de sécurité de l’information doit être initié par le Responsable du service informatique.

Ainsi, le Responsable du service informatique et son personnel ne doivent pas contacter la police ou d’autres membres du système judiciaire au sujet de problèmes de systèmes d’information, à moins d’avoir reçu l’autorisation écrite de la Direction générale de l’Organisme.

Demandes de coopération aux enquêtes

Les Employés et les Partenaires de l’Organisme doivent signaler immédiatement toute demande de participation à une enquête sur la sécurité de l’information au Conseiller juridique. Toute forme de coopération avec le requérant est interdite jusqu’à ce que le Conseiller juridique détermine que la participation est légale, peu susceptible de causer des problèmes pour l’Organisme et demandée par une partie autorisée.

Ainsi, même si le requérant prétend être un membre des forces de l’ordre, les Employés et les Partenaires de l’Organisme ne doivent divulguer aucune information interne de l’Organisme par le biais d’un quelconque mécanisme de communication, à moins que le Conseiller juridique ait établi l’authenticité de l’identité de la personne et la légitimité de la demande.