Identification des parties II. Objet III. Interprétation IV. Modalités relatives à la conclusion de l entente de sécurité

Transcription

1 ENTENTE DE SÉCURITE I. Identificatin des parties II. Objet III. Interprétatin IV. Mdalités relatives à la cnclusin de l entente de sécurité V. Mdalités techniques et sécuritaires de l envirnnement VI. Preuve VII. Prtectin des renseignements persnnels VIII. Respnsabilités IX. Généralités I. Identificatin des parties 1 parties à l entente u leurs représentants crdnnées des parties nmbre de signataires prcédé d identificatin (signature, numér d identificatin persnnel, certificat) II. Objet 2 1 Vir : ISIQ: Institut pur la sécurité de l infrmatin du Québec Guide de sécurité PME : Li cncernant le cadre juridique des technlgies de l'infrmatin : html; SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 1

2 Objectifs visés par l entente Opératins visées par l entente : créatin mdificatin transfert cnsultatin transmissin cnservatin destructin Persnnes cncernées III. Interprétatin 3 Définitins des termes utilisés dans l entente (persnnes impliquées directement u indirectement, dcuments visés) Standard pur les définitins : mettre une majuscule à chaque mt utilisé dans l entente de sécurité qui aura été défini Définir précisément l ensemble des persnnes impliquées Faire une distinctin entre l entente de sécurité prprement dit et les pératins sus-jacentes Identifier les dcuments à prtéger Définir les intermédiaires qui peuvent être appelés à intervenir au niveau de la sécurité même si leurs rôles snt définis dans une entente distincte De façn générale : décrire chaque élément qui présente une spécificité u un caractère cmplexe 2 Vir : SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 3 Vir : SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 2

3 IV. Mdalités relatives à la cnclusin de l entente de sécurité 4 Prtée de l entente de sécurité : Cnclusin de l entente pur une durée déterminée Identifier les pératins qui justifient la cnclusin de l entente de sécurité Obligatin de cllabratin : Type d échanges dcumentaires Liste des dcuments échangés Valeur des dcuments : bas, myen, élevé Degré de sécurité et fnctins à assurer Mécanismes et standards technlgiques à utiliser Chix d un supprt et mdalités de cnclusin de l entente Cmpsantes de l entente et préséance (annexes) Mdificatin de l entente de sécurité Prcédures de mdificatin : ajut, suppressin d bligatins Durée de l entente Date de cmmencement de l entente Durée Mdalités de rennciatin Mdalités de recnductin 4 Vir : AICPA/CICA: Cmptables agrées du Canada: Principes et critères des services Trust- Intégratin de SysTrust et de WebTrust, 1er avril 2003 : CICA_services_trust.pdf; Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : ; ISIQ: Institut pur la sécurité de l infrmatin du Québec Guide de sécurité PME : Li cncernant le cadre juridique des technlgies de l'infrmatin : html; SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 3

4 Obligatins des parties en ce qui cncerne les renseignements persnnels après la fin de l entente V. Mdalités relatives à la gestin des dcuments 5 Identifier les dcuments (actifs) et préciser les pératins (fnctins) qui fnt l bjet de l entente de sécurité Identifier les différentes séquences dcumentaires : s agit-il d un seul dcument, d un dcument cmpsé de divers fragments, d une multiplicité de dcuments? Mdalités relatives à chacune des étapes énncées à l article alinéa 2 de la LCCJTI : Créatin Transfert de supprt Cnsultatin Transmissin Cnservatin Archivage Destructin Nrme ISO Vir : AICPA/CICA: Cmptables agrées du Canada: Principes et critères des services Trust- Intégratin de SysTrust et de WebTrust, 1er avril 2003 : CICA_services_trust.pdf; Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : Frum du drit sur Internet: Recmmandatin La cnservatin électrnique des dcuments : ISIQ: Institut pur la sécurité de l infrmatin du Québec Guide de sécurité PME : Li cncernant le cadre juridique des technlgies de l'infrmatin : html; SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 4

5 1. Créatin Frmalisme Cmpsantes Structure Lisibilité Origine Mdalités de signature 2. Transfert La ntin de transfert est liée à celle de substitutin u de remplacement du supprt de l'infrmatin par un autre supprt faisant appel à une technlgie différente. Article 17 : l infrmatin d un dcument qui dit être cnservé pur cnstituer une preuve, qu il s'agisse d un riginal u d une cpie, peut faire l bjet d un transfert vers un supprt faisant appel à une technlgie différente. L article précise les cnditins à satisfaire. Tutefis il ne définit que les bjectifs à atteindre et ne s intéresse aucunement aux myens technlgiques à utiliser Cnditin du transfert : Il dit être dcumenté. Partant, il faut être en mesure de démntrer, au besin, que le dcument résultant du transfert cmprte la même infrmatin que le dcument surce et garantir sn intégrité. C'est la cnditin requise afin que le dcument surce puisse être détruit et remplacé par le dcument transféré tut en cnservant sa valeur juridique. Cependant, lrsqu il s agit de la destructin d un dcument dnt la cnservatin est exigée par la li, elle dit en plus se faire suivant les exigences de l article 20. La dcumentatin dit cmprter : la mentin du frmat d'rigine du dcument dnt l'infrmatin a été transférée du prcédé de transfert utilisé des garanties que ce prcédé est censé ffrir quant à la préservatin de l'intégrité du dcument devant être transféré et du dcument résultant du transfert. La dcumentatin, y cmpris celle relative à tut transfert antérieur, est cnservée durant tut le cycle de vie du dcument résultant du transfert. Elle peut être jinte, directement u par référence, sit au dcument résultant du transfert, sit à ses éléments structurants u à sn supprt. Sans ces cnditins, une 5

6 bligatin de cnservatin du dcument surce pèserait tujurs sur le prpriétaire quand bien même un changement de supprt aurait eu lieu 3. Cnsultatin Article 23 : établit le principe seln lequel un dcument peut être examiné par l'accès à sa cpie u à un dcument résultant d'un transfert u à une cpie de ce dernier. Cela élargit cnsidérablement les pssibilités d'accès aux dcuments, en particulier pur les persnnes suffrant de handicaps. Le dernier alinéa prévit qu'il dit y avir un équilibre réaliste entre le chix d'une persnne quant au supprt u la technlgie permettant l'accès au dcument et la pssibilité u la capacité de répndre à ce chix. L accessibilité aux dcuments technlgiques suppse dnc : qu ils sient intelligibles et lisibles : article 23 d rganiser un accès particulier lrsque les dcuments cncernés cntiennent des renseignements persnnels u cnfidentiels : article 25 dans l hypthèse ù les dcuments renfermant des renseignements persnnels snt rendus publics pur une finalité particulière, les fnctins de recherche extensive divent être restreintes à cette finalité : article 24 Lrsque la cnservatin du dcument technlgique a été cnfiée à un prestataire de service l article 26 prévit que celui-ci devra être mis au fait des prtectins que requiert le dcument en ce qui a trait à la cnfidentialité de l infrmatin. Partant il sera tenu de mettre en place et de maintenir des myens technlgiques prpres à assurer la sécurité du dcument, à préserver sn intégrité de même que sa cnfidentialité en cndamnant sn accès aux persnnes nn habilitées à en prendre cnnaissance. Par ailleurs, le prestataire de services a l bligatin de respecter tutes les bligatins légales relatives à la cnservatin d un dcument. 4. Transmissin Ce snt les articles 28 à 37 qui réglementent la transmissin des dcuments technlgiques. Article 28 : Le dcument peut être transmis, envyé u expédié. On peut utiliser tut mde de transmissin apprprié à sn supprt. Ce principe de liberté des mdes de transmissin peut cependant être restreint par une li spécifique. Article 29 : applique le principe de la liberté de se prcurer u nn certaines technlgies pur la transmissin de dcuments. Cependant, les parties à un cntrat peuvent tujurs s'entendre sur le chix d un supprt particulier. Par 6

7 ailleurs, cnfrmément à l'article 2 de la li, cette liberté de chix peut, dans certaines circnstances, être limitée par des lis qui impsent l usage d un supprt particulier. Exemple, le papier est exigé pur la rédactin de certains cntrats de cnsmmatin : article 101 de la Li sur la prtectin du cnsmmateur, L.R.Q., c. P-40.1, décrit à l'article 2. article 99 de la Li sur le curtage immbilier, L.R.Q, c. C article 103 de la Li sur le recuvrement de certaines créances, L.R.Q., c. R-2.2. Pluralité de supprt : lrsqu'un dcument est dispnible sur plusieurs supprts, c'est la persnne qui demande d'btenir un prduit, un service u de l'infrmatin qui dispse d un libre chix en ce qui a trait au supprt. L article 30 : énnce les cnditins pur que le dcument technlgique reçu cnserve la même valeur que le dcument transmis. Pur ce faire, le mde de transmissin chisi dit permettre de préserver l'intégrité, tant du dcument expédié que du dcument reçu. La dcumentatin établissant la capacité d'un mde de transmissin de préserver l'intégrité dit être dispnible pur prductin en preuve, le cas échéant. Une présmptin d intégrité existe en faveur des tiers pur les dcuments technlgiques que les entreprises u l État mettent à leur dispsitin à partir d'un système u d'un lgiciel : article 33. L'article 32 adapte l bligatin qui est faite dans une li d expédier plusieurs exemplaires d un dcument au cntexte des technlgies de l'infrmatin : cette bligatin peut être satisfaite au myen d'un seul exemplaire u cpie. Article 31 : Un dcument technlgique bénéficie d une présmptin de transmissin et d une présmptin de réceptin lrsque certains critères snt rencntrés. Cela permet de déterminer, lrsque requis, le mment de l envi u de la réceptin d'un dcument. Ces présmptins ne snt pas abslues et elles peuvent être renversées par une preuve cntraire. Un dcument technlgique est présumé transmis, envyé u expédié si : le geste qui marque le début de sn parcurs vers l adresse active du destinataire est accmpli par l expéditeur u sur sn rdre; et que ce parcurs ne peut être cntremandé u, s il peut l'être, n a pas été cntremandé par lui u sur sn rdre. Quant à la réceptin d un dcument technlgique, elle est présumée si le dcument est accessible : 7

8 à l adresse de l emplacement que le destinataire a indiquée à quelqu'un afin de recevir le dcument ; u à l adresse que le destinataire représente publiquement être un emplacement ù il accepte de recevir les dcuments qui lui snt destinés, dans la mesure ù cette adresse est active au mment de l'envi l adresse du destinataire est qualifiée d «active» lrsque les mécanismes nécessaires à la réceptin des dcuments et à leur accès par le destinataire y snt dispnibles. Le dcument reçu bénéficie d'une présmptin d'intelligibilité, à mins d'avis cntraire envyé à l'expéditeur dès l uverture du dcument. Lrs de la transmissin d un dcument, y cmpris sur un réseau de cmmunicatin, les renseignements déclarés cnfidentiels par la li divent être prtégés par un myen apprprié au mde de transmissin : article 34. L article 34 pse les exigences afin que la cnfidentialité demeure prtégée lrs de la transmissin. Le critère énncé est celui du myen apprprié au mde de transmissin. Par ailleurs, l article 13 prévit que lrsque l appsitin d un sceau, d un cachet, d un tampn, d un timbre u d un autre instrument a pur fnctin d assurer la cnfidentialité du dcument, cette fnctin peut être remplie à l égard d un dcument technlgique, seln les règles prévues à l article 34. Cmme pur les transferts, la dcumentatin expliquant le mde de transmissin cnvenu, incluant les myens pris pur assurer la cnfidentialité du dcument transmis, dit être dispnible pur prductin en preuve. Le chix des myens, quant à la façn d assurer la prtectin des renseignements cnfidentiels lrs de la transmissin d un dcument incmbe aux prtagnistes. Ceux-ci divent cependant être en mesure de furnir, au besin, la dcumentatin expliquant cmment les myens pris permettent d assurer la prtectin de la cnfidentialité. L'article 35 blige les vendeurs u prestataires de services en ligne à mettre en place les myens et infrmatins nécessaires de manière à permettre la crrectin des erreurs éventuelles. Ces fnctinnalités snt essentiellement : des instructins nécessaires pur que la persnne qui utilise un dcument préprgrammé puisse; l aviser dans les meilleurs délais d une erreur cmmise u dispser des myens pur prévenir u crriger une erreur; et des instructins u des myens afin que la persnne sit en mesure d éviter l btentin d un prduit u d un service dnt elle ne veut pas u qu elle n btiendrait pas sans l erreur cmmise u pur qu elle sit en mesure de le rendre u, le cas échéant, de le détruire. A défaut, la sanctin est l inppsabilité de la cmmunicatin u l annulatin de la transactin. La ntin d erreur est ici très large car elle vise tute erreur : 8

9 qu elle décule d'une erreur de manipulatin faite par l usager u qu elle résulte du mauvais fnctinnement du dcument préprgrammé. 5. Cnservatin La cnservatin d un dcument technlgique s accmpagne d un devir d en assurer l intégrité et l accessibilité. L article 19 prévit qu il faut veiller à la dispnibilité du matériel permettant de le rendre accessible et de l utiliser pur les fins auxquelles il est destiné. Mdificatin du dcument : l article 21 vise à s assurer que la mdificatin n a pas entaché la validité juridique du dcument. Pur que la mdificatin respecte les cnditins légales, il faut que celle-ci sit dcumentée ntamment en ce qui cncerne: l auteur de la demande l auteur de la mdificatin la date de la mdificatin l bjet de la mdificatin 6. Destructin Destructin du dcument surce : lrsque le dcument surce est détruit, aucune règle de preuve ne peut être invquée cntre l'admissibilité d'un dcument résultant d un transfert effectué et dcumenté cnfrmément à l article 17 et auquel est jinte la dcumentatin qui y est prévue, pur le seul mtif que le dcument n'est pas dans sa frme riginale : Article 18. Destructin du dcument : l article 20 énnce les cnditins à respecter. Pur que la destructin sit légale, il faut: préparer et de tenir à jur des règles préalables à la destructin des dcuments ayant fait l bjet d un transfert. Cette exigence ne vise pas les particuliers, elles ne cncernent que les entreprises et l État s assurer de la prtectin des renseignements cnfidentiels et persnnels que peuvent cmprter les dcuments devant être détruits Illustratin d une cnservatin par un tiers: le mdèle français du Frum des drits sur Internet: 9

10 Pur garantir l intégrité d un écrit, il faut assurer : la lisibilité du dcument la stabilité du cntenu pératinnel la traçabilité des pératins sur le dcument Par cnséquent, l usage des bnnes pratiques dit se pursuivre tut au lng de la cnservatin et ntamment au mment : du versement (dépôt) de l enregistrement de la gestin et de la restitutin éventuelle Versement : Identifier la parties (rganisme, persnne) qui prcède au dépôt du dcument ainsi que sn habilitatin à le faire Vérifier que le dcument n a pas été altéré pendant sa transmissin. Cette étape suppse cependant la définitin des règles préalables de transmissin Cntrôler que la structure des dcuments, le nmbre, la taille et le frmat snt cnfrmes aux règles définies et acceptées par les parties Enregistrement : Référencement des nuveaux dcuments : identifiants, date d arrivée, durée de cnservatin, prtectins particulières Écriture des dcuments sur des supprts de stckage. Ce qui suppse la vérificatin du : vlume à stcker, de la stabilité intrinsèque du supprt, du niveau de sécurité, des utils de cntrôle. Cntrôle par le respnsable de la cnservatin Inscriptin à l histrique des pératins Envi d une ntificatin à la partie versante Gestin Cntrôle de la lisibilité des dcuments Opératins de migratins : migratins de supprt (déplacement de dnnées d un envirnnement physique à un autre) u migratins de frmat (cpie de dcument accmpagné d un changement infrmatique) ; et cntrôle des pératins de migratins : avant, pendant, après ; enfin une validatin de la migratin : cntrôle de l absence d altératin du cntenu infrmatinnel Opératins de suppressin : dans l hypthèse ù le dcument a atteint la fin de sn cycle de vie u cnfrmément à une prcédure préétablie avec le dépsant. Restitutin et cmmunicatins des dcuments cnservés 10

11 Type de restitutin : restitutin définitive à la partie dépsante, et suppressin de tus les enregistrements dans le système d archivage u simplement restitutin pur des besins de preuve u de cntrôle Prcédure de restitutin : cntrôle de l habilitatin du demandeur à effectuer la requête de restitutin ; cntrôler l absence d altératin entre la srtie du système d archivage et la réceptin par le destinataire final ; sélectin du dcument dans le référentiel ; accusé de réceptin, ntificatin de l pératin. VI. Mdalités techniques et sécuritaires de l envirnnement 6 1. Organiser la sécurité de l infrmatin 6 AICPA/CICA: Cmptables agrées du Canada: Principes et critères des services Trust- Intégratin de SysTrust et de WebTrust, 1er avril 2003 : CICA_services_trust.pdf; Cigref: Club infrmatique des grandes entreprises françaises Sécurité des systèmes d infrmatin, septembre 2002 : _Securite_du_systeme_d_infrmatin_web.pdf; Cde de pratique pur la gestin de sécurité d infrmatin (ISO/CEI internatinal) : Frum du drit sur Internet: Recmmandatin La cnservatin électrnique des dcuments : ; Guide des drits sur Internet (Québec) : Guide de sécurité en ligne et de prtectin des renseignements persnnels (2003 Canada) : Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : ; ISIQ: Institut pur la sécurité de l infrmatin du Québec Guide de sécurité PME : Li sur la prtectin des renseignements persnnels dans le secteur privé ( Québec) : ; Li cncernant le cadre juridique des technlgies de l'infrmatin : html; Li sur la prtectin des renseignements persnnels et les dcuments électrniques.( Canada) : Santé et services sciaux: Plitique de sécurité de l infrmatin Guide de rédactin, trusse d utils- juin2003; Services du guvernement du Québec, Li cncernant le cadre juridique des technlgies de l'infrmatin : SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 11

12 Engagement de la directin : Élabrer et appruver la plitique de sécurité de l infrmatin Attribuer les respnsabilités Assurer le suivi de sa mise en œuvre Attributin des rôles et respnsabilités Préciser les qualificatins et les cmpétences du persnnel les gestinnaires des utilisateurs administrateurs techniques techniciens tiers et furnisseurs Prtectin des ressurces infrmatinnelles Définir les infrmatins à prtéger Identificatin de leur sensibilité Indiquer la durée de l engagement Prévir les mdalités de retur u de destructin d infrmatins à l expiratin de l engagement Préciser les respnsabilités et les exigences à l égard des signataires en cas de diffusin d infrmatins nn autrisées Publiciser les sanctins prévues en cas de vilatin de l engagement Sécurité et clients Spécifier les exigences en matière de sécurité par le biais d entente u de cntrats qui mentinnent les risques, exigences requises et les cnséquences en cas de divulgatin nn autrisée. Sécurité dans les accrds avec des tiers Identifier les mesures à appliquer et les définir sus frme de cntrat avec les tiers Revue indépendante de la sécurité des ressurces et des infrmatins Après une révisin de la plitique de sécurité En cas de changements imprtants à la ressurce infrmatinnelle u à l infrastructure technlgique En cas de changement dans le cntexte d affaire u dans le cadre légale de l rganisatin 2. Bâtir une plitique de sécurité de l infrmatin Persnnes Séparatin des respnsabilités Organisatin des ressurces Infrmatin 12

13 Types de dcuments Dnnées Paramètres de systèmes et applicatins Prcessus Prcessus d embauche et de renvi du persnnel Prcessus d accueil du niveau persnnel Prcessus d annulatin des cmptes clients Matériel et technlgie Ressurces infrmatinnelles Éléments de l infrastructure technlgique installatins 3. Gérer les risques de sécurité Inventaire des ressurces infrmatinnelles Évaluatin des vulnérabilités Évaluatin des cntrôles pssibles à mettre en place Analyse, décisin, plan d actin et dcumentatin Cmmunicatin aux emplyés et autres persnnes en relatin avec l rganisatin Surveillance et mise à jur des cntrôles 4. Gérer l actif infrmatinnel Gestin des ressurces infrmatinnelles Identifier les ressurces infrmatinnelles Élabrer un inventaire des infrmatins sensibles u critiques : - les infrmatins critiques snt celles dnt la divulgatin, l altératin, la perte u la destructin risque de rendre vulnérable u encre de paralyser un service u l rganisatin elle-même - les infrmatins sensibles snt celles qui purraient causer des préjudices nn négligeables à l rganisatin Distinguer les tris catégries d actifs - les actifs appartenant à l rganisatin et qu elle explite - les actifs appartenant à l rganisatin mais détenus et explités par un tiers, furnisseur de services - les actifs qui appartiennent à un tiers u furnisseur mais explités au prfit de l rganisatin 13

14 Élabrer un registre d autrité de la sécurité de l infrmatin - descriptin des ressurces infrmatinnelles qui divent être prtégées - désignatin et attributins des détenteurs des ressurces - désignatin et attributins du respnsable de sécurité - attributin de tut autre intervenant en sécurité Prtectin des ressurces infrmatinnelles Déterminer les ressurces infrmatinnelles à catégriser : - système d infrmatin (fichier de base de dnnées, cntrat et entente, manuel de l utilisateur) - lgiciel - élément de l infrastructure technlgique - type de dcument - envirnnement physique Catégriser les actifs - critères seln la valeur, les exigences légales, sensibilité, risque - déterminer les mdes de prtectin et de traitement Déterminer les mesures de sécurité seln les catégries - Marquage de l infrmatin - Mise en place de prcédure pur la manipulatin de l infrmatin : transfert, traitement, cnservatin, récupératin, transmissin, destructin 5. Gérer les systèmes d infrmatin Cntrôle dans le traitement de l infrmatin Cntrôle des dnnées d entrée des systèmes d infrmatin - vérificatin des éléments de dnnées - examen de l intégrité et de la validité des fichiers - vérificatins d autrisatin des changements aux dnnées - définitins des respnsabilités du persnnel affecté au traitement des dnnées de srtie - mise en place d une prcédure de cntrôle permettant de vérifier le traitement des dnnées de srtie - créatin d un jurnal de transactins enregistrant tus les changements apprtés aux dnnées d entrée 14

15 Cntrôle de dnnées de srties de systèmes d infrmatin - vérificatins permettant d assurer la validité des dnnées - définitins des respnsabilités du persnnel affecté au traitement de dnnées de srtie - Mise en place d une prcédure de cntrôle permettant de vérifier le traitement des dnnées de srtie - Créatin d un jurnal de transactins enregistrant tus les changements apprtés aux dnnées de srtie Cntrôle des mesures de chiffrement de l infrmatin Plitique d utilisatin des mesures cryptgraphiques Chiffrement Signatures numériques Services de nn répudiatin Gestin des clés Sécurité des fichiers des systèmes d infrmatin Cntrôle des lgiciels pératinnels Prtectin des dnnées d essai des systèmes Cntrôle de l accès aux biblithèques de prgrammes surces Sécurité des envirnnements de dévelppement et de sutien Mise en place de prcédure de cntrôle des changements apprtés aux systèmes Révisin technique de tutes les mdificatins apprtées aux systèmes d explitatin Des restrictins sur les mdificatins à apprter aux prlgiciels Surveillance de la sus-traitance du dévelppement des lgiciels (drits de licence, drits de prpriété du cde d accès, sécurité au niveau des fnctinnalités) Gestin de l explitatin et des vulnérabilités techniques Gestin de l explitatin - Sauvegarde régulière des dnnées persnnelles des utilisateurs - En cas d expéditin u de transprt de supprts d infrmatin prendre des mesures apprpriées pur en assurer la sécurité (emballage spécial, cde, livraisn sécuritaire, cryptage) - Mise en place d un plan de sauvegarde de dnnées en fnctin du vlume des dnnées à sauvegarder, la péridicité de la sauvegarde, la durée légale de la cnservatin - Identifier les vulnérabilités 15

16 - Mise en place de crrectifs Gestin de l explitatin des réseaux de télécmmunicatins - Mise en place de myens de prtectin infrmatique : cupe-feu, lgiciel anti-virus, mise à jur des lgiciels 6. Assurer la sécurité physique et envirnnementale Sécurité physique Périmètre de sécurité physique Mesures de sécurité physique à l entrée Mesures de sécurité des bureaux, salles et infrastructures Limiter les znes de travail Sécurité du matériel : emplacement, maintenance Islatin des znes de livraisns Persnnes respnsables Identifier le u les respnsables de sécurité Prévir les mdalités de changement de pste u de renuvellement Attributins des rôles et respnsabilités - les qualificatins et cmpétences des persnnes qui assumernt les rôles - les gestinnaires qui en assurent la gestin - les utilisateurs de ressurces - les administrateurs techniques qui gèrent les accès aux infrmatins et les fnctinnalités des ressurces infrmatinnelles - les techniciens qui assurent la maintenance et la cntingence - les tiers et les furnisseurs qui ffrent des services cntractuels Encadrement de l envirnnement Drits et cnditins d accès à certaines catégries de dcuments Drits et cnditins d accès à certains équipements infrmatiques Audits et vérificatins relatifs aux incidents de sécurité Mdalités de surveillance Mdalités d administratin de l envirnnement Prcédure d urgence en cas d événements susceptibles de mettre en péril la sécurité de l envirnnement Gérer les incidents de sécurité Préventin des incidents : tests d intrusin, sensibiliser et frmer les utilisateurs, analyse de risques Détectin : antivirus, système de préventin, système de préventin et de détectin d intrusins Réactins face aux incidents : mise en place d une équipe de répnse aux incidents, identificatin et catégrisatin des incidents, 16

17 prcédures d interventins et de rétablissement, évaluatin des dmmages Mesures de rétractin : prcédure de retur avec les détails de réslutin du prblème 7. Assurer la sécurité liée aux ressurces humaines Respnsabilité de la directin Inclusin de la sécurité dans la respnsabilité des pstes sélectin du persnnel et plitique de recrutement accrds de cnfidentialité cnditins d empli Mise en place d un prcessus disciplinaire élabratin d un prcessus disciplinaire frmel et publique cnfrmité du prcessus aux lis et règlements en vigueur Prcédure d embauche Descriptin des tâches pur tus les pstes à cmbler Mentin des exigences et des respnsabilités en matière de sécurité avant l embauche Préciser qu un engagement de sécurité devra être signé et que cela vise tus les emplyés, tiers et sus-traitants Habilitatin particulière pur tut emplyé devant accéder à des infrmatins sensibles Prcédure d accueil Sensibilisatin à la sécurité de l infrmatin : plitique de sécurité, directives, prcédures, standards, bnnes pratiques Organisatin hiérarchique des intervenants en sécurité Identificatin et mt de passe : cmpsitin des mts de passe, cnfidentialité, respnsabilités des utilisateurs cncernant les actins effectuées avec sn identifiant Cpie et sauvegarde Usage des équipements, lgiciels, Internet Frmatin et sensibilisatin Séances d infrmatins péridiques sur la sécurité de l infrmatin Rappel des enjeux et des cnséquences de l utilisatin des ressurces infrmatinnelle de l entreprise Prcédure départ Tut emplyé u cntractuel perd ses drits d accès immédiatement après sa démissin, cngédiement, fin de cntrat u entente 17

18 Prcessus frmel de résiliatin prévyant la restitutin de l ensemble des cartes d accès, de crédit, manuels, dcuments, lgiciels, équipement appartenant à l rganisatin Dans l hypthèse ù l emplyé, tiers u le sus-traitant a utilisé sn prpre matériel pendant la durée du cntrat, s assurer de la destructin de tutes les infrmatins cncernant l entreprise 8. Cntrôler les accès Gestin des accès des utilisateurs Enregistrement des utilisateurs Gestin des privilèges Gestin des mts de passe utilisateur Examen des drits d accès utilisateur Cntrôle de l accès aux réseaux Plitique sur l utilisatin des services sur réseaux Itinéraire bligatire Authentificatin des utilisateurs pur les cnnexins internes Authentificatin des nœuds Islatin au sein des réseaux Cntrôle des cnnexins réseau Cntrôle du rutage des réseaux Sécurité des services réseau Cntrôle de l accès aux systèmes d explitatin Identificatin autmatique du terminal Prcédures de cnnexin du terminal Identificatin et authentificatin des utilisateurs Systèmes des gestins des mts de passe Utilisatin des prgrammes utilitaires Avertisseurs individuels pur la prtectin des utilisateurs Fnctin d arrêt à délai d inactivité du terminal Limitatin du temps de cnnexin Respnsabilité de l utilisateur Tut utilisateur détient un drit d accès persnnel et unique à sn envirnnement de travail (utils de cmmunicatins, systèmes d explitatin, lgiciels, applicatins) Snt prhibées : tute divulgatin des infrmatins cnfidentielles, l btentin d infrmatins classées et nn reliées à sa tâche u encre l abus du drit d accès Gestin des mts de passe : garder les mts de passe secret, respecter les exigences du système, respnsabilité de l utilisateur en ce qui cncerne tute actin effectuée avec sn identifiant et sn mt de passe 18

19 VII. Preuve 7 Principe: article 5 LCCJTI : Un dcument technlgique peut être utilisé en tant que preuve. En effet, la li assure la valeur juridique du dcument quelque sit sn supprt. Ce qui imprte dans ce cntexte c est sn intégrité. Cnditins légales: article 6 LCCJTI: s assurer que le dcument sit intègre. L intégrité s apprécie au regard des circnstances et de la sensibilité des infrmatins cntenues dans le dcument. Relativement à ce critère d intégrité, la Li précise que : il n est pas bligatire de pruver que l envirnnement du dcument est cnvenable; la preuve de l intégrité du dcument suffit; le dcument prvenant d une entreprise u de l État est présumé intègre. Ainsi, par exemple, un cnsmmateur purra présenter en preuve une impressin papier u une disquette d un curriel d une entreprise et ce dcument sera présumé intègre. À charge pur l entreprise d éventuellement pruver le cntraire. S assurer, lrsque le dcument n est pas signé, de l identité de l auteur du dcument. La li recnnaît aussi la même valeur juridique à des dcuments sur des supprts différents s ils prtent la même infrmatin, si leur intégrité est assurée et s ils respectent tus les deux les règles de drits qui les régissent. Ils deviennent alrs interchangeables: l un peut remplacer l autre et ils peuvent être utilisés simultanément u en alternance et aux mêmes fins. 7.1 Écrit électrnique Principe: sur la base du principe de l équivalence fnctinnelle, la Li permet l écrit électrnique, ce dernier puvant être réalisé sur n imprte quel supprt, papier u technlgie de l infrmatin. Il suffit de : - S assurer que le dcument sit intègre 7 Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : 19

20 - Plus généralement, être capable de déterminer de qui le dcument prvient, quelle est sn rigine. 7.2 Signature électrnique Définitin: Un util représentant une marque persnnelle qui est utilisée de façn curante par une persnne pur manifester un cnsentement. La définitin de la signature n est pas attachée à un supprt en particulier (papier u technlgie de l infrmatin). Cnditins légales: - Permettre d identifier une persnne. - Permettre à cette persnne de manifester sn apprbatin, sn engagement, sn cnsentement. - Utiliser un degré de fiabilité de la signature qui crrespnde aux enjeux, aux circnstances, aux habitudes, à la cnfiance entre les parties. 7.3 L riginal électrnique Définitin: Un dcument physique crrespndant à sa rédactin première suvent utilisé pur pruver un acte u un fait. Généralement asscié au papier, la Li établit des cnditins légales pur que, lrsque certaines lis exigent un riginal, ce dernier puisse être satisfait par un dcument technlgique. L riginal est susceptible de remplir tris fnctins. Cnditins légales: (1) Pur que le dcument remplisse la première fnctin de l riginal, à savir, être la surce première d une cpie (par exemple un cntrat signé en deux cpies), il faut : assurer l intégrité du dcument; cnserver le dcument; permettre de le cnsulter ultérieurement. (2) Pur que le dcument remplisse la deuxième fnctin de l riginal, à savir, être un dcument unique (par exemple un chèque, un cnnaissement maritime, un titre au prteur), il faut : assurer l intégrité du dcument; intégrer une slutin d rdre technlgique; intégrer ntamment une cmpsante exclusive u mettre en place un prcédé empêchant tute frme de reprductin. 20

21 (3) Pur que le dcument remplisse la trisième fnctin de l riginal, à savir, être la surce première d un dcument relié à une persnne (par exemple un testament, un certificat numérique), il faut : assurer l intégrité du dcument; affirmer le caractère unique; identifier la persnne à laquelle le dcument est relié; maintenir ce lien pendant tut le cycle de vie du dcument. VIII. Prtectin des renseignements persnnels 8 Cnfrmément à la Li sur l accès aux dcuments des rganismes publics et sur la prtectin des renseignements persnnels et la Li sur la prtectin des renseignements persnnels lrsque le partenaire est une institutin privée. Persnne respnsable Limitatin d utilisatin à ce qui est nécessaire Mdalités de cmmunicatin Mdalités de cnservatin Mdalités d archivage Exactitude des renseignements persnnels Transparence Cnsentement Accès aux renseignements persnnels Drit de rectificatin Sécurité En utre la Li sur le cadre juridique des technlgies de l infrmatin prévit : Article 44 et 45: n ne peut utiliser des caractéristiques u des mesures bimétriques librement Article 24 : Des limitatins d utilisatin divent être ffertes lrsque des renseignements rendus publics le snt à travers une banque de dnnées qui permettrait une recherche extensive Article 25 : Un renseignement cnfidentiel dit dispser de mesures de sécurité prpres 8 Li sur la prtectin des renseignements persnnels dans le secteur privé ( Québec) : ; Li cncernant le cadre juridique des technlgies de l'infrmatin : html; Li sur la prtectin des renseignements persnnels et les dcuments électrniques. ( Canada) : 21

22 IX. Respnsabilités 9 Les bligatins des parties L évaluatin des risques Les chix technlgiques La LCCJTI a encadré par des règles spécifiques les respnsabilités des prestataires de services: articles 22, 27, 36 et Principes généraux en matière de respnsabilité Principe: tute persnne, qu elle sit une entreprise, une institutin publique u un particulier, peut être tenue respnsable des dmmages causés à autrui par le fait de dcuments technlgiques qu elle détient. Cnditins légales : il n existe pas d bligatin de sécurité de manière générale. En revanche, celui qui ne prend pas un sin particulier à gérer ses dcuments technlgiques se verra dans l incapacité de faire valir ses drits par absence de preuve. Néanmins, la Li précise des cnditins impératives dans certains cas. C est par exemple le cas lrs de la gestin de dcuments technlgiques cnfidentiels et lrs de la gestin d un certificat numérique 2. Respnsabilité et cnfidentialité Principe: un dcument cnfidentiel ne peut être accessible qu aux persnnes qui y snt autrisées. Les persnnes qui détiennent ces dcuments nt l bligatin d assurer un degré de sécurité adéquat. Cnditins légales relatives à la prtectin des renseignements persnnels : Élabrer une plitique de vie privée explicitant le traitement et la finalité des renseignements persnnels. Détenir un intérêt sérieux et légitime pur cnstituer un dssier. Ne recueillir que les renseignements nécessaires à la finalité vulue. Permettre aux individus, sauf exceptin, l accès, la crrectin u le retrait de leurs prpres renseignements persnnels. Interdire la transmissin des renseignements persnnels à autrui sauf cnsentement manifeste de l intéressé. 9 Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : 22

23 Cnditins légales relatives à la sécurité : Mettre en place des mesures de sécurité qui sient prprtinnelles et apprpriées aux circnstances. Empêcher que le devir d accès à des dcuments technlgiques puisse nuire à la cnfidentialité de certaines infrmatins. Ntamment, face à des dnnées publiques, il est pssible de mettre en place un système de visibilité réduite qui interdirait de faire des recherches par mts-clés trp efficaces. S assurer en cas de transmissin de renseignements cnfidentiels, d une part que les partenaires qui les reçivent dispsent aussi d un encadrement sécuritaire adéquat et d autre part que l pératin est dcumentée. 3. Respnsabilités d une entreprise de services en technlgies de l infrmatin Services d hébergement : L hébergement cnsiste en l pératin d un prestataire de services qui laisse à la dispsitin d autrui un espace disque afin de diffuser des sites dans Internet. Or, des dcuments illégaux snt parfis dispnibles dans Internet, que ce sit des prps haineux, diffamatires, cntraires à des règles d rdre public u prtant atteinte à la vie privée; il s agit alrs de savir qui est respnsable entre l auteur u l hébergeur. Régime général d exnératin: Sn rôle se limite à permettre une diffusin de pages Internet sans qu aucun cntrôle ne sit exercé, et ce, même s il dispse de la pssibilité de le faire. Respnsabilité: pssible dans le cas ù : il a cnnaissance d activités illicites de la part des persnnes hébergées par lui; ntamment quand n le lui fait savir en lui adressant une lettre u un curriel; il a cnnaissance de circnstances qui rendent apparentes des activités illicites de la part des persnnes hébergées par lui; il n a rien fait pur empêcher que des activités illicites de la part des persnnes Services de référence: Les pératins liées aux activités de pages de liens hypertextes, de mteurs de recherche, d index u d autres répertires d infrmatin snt appelés des services de référence. Ces derniers dispsent d un régime de respnsabilité similaire à ceux des services d hébergement. Services de transmissin : 23

24 Par services de transmissin, il faut cmprendre l actin purement technique par laquelle un prestataire de services transprte des dcuments technlgiques d un pint à un autre. Régime général d exnératin. Sn rôle se limite à une actin technique. Respnsabilité pssible dans le cas ù : il est à l rigine de la transmissin; il sélectinne u mdifie le dcument transmis; il sélectinne la persnne qui transmet, reçit u a accès au dcument psant prblème; il cnserve le dcument plus lngtemps que ne l exige la transmissin Services de cnservatin : Il faut cmprendre par services de cnservatin l actin de cnserver des dcuments afin d assurer une meilleure efficacité de la transmissin de dcuments technlgiques. Cela crrespnd à deux situatins principales que snt : La fnctin «cache» (u antémémrisatin) qui cnsiste à stcker les éléments d une page Internet sur un rdinateur u un serveur afin de faciliter un accès ultérieur; La cnservatin de dcuments nécessaires à l utilisatin de serveur à accès cntrôlé, d Intranet (ntamment pur des raisns de sécurité). Régime général d exnératin: un régime de respnsabilité similaire au précédent s applique aux prestataires de services de cnservatin. Respnsabilité pssible dans le cas ù dans l une des quatre situatins qui s appliquent à la respnsabilité du transmetteur; le prestataire ne respecte pas les cnditins d accès au dcument; le prestataire empêche la vérificatin de qui a eu accès au dcument; le prestataire ne retire pas prmptement du réseau u ne rend pas l accès au dcument impssible alrs qu il avait cnnaissance : - qu un tel dcument a été retiré de là ù il se truvait initialement; - qu il n est pas pssible aux persnnes qui y nt drit d y avir accès; - qu une autrité cmpétente en a exigé le retrait. X. Généralités SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : 24

25 Drit applicable Tribunal cmpétent Mdalités de règlement des litiges Drits de prpriété intellectuelle RÉFÉRENCES - AICPA/CICA: Cmptables agrées du Canada: Principes et critères des services Trust- Intégratin de SysTrust et de WebTrust, 1er avril 2003 : PA-CICA_services_trust.pdf - Cigref: Club infrmatique des grandes entreprises françaises Sécurité des systèmes d infrmatin, septembre 2002 : _Securite_du_systeme_d_infrmatin_web.pdf - Cde de pratique pur la gestin de sécurité d infrmatin (ISO/CEI internatinal) : - Frum du drit sur Internet: Recmmandatin La cnservatin électrnique des dcuments : pdf - Guide des drits sur Internet (Québec) : - Guide de sécurité en ligne et de prtectin des renseignements persnnels (2003 Canada) : - Guide relatif à la gestin des dcuments technlgiques Afin d y vir plus clair, Fndatin du Barreau du Québec : ; SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : 25

26 - ISIQ: Institut pur la sécurité de l infrmatin du Québec Guide de sécurité PME : - Li sur la prtectin des renseignements persnnels dans le secteur privé ( Québec) : - Li cncernant le cadre juridique des technlgies de l'infrmatin : le=/c_1_1/c1_1.html - Li sur la prtectin des renseignements persnnels et les dcuments électrniques. ( Canada) : - Santé et services sciaux: Plitique de sécurité de l infrmatin Guide de rédactin, trusse d utils- juin Services du guvernement du Québec, Li cncernant le cadre juridique des technlgies de l'infrmatin : - SGQRI: Standard du guvernement du Québec pur les ressurces infrmatinnelles Guide pur l élabratin d une plitique de sécurité de l infrmatin numériques et des échanges électrniques, juillet 2003 : pdf - SGQRI-32: Cntenu type et guide à l élabratin d une entente de sécurité Pratique recmmandée, Guvernement du Québec -Nvembre 2002 : - Site général relatif à la Li cncernant le cadre juridique des technlgies de l infrmatin ( Québec) : 26