DIRECTIVES DU COMMISSAIRE

SÉCURITÉ EN MATIÈRE DE TRAITEMENT ÉLECTRONIQUE DES DONNÉES

[  Objectifs de la politique  |  Responsabilités  |  Classification de sécurité des données  |  Accès par des utilisateurs autorisés  |  Rèpartition des taches  |  Marchés de services  |  Accès par des détenus  |  Plans en cas de désastre  |  Enquêtes de sécurité  |  Vèrifications  ]

OBJECTIF DE LA POLITIQUE

1. Veiller à la protection des systèmes, des données et des services contre toute menace, acciendentelle ou intentionnelle, en ce qui concerne le caractère confidentiel, l'exactitude et l'accessibilité des renseignements, de façon à satisfaire les normes établies par le gouvernement du Canada.

RESPONSABILITÉS

2. L'unité responsable de la sécurité du traitement èlectronique des données à l'Administration centrale doit veiller:

a. à la mise au point de procèdures relatives à la sécurité des systèmes, des données et des services; et

b. à la surveillance et à l'évaluation des systèmes de traitement électronique des données et de leur environnement au regard des situations qui pourraient compromettre la sécurité des renseignements ou conduire à leur divulgation non autorisée.

3. L'unité responsable des services de traitement électronique des données à l'Administration centrale doit veiller à la mise en oeuvre, à la coordination et au contrôle des politiques, des normes et des procédures relatives à la sécurité qui touchent le traitement èlectronique des données au sein du Service.

4. Les chefs de direction, les sous-commissaires, de même que toutes les personnes responsables de l'utilisation d'un système de traitement électronique des données doivent s'assurer:

a. que les données sont cloisonnées aux fins d'accès et que les utilisateurs autorisés sont identifiés selon les besoins; et

b. qu'une personne est nommée pour assurer la liaison avec l'unité responsable de la sécurité du traitement électronique des données à l'Administration centrale, une personne qui pourra identifier les difficultés éventuelles relatives à la sécurité et veiller à la formation du personnel de la direction et de la région en matière de sécurité du traitement électronique des données.

CLASSIFICATION DE SÉCURITÉ DES DONNÉES

5. C'est à l'utilisateur qu'incombe la responsabilité d'établir la classification ou la cote de sécurité attribuée aux documents, aux données et aux programmes, selon les procédures portant sur la protection des renseignements.

ACCÈS PAR DES UTILISATEURS AUTORISÉS

6. Afin d'avoir accès aux systèmes de traitement électronique des données du Service, les utilisateurs doivent obtenir des codes d'authentification ou des mots de passe, de la façon prescrite par l'unité responsable.

RÉPARTITION DES TACHES

7. L'ensemble des tâches relièes à un sytème important de traitement des données ne doit pas être confié à un seul utilisateur. Ainsi, la personne qui établit le programme apportant une modification quelconque ne doit pas être celle qui effectue la mise à jour connexe dans la programmathèque de production.

MARCHÉS DE SERVICES

8. Lorsque l'on établit un marché de services portant sur le traitement électronique des données, il faut examiner attentivement toutes les questions reliées à la sécurité et inscrire dans l'entente des clauses tenant compte de ces préoccupations. L'unité responsable de la sécurité du traitement électronique des données à l'Administration centrale doit prendre part à cet examen.

ACCÈS PAR DES DÉTENUS

9. Il est interdit aux détenus d'avoir accès à des systèmes ou à de l'équipement de traitement électonique des données:

a. leur permettant d'obtenir des renseignements sur des membres du Service ou des détenus;

b. assurant le soutien de l'infrastructure d'un établissement donné; ou

c. leur permettant d'entrer en communication avec un terminal ou un ordinateur situé à l'extérieur de l'ètablissement, exception faite des terminaux branchés sur un système approuvé d'apprentissage assisté par ordinateur.

PLANS EN CAS DE DÉSASTRE

10. Les responsables des systèmes de traitement des données doivent préparer des plans prévoyant le rétablissement du service de traitement des données à la suite d'un désastre. Ces plans doivent comprendre une énumération des services essentiels et des sources de données, de même que préciser les ressources minimales nécessaires en matière de personnel pour assurer le fonctionnement du service. Il faut vérifier l'efficacité de ces plans une fois par année.

ENQUÊTES DE SÉCURITÉ

11. L'unité responsable de la sécurité du traitement électronique des données à l'Administration centrale doit faire enquête chaque fois qu'une infraction ou un incident portant atteinte à la sécurité de l'environnement du système est soupçonné. Il faut rédiger un rapport sur chaque incident.

VÉRIFICATIONS

12. Il faut prévoir, tout au moins, les vérifications suivantes:

a. une vérification effectuée par l'Équipe d'inspection et d'èvaluation de la sécurité de la Gendarmerie royale du Canada, conformément au Manuel de la politique administrative du Conseil du Trèsor; et

b. une vérification annuelle de l'efficacité des mesures de sécurité s'appliquant au traitement électronique des données, menée par l'unité responsable de la sécurité du traitement électronique des données à l'Administration centrale.

Original signé par
Rhèal J. LeBlanc, Le Commissaire

Table des matières