Dictionnaire des compétences techniques

9. Sécurité/protection de l'information et des applications

– Connaissances et capacités permettant de s'assurer qu'il existe des mesures de protection techniques et organisationnelles efficaces afin de protéger la continuité des services de l'infrastructure TI, grâce à la mise en œuvre des principes, des méthodes, des pratiques, des politiques et des outils de la sécurité TI qui sont utilisés pour protéger les ressources TI, notamment la sécurité de l'information et des opérations, la sécurité physique, la planification de la continuité des activités et la reprise après sinistre, les méthodes de prise en charge des infractions à la sécurité et l'évaluation de la sécurité dans un environnement technique.

Connaissances requises :

• Principes, méthodes, politiques, pratiques et outils de la sécurité des TI
  • Principes de la protection de l'information et de la sécurité des TI, méthodes, pratiques, procédures et outils d'évaluation des risques et des menaces (par exemple politiques et législation du gouvernement rattachées à la sécurité et à la protection des renseignements personnels, principes de la biométrie et de la cryptographie, pare-feu, journaux d'intrusion, chiffrement et signature numérique).
  • Principes, processus et méthodes associés à l'élaboration, à la mise en œuvre, à la surveillance et aux rapports des cadres, des politiques, des mesures, des contre-mesures, des programmes de surveillance, des procédures et des lignes directrices de planification de la sécurité TI.
  • Outils de gestion comme la classification des données et l'analyse et l'évaluation des risques dans le but de déterminer les menaces, de classifier les actifs et de coter les vulnérabilités des systèmes.
  • Exigences de sécurité des logiciels et du matériel TI.
  • Préparation et conduite des évaluations des facteurs relatifs à la vie privée (EFVP), des énoncés de sensibilité (EDS), des évaluations des menaces et des risques (EMR), et des évaluations des vulnérabilités (EV).
  • Procédures, politiques et pratiques d'accréditation.
  • Procédures de certification de la sécurité.
  • Matériel et logiciel de sécurité.
  • Normes et politiques TI du Conseil du Trésor et de l'organisation relatives au développement et au support des réseaux et des systèmes d'infrastructure, comprenant les politiques de sécurité et les normes opérationnelles.
• Sécurité des opérations TI
  • Techniques de protection de l'intégralité des installations, depuis le périmètre externe jusqu'aux locaux des bureaux internes, y compris toutes les ressources du système d'information, et méthodes permettant de prendre en charge les infractions à la sécurité.
  • Exigences applicables au matériel, aux supports et aux opérateurs ainsi qu'aux administrateurs qui disposent de droits d'accès sur ces ressources.
  • Sécurité au niveau des applications, gestion des accès et accès à distance.
  • Audit et surveillance des mécanismes, des outils et des installations afin de permettre de repérer les événements relevant de la sécurité et d'évaluer la sécurité des opérations.
  • Virus.
  • Lois et règlements régissant les délits informatiques, et mesures et technologies d'enquête sur ces derniers.
  • Applications cryptographiques, graphiques et matérielles.
• Planification de la continuité des activités et de la reprise après sinistre
  • Stratégies, plans, tests et gestion de la reprise après sinistre.
  • Préservation et planification, pratiques, politiques et procédures de reprise des activités.
  • Stratégies, pratiques de planification et outils de retour à l'état antérieur et de secours.
  • Procédures d'analyse de la continuité des activités et cadres des exercices.
  • Activités des phases de réponse, de récupération, de restauration et de reprise applicables aux plans de continuité des activités.
  • Rôles et responsabilités des fonctions opérationnelles TI lors des exercices de continuité des activités.
  • Politiques et programmes de planification de la continuité des activités du gouvernement fédéral, y compris les normes du Conseil du Trésor.

1. Introduction

• Démontre qu'il connaît les exigences de sécurité.
• Démontre qu'il connaît les politiques de certification.
• Démontre qu'il connaît les normes et les exigences applicables à la protection de la vie privée.

2. Base

• Comprend les concepts de la sécurité des TI et leurs applications à l'architecture des systèmes informatiques.

3. Intrermédiaire

• Exécute des plans de test de la sécurité.
• Prend en charge des menaces à faible impact.
• Agit afin de protéger l'intégrité des données du système au niveau des opérations (par exemple un incident clé unique).
• Effectue des certifications de sécurité.
• Fournit des conseils sur la planification de la reprise après sinistre.
• Participe aux tests de la reprise après sinistre.
• Recommande des mesures de sécurité.
• Applique les normes.

4. Avancé

• Démontre une compréhension étendue ou possède un domaine d'expertise très détaillé dans des sous-domaines de la sécurité.
• Démontre une connaissance étendue des politiques de sécurité et de leur interprétation.
• Comprend une application ou un outil de sécurité spécifique et comment il fonctionne.
• Effectue des évaluations des risques.
• Évalue les mesures de sécurité.
• Prend en charge les menaces et les incidents sérieux.
• Prend en charge les intrusions à un niveau de menace élevé.

5. Expert

• Démontre une compréhension experte ou possède un domaine d'expertise très détaillé dans plusieurs domaines relevant de la sécurité.
• Démontre une connaissance experte des lois, des règlements et des politiques, et interprète les politiques et les normes.
• Est un expert dans plusieurs applications et outils de sécurité.
• Dirige des évaluations des risques et des mesures de sécurité.
• Réduit les menaces et les incidents de sécurité graves au niveau de l'entreprise.
• Participe à des consultations sur les problèmes touchant la sécurité et recommande des stratégies d'entreprise.
• Dirige l'élaboration des politiques et des normes de l'entreprise.
• Dirige les employés et les consultants et guide d'autres personnes.