Exemple de politique sur la cybersécurité

Cet exemple de politique sur la cybersécurité a été fourni par IslamicFamily.ca.

 Introduction

Pour maintenir notre intégrité, ainsi que les relations et les liens de confiance que nous avons établis avec la communauté, nous devons traiter les données en notre possession comme une responsabilité sacrée, prévoir la continuité des services et réduire les répercussions d’une éventuelle cyberattaque. Ce document vise à faciliter l’identification de gestes concrets susceptibles d’accroître la sécurité de votre organisation en faisant le point sur vos actifs et les risques existants, de même que les mesures préventives et réactives à la portée de votre organisation.

Adapter ce document à vos besoins…

Le présent document est protégé par une licence Attribution – Utilisation non commerciale – Partage dans les mêmes conditions. Nous vous invitons à en produire des copies et à l’adapter à vos besoins. Dans ce cas, veuillez inclure la référence et nous faire parvenir vos commentaires.

1. Faites l’inventaire de vos actifs numériques (voir le tableau ci-dessous). Vos actifs numériques englobent les équipements, mots de passe, abonnements, informations sauvegardées (p. ex. coordonnées de clients/supporteurs.trices), médias sociaux, etc.
2. Pour chaque actif, déterminez :
   1. Les mesures préventives déjà mises en place
   2. Les mesures à prendre
   3. Les mesures réactives à prendre si les actifs sont compromis (p. ex. un des cadres perd tous ses mots de passe; l’ordinateur d’un.e employé.e est affecté par un programme malveillant)
   4. La ou les personnes responsables : de quelle(s) formation(s) ont-elles besoin, et qu’en est-il de l’équipe?

Principes

Notre approche en matière de cybersécurité s’appuie sur les principes suivants :

1) La technologie offre des possibilités : nous voulons aider nos équipes à utiliser les technologies avec plaisir, optimisme et curiosité. La technologie offre l’occasion de communiquer autrement, d’améliorer les flux de travail et de nous réjouir.

2) Plus que les activités, c’est le résultat qui compte : la sécurité n’est pas une question de travail acharné, mais de mesures proactives mesurables qui produisent des résultats perceptibles. Par exemple, nous devons faire plus que sensibiliser nos employé.e.s, nous devons connaître le pourcentage d’appareils dont le système d’exploitation est à jour.

3) Préparer et prévenir

1. Confiance zéro : en matière d’actifs numériques, il ne faut pas miser sur la confiance. Nous présumons que les gens vont égarer leur ordinateur, seront la cible de piratage, etc.
2. Chaque année, le conseil d’administration ou l’équipe de direction entreprend un examen des risques, y compris une vérification interne des systèmes/actifs et la planification de scénarios.
3. Réduire au minimum le nombre de portes à ouvrir avec un seul compte et le nombre de personnes ayant accès aux comptes d’administration. Une clé par porte.
4. Surveiller les systèmes pour détecter toute activité inhabituelle.
   

4) Informer et corriger : nous communiquons nos compromis et échecs aux personnes affectées, y compris nos client.e.s, notre équipe et nos partenaires, à mesure que nous en prenons connaissance. Nous faisons notre possible pour corriger les dommages subis en offrant du soutien (surtout aux personnes marginalisées), en faisant le lien avec diverses ressources, en révisant nos politiques et procédures, et en offrant nos excuses.

5) La paranoïa nuit à la prévention, soyons honnêtes

D’abord, les politiques rébarbatives nuisent à la sécurité. Nous voulons que nos équipes se sentent en sécurité et soutenues, plutôt qu’observées et restreintes par nos politiques. Ensuite, nous devons faire preuve d’honnêteté et de transparence. Les outils de cybersécurité facilitent la surveillance et peuvent nuire à la culture et à l’efficacité de notre organisation. Nous préconisons une approche de « sécurité honnête ».

1. Tout programme de sécurité doit représenter les valeurs de notre organisation.
2. Une relation positive entre les utilisateurs.trices finaux.ales et l’équipe responsable de la sécurité est essentielle.
3. La confiance est à la base de cette relation et se manifeste par un consentement éclairé et la transparence.
4. Nos capacités de détection doivent présumer que les utilisateurs.trices finaux.ales utiliseront l’équipement de l’organisme à des fins personnelles.
5. Avec les bons renseignements et des explications honnêtes, les utilisateurs.trices finaux.ales sont en mesure de prendre des décisions rationnelles et éclairées concernant les risques pour la sécurité.

Formation du personnel

Tous les membres du personnel doivent suivre une formation d’intégration (qu’ils devront reprendre tous les deux ans par la suite). L’information concernant les formations suivies est sauvegardée dans WebHR. La formation couvre les sujets suivants :

1) Créer des mots de passe sûrs à l’aide d’un gestionnaire de mots de passe (p. ex. Keychain d’Apple, 1Password).

2) Utiliser l’Internet et les médias sociaux de manière sécuritaire, y compris des méthodes proactives et positives pour interagir sur les médias sociaux (voir : Créer un plan de communication personnelle).

3) Utiliser de manière sécuritaire des logiciels et des applications sur les dispositifs de travail.

4) Savoir détecter les liens suspicieux et les courriels d’hameçonnage.

Les membres du personnel responsable du traitement des données clients doivent suivre des formations supplémentaires sur :

5) L’obtention du consentement. Étudier les principes de propriété, de contrôle, d’accès et de possession, appliqués par les Premières Nations (PCAP), le RGPD et la LPRPDE.

6) Le stockage de données sur les appareils et dans le nuage.

Les membres du personnel responsable du développement et de la gestion des produits numériques et des médias sociaux doivent suivre les modules de formation suivante :

7) Simply Secure e-learning, offerts par la Toronto Metropolitan University.

Actifs et mesures à prendre