Des contrats de confidentialité visant à assurer les besoins de confidentialité de l’Organisme sont passés avec les employés, les clients et les tiers.
Les conditions et contrôles de sécurité sont exprimés avec des spécifications et des contrats en analysant les besoins de sécurité pouvant survenir en cas d’utilisation de sources externes.
L’inventaire des actifs informationnels et le traitement des données personnelles sont créés en fonction des besoins de gestion de la sécurité et de la confidentialité des informations.
Les données institutionnelles sont classées et les besoins de sécurité et les règles d’utilisation de chaque classe de données sont déterminés.
Les contrôles de sécurité et de confidentialité des informations à appliquer lors des processus de recrutement, de changement de fonction et de résiliation sont déterminés.
Les contrôles de sécurité physique sont déterminés parallèlement aux besoins des actifs stockés dans des zones sécurisées.
Les rôles et responsabilités en matière de sécurité et de confidentialité des informations sont déterminés selon le principe de séparation des tâches.
Les principes de sécurité et de confidentialité des informations sont pris en compte dans tous les projets, quel que soit son type.
Une communication avec les autorités et les groupes d’intérêts spéciaux est régulièrement assurée pour garantir la sécurité et la confidentialité des informations.
Les actifs institutionnels ne sont utilisés qu’aux fins déterminées par le propriétaire des actifs et conformément aux lois et aux contrats.
Dans les relations avec les fournisseurs, des tests et des évaluations sont effectués dans le cadre des procédures de sécurité des informations, de confidentialité et de continuité des activités et sont maintenus sous contrôle.
Des mesures de protection techniques et physiques sont créées pour les principes de travail à distance en tenant compte des risques d’entreprise.
Les contrôles et politiques nécessaires sont élaborés contre les menaces physiques auxquelles les actifs informationnels de l’organisme peuvent être exposés à l’intérieur et à l’extérieur de l’organisme.
Des procédures et des instructions concernant la gestion des capacités, les relations avec les tiers, la sauvegarde, l’acceptation du système et d’autres processus de sécurité sont élaborées.
Des procédures administratives et techniques et des instructions concernant les processus de sécurité des données personnelles sont élaborées et gérées.
Les configurations de génération d’enregistrements d’audit pour les périphériques de réseau, les systèmes d’exploitation, les serveurs et les applications sont effectuées en parallèle avec les besoins de sécurité des systèmes concernés. La protection des enregistrements d’audit contre les accès non autorisés est assurée.
Les droits d’accès sont attribués selon les besoins. La technologie et les techniques les plus fiables possibles sont utilisées pour le contrôle d’accès.
Les exigences de sécurité sont déterminées lors de l’approvisionnement et du développement du système, et le respect des exigences de sécurité lors de l’acceptation ou des tests du système est vérifié.
L’infrastructure nécessaire est créée pour signaler les incidents et les faiblesses liés à la sécurité des informations et à la confidentialité. Des enregistrements d’incidents de violation sont conservés, les activités correctives et améliorantes nécessaires sont mises en œuvre et les renseignements tirés des incidents de sécurité sont dispensés par le biais de formations de sensibilisation.
Des plans de continuité sont préparés, tenus à jour et mis en œuvre pour les infrastructures critiques.
Les règles d’utilisation acceptables des actifs sont déterminées par des politiques et des procédures préparées dans le cadre de l’EYS.
Des mesures de protection techniques et physiques sont créées pour la sécurité des appareils et environnements mobiles en tenant compte des risques d’entreprise.
La maintenance des appareils utilisés dans les processus métier de l’organisation est effectuée selon les conditions recommandées par les fabricants d’appareils.
Compte tenu de l’importance des informations d’identité confidentielles des utilisateurs, l’utilisation de mots de passe qualifiés et la transmission cryptée des entrées d’informations d’identité sont prévues pour protéger les informations confidentielles.
Les réseaux sont séparés en fonction de leurs structures de travail et les autorisations d’accès sont structurées selon le principe autant que nécessaire.
En plus du contrôle des vulnérabilités techniques, de la gestion des correctifs et de l’utilisation de produits de détection de logiciels malveillants pour se protéger contre les logiciels malveillants, la sensibilité des utilisateurs est considérée comme un élément qui garantit l’intégrité du système de protection.
Ne pas conserver les données personnelles plus longtemps que la finalité du traitement.
Prendre toutes les mesures administratives et techniques nécessaires pour empêcher la saisie des données personnelles.
Fournir des exigences contractuelles ou légales concernant la suppression des données personnelles.
Tenir compte de la législation et/ou des réglementations en vigueur en matière de protection des données personnelles lors de l’élaboration et de la maintenance des politiques de sécurité et de confidentialité des informations.
Réaliser des formations qui développeront des compétences techniques et comportementales afin d’accroître la sensibilisation à la sécurité et à la confidentialité des informations.
Les enregistrements de trace sont stockés et régulièrement révisés comme l’exigent les lois et les mesures de sécurité.
