L’ITSM.10.097 est le 7e guide de la série canadienne des 10 mesures de sécurité des TI, pas une norme internationale. Pour un service de garde : inventorier les renseignements détenus, classer par sensibilité, limiter les accès et détruire de façon sécuritaire.
L’ITSM.10.097 est une publication de conseils du Centre canadien pour la cybersécurité intitulée « Les 10 mesures de sécurité des TI : No 7, Protéger l’information au niveau de l’organisme ». Contrairement à ce qu’une ancienne version de cet article affirmait, ce n’est pas une norme internationale : c’est le septième guide d’une série canadienne de dix mesures de sécurité recommandées aux organisations. Son sujet : savoir quelle information vous détenez, ce qu’elle vaut, et comment la protéger tout au long de sa vie.
Une publication canadienne, pas une norme internationale
Le Centre canadien pour la cybersécurité, qui relève du Centre de la sécurité des télécommunications, publie une série de guides regroupés sous le titre « Les 10 mesures de sécurité des TI ». Chaque numéro approfondit une mesure : la septième porte sur la protection de l’information au niveau de l’organisme, et c’est elle que détaille l’ITSM.10.097. La série « gestionnaires » (ITSM) s’adresse aux responsables d’organisation; une fiche plus courte de sensibilisation (ITSAP.10.097) existe aussi sur le même thème.
La nuance a son importance : il ne s’agit pas d’une certification à obtenir ni d’une obligation réglementaire, mais de conseils pratiques, gratuits et en français, offerts par l’autorité canadienne en la matière. Autant en profiter.
Protéger l’information « au niveau de l’organisme », ça veut dire quoi?
L’idée de fond est simple : votre information est à la fois essentielle à la continuité de vos activités et une cible de choix pour les attaquants. La publication recommande donc de la gérer comme un actif :
- Inventorier : savoir quelles informations l’organisation détient et où elles se trouvent;
- Évaluer : déterminer la valeur et la sensibilité de chaque catégorie d’information, parce qu’on ne protège pas une liste d’épicerie comme un dossier médical;
- Encadrer le cycle de vie : protéger l’information de sa création à sa destruction, en passant par son stockage, son partage et son archivage;
- Contrôler les accès : s’assurer que chaque personne n’accède qu’à ce dont elle a besoin pour son travail.
Ce que ça change pour votre service de garde
S’il y a un guide de la série qui parle directement à un service de garde, c’est bien celui-là. Vos classeurs et vos ordinateurs contiennent des renseignements parmi les plus sensibles qui soient : dossiers d’enfants, informations médicales et allergies, coordonnées et situations familiales, ententes de services, données financières. Voici la version petite enfance des recommandations.
- Faites l’inventaire de vos renseignements. Où sont les dossiers des enfants? Sur quel ordinateur, quelle plateforme, quelle tablette, quel classeur? Qui y a accès?
- Classez par sensibilité. Une photo de bricolage et un rapport d’incident n’exigent pas le même niveau de protection. Concentrez vos efforts sur ce qui est vraiment sensible.
- Limitez les accès. L’éducatrice d’un groupe a-t-elle besoin de voir les dossiers de tous les groupes? Le compte partagé « bureau » est-il encore justifiable? Chaque personne devrait avoir son propre compte, avec le minimum d’accès nécessaire.
- Pensez à la fin de vie des documents. Déchiquetez le papier, videz les vieux ordinateurs avant de les donner et détruisez les dossiers selon vos obligations de conservation.
Ces gestes rejoignent d’ailleurs vos obligations sous la Loi 25, qui encadre la protection des renseignements personnels au Québec. Le guide fédéral et la loi québécoise tirent dans la même direction : traiter l’information des familles avec le soin qu’elle mérite.
Sources
Foire aux questions
Qu’est-ce que l’ITSM.10.097?
Une publication de conseils du Centre canadien pour la cybersécurité : le septième guide de la série « Les 10 mesures de sécurité des TI », consacré à la protection de l’information au niveau de l’organisme. Ce n’est pas une norme internationale ni une certification.
Que recommande ce guide concrètement?
Inventorier l’information détenue, évaluer sa valeur et sa sensibilité, l’encadrer tout au long de son cycle de vie, de la création à la destruction, et contrôler les accès pour que chaque personne ne voie que ce dont elle a besoin.
Comment l’appliquer dans un service de garde?
Recenser où se trouvent les dossiers d’enfants, classer les documents par sensibilité, donner un compte individuel à chaque membre du personnel avec le minimum d’accès nécessaire, et détruire les documents selon les obligations de conservation. Ces gestes rejoignent la Loi 25.
À lire aussi
La double authentification en trois questions: une sécurité supplémentaire pour les enfants
18 février 2023 · 2 min de lecture
Déconnexion estivale : tout débrancher pour mieux se reconnecter
18 février 2023 · 2 min de lecture