Gestion des risques liés à la cybersécurité

Yahoo (2014) incident divulgué en 2016

Bureau de la gestion du personnel des États-Unis (2014 - 2015)

Réseau de traitement d’opérations bancaires mondial SWIFT (2016)

Cabinet d’avocats Mos- sack Fonseca (2016)

76 millions de ménages et 7 millions de petites entreprises touchés

56 millions de personnes touchées et 53 millions d’adresses de courriel volées

500 millions de personnes touchées

18 millions de personnes touchées, dont 5,6 millions d’empreintes digitales

Au moins 81 millions de dollars volés

2,6 To de données sensibles sur des politiciens, des criminels, des athlètes professionnels, etc .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises5

Les coûts ne se limitent pas aux dommages : la responsabilité des atteintes à la protection des données peut être imputée au conseil d’administration. Gregg Steinhafel, chef de la direction et président du conseil de Target, a démissionné tout juste après l’incident dont son entreprise a été victime2 . Un sort similaire a frappé Amy Pascal, qui a quitté ses fonctions de chef de Sony Pictures dans la foulée du piratage de Sony .

COÛTS GLOBAUX DU PIRATAGE DE TARGET EN 2013 Target a enregistré en 2013 et en 2014 des dépenses de 162 millions de dollars américains attribuables à l’atteinte à la protection des données, où des pirates se sont introduits dans le réseau de l’entreprise pour accéder aux renseignements sur les cartes de crédit et à d’autres données des clients, qui a touché 70 millions de clients3 . Target a déclaré que ce montant a été partiellement contrebalancé par des remboursements d’assurance de 46 millions pour 2014 et de 44 millions pour 2013 .

De plus, Target a accepté de régler pour 10 millions de dollars les actions collectives intentées par ses clients4 . Les demandeurs doivent faire la preuve des « dommages réels » (y compris, sans s’y limiter, les charges frauduleuses portées aux cartes de crédit), ce qui peut diminuer les coûts, mais cela ne change rien pour Target si les dommages ne sont pas réclamés en totalité . Au bout du compte, le coût du règlement sera probablement supérieur à 10 millions de dollars, car :

− les avocats des demandeurs ont exigé des dépens de 6,75 millions de dollars;

− Target a dû payer les frais de gestion du règlement;

− Target a aussi dû adopter des protocoles de cybersécurité et nommer un chef de la

sécurité de l’information.

Enfin, le règlement NE couvre PAS les poursuites intentées contre Target par les émetteurs de cartes de crédit qui ont dû rembourser les frais frauduleux imputés aux consommateurs touchés par le vol de leurs renseignements .

2

3

4

« Target CEO resigns after data breach fallout », CNet online, 5 mai 2014, en ligne à l’adresse http://www .cnet .com/ news/target-ceo-gregg-steinhafel-resigns-after-data-breach-fallout/ .

« Target Reports Fourth Quarter and Full-Year 2014 Earnings », Business Wire, 25 février 2015, en ligne à l’adresse http://www .businesswire .com/news/home/20150225005513/en/Target-Reports-Fourth-Quarter-Full-Year-2014- Earnings# .VQdSZo7F-Sp .

« Judge approves Target’s $10m hack lawsuit deal », Toronto Star, 19 mars 2015, en ligne à l’adresse http://www . thestar .com/business/2015/03/19/target-offers-10m-to-settle-hack-of-40-million-credit-cards .html .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises

6

PARTIE II: POURQUOI SE PRÉPARER AUX RISQUES

Meilleurs résultats

Les 72 premières heures sont critiques. Les atteintes à la protection des données ne font pas toutes les manchettes, mais une attaque grave peut bouleverser une organisation durant des mois . Les 72 heures suivant un incident sont particulièrement chaotiques, puisqu’une multitude de problèmes doivent être gérés au moyen d’informations encore incomplètes .

Un plan d’intervention conçu d’avance pour une équipe formée et aguerrie aide grandement à éviter le chaos, car il tient les intervenants clés informés et concentre leurs efforts sur les priorités identifiées . Plus important encore, ce plan aide à organiser les urgences et peut freiner les réactions éparpillées ou le besoin irrépressible de « faire quelque chose » . De plus, une intervention rigoureusement orchestrée réduit les coûts et empêche les fournisseurs externes de prendre trop de place, aider à préserver les preuves permettant d’établir que l’organisation a suivi les normes de diligence applicables et minimise le risque d’atteinte à la réputation .

Évolution des normes de diligence

Un plan conçu, documenté et exécuté avec soin est essentiel pour limiter les pertes de données et les perturbations dans l’organisation . Mais surtout, il contribue à minimiser la responsabilité envers les tiers et les organismes de réglementation, pourvu qu’il soit régulièrement mis à jour en fonction de l’évolution des risques et des mesures pour les contrer .

Une organisation pourra, si elle est poursuivie, voir son plan d’intervention (et sa mise en œuvre) évalué par un tribunal pour en déterminer le caractère raisonnable. Avec les nouveaux risques et les nouvelles menaces qui surgissent chaque semaine (et les mesures d’intervention et correctifs correspondants), un plan d’intervention ne saurait être un document statique . Le tribunal chargé d’évaluer le caractère raisonnable d’un plan d’intervention en cas d’incident tiendra compte non seulement des documents préparés par l’organisation, mais aussi du respect des politiques, de l’attribution des ressources techniques, financières et humaines appropriées, ainsi que du degré de participation de la haute direction à la création et à la gestion du plan .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises7

Le caractère raisonnable d’un plan peut être évalué à la lumière des directives réglementaires propres au secteur. Par exemple, le 27 septembre 2016, les Autorités canadiennes en valeurs mobilières (ACVM) ont publié l’Avis 11-332 du personnel des ACVM – Cybersécurité (l’« Avis 2016 ») et indiqué que selon elles, il n’est plus suffisant pour les entités réglementées de simplement mettre en œuvre un plan d’intervention réactif en cas d’atteinte à la sécurité . Il faut plutôt, selon les ACVM, un « cadre de cybersécurité » proactif afin de mieux gérer et de réduire les cyberrisques . Les ACVM définissent un cadre de cybersécurité comme « un ensemble de ressources organisationnelles, notamment des politiques, du personnel, des processus, des pratiques et des technologies servant à évaluer et à atténuer les cyberrisques et les cyberattaques » (se reporter à la rubrique « Divulgation du risque par les sociétés ouvertes » ci-après pour une analyse plus détaillée de l’Avis 2016) .

De la conformité à l’avantage concurrentiel

Alors que la protection des données était auparavant considérée comme un difficile effort de conformité qui ne rapportait rien, les entreprises avisées réalisent petit à petit qu’une protection améliorée des données et des mesures d’intervention robustes peuvent leur procurer un avantage concurrentiel. Dans une étude réalisée en 2015, 25 pour cent des répondants ont estimé que la haute direction de leur organisation assimile la sécurité à un avantage concurrentiel .5 Fait encore plus révélateur, 59 pour cent d’entre eux ont affirmé que les cadres supérieurs seront du même avis d’ici 2018.

5

Ponemon Institute Research Report, “2015 Global Megatrends in Cybersecurity”, février 2015 . Dans le cadre du sondage, 1 006 chefs de la technologie de l’information et de la sécurité des TI, au fait des stratégies de cybersécurité de leur organisation aux États-Unis, au Royaume-Uni/en Europe et au Moyen- Orient/en Afrique du Nord, ont été interrogés . En ligne à l’adresse http://www .raytheon .com/news/rtnwcm/ groups/gallery/documents/content/rtn_233811 .pdf .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises 8

PARTIE III: VOTRE PROGRAMME DE PRÉPARATION AUX CYBERRISQUES = CADRE + PLAN

Si une atteinte à la protection des données semble presque inévitable, elle peut ne pas être une catastrophe. Les organisations préparées à un tel incident dans le cadre de leur programme de gestion et de prévention des risques liés à la cybersécurité sont beaucoup plus susceptibles de connaître un dénouement favorable en cas d’incident (voire de l’éviter totalement) que celles qui adoptent une approche ponctuelle . Dans le contexte d’atteintes à la protection des données, un « dénouement favorable » se traduit par un processus de résolution d’incident qui attire peu l’attention des médias, réduit les coûts (notamment ceux associés à un possible litige), limite l’atteinte à la réputation, minimise l’intervention des actionnaires et implique un examen limité de la part des organismes de réglementation .

PRINCIPAUX ÉLÉMENTS

1. Gouvernance

2. Formation et politiques 3. Accès des tiers et ententes de

services TI

4. Sécurité des TI, logiciels

malveillants et surveillance

5. Assurance contre les cyberrisques

6. Plan d’intervention

Un programme de cybersécurité se compose d’un cadre de cybersécurité et d’un plan d’intervention . Un cadre de cybersécurité se veut proactif et consiste en un ensemble de ressources organisationnelles, notamment des politiques, du personnel, des processus, des pratiques et des technologies servant à évaluer et à atténuer les cyberrisques et les cyberattaques . Un plan d’intervention doit être réactif . Il s’agit d’une initiative prise à l’échelle de l’entreprise, qui établit un protocole pour toute l’organisation, attribue les responsabilités et définit des mesures de suivi des efforts organisationnels déployés pour résoudre les incidents . Il doit comprendre des éléments précis et couvre un vaste éventail de disciplines . Surtout, il doit être exhaustif et détaillé, et ne pas se résumer à de simples cases à cocher ou listes de choses à faire .

Certains éléments clés d’un programme de cybersécurité sont présentés ci-après .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises9

Gouvernance

La cybersécurité ne vise pas qu’à contrer les risques liés aux technologies de l’information. Elle tient également compte des risques à l’échelle de l’entreprise . C’est pourquoi elle devrait faire partie du mandat général de gestion des risques du conseil d’administration .

Le conseil d’administration doit se pencher sur la question de la cybersécurité. En juin 2014, Luis Aguilar, commissaire de la Securities and Exchange Commission (SEC), s’est adressé à la Bourse de New York pour parler des risques liés à la cybersécurité pour le conseil d’administration, précisant que les incidents ont gagné en fréquence et en complexité et qu’ils sont devenus plus coûteux pour les entreprises6 . Il a mis l’accent sur le rôle des conseils d’administration, soulignant leur responsabilité de s’assurer du caractère adéquat des mesures de cybersécurité de l’entreprise dans le cadre de leur rôle de surveillance des risques .

Les organismes de réglementation commencent à abandonner le principe de la conformité volontaire. Le 13 septembre 2016, le ministère des Services financiers (DFS) de l’État de New York a annoncé un nouveau projet de règlement sur la cybersécurité (le « Règlement ») applicable aux banques, aux compagnies d’assurance et aux autres institutions financières réglementées par le DFS . Le Règlement vise à protéger tant les systèmes d’information des entités réglementées que les renseignements non publics sur les clients qu’ils contiennent contre la menace croissante de cyberattaques et de cyberinfiltrations . Il exige, entre autres, quatre mesures de protection importantes : a) établir un programme de cybersécurité; b) établir une politique de cybersécurité; c) nommer un chef de la sécurité de l’information; et d) répondre aux exigences de signalement et de consignation des incidents .

Au Canada, l’approche a été jusqu’ici quelque peu différente. Si aucune juridiction canadienne n’a encore adopté un règlement semblable, les ACVM ont publié l’Avis 2016 après avoir constaté que de nombreux émetteurs ne communiquaient pas pleinement leur exposition aux cyberrisques . Les ACVM ont également indiqué qu’elles comptent revoir l’information fournie par certains des plus grands émetteurs . (Pour en savoir plus à ce sujet, se reporter à la rubrique « Divulgation du risque par les sociétés ouvertes » ci-après .)

6

« Boards of Directors, Corporate Governance and Cyber-Risks: Sharpening the Focus », U .S . Securities Exchange Commission, en ligne à l’adresse <http://www .sec .gov/News/Speech/Detail/ Speech/1370542057946> .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises10

Les tribunaux ont également commencé à prendre en compte le rôle des administrateurs dans la gestion des risques liés à la cybersécurité. Le 20 octobre 2014, un tribunal du New Jersey a rejeté une action oblique intentée par des actionnaires de Wyndham Worldwide Corp . (WWC), qui réclamaient des dommages-intérêts, notamment des administrateurs et des dirigeants, au motif de plusieurs atteintes à la protection des données7 . Cette décision a été la première rendue aux États-Unis dans le cadre d’une telle procédure . Des poursuites similaires ont été intentées dans le district du Minnesota contre les 13 administrateurs et dirigeants de Target . Les demandeurs ont soulevé des allégations de violation de l’obligation fiduciaire et de gaspillage des actifs de la société, entre autres choses . Les actionnaires ont critiqué non seulement la conduite des administrateurs et des dirigeants avant la fuite des données, alléguant que l’incident s’est produit par leur faute, mais aussi leur réaction après la découverte de la fuite, blâmant les administrateurs et dirigeants d’avoir mal agi dans leur manière de communiquer l’incident, de mener l’enquête et de remédier à l’atteinte . Ces plaintes ont également été rejetées8 .

Le jugement contient des exemples de méthodes de surveillance des cyberrisques que les administrateurs et les dirigeants peuvent adopter pour les prémunir de toute responsabilité à l’égard des atteintes à la protection des données .

À la lumière de la décision rendue dans l’affaire Wyndham, nous présentons ici des exemples de mesures que les dirigeants et administrateurs peuvent appliquer pour cerner et évaluer les risques liés à la cybersécurité de leur organisation .

ACTIONS DES DIRIGEANTS ET ADMINISTRATEURS*

I

S E U Q T I L O P

Rédiger des politiques de cybersécurité et adopter des procédures et des contrôles internes, notamment sur le moment et la méthode de divulgation; Mettre en œuvre des méthodes de détection des incidents liés à la cybersécurité .

I

S N O T A N M O N

I

Nommer un chef de l’information ou un chef de la sécurité de l’information expérimenté pour rencontrer régulièrement et conseiller le conseil d’administration Songer aussi à nommer au conseil un expert des questions de cybersécurité (ou commander une présentation d’expert sur le sujet) et à créer un comité des risques d’entreprise

7

Palkon ex rel. Wyndham Worldwide Corp. v. Holmes, No . 2:14-cv-01234 (D .N .J ., 20 octobre 2014) [« Wyndham »] .

8 Mary Davis et al. v. Gregg W. Steinhafel et al., No . 0:14-cv-00203 (D . Minn ., 18 juillet 2014) .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises11

T E S N E M A X E

S T R O P P A R

Examiner les budgets annuels des programmes de protection de la vie privée et de sécurité des TI. Recevoir régulièrement des rapports sur les atteintes à la protection des données et les cyberrisques Comprendre clairement qui, au sein de la direction, est le premier responsable de la surveillance des risques liés à la cybersécurité et de l’application de pratiques adéquates et efficaces de gestion

I

N O T A T N E R O

I

Déterminer les risques à gérer et à atténuer directement, et ceux qui peuvent être transférés grâce à une assurance.

* Tirées de l’affaire Wyndham, de la présentation du commissaire de la SEC Luis A . Aguilar datée du 10 juin 2014 et du document intitulé «

Framework for Improving Critical Infrastructure Cybersecurity » du National Institute of Standards and Technology, accesible en ligne à l’adresse <http://www .nist .gov/cyberframework/upload/cybersecurity-framework-021214-final .pdf>

Formation et politiques

Les politiques et procédures de l’organisation constituent les éléments clés d’un programme de gestion des risques liés à la cybersécurité. Si leur contenu peut varier, les politiques présentent toutefois des éléments communs . Par exemple, quel que soit leur objet précis, sont-elles rédigées en langage clair et compréhensible par les employés de tous les niveaux? Peut-on les consulter facilement (sont-elles affichées sur un intranet, par exemple)? Les employés reçoivent-ils une formation en bonne et due forme?

Le programme de chaque organisation comportera des particularités variables selon la juridiction, le secteur d’activité et la tolérance au risque de l’organisation .

Voici des exemples de particularités que pourraient inclure la formation et les politiques :

SÉCURITÉ DES TI

L’organisation offre-t-elle à l’équipe de sécurité de l’information des outils et de la formation pour l’orienter? Une politique à cet effet peut inclure les éléments suivants :

Contrôle des accès et gestion des mots de passe

Connexions réseau et gestion du pare-feu

Gestion des virus et des maliciels, y compris l’installation des mises à jour et des correctifs, et mécanismes de contrôle des changements

Chiffrement, notamment en transit

Sécurité des réseaux, y compris du réseau sans fil

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises

12

Préparation à l’intervention et à la résolution des incidents touchant les données, incluant un mécanisme de signalement des incidents

Accès à distance aux réseaux de l’organisation

Élimination des actifs informatiques, des dispositifs et des données (y compris une politique en matière de conservation des données)

Poursuite des activités et reprise après sinistre

UTILISATION ACCEPTABLE DES ACTIFS INFORMATIQUES

L’organisation possède-t-elle des politiques en langage clair sur l’utilisation acceptable par les employés des systèmes et actifs d’information, du courriel et des autres services de communications, d’Internet, des appareils, etc .?

La politique de l’organisation explique-t-elle l’utilisation acceptable des médias sociaux à des fins professionnelles et/ou l’échange autorisé de messages concernant l’organisation sur les médias sociaux?

L’organisation possède-t-elle une politique sur l’utilisation d’équipement personnel de communication (« BYOD ») à des fins professionnelles?

L’organisation possède-t-elle une politique sur le travail à domicile/télétravail et l’utilisation d’appareils mobiles et/ou de supports de stockage de données portables (clés USB, disques durs portables, etc .)?

SENSIBILISATION ET FORMATION DU PERSONNEL

L’organisation publie-t-elle des politiques officielles sur la formation régulière du personnel, et tient- elle un registre des employés qui ont suivi et réussi cette formation?

La formation a-t-elle lieu à l’accueil des nouveaux employés, au moment des changements de poste, et/ou sur une base régulière, et/ou en cas de révision importante d’une politique? Est-elle documentée, et/ou les employés doivent-ils attester qu’ils l’ont suivie et réussie? Les employés qui quittent l’organisation reçoivent-ils un rappel de leurs obligations en matière de retour des actifs informationnels?

CONTRÔLE PRÉALABLE DES FOURNISSEURS

L’organisation possède-t-elle une politique établissant les critères normaux et suffisants de contrôle préalable de tous les fournisseurs qui auront accès à ses systèmes informatiques?

(Pour les fournisseurs de biens ou de services informatiques, le contrôle préalable qui déterminera la négociation et l’application des modalités relatives à la cybersécurité de leur contrat est important, et il est traité plus en détail ci-après, dans l’encadré intitulé « Exemples de contrôles préalables du fournisseur ».)

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises13

En cas d’atteinte à la protection des don- nées, l’organisme de réglementation et, s’il y a poursuite, l’avocat du demandeur demand- eront probablement à obtenir les politiques de l’organisation. Il serait donc judicieux que l’avocat- conseil examine toutes les politiques avant leur rédaction définitive .

Accès des tiers et ententes de services TI

Les privilèges d’utilisateur constituent les contrôles d’accès les plus simples. Il s’agit de droits accordés à un utilisateur pour lui permettre d’accéder aux systèmes et aux données de l’entreprise . Le principe le plus répandu est celui du « moindre privilège », par lequel l’utilisateur ne reçoit que le niveau d’accès nécessaire pour s’acquitter de ses fonctions .

Ce principe s’applique non seulement aux employés, mais aussi aux fournisseurs et aux autres tiers. Souvent, les relations de ce type sont régies par des contrats, qui peuvent aussi devenir des éléments clés de la préparation aux risques liés à la cybersécurité en établissant les dispositions relatives à la prévention, à l’atténuation et à la résolution des risques .

EXEMPLES DE FACTEURS D’ÉVALUATION DU PROFIL DE RISQUE EN MATIÈRE DE CYBERSÉCURITÉ D’UNE ORGANISATION

L’organisation évolue-t-elle dans un secteur où un cadre réglementaire dicte les mesures de cyberprotection? Par exemple, dans le secteur des services financiers au Canada, l’entente devra respecter les règlements existants et émergents promulgués par le BSIF, l’OCRCVM et les ACVM .

L’organisation fait-elle affaire dans plusieurs juridictions? Où les données sont-elles recueillies, traitées et stockées?

S’agit-il d’une société fermée, ou d’une société ouverte comportant de nombreux actionnaires et assujettie à un contrôle des échanges?

Des renseignements personnels ou données médicales personnelles seront- ils traités? Le cas échéant, il faudra tenir compte des lois sur la protection de la vie privée .

La solution TI servira-t-elle au commerce de type B2B ou B2C?

La solution TI prévoit-elle l’intervention de tiers comme des fournisseurs de services d’hébergement ou de paiement?

L’organisation conserve-t-elle ses données sur place, dans un centre de données local ou dans le nuage?

On rencontre deux scénarios contractuels habituels : celui de la prestation directe de services TI ou celui de la fourniture d’un produit ou service qui exigera que le fournisseur accède aux systèmes informatiques (par exemple, un fournisseur de services d’éclairage doit accéder aux systèmes de contrôle environnemental des locaux de l’organisation) . Un contrôle préalable raisonnable est nécessaire dans les deux cas, mais plus approfondi dans le premier .

Pour un contrat de services TI, le point de départ est la détermination des risques liés à la cybersécurité (voir ci-contre).

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises14

De plus, un contrôle préalable adéquat du fournisseur est essentiel pour conclure le meilleur contrat possible . La structure et les éléments de la solution proposée, ainsi que les capacités, les certifications, les pratiques de gestion des risques et les ressources financières du fournisseur, sont tous des éléments à explorer (voir ci-contre) .

Un fois le profil de risque en matière de cybersécurité de l’organisation établi, et un contrôle préalable rigoureux du fournisseur effectué, l’équipe des services juridiques est en mesure d’adapter l’entente de services TI proposée en fonction des dispositions applicables sur la prévention, l’atténuation et la résolution des atteintes à la protection des données .

EXEMPLES DE CONTRÔLES PRÉALABLES DU FOURNISSEUR

Quel est le cadre de sécurité du fournisseur? Quelles politiques et procédures sont en place pour en assurer l’intégrité?

Le fournisseur autorisera-t-il les essais de pénétration et l’exploration d’autres vulnérabilités?

Les installations du fournisseur sont-elles vérifiées en fonction de contrôles internes reconnus? Le fournisseur procède-t-il à des audits internes, et est-il prêt à en communiquer les résultats au client?

Où se trouvent les centres de service du fournisseur? Où les données sont-elles traitées et stockées?

À quelle assurance contre les cyberrisques le fournisseur souscrit-il, et a-t-il présenté des demandes d’indemnité au cours des cinq dernières années?

Certaines des plus importantes dispositions de l’entente concernent la répartition des risques. L’influence réciproque des déclarations, des garanties, des indemnisations et des responsabilités est en général fortement contestée dans le domaine de la cybersécurité, car la jurisprudence évolue sans cesse . Une organisation aura intérêt à consulter des avocats externes expérimentés dans ce domaine pour déterminer comment il convient d’aborder ces questions et pour explorer les diverses avenues possibles .

Le fournisseur respecte-t-il les normes de sécurité reconnues dans l’industrie (y compris, s’il y a lieu, celles qui concernent l’informatique en nuage)?

Sécurité des TI, logiciels malveillants et surveillance

Les défenses TI de l’organisation constituent un aspect vital de la gestion des risques – sont-elles adéquates, à jour et adaptées aux menaces connues? Il est important que l’organisation s’abonne à un service d’évaluation des menaces exhaustif et légitime (les bulletins sur la cybersécurité et les documents sur les meilleures pratiques du Centre canadien de réponse aux incidents cybernétiques (CCRIC), par exemple)9 . Il existe aussi des groupes d’industrie et sectoriels voués au partage de l’information . À titre d’exemple, le Comité sur les paiements et les infrastructures de marché de la Banque des règlements internationaux a publié

9

Ressources du Centre canadien de réponse aux incidents cybernétiques, en ligne à l’adresse <http://www . publicsafety .gc .ca/cnt/ntnl-scrt/cbr-scrt/ccirc-ccric-eng .aspx> .

Gestion des risques liés à la cybersécuritéGuide pratique pour les entreprises15

RENSEIGNEMENTS PERSONNELS

Ce qui est couvert

Les lois canadiennes sur la protection de la vie privée ne s’appliquent qu’aux renseignements personnels, définis au sens large comme des renseignements sur un particulier identifiable .

On considère qu’un renseignement porte « sur » un « particulier identifiable » s’il est très possible qu’une personne puisse être identifiée au moyen de ce renseignement, seul ou combiné à d’autres renseignements . Soulignons que le terme « renseignement personnel » se prête à une interprétation large et qu’il s’applique notamment aux adresses IP, aux enregistrements vocaux et aux coordonnées .

Veuillez noter qu’aux termes de la loi, un renseignement est considéré comme personnel même s’il est de nature publique.

Ce qui n’est pas couvert

Aux termes de la LPRPDE, le nom et le titre d’un employé d’une organisation ainsi que les adresse et numéro de téléphone de son lieu de travail ne constituent pas un renseignement personnel . Fait à noter, dans la loi fédérale, cette exception ne touche pas l’adresse courriel d’entreprise, qui est considérée comme un renseignement personnel . De plus, cette exception ne figure pas dans la loi de certaines provinces (la Loi sur la protection des renseignements personnels du Québec, par exemple) .

De plus, la LPRPDE ne s’applique qu’aux organisations qui recueillent, utilisent et communiquent des renseignements personnels « dans le cadre d’activités commerciales ».

La LPRPDE ne s’applique pas aux employés du secteur privé, qui peuvent toutefois être régis par d’autres lois provinciales sur la protection de la vie privée .

un rapport sur les pratiques de cybersécurité actuelles des institutions financières10 .

La Banque du Canada a adopté la norme conseillée par le Comité en matière de gestion des risques pour les institutions financières désignées, soulignant que les « projets de coopération qui facilitent la mise en commun de l’information renforcent la cybersécurité en créant un espace de discussion propice à l’échange de pratiques exemplaires et de renseignements sur les menaces, ainsi qu’à l’établissement de réseaux de confiance intersectoriels11 » .

Une organisation doit donc installer des logiciels standards de protection contre les virus et les maliciels, et en assurer la mise à jour régulière et documentée, protéger ses réseaux, y compris les réseaux sans fil, con