Outils pratiques en gouvernance de la sécurité de l’information présentée lors de la journée thématique par le groupe d'intérêt en gestion de projets publics au Québec (GP-Québec) le 15 juin 2011

Cette conférence présente les principaux outils utilisés dans ce domaine d’affaires

Le domaine d’affaires en sécurité de l’information comprend les activités suivantes :

1. Administrer la sécurité de l’information
2. Gérer les risques
3. Surveiller les actifs
4. Gérer les identités et les accès
5. Prendre en charge les incidents de sécurité
6. Intégrer la sécurité aux opérations
7. Assurer la continuité des services
8. Assurer les obligations légales
9. Effectuer la reddition globale des bilans et des rapports

Outils pratiques en gouvernance de la sécurité de l’information présente le contenu suivant :

• Architecture d’entreprise gouvernementale
• Modèle de gestion de la sécurité de l’information gouvernementale
• Architecture d’entreprise de la CARRA
• Domaine d’affaires en sécurité de l’information
• Plan triennal en sécurité de l’information 2011-2013
• Bilan 2008-2010
• Vision triennale
• Plan triennal, plan d’action annuel
• Contrat de service professionnel triennal
• Les documents d’encadrement
• Politique de sécurité
• Politique administrative (2)
• Cadre de gestion
• Recueil de règles
• Catégorisation des processus d’affaires
• Gestion des identités et des accès, RUS et RPA
• Processus de déclaration des incidents
• Processus de demande de dérogation
• Utilisation de la catégorisation pour construire le tableau de bord SI

Outils pratiques en gouvernance de la sécurité de l’information décrit un premier document d’encadrement en sécurité de l’information. C’est normalement une politique de sécurité.  Ce document peut comprendre les préoccupations suivantes :

• Protéger l’information durant tout son cycle de vie
• Protéger les renseignements confidentiels
• Protéger l’intégrité, les preuves et la valeur juridique
• Gérer la disponibilité
• Assurer la conversation des documents
• Gérer la cohérence
• Évaluer et prendre en compte les risques en sécurité de l’information
• Assurer la continuité des services
• Responsabiliser les intervenants
• Sensibiliser et former
• Exercer l’habilitation professionnelle
• Signaler les incidents
• Respecter la propriété intellectuelle
• Exercer un droit de regard et d’intervention