Podcast
Questions and Answers
Qu'est-ce qui définit une vulnérabilité dans un système?
Qu'est-ce qui définit une vulnérabilité dans un système?
Quel type de mesure de sécurité concerne la protection physique des éléments?
Quel type de mesure de sécurité concerne la protection physique des éléments?
Quelle formule est utilisée pour évaluer les risques?
Quelle formule est utilisée pour évaluer les risques?
Quel est un exemple de mesure technique de sécurité?
Quel est un exemple de mesure technique de sécurité?
Signup and view all the answers
Qui est responsable de la mise en œuvre des mesures administratives en matière de sécurité?
Qui est responsable de la mise en œuvre des mesures administratives en matière de sécurité?
Signup and view all the answers
Quelle mesure administrative aide à vérifier l'historique des employés?
Quelle mesure administrative aide à vérifier l'historique des employés?
Signup and view all the answers
Quel aspect des mesures de sécurité concerne l'utilisation de SSL et de mots de passe?
Quel aspect des mesures de sécurité concerne l'utilisation de SSL et de mots de passe?
Signup and view all the answers
Quelles sont les mesures de sécurité recommandées pour protéger les renseignements personnels?
Quelles sont les mesures de sécurité recommandées pour protéger les renseignements personnels?
Signup and view all the answers
Quel est le critère de protection des renseignements personnels selon LPRPDÉ?
Quel est le critère de protection des renseignements personnels selon LPRPDÉ?
Signup and view all the answers
Quels types de mesures sont mentionnées pour la protection des renseignements personnels?
Quels types de mesures sont mentionnées pour la protection des renseignements personnels?
Signup and view all the answers
Lors de la collecte de renseignements personnels, quel professionnel doit être consulté?
Lors de la collecte de renseignements personnels, quel professionnel doit être consulté?
Signup and view all the answers
Quelle forme doit prendre la communication des renseignements personnels informatisés à la personne concernée?
Quelle forme doit prendre la communication des renseignements personnels informatisés à la personne concernée?
Signup and view all the answers
Les renseignements plus sensibles doivent être protégés de quelle manière?
Les renseignements plus sensibles doivent être protégés de quelle manière?
Signup and view all the answers
Quelles peuvent être les conséquences de ne pas évaluer les risques avant un projet?
Quelles peuvent être les conséquences de ne pas évaluer les risques avant un projet?
Signup and view all the answers
Quel type d'accès devrait être mis en place pour protéger les renseignements personnels?
Quel type d'accès devrait être mis en place pour protéger les renseignements personnels?
Signup and view all the answers
Quel niveau d'infrastructure de site exige des chemins de distribution multiples indépendants ?
Quel niveau d'infrastructure de site exige des chemins de distribution multiples indépendants ?
Signup and view all the answers
Pour le niveau 4, quel type de matériel de refroidissement est requis ?
Pour le niveau 4, quel type de matériel de refroidissement est requis ?
Signup and view all the answers
Quel est l'objectif principal de la responsabilité mentionnée dans l'article 1457 du CcQ ?
Quel est l'objectif principal de la responsabilité mentionnée dans l'article 1457 du CcQ ?
Signup and view all the answers
Quelle caractéristique définit une infrastructure de site au niveau 3 ?
Quelle caractéristique définit une infrastructure de site au niveau 3 ?
Signup and view all the answers
Quel est le devoir principal défini dans l'article 1458 du CcQ ?
Quel est le devoir principal défini dans l'article 1458 du CcQ ?
Signup and view all the answers
Quel est l'objectif d'une infrastructure de site de niveau 4 ?
Quel est l'objectif d'une infrastructure de site de niveau 4 ?
Signup and view all the answers
Quelle est la principale caractéristique d'une infrastructure de site au niveau 1 ?
Quelle est la principale caractéristique d'une infrastructure de site au niveau 1 ?
Signup and view all the answers
Quel est le rôle principal de la signature numérique d'un notaire ?
Quel est le rôle principal de la signature numérique d'un notaire ?
Signup and view all the answers
Que doit éviter un pharmacien selon l'article 56 du Code de déontologie ?
Que doit éviter un pharmacien selon l'article 56 du Code de déontologie ?
Signup and view all the answers
Quelle conséquence pourrait résulter du fait qu'un notaire permette à son adjointe d'utiliser sa signature numérique ?
Quelle conséquence pourrait résulter du fait qu'un notaire permette à son adjointe d'utiliser sa signature numérique ?
Signup and view all the answers
Quel est le danger principal lié à la divulgation d'un code de signature numérique par un pharmacien ?
Quel est le danger principal lié à la divulgation d'un code de signature numérique par un pharmacien ?
Signup and view all the answers
Comment les responsabilités sont-elles partagées lors de fraudes en ligne selon les conventions de compte ?
Comment les responsabilités sont-elles partagées lors de fraudes en ligne selon les conventions de compte ?
Signup and view all the answers
Selon Marc Lemieux, quelle est la situation légale au Canada concernant la protection des victimes de fraudes en ligne ?
Selon Marc Lemieux, quelle est la situation légale au Canada concernant la protection des victimes de fraudes en ligne ?
Signup and view all the answers
Quelle affirmation est vraie concernant la réglementation des transactions bancaires électroniques au Royaume-Uni ?
Quelle affirmation est vraie concernant la réglementation des transactions bancaires électroniques au Royaume-Uni ?
Signup and view all the answers
Quelles infractions sont associées à l'utilisation non autorisée de la signature numérique d'un notaire ?
Quelles infractions sont associées à l'utilisation non autorisée de la signature numérique d'un notaire ?
Signup and view all the answers
Quelle affirmation concernant les mesures raisonnables est correcte ?
Quelle affirmation concernant les mesures raisonnables est correcte ?
Signup and view all the answers
Qu’est-ce qu’un cybersystème essentiel selon le projet de loi C-26 ?
Qu’est-ce qu’un cybersystème essentiel selon le projet de loi C-26 ?
Signup and view all the answers
Quelle est l'une des composantes de la gestion de la sécurité et de la continuité ?
Quelle est l'une des composantes de la gestion de la sécurité et de la continuité ?
Signup and view all the answers
Comment les codes de conduite professionnels influencent-ils la perception des mesures raisonnables ?
Comment les codes de conduite professionnels influencent-ils la perception des mesures raisonnables ?
Signup and view all the answers
Quelles sont les implications d'une atteinte à la sécurité des renseignements personnels ?
Quelles sont les implications d'une atteinte à la sécurité des renseignements personnels ?
Signup and view all the answers
Quel est un des aspects importants de la gouvernance en matière de sécurité ?
Quel est un des aspects importants de la gouvernance en matière de sécurité ?
Signup and view all the answers
Quelle composante ne fait pas partie de la politique de sécurité selon le modèle de sécurité mentionné ?
Quelle composante ne fait pas partie de la politique de sécurité selon le modèle de sécurité mentionné ?
Signup and view all the answers
Quel rôle joue la réglementation dans la gestion des incidents de sécurité ?
Quel rôle joue la réglementation dans la gestion des incidents de sécurité ?
Signup and view all the answers
Quels éléments doivent être pris en compte lors de la gestion des renseignements?
Quels éléments doivent être pris en compte lors de la gestion des renseignements?
Signup and view all the answers
Quel article de la LPRPDÉ stipule la nécessité de notification en cas de brèche?
Quel article de la LPRPDÉ stipule la nécessité de notification en cas de brèche?
Signup and view all the answers
Quels peuvent être les destinataires de la notification en cas de brèche selon la LPRPDÉ?
Quels peuvent être les destinataires de la notification en cas de brèche selon la LPRPDÉ?
Signup and view all the answers
Quel type de données est généralement considéré comme confidentiel?
Quel type de données est généralement considéré comme confidentiel?
Signup and view all the answers
Quelle est la sanction maximale pour une infraction à la LPRPDÉ?
Quelle est la sanction maximale pour une infraction à la LPRPDÉ?
Signup and view all the answers
Qu'implique la non-détection d'un incident de sécurité?
Qu'implique la non-détection d'un incident de sécurité?
Signup and view all the answers
Quels sont les critères pour qu'une information soit considérée comme confidentielle?
Quels sont les critères pour qu'une information soit considérée comme confidentielle?
Signup and view all the answers
Quelles sont les mesures imposées par la LPRPSP lors d'une brèche?
Quelles sont les mesures imposées par la LPRPSP lors d'une brèche?
Signup and view all the answers
Study Notes
Présentation Droit + Sécurité de l'information
- Date de la séance : 10 octobre 2024
- Sujet : Internet et la responsabilité civile
- Numéro du cours : #CY240
- Présentateur : François Senécal
- Adresse courriel : [email protected]
- Site internet : POLYMTL.CA
Ordre du jour
- Introduction
- Sécurité de l'information
- Sources législatives
- Gouvernance et politique de sécurité
Introduction...
- La présentation aborde le sujet de la sécurité de l'information.
- Contrôle de l'information :
- Preuve
- Souveraineté sur les données
- Propriété intellectuelle
- Information personnelle confidentielle
Pourquoi protéger l’information ?
- Conformité légale
- Information comme témoignage des activités de l'organisation
- Base décisionnelle
- Valeur de preuve
- Information comme actif de l'organisation
- De plus en plus générateur de valeur
- Ne plus être seulement un sous-produit d'une activité économique principale
Actions du FTC contre Marriott et Starwood
- Marriott a accepté de payer une amende de 52 millions de dollars aux États-Unis et au District de Columbia pour des problèmes de sécurité de données.
- Le FTC a poursuivi Marriott et Starwood pour avoir trompé les consommateurs en leur faisant croire qu'ils avaient des pratiques de sécurité informatique raisonnables et appropriées.
- Le FTC a allégué que les entreprises n'avaient pas mis en place de mesures de sécurité appropriées pour protéger les renseignements personnels, notamment en ce qui a trait au contrôle des mots de passe, aux contrôles d'accès, aux logiciels pare-feu, à la mise à jour du logiciel et des systèmes, à la surveillance, et à l'authentification multifacteurs.
Quoi protéger – Caractères de l'information
- Disponibilité
- Intégrité
- Confidentialité
- Valeur de l'information
Qu'est-ce que la sécurité de l'information ?
- Protection des ressources d'une organisation contre des risques définis.
- Ensemble de mesures pour s'assurer de la confidentialité, de l'intégrité et de la disponibilité de l'information traitée.
Gestion des risques
- Activités pour identifier, définir et mettre en place des mesures préventives pour supprimer ou atténuer les conséquences d'un risque.
- Stratégies : atténuer, accepter, déplacer, assurer le risque.
Quelques exemples de risques
- Dommages physiques (incendie, inondation, vandalisme)
- Interactions humaines (actions/inactions accidentelles ou intentionnelles)
- Défaillances techniques (échecs de systèmes informatiques, périphériques)
- Attaques internes/externes (hameçonnage, pirates)
- Abus des données (vol, fraude, espionnage)
- Perte de données (destruction intentionnelle/non intentionnelle)
- Erreurs logicielles
- Interférences étatiques
Définition du rôle du responsable de la sécurité de l'information
- Connaissances métier et compétences relationnelles
- Rôle indépendant dans la gestion des risques ou de la conformité.
- Communication et implication dans la prise de conscience, la communication et l'investissement en matière de sécurité de l'information.
Risque – Autre définition
- Probabilité qu'une menace exploite une vulnérabilité avant qu'une contre-mesure soit mise en place.
Menaces
- Humaines (pirates, employés)
- Naturelles (tremblements de terre, inondations)
- Techniques (erreurs logicielles)
- Physiques (panne de courant)
Vulnérabilités
- Faiblesse d'un système pour faire face aux menaces informatiques.
- Catégories : techniques, physiques, opérationnelles, liées à la gestion du personnel.
Contre-mesures
- Mesures pour réduire les risques.
- Réduire l'importance des menaces ou la vulnérabilité à ces menaces.
- Calcul : Probabilité x Gravité (impact).
Types de mesures de sécurité
- Techniques
- SSL
- Certificats
- Pare-feu
- Logiciels antivirus
- Cryptographie
- NIP
- Mots de passe
- Authentification à deux facteurs
- Physiques
- Agents de sécurité
- Clôtures
- CCTV
- Gicleurs d'incendie
- Aménagement paysager
- Administratives
- Ententes de confidentialité
- Contrôles
- Audits
- Sensibilisation
- Procédures d'authentification
- Formation
- Vérifications d'antécédents
Sécurité physique et centres de données
- Exemples de niveaux d'infrastructures de sécurité physique.
Gouvernance et politiques de sécurité
- Structure et principes de gouvernance.
- Processus et responsabilités liés à la sécurité, le contrôle et la conformité.
- Ex: politiques de sécurité KPN.
Sources législatives de l'obligation de sécurité
- Droit civil
- Protection des droits
- Obligations de confidentialité
- Souveraineté sur les données
- Limites aux moyens de protection raisonnables
Régime de base
- Code civil du Québec (article 1457 et 1458)
- Respect des règles de conduite
- Responsabilité des dommages causés
- Respect des engagements contractés
Définition : sécurité de l'information
- 26 LCCJTI: Obligation du prestataire de services d'assurer la sécurité, l'intégrité et la confidentialité des documents et de limiter l'accès aux personnes non habilitées.
Définition : sécurité de l'information (suite)
- 25 LCCJTI : Obligations de prendre les mesures de sécurité nécessaires pour assurer la confidentialité des documents technologiques.
- Ex. : Mots de passe en clair.
PKI et sécurité de la clé privée
- Importance de la signature numérique des notaires
- Exigences pour la sécurité de la clé privée et pour la protection du public, dans les cas de violation de la sécurité ou de divulgation par des tiers.
Où réside la responsabilité?
- Absence de loi canadienne spécifique pour la protection des victimes de fraude en ligne.
- Rôle des conventions de compte pour partager les responsabilités entre les clients et les institutions financières.
- Exemples du Royaume-Uni.
- Critiques de l'approche du Royaume-Uni.
Protection des RP (droits de confidentialité)
- Détail sur les types d'informations protégées dans les droits de confidentialité.
Environnement législatif en évolution
- Projets de lois (64 et C-27)
Loi sur la protection des renseignements personnels
- Obligations des entreprises d'avoir des mesures de sécurité appropriées pour les renseignements personnels collectés, utilisés, communiqués, conservés ou détruits compte tenu principalement de :
- La sensibilité des renseignements
- La finalité de leur utilisation
- Leur quantité
- Leur répartition, leur support
Loi sur la protection des renseignements personnels et les documents électroniques (annexes)
- Renseignements personnels doivent être protégés au moyen de mesures de sécurité adéquates en fonction de leur degré de sensibilité par les entreprises.
LPRPDÉ (PIPEDA en anglais)
- Définition des mesures de sécurité appropriées pour les renseignements personnels : perte, vol, consultation, communication, copie et modification non autorisée.
- Dépend du degré de sensibilité.
- Méthodes de protection : matérielles, administratives et techniques
Contrôles d'accès physiques
- Règlements d'urbanisme (limites aux clôtures)
- Code du bâtiment (présence de parcours sans obstacles, verrouillage électromagnétique)
- Limites légales à l'utilisation des caméras de surveillance.
Contrôles biométriques
- 43 et 44 LCCJTI: Limitation de l'utilisation des contrôles biométriques sans consentement.
- 45 LCCJTI: Obligations de divulgation préalables à la mise en place d'un système des données biométriques.
Contrôles biométriques (suite)
- Loi pour la protection de la santé des personnes et la sécurité publique.
- Justification pour l'obligation d'explication à la mise en oeuvre des dispositifs biométriques.
Code criminel
- Contraintes légales imposées par le droit pénal.
- Exemples: Lois sur les armes à feu et sur les dispositifs émettant des radiations.
Confidentialité et responsabilité : raisonnabilité
- Détail de l'application des lois et limites sur la protection.
Code civil du Québec
- Article 1457 : obligation de respecter les règles de conduite et de ne pas causer de préjudice à autrui.
- Responsabilité des dommages causés par une faute.
Intensité de l'obligation
- Mesures de sécurité doivent correspondre au degré de sensibilité des renseignements.
- Méthodes de protection : matériel, administratif et technique.
- Obligation des moyens renforcés
Mesures raisonnables
- Méthodes de protection : matérielles, administratives, techniques (ex: verrouillage des classeurs, mots de passe).
- Respect des pratiques des pairs comme preuves de diligence et de raisonnabilité.
- Exemple de jurisprudence (Roberge c. Bolduc).
Mesures raisonnables et standards de l'industrie
- Mention des standards d'industrie (CISSP, ISO, IETF, AICPA, SOC 2).
Évolution du cadre juridique
- Projet de loi C-26 sur la protection des cybersystèmes essentiels.
- Définition des services critiques et des cybersystèmes critiques.
- Programme de cybersécurité
- Liste de critères et de priorités pour la sécurité.
Gouvernance et politiques de sécurité
- Politiques de sécurité d'une organisation.
- Processus de sécurité, de gestion des risques et des responsabilités.
- Politiques de sécurité d’une organisation.
- Définition des rôles.
Autres points importants
-
Définition du renseignement confidentiel
- Par nature (renseignements personnels, secrets industriels, etc.)
- Selon l'interlocuteur (relation entre les personnes)
- Selon le contexte de communication (conférence à l'amiable, discussions avec un médiateur)
- Selon le contexte de conservation (fichiers médicaux, dossiers de tribunal)
-
Description des critères pour définir un renseignement comme confidentiel.
-
Localisation des données (data residency) en contexte légal.
-
Lois particulières : blocking statutes (lois empêchant la circulation transfrontière de certains documents)
Questions et Discussions
- Questions posées et points importants pour la discussion.
Studying That Suits You
Use AI to generate personalized quizzes and flashcards to suit your learning preferences.
