La sécurité informationnelle au sein d’une organisation relève avant tout de sa direction. Bien sûr, le département informatique joue un rôle important dans la mise en place de mécanismes de sécurité et dans leur maintenance. Toutefois, la sécurité informationnelle est une considération stratégique que l’informatique ne saurait assumer seule pour les raisons suivantes :
- Votre équipe informatique ne peut identifier seule vos actifs informationnels, mesurer leur degré d’importance pour l’organisation et décider des mesures appropriées pour les protéger. Ces considérations sont stratégiques, en ce sens qu’elles touchent directement à la capacité d’opérer de votre organisation.
- La direction doit également s’impliquer dans l’élaboration et la mise en œuvre de politiques et de directives organisationnelles en matière de sécurité. La protection de vos actifs informationnels ne relève pas seulement d’outils informatiques, mais également de directives s’adressant à votre personnel, à vos fournisseurs, à vos clients, etc.
- Il existe un nombre grandissant de lois et de règlements qui fixent des exigences en matière de sécurité de l’information et qui engagent la responsabilité de la haute direction de votre organisation. Voici les plus courants :
- Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels, L.R.Q., 1982, c. A-2.1
- Loi sur l’administration publique, L.Q., 2000, c.8
- Loi concernant le cadre juridique des technologies de l’information, P.L.Q. 161, 2001, c.32
- Code civil du Québec, L.Q., 1991, c.64 (art. 35 à 41)
- Loi modifiant diverses dispositions législatives eu égard à la divulgation des renseignements confidentiels en vue d’assurer la protection des personnes, L.Q. 2001, chap.78
- Normes, approches et méthodologies :
- ISO 17799
- TCSEC
- ITSEC
- NIST
- SO
- MÉHARI
- COBIT
- CMM
- EBIOS
- Octave
- ITIL
- Etc.
Pour toutes ces considérations, les responsabilités en matière de sécurité de l’information doivent être clairement établies :
- la sécurité informationnelle au sens large doit relever de la direction de votre organisation;
- votre département informatique a quant à lui la responsabilité de mettre en place les outils technologiques nécessaires pour assurer la sécurité de l’information, dans le respect des orientations adoptées par la direction.
|
