Section 9 : Réagir aux incidents et évaluer les besoins en matière de notification
Dans cette section, vous apprendrez à :
Réagir aux incidents et évaluer les besoins en matière de notification
Même avec des mesures de sécurité efficaces, des erreurs, des pannes techniques et des cyberattaques peuvent survenir. Préparer un plan d'intervention permet à votre association de réagir rapidement, de protéger les personnes et de poursuivre ses activités essentielles.
Un plan d'intervention en cas d'incident précise qui prend les rênes, qui contacter et quelles sont les premières mesures à prendre. Cela peut commencer par un court document contenant une liste de contacts et définissant clairement les responsabilités. Vous n'avez pas besoin d'examiner chaque problème vous-mêmes, mais vous devez savoir comment obtenir de l'aide.
Savoir ce qui doit être signalé
Un incident est un événement qui affecte, ou pourrait affecter, la sécurité de vos informations, de vos comptes, de vos appareils ou de vos services. En voici quelques exemples :
Toutes les pannes ne sont pas nécessairement des cyberattaques, et tous les incidents ne concernent pas forcément des données à caractère personnel. Signalez sans tarder tout problème afin que la personne compétente puisse l'évaluer. Le personnel et les bénévoles ne devraient pas avoir à prouver qu'un préjudice a été subi avant de demander de l'aide.
Préparez-vous avant d'en avoir besoin
Convenez des dispositions suivantes :
|
Responsabilité
|
Ce qu'il faut établir
|
|---|---|
|
Coordonner la réponse |
Un responsable et un suppléant capables d'organiser les actions et de faire adopter des décisions |
|
Fournir une assistance technique |
Coordonnées des prestataires de confiance, horaires d'assistance et modalités d'aide d'urgence |
|
Évaluer les exigences en matière de confidentialité et de notification |
Une personne désignée à qui l'on peut s'adresser pour obtenir des conseils en matière de protection de la vie privée ou des conseils juridiques |
|
Approuver les décisions et les communications |
Qui autorise les dépenses, les modifications apportées aux services et les communications destinées aux personnes concernées ? |
|
Assurer le maintien des services essentiels |
Ce qui doit se poursuivre et comment le personnel peut travailler en toute sécurité en cas de perturbation |
Conservez une copie sécurisée du plan et des coordonnées à portée de main au cas où vous ne pourriez pas accéder à votre messagerie habituelle ou à votre espace de stockage partagé. Veillez à inclure les établissements financiers, les principaux prestataires et tous les assureurs auxquels votre organisation fait appel.
Vérifiez quelles sont les exigences en matière de protection de la vie privée et les obligations contractuelles de notification qui s'appliquent avant qu'un incident ne se produise.
Première intervention : signaler, limiter les dommages et consigner les faits
La marche à suivre dépend de ce qui s'est passé. Un e-mail envoyé par erreur nécessite une réaction différente de celle requise par un ordinateur portable potentiellement infecté.
Contactez le responsable des interventions ou son suppléant. Si la messagerie électronique risque d'être compromise, utilisez un autre canal de communication éprouvé.
Cessez d'envoyer des informations, d'approuver des demandes ou d'interagir avec la personne concernée.
En collaboration avec le responsable de l'intervention ou le prestataire, limitez le partage des données exposées, sécurisez les comptes concernés ou isolez l'appareil affecté.
Notez les horaires, les comptes ou fichiers concernés, les mesures prises et les questions en suspens.
Si un appareil semble infecté, déconnectez-le des réseaux si vous pouvez le faire en toute sécurité, puis contactez votre prestataire d'assistance de confiance. Évitez de l'effacer, de le réinstaller ou de le redémarrer pour tenter de résoudre le problème de manière improvisée ; ces actions risquent de faire disparaître des preuves. Les recommandations du Centre canadien de cybersécurité insistent sur la nécessité de préserver les preuves lors de l'intervention sur un système compromis.
Si une somme d'argent a été transférée de manière frauduleuse, contactez immédiatement l'établissement financier par un canal fiable. N'attendez pas la fin de l'examen approfondi.
Un script de première intervention
À utiliser lorsque vous recevez un rapport d'incident :
“ Merci de nous avoir signalé ce problème. Veuillez mettre fin à l'activité en question et conserver le message ou les informations concernées. Expliquez-moi ce qui s'est passé, quand vous l'avez remarqué, quel compte, appareil ou quelle information était concerné(e), et ce que vous avez déjà fait. Il n'est pas nécessaire de savoir s'il s'agissait bel et bien d'une attaque. Nous coordonnerons les prochaines étapes. ”
Demandez des informations factuelles sans porter de jugement. Un signalement rapide peut contribuer à limiter les dégâts ; la crainte de l'embarras peut, en revanche, retarder ce signalement.
Ne demandez pas à quelqu'un de vous envoyer des mots de passe, des codes d'accès ou des copies superflues de documents confidentiels dans le cadre de ce rapport.
Conserver les informations sans les diffuser
Conservez en toute sécurité les messages pertinents, les captures d'écran, les notifications des fournisseurs et les historiques des actions effectuées. Le service d'assistance technique pourrait avoir besoin des messages originaux ou des historiques système pour déterminer ce qui s'est passé.
Limitez l'accès aux registres d'incidents. Dans la mesure du possible, décrivez les informations concernées plutôt que de copier l'intégralité des dossiers des clients dans un registre d'incidents. Fiche :
- Quand les faits se sont produits, si l'on en a connaissance, et quand ils ont été découverts.
- Quelles informations, quels comptes, quels appareils ou quels services pourraient être concernés ?.
- Qui a pu recevoir ou consulter ces informations ?.
- Les mesures de confinement et les personnes qui les ont mises en œuvre.
- Conseils reçus, décisions prises et suivi nécessaire.
Faites la distinction entre les faits avérés et les hypothèses. Mettez à jour le dossier dès que de nouvelles informations sont disponibles.
Déterminez s'il s'agit de données à caractère personnel
Une atteinte à la vie privée peut se traduire par la perte de données personnelles, un accès non autorisé ou une divulgation accidentelle. Elle ne nécessite pas nécessairement l'intervention d'un pirate informatique.
Par exemple, l'envoi par e-mail d'une liste de participants à la mauvaise personne peut nécessiter une évaluation de la protection de la vie privée, même si tous vos comptes restent sécurisés.
Le tri des notifications consiste à identifier les demandes et les contacts qui nécessitent une attention particulière. Il s'agit d'une première évaluation, qui ne remplace pas les conseils nécessaires pour prendre une décision difficile.
|
Question
|
Ce qu'il faut établir
|
|---|---|
|
De quelles informations s'agissait-il ? |
Types d'informations, niveau de sensibilité et personnes concernées |
|
Qu'est-ce qui lui est arrivé ? |
Qu'il ait été perdu, consulté, copié, divulgué ou rendu accessible au public |
|
Quels en seraient les inconvénients ? |
Risques liés à la sécurité, aux finances, à l'identité, à la réputation, aux relations ou à l'accès aux services |
|
Quel est le risque d'utilisation abusive ? |
Qui l'a reçu ou a pu y accéder, s'il était protégé et quelles sont les preuves disponibles |
|
Quelles sont les conditions à remplir ? |
Législation applicable en matière de protection de la vie privée, contrats, exigences des bailleurs de fonds et conditions d'assurance |
|
Qui doit prendre des mesures ou être informé ? |
Les personnes concernées, les autorités de régulation, les partenaires, les prestataires ou toute autre personne susceptible de contribuer à la réduction des risques |
Ne partez pas du principe qu’un faible nombre de personnes concernées signifie un risque faible. La divulgation des informations d’une seule personne pourrait avoir de graves conséquences.
Comprendre le contexte de la notification au Canada
Comme indiqué à la section 6, le statut d'organisme à but non lucratif ne détermine pas automatiquement quelle législation en matière de protection de la vie privée s'applique. La LPRPDE peut s'appliquer aux activités commerciales, tandis que des exigences provinciales ou spécifiques à un secteur peuvent également s'appliquer.
Champ d'application de la LPRPDE, toute violation concernant des renseignements personnels détenus par l’organisation doit être signalée au Commissariat à la protection de la vie privée du Canada, et les personnes concernées doivent en être informées, lorsqu’elle entraîne un risque réel de préjudice grave. L'évaluation tient compte du caractère sensible des informations et du risque d'utilisation abusive.
Les déclarations et notifications obligatoires doivent être effectuées dès que possible après avoir constaté qu’une telle violation s’est produite. Les registres de toutes les violations concernées doivent être conservés pendant au moins deux ans, y compris celles qui n’atteignent pas le seuil de notification.
D'autres exigences peuvent être soumises à des seuils ou à des délais différents. Demandez rapidement conseil si vous avez des doutes quant à leur applicabilité ou aux obligations de notification. N'attendez pas la fin d'une enquête approfondie pour vérifier les obligations soumises à des délais.
Le Commissaire à la protection de la vie privée Ressources relatives aux directives en matière de violations de données et à l'évaluation des risques peut étayer cette évaluation.
Communiquer clairement et en toute sécurité
Lorsque vous informez les personnes concernées, expliquez-leur ce que l'on sait, quelles sont les informations en jeu, quelles mesures votre organisation prend et ce qu'elles peuvent faire pour se protéger. Indiquez-leur un interlocuteur de confiance à qui adresser leurs questions.
Respectez les exigences applicables en matière de contenu et de diffusion. Évitez de faire des affirmations non étayées, telles que “ personne n’a accédé à ces informations ”, lorsque cela n’a pas été établi.
Choisissez un moyen de communication qui n'entraîne pas de nouvelle exposition au risque. Par exemple, un e-mail collectif ne doit pas révéler l'identité des clients concernés, et l'envoi d'un message à une personne en situation de vulnérabilité nécessite de réfléchir soigneusement à un moyen de contact sûr.
Coordonner les mises à jour afin que le personnel fournisse des informations cohérentes et précises.
Rétablir la situation en toute sécurité et tirer les leçons de cet événement
Avant de restaurer des fichiers ou de reprendre votre travail habituel, assurez-vous auprès du technicien compétent que le problème a bien été résolu et que l'accès est sûr.
Déterminez ce qui doit être rétabli en priorité, en vous appuyant sur les priorités et les dispositions de sauvegarde décrites dans les sections précédentes. Consignez les dispositions opérationnelles provisoires et réexaminez-les lorsque les services reprendront leur cours normal.
Demandez ensuite :
- Qu'est-ce qui nous a aidés à réagir ?
- Qu'est-ce qui nous a ralentis ?
- Quelle mesure de protection, quelle consigne ou quel accord doit être amélioré ?
- Qui se chargera de réaliser ces travaux d'amélioration, et dans quel délai ?
Concentrez-vous sur les changements qui permettent de réduire le risque ou les conséquences d'une récidive.
Une proposition de règle de politique générale
Tout incident, réel ou potentiel, doit être signalé sans délai à la personne de contact désignée ou à son remplaçant. Le responsable des interventions coordonne les mesures de confinement, la conservation des preuves, la remise en état et l'évaluation des obligations de notification. Les décisions et les mesures prises doivent être consignées, les communications requises doivent être effectuées sans délai et les améliorations à apporter doivent être définies.
Avant d'adopter cette règle, veuillez indiquer les interlocuteurs, les décideurs et les sources de conseils techniques et en matière de protection de la vie privée.
Entraînez-vous à réagir en cas d'urgence
Discutez de ce scénario : Un bénévole signale qu'un fichier Excel contenant des informations sur des clients a été envoyé par erreur à un destinataire externe.
Ne partez pas du principe que le fait de demander la suppression résout l'incident. Consignez la réponse et évaluez les circonstances.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Un responsable des interventions, un remplaçant et des interlocuteurs de confiance pour l'assistance.
- Un processus de signalement initial clair.
- Un moyen de consigner les incidents et d'évaluer les besoins en matière de notification.
- Un plan visant à assurer un rétablissement et un suivi en toute sécurité.
Vous allez ensuite mettre en pratique l'ensemble de ces mesures de protection afin d'apprendre à préserver votre association contre les escroqueries et les fraudes, même lorsqu'une demande semble familière et crédible.
Section 10 : Protégez votre association contre les escroqueries et les fraudes
Cette section s'appuie sur les mesures de sécurité que vous avez apprises pour vous aider à protéger les informations, les comptes et les fonds de votre association contre les cybercriminels qui recourent à la tromperie pour inciter les gens à commettre des actes dangereux.
English 
French 
Chinese 
Spanish 
Ukrainian 