Section 8 : Poser les bonnes questions aux fournisseurs
Dans cette section, vous apprendrez à :
Poser les bonnes questions aux fournisseurs
Votre association peut faire appel à d'autres organisations pour la messagerie électronique, le stockage dans le cloud, la collecte de fonds, la comptabilité, l'hébergement de sites web ou l'assistance technique. Ces services peuvent offrir des fonctionnalités que votre équipe ne pourrait pas gérer seule.
Ils font également partie intégrante de votre dispositif de sécurité. Choisir un prestataire implique de bien comprendre ce qu’il protège, ce que votre organisation doit faire et comment vous pourrez obtenir de l’aide en cas de besoin.
Il n'est pas nécessaire de réaliser un audit technique. Commencez par poser des questions précises sur les informations, les accès et les services concernés.
Sachez quels prestataires sont les plus importants
Un fournisseur ou prestataire de services peut être une société de logiciels, un consultant, un sous-traitant ou une organisation gérant un service pour votre compte. N'oubliez pas d'inclure dans votre analyse les services gratuits et ceux fournis à titre gracieux.
Utilisez votre inventaire pour privilégier les prestataires qui :
Le niveau de contrôle doit tenir compte de l'impact potentiel. Un outil servant à créer des visuels pour des événements publics ne doit pas être évalué de la même manière qu'une plateforme hébergeant des dossiers confidentiels de clients.
Comprendre le principe de la responsabilité partagée
Un prestataire peut assurer la protection de son infrastructure, tandis que votre association à but non lucratif reste responsable de la gestion des autorisations, de la récupération des comptes et des modalités de partage des informations.
Par exemple, un service cloud peut proposer l'authentification multifactorielle (MFA) et le partage restreint, mais votre organisation devra peut-être activer ces fonctionnalités et déterminer qui y aura accès. Demandez : “ Que gérez-vous, que devons-nous gérer, et où cela est-il consigné ? ”
En matière d'assistance technique, précisez si le contrat inclut les mises à jour de sécurité, les contrôles d'accès, les vérifications des sauvegardes et l'assistance en cas d'incident. La mention générale “ assistance informatique ” ne garantit pas que toutes les tâches liées à la sécurité soient couvertes.
Utilisez une liste de contrôle pratique pour les fournisseurs
Demandez des réponses rédigées dans un langage simple et, dans la mesure du possible, une confirmation dans la documentation relative au service ou dans le contrat.
|
Question à poser
|
Pourquoi est-ce important ?
|
Ce qu'il convient de préciser
|
|---|---|---|
|
Quelles informations allez-vous recevoir ou consulter ? |
Cela vous aide à déterminer si le service est adapté au type d'informations concernées. |
Y compris les fichiers téléchargés, les comptes associés et l'accès par le personnel d'assistance. |
|
Comment pouvons-nous sécuriser les connexions et contrôler les accès ? |
Votre équipe a besoin de mesures de sécurité efficaces pour les comptes. |
MFA, comptes individuels, droits d'administrateur et suppression des droits d'accès |
|
Comment nos informations seront-elles utilisées ? |
La fourniture de ce service n'est peut-être pas sa seule utilité. |
Publicité, analyse de données, entraînement de modèles d'IA et toute option de désactivation ou restriction pertinente |
|
Où les données sont-elles stockées, et quelles autres entreprises participent à leur traitement ? |
D'autres lieux et prestataires peuvent avoir une incidence sur la protection de vos données personnelles et sur vos obligations contractuelles. |
Les options disponibles et la manière dont les modifications sont communiquées ; le simple fait de recourir à un stockage au Canada ne garantit ni la sécurité ni la conformité. |
|
Quelles données peuvent être récupérées après une suppression, un dommage ou un problème lié au compte ? |
Les fonctionnalités de récupération varient considérablement. |
Couverture de sauvegarde, limites de restauration, tests de restauration, durée nécessaire et frais supplémentaires |
|
Comment nous signalerez-vous un incident affectant nos données ou notre service ? |
Il se peut que votre organisation doive agir rapidement. |
Modes de contact, engagements en matière de notification et informations que vous recevrez |
|
À quelle aide peut-on avoir recours en cas d'incident ? |
L'assistance courante peut ne pas inclure les enquêtes sur les incidents ni les opérations de rétablissement. |
Horaires d'assistance, contacts d'urgence, responsabilités et coûts |
|
Pouvons-nous exporter nos données dans un format exploitable ? |
Vous devrez peut-être changer d'employeur ou continuer à travailler ailleurs. |
Ce que comprend une exportation et si elle conserve les informations nécessaires à votre travail |
|
Que se passe-t-il lorsque le service prend fin ? |
La fermeture d'un compte peut ne pas entraîner la suppression immédiate de toutes les informations enregistrées. |
Suppression des accès, effacement, sauvegardes conservées et confirmation de la destruction |
|
Quelles sont les garanties qui entraînent un supplément ? |
Les fonctionnalités essentielles peuvent varier selon la formule choisie. |
Gestion de MFA, contrôles d'accès, sauvegardes, assistance et tarifs pour les associations à but non lucratif |
Veillez à ce que les informations que vous fournissez soient proportionnées
Un fournisseur peut vous poser des questions sur vos systèmes afin d'élaborer une proposition ou de vous fournir une assistance. Communiquez-lui les informations nécessaires par le biais d'un canal approprié.
Lors d'un premier entretien, vous pouvez généralement exposer vos besoins sans avoir à transmettre de dossiers clients, de mots de passe ou de liste exhaustive des mesures de sécurité internes.
Avant d'accorder l'accès technique :
- Vérifiez l'identité de la personne et la nature du travail en passant par votre canal de communication habituel.
- Définir ce à quoi ils peuvent accéder et ce qu'ils peuvent modifier.
- Utilisez l'accès individuel et restreint lorsque cette fonctionnalité est prise en charge.
- Définissez une date de fin ou un point de bilan.
- Retirez l'accès une fois les travaux terminés.
Évitez d'accorder un accès illimité simplement parce que c'est pratique.
Comprendre les arguments relatifs à la sécurité
Vous pourriez tomber sur des expressions telles que “ sécurité de niveau bancaire ”, “ entièrement sécurisé ” ou “ conforme aux normes de confidentialité ”. Renseignez-vous sur ce que ces affirmations signifient concrètement pour le service que vous comptez utiliser.
Les certifications et les évaluations indépendantes peuvent constituer des éléments probants utiles, mais vérifiez bien :
- Quel service ou quelle partie de l'organisation a fait l'objet d'une évaluation ?.
- Si les éléments de preuve sont récents.
- Ce qu'il couvre réellement.
- Quelles sont les responsabilités qui incombent toujours à votre association à but non lucratif ?.
Une certification ne garantit pas qu'un incident ne puisse pas se produire. Le chiffrement est utile, mais il ne répond pas à toutes les questions concernant l'accès, l'utilisation, la restauration ou la suppression des données.
L'objectif est de faire correspondre les garanties proposées par le prestataire à vos besoins réels.
Utilisez les outils dont vous disposez déjà
Passez en revue les services dont vous disposez déjà avant d'en acheter de nouveaux. Il se peut que vous disposiez déjà de protections utiles qui ne sont pas activées ou de fonctionnalités que votre équipe n'a pas encore explorées.
Les formules gratuites ou à prix réduit proposées par les associations à but non lucratif peuvent s'avérer très utiles. Vérifiez leurs limites et ce qui se passe en cas de modification des conditions d'éligibilité, des tarifs ou des modalités.
Examinez également les services mis en place de manière informelle par le personnel ou les bénévoles. Un outil utile peut finir par devenir une dépendance organisationnelle, même si personne n'a approuvé son utilisation ni consigné qui gère le compte.
Utilisez une liste de contrôle pratique pour les fournisseurs
Demandez des réponses rédigées dans un langage simple et, dans la mesure du possible, une confirmation dans la documentation relative au service ou dans le contrat.
|
Conclusion
|
Une réponse concrète
|
|---|---|
|
Une mesure de sécurité utile existe, mais elle n'est pas activée. |
Demandez à quelqu'un de l'activer et de vérifier qu'il fonctionne. |
|
Cette fonctionnalité n'est disponible que dans le cadre d'une autre formule. |
Déterminez si les avantages justifient le coût ou si une autre solution permet de répondre au besoin. |
|
La récupération est limitée. |
Déterminez si des sauvegardes supplémentaires ou un autre service sont nécessaires. |
|
Le prestataire n'est pas en mesure d'expliquer comment les informations sensibles sont traitées. |
Demandez des précisions et évitez de transmettre ces informations tant que la question n'est pas résolue. |
|
Le service ne répond pas à une exigence importante. |
Envisagez de faire appel à un autre prestataire ou d'adopter une autre méthode pour réaliser ce travail. |
Consignez la décision prise, les lacunes qui subsistent et le nom de la personne chargée d'assurer le suivi. La direction doit approuver les risques importants non résolus plutôt que de laisser un seul membre du personnel prendre cette décision à lui seul.
Prévoir les changements et les cessations de service
Veillez à ce que les informations relatives à l'organisme responsable, aux contacts de facturation et aux modalités de récupération soient toujours à jour. Les services essentiels ne doivent pas dépendre uniquement du compte personnel d'une personne qui quitte l'entreprise.
Avant de mettre fin à un service :
- Exportez et vérifiez les informations dont vous avez besoin.
- Transférer les tâches et les droits d'accès nécessaires.
- Supprimez les intégrations et les accès aux fournisseurs qui ne sont plus nécessaires.
- Confirmez les modalités d'annulation, de conservation et de suppression.
Réévaluez vos prestataires lorsque votre utilisation évolue. Par exemple, lorsqu'un outil auparavant utilisé pour la communication publique commence à stocker des informations sur vos clients. Des changements importants concernant les conditions générales, les fonctionnalités ou la structure de propriété du prestataire peuvent également justifier une réévaluation.
Une proposition de règle de politique générale
Les services utilisés dans le cadre des activités organisationnelles doivent être approuvés à un niveau adapté à leur niveau d'accès, au traitement des informations et à leur importance opérationnelle. Les responsabilités, la propriété des comptes, l'assistance et les modalités de sortie doivent être consignées. Les prestataires ne doivent disposer que des droits d'accès et des informations nécessaires à l'exécution des tâches approuvées. Toute lacune importante doit être signalée au décideur désigné.
Avant d'adopter cette règle, déterminez qui est chargé d'approuver les services, où sont conservés les contrats et qui examine les accords conclus avec les prestataires.
Présentation d'un prestataire important
Choisissez dans votre inventaire un prestataire qui détient des informations sensibles ou qui assure un service essentiel.
Utilisez la liste de contrôle complète lorsque vous choisissez un nouveau service ou que vous évaluez un service existant important.
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Nous avons identifié les prestataires les plus importants pour vos données et vos opérations.
- Clarification des responsabilités partagées et des modalités d'accompagnement.
- Lacunes relevées et décisions nécessitant un suivi.
- Vérifiez que votre organisation peut conserver l'accès à ses informations et les récupérer.
Vous allez ensuite vous préparer à faire face à des incidents : qui contacter, comment limiter les dégâts et comment déterminer s'il faut en informer d'autres personnes.
Section 9 : Réagir aux incidents et évaluer les besoins en matière de notification
Un plan d'intervention en cas d'incident aide votre association à réagir rapidement aux incidents de sécurité en définissant les responsabilités, les interlocuteurs clés et les mesures immédiates à prendre pour protéger les personnes et assurer la continuité des activités essentielles.
English 
French 
Chinese 
Spanish 
Ukrainian 