Secteurs
Services TI par secteur
Les secteurs diffèrent moins par la technologie qu'ils achètent que par les règles sous lesquelles ils l'achètent. Une fenêtre de correctifs sur une chaîne de production n'est pas celle d'un parc de portables, et une atteinte aux renseignements personnels dans un cabinet d'avocats relève de la déontologie avant de relever de la sécurité. Choisissez votre secteur. On nommera le régime, puis le service qui y répond.
Secteurs
Là où les règles changent l'architecture.
Sept secteurs, chacun avec les régimes qui l'encadrent et les services qui y répondent. Aucune étude de cas sectorielle pour l'instant, donc aucune page ici n'en revendique.
Services financiers et technofinance
Les règles du BSIF sur le risque technologique et le cyberrisque fixent ce qu'un examinateur demandera à voir.
- B-13 du BSIF
- B-10 du BSIF
- E-23 du BSIF
- Régimes provinciaux des coopératives
- LPCE (loi C-8)
- Gouvernance de l'IA L'E-23 couvre les modèles d'IA à partir du 2027-05-01. On bâtit l'inventaire des modèles et les registres d'approbation.
- Gestion du risque lié aux tiers La B-10 veut des preuves, pas des affirmations.
- Services de conformité SOC 2 Le rapport que vos clients d'entreprise demandent avant de signer.
- Soutien à la certification ISO/CEI 27001 Quand une contrepartie internationale préfère la voie ISO.
- Tests d'intrusion Des tests au rythme qu'attendent votre organisme de réglementation et vos clients.
- Gestion des identités et des accès La séparation des tâches, prouvable transaction par transaction.
- Sécurité infonuagique La B-13 n'exempte rien sous prétexte que c'est géré.
- Services de sécurité gérés (MSSP) Une détection qui tourne en dehors des heures de bureau, quand ça compte.
- Conseil en cybersécurité Là où se croisent les trois domaines de la B-13, et où se trouvent la plupart des écarts.
Santé et sciences de la vie
Les renseignements sur la santé relèvent de la loi provinciale sur la vie privée, et votre fournisseur TI est généralement le mandataire du dépositaire.
- LPRPS
- Équivalents provinciaux
- LPRPDE
- Déclaration d'atteinte
- Conformité à la LPRPDE Le socle fédéral, et là où la loi provinciale sur la santé prend le relais.
- Évaluation des facteurs relatifs à la vie privée (ÉFVP) Attendue avant qu'un nouveau système touche des renseignements sur la santé.
- Sauvegarde et reprise après sinistre Un clinicien privé d'accès à un dossier, c'est un enjeu de sécurité des patients.
- Sensibilisation à la sécurité Les dossiers de santé sont la cible la plus précieuse au pays.
- Gestion des identités et des accès Qui a ouvert quel dossier, preuve à l'appui, parce que quelqu'un le demandera.
- Gestion des terminaux Des postes partagés et des appareils qui ne quittent jamais l'unité de soins.
- Services de sécurité gérés (MSSP) Une surveillance qui sait ce que vaut un dossier de santé.
- Services de virtualisation L'accès des cliniciens de partout, sans que les dossiers sortent.
Juridique
Le secret professionnel de l'avocat détermine comment un cabinet peut traiter ses données.
- Règles du barreau
- Secret professionnel de l'avocat
- Déclaration d'atteinte (LPRPDE)
- Loi 25 du Québec
- Sensibilisation à la sécurité Hameçonner un adjoint juridique coûte moins cher qu'attaquer votre pare-feu, et ça marche plus souvent.
- Sauvegarde et reprise après sinistre Les dossiers clients portent des obligations de conservation qui survivent à la relation avec le client.
- Services de sécurité gérés (MSSP) Une surveillance par des gens qui savent ce que veut dire le secret professionnel.
- Gestion des identités et des accès Qui peut ouvrir quel dossier, prouvable après coup.
- Conformité à la LPRPDE L'obligation de déclaration, documentée avant que vous en ayez besoin.
- Conformité à la Loi 25 du Québec Des seuils distincts dès que vous détenez le dossier d'un client québécois.
- Gestion des terminaux Les appareils qui quittent le bureau avec des dossiers clients dessus.
- Services de virtualisation L'accès à distance aux dossiers, sans que les dossiers sortent.
Fabrication et industrie
Une chaîne de production ne peut pas s'arrêter pour une fenêtre de correctifs, alors les changements doivent suivre l'horaire.
- Convergence TO et TI
- Fenêtres de correctifs
- Équipements anciens
- ISO 22301
- Sécurité réseau Une segmentation entre l'usine et le réseau d'entreprise, pour que l'un ne puisse pas joindre l'autre.
- Réseaux d'entreprise Un réseau conçu pour des machines qui ne redémarrent pas sur demande.
- Services de soutien TI Les quarts de travail ne finissent pas à cinq heures, la chaîne non plus.
- Sauvegarde et reprise après sinistre Une chaîne arrêtée, ce sont des revenus perdus à la minute, pas à la journée.
- Continuité des activités ISO 22301 La certification de continuité que vos plus gros clients demandent.
- Gestion des terminaux Y compris les machines que vous ne pouvez pas corriger, isolées correctement à la place.
- TI cogérées Votre spécialiste de l'usine connaît le plancher. On couvre le reste.
- Gestion des vulnérabilités Lesquelles des machines impossibles à corriger comptent vraiment, par ordre de priorité.
- Cisco ISE Le contrôle d'accès au réseau pour les appareils qui ne peuvent pas faire tourner d'agent.
Mines, énergie et services publics
Les réseaux SCADA et les sites éloignés ne peuvent pas être mis hors ligne, alors on planifie les changements en conséquence.
- Loi C-8 et LPCE
- SCADA et SCI
- Connexion des sites éloignés
- ISO 22301
- Solutions SD-WAN Des sites éloignés sur le lien que vous pouvez obtenir, gérés de façon centralisée.
- Préparation au projet de loi C-26 Où vous en seriez le jour où la partie 2 entrera en vigueur.
- Sécurité réseau Garder le réseau de commande séparé de tout le reste.
- Évaluation des menaces et des risques (EMR) L'évaluation qu'un organisme de réglementation finira par demander.
- Services de soutien TI Les sites tournent jour et nuit, là où personne ne va la nuit.
- Sauvegarde et reprise après sinistre Les sites éloignés n'ont pas de TI sur place pour restaurer une copie rangée sur une étagère.
- Continuité des activités ISO 22301 Une planification de la continuité qui tient compte de l'isolement physique.
- Services de sécurité gérés (MSSP) Une surveillance là où on ne peut pas mettre un système hors ligne pour enquêter.
- Réseaux d'entreprise Du matériel choisi pour l'environnement, pas pour le catalogue.
Gouvernement et secteur public
Le traitement des données Protégé A, B et C décide où le travail peut se faire et qui peut y toucher.
- Protégé A, B et C
- ITSG-33 et ITSP.10.033
- PCCC
- LPRPDE et LPRP
- Loi C-8
- Soutien à la certification PCCC La certification que les contrats fédéraux de la chaîne d'approvisionnement exigent de plus en plus.
- Évaluation des facteurs relatifs à la vie privée (ÉFVP) Obligatoire avant qu'un nouveau programme touche des renseignements personnels.
- Évaluation des menaces et des risques (EMR) L'EMR qu'attend l'ITSG-33, selon le catalogue en vigueur.
- Préparation au projet de loi C-26 Où vous en seriez si la partie 2 entrait en vigueur.
- IA sur site et souveraine Pour les données qui ne peuvent pas quitter le sol canadien, quoi que promette le fournisseur.
- Centre de données Une infrastructure hébergée au Canada, documentée pour un auditeur.
- Services de sécurité gérés (MSSP) Une surveillance par un SOC canadien, avec conservation des journaux au Canada.
- Conformité à la LPRPDE Le socle qui s'applique quelle que soit la classification.
Défense et aérospatiale
Les règles sur les marchandises contrôlées, la CMMC et les clauses de votre donneur d'ordres fixent ce qu'un fournisseur peut faire.
- CMMC
- NIST SP 800-171
- ITAR et Programme des marchandises contrôlées
- PCCC
- Clauses du donneur d'ordres
- Conformité CMMC Le niveau que nomme votre contrat, évalué selon le vrai ensemble de contrôles.
- Cadre de cybersécurité du NIST La correspondance des contrôles sous la CMMC, faite une fois et réutilisée.
- Soutien à la certification PCCC Pour le volet canadien de la même chaîne d'approvisionnement.
- IA sur site et souveraine Des données contrôlées qui ne peuvent pas franchir une frontière, même vers un modèle.
- Gestion du risque lié aux tiers Vos sous-traitants héritent de vos obligations. Prouvez qu'ils les respectent.
- Gestion des identités et des accès L'accès aux marchandises contrôlées doit être prouvable par personne, par document.
- Sécurité réseau La segmentation entre les environnements contrôlés et généraux.
- Centre de données Une infrastructure à l'intérieur de la frontière que vous avez le droit d'utiliser.
