Services TI pour le gouvernement à Ottawa

Commençons par la question éliminatoire, parce que tous les autres fournisseurs la mettent sous le tapis. Si vous êtes un ministère fédéral qui achète des services TI au-dessus du seuil des accords commerciaux, vous passez par les SPICT ou les SPICS, et la qualification exige une vérification d'organisation désignée que nous n'avons pas. Nous préférons vous le dire tout de suite. Ce que nous faisons, c'est travailler avec les entreprises qui vendent au gouvernement : les fournisseurs qui héritent de l'ITSG-33, du traitement des renseignements Protégé B et du PCCC par le contrat de quelqu'un d'autre, et qui doivent en répondre.

Ils nous font confiance

  • Broadcom
  • SSENSE
  • Mondou
  • Université Western
  • Votatec
  • Ren's Pets
  • Ville de Mississauga
La réponse courte

Qu'exige au juste le travail TI gouvernemental à Ottawa?

Demander une consultation

Quatre conditions, dans cet ordre, et la plupart des firmes les découvrent à l'envers. Le filtrage de sécurité vient en premier : l'organisation est autorisée avant que quiconque parmi son personnel puisse l'être. Un arrangement en matière d'approvisionnement vient en deuxième, parce que les ministères n'achètent pas sur le marché libre au-dessus du seuil. Les contrôles viennent en troisième, rattachés à l'ITSG-33 au profil que justifient vos données. Les preuves viennent en quatrième, et ce sont elles qui décident vraiment des renouvellements. Si vous êtes un fournisseur plutôt qu'un ministère, vous héritez des conditions trois et quatre par votre contrat sans jamais toucher aux deux premières.

Les services

Douze services de conformité qu'on assure à Ottawa

Chacun a sa propre page : ce qu'on cadre, comment on s'en occupe et ce que vous recevez en retour. Commencez par celui qu'il vous faut, ou demandez-nous de les gérer ensemble.

Comment on couvre Ottawa

Pas de bureau à Ottawa, et sur cette page, cela compte moins qu'ailleurs sur le site. Les conditions n'ont pas de temps de trajet. Le filtrage de sécurité est un processus fédéral, un arrangement en matière d'approvisionnement est un instrument d'achat, et une cartographie des contrôles est un document. Nos spécialistes travaillent depuis North York et se déplacent pour la tournée d'évaluation et pour tout ce qui est physique, en réservant selon votre fenêtre de changement et en indiquant le prix plutôt que de l'enfouir dans un tarif.

Ce que la distance change

  • La tournée d'évaluation, où le système non documenté finit par apparaître
  • Être dans la salle quand une feuille de route est débattue plutôt que présentée
  • Tout ce qui se trouve derrière la porte verrouillée d'une salle de télécommunications

Ce que la distance ne change pas

  • La cartographie des contrôles de l'ITSG-33, au profil que justifient vos données
  • Une évaluation des menaces et des risques, et une évaluation des facteurs relatifs à la vie privée quand il en faut une
  • Le dossier de preuves, et s'il résiste à une demande un an plus tard
  • La prestation bilingue, qui est une question de dotation en personnel

Les visites sur place sont réservées selon votre fenêtre de changement, et on vous donne le prix du déplacement.

Le regard d'un conseiller chevronné sur vos TI?

Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.

Demander une consultation
Votre équipe

Qui fait le travail

Un seul spécialiste principal, de la première tournée jusqu'au dossier de preuves. Dans le travail connexe au fédéral, la liste des personnes qui peuvent accéder à un système devrait être courte, écrite et identique à celle que décrivent vos documents.

Le travail

Ce qu'on prend en charge

  1. Ce que vous avez aujourd'hui:

    Une annexe de sécurité d'un entrepreneur principal que personne n'a rattachée à votre parc réel

    Ce que le mandat laisse:

    Une cartographie des contrôles d'après ce qui est déployé, au profil ITSG-33 que justifient vos données

  2. Ce que vous avez aujourd'hui:

    Une cartographie des contrôles refaite de mémoire la semaine avant une évaluation

    Ce que le mandat laisse:

    Une lecture claire des conditions qui s'appliquent à vous, de ce qu'elles coûtent et du temps qu'elles prennent

  3. Ce que vous avez aujourd'hui:

    Aucune réponse écrite à la question de la condition qui vous sépare du travail que vous voulez

    Ce que le mandat laisse:

    Une évaluation des menaces et des risques rattachée au système tel qu'il est maintenant

  4. Ce que vous avez aujourd'hui:

    Une EMR faite une seule fois, pour un système qui a changé depuis

    Ce que le mandat laisse:

    Un dossier de preuves qui résiste à une demande un an plus tard

  5. Ce que vous avez aujourd'hui:

    Une évaluation des facteurs relatifs à la vie privée que quelqu'un a commencée et que personne n'a terminée

    Ce que le mandat laisse:

    Une liste écrite de qui peut accéder à quoi, et sous quel filtrage de sécurité

Voilà la forme d'un mandat de fournisseur du fédéral, pas celle d'un client en particulier.

Demander une consultation

Gouvernance, risque et conformité : de quoi avez-vous besoin?

Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.

J'accepte de recevoir des courriels de SMEnode.

On utilise vos coordonnées pour répondre à ce message. Vous pouvez vous désabonner de nos courriels en tout temps. Confidentialité

Votre demande

Service
Gouvernance, risque et conformité

La suite

  1. Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
  2. On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
  3. Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.

Appelez la ligne 24/7

+1 514-465-1584
Ensuite

Où aller ensuite

À Ottawa

All Ottawa services

Partout au Canada

DPIAThreat and risk assessmentDefence procurement cyberIT company Canada
Questions

TI gouvernementales : vos questions

Pas pour le travail ministériel au-dessus du seuil des accords commerciaux, et on préfère le dire plutôt que de vous faire perdre un cycle d'approvisionnement. Les SPICT sont la méthode d'approvisionnement obligatoire dans ce cas, et la qualification exige une vérification d'organisation désignée accordée par Services publics et Approvisionnement Canada. On n'en détient pas aujourd'hui. Là où on est utile, c'est auprès des entreprises qui vendent au gouvernement et héritent de ses exigences par leurs propres contrats.

C'est le cadre du gouvernement du Canada pour gérer les risques liés à la sécurité des TI tout au long du cycle de vie d'un système, publié par le Centre canadien pour la cybersécurité avec l'autorisation du chef du CST. Il s'applique à deux niveaux, celui du ministère et celui du système d'information, et son catalogue de contrôles est organisé en classes de contrôles de gestion, techniques et opérationnels, avec des profils distincts pour PROTÉGÉ A, PROTÉGÉ B et SECRET. Il s'agit de lignes directrices à l'intention des ministères, pas d'une loi qui lie les fournisseurs, et c'est pourquoi il parvient généralement à un fournisseur sous la forme d'une clause dans le contrat de quelqu'un d'autre.

Une évaluation des menaces et des risques (EMR) demande ce qui pourrait mal tourner avec le système et à quel point ce serait grave. Une évaluation des facteurs relatifs à la vie privée (ÉFVP) demande ce que le système fait aux renseignements personnels des gens et si cela se défend. Elles se recoupent et elles sont souvent exigées ensemble, mais elles répondent à des gens différents : l'EMR à l'autorité de sécurité, l'ÉFVP à celle de la vie privée. Présenter l'une comme les deux, c'est la façon la plus courante de rater le travail.

C'est un niveau de sensibilité, et il détermine le profil de l'ITSG-33 que vos contrôles doivent respecter, plutôt que de désigner un produit précis. Les questions pratiques qu'il impose sont où les données reposent, qui peut y accéder, ce qui est journalisé et qui détient les clés. Tout fournisseur qui répond «nous sommes Protégé B» sans nommer un profil et un mode d'hébergement n'a pas répondu.

Le filtrage de sécurité est accordé par Services publics et Approvisionnement Canada, et non déclaré par un fournisseur, et l'organisation doit avoir fait l'objet d'une enquête de sécurité avant qu'une personne puisse faire l'objet d'un filtrage. Dites-nous ce qu'exige votre contrat et on vous dira franchement ce qu'on détient aujourd'hui, ce qu'il nous faudrait obtenir et à peu près combien de temps cela prend, y compris quand la réponse honnête est qu'on n'est pas le bon fournisseur pour cette partie du travail.

Moins que sur n'importe quelle autre de nos pages. Le filtrage de sécurité est un processus fédéral, un arrangement en matière d'approvisionnement est un instrument d'achat et une cartographie des contrôles est un document. Aucun de ces éléments n'a de temps de trajet. Ce qui exige une présence, c'est la tournée d'évaluation et tout ce qui est physique, qu'on réserve et qu'on chiffre.

Oui. Kanata, où la grappe de la défense et de l'aérospatiale fait que le PCCC s'y manifeste d'abord, de même que Nepean, Orléans, Barrhaven et, de l'autre côté de la rivière, Gatineau. Une adresse à Gatineau ajoute une dimension québécoise de protection de la vie privée qu'il vaut la peine de soulever au départ plutôt que lors d'un audit.

Parlons-en

Confiez-nous le problème que votre
dernière firme-conseil a refilé

Découvrez nos servicesDemander une consultation

Un spécialiste chevronné de SMEnode répond en moins d'une heure, 24/7.