Exigences de cybersécurité pour les entrepreneurs à Vancouver - Guide du règlement
Vancouver, Colombie-Britannique, les entrepreneurs et fournisseurs qui traitent des données municipales ou fournissent des services informatiques doivent respecter les attentes de la Ville de Vancouver en matière d'approvisionnement et de confidentialité lorsqu'ils fournissent des services. Ce guide résume ce à quoi les entrepreneurs doivent s'attendre concernant la gestion des données, les contrôles de sécurité minimaux, la notification des incidents et la façon dont l'application et les appels sont traités en vertu des accords d'approvisionnement et des obligations de confidentialité de la Ville.
Sanctions et application
La Ville de Vancouver exige que les fournisseurs respectent les conditions contractuelles et les obligations en matière de confidentialité, mais les pages publiques sur l'approvisionnement et la confidentialité ne donnent pas de montants d'amendes précis pour les défaillances en cybersécurité ; les amendes et pénalités ne sont pas précisées sur la ou les pages citées. Pour les modalités des contrats d'approvisionnement et les exigences pour les fournisseurs, consultez les directives d'achat de la Ville et pour les obligations de confidentialité consultez la page de la Ville sur la confidentialité. City of Vancouver Purchasing and Supply Management[1] City of Vancouver Privacy and Personal Information[2]
- Autorité d'application : Purchasing and Supply Management de la Ville de Vancouver et le bureau de la confidentialité/ sécurité de l'information de la Ville ; les gestionnaires de contrat gèrent les enquêtes et les mesures contractuelles.
- Amendes monétaires : non précisées sur la ou les pages citées.
- Escalade : réponse initiale, ordres de remédiation et résiliation de contrat sont des recours typiques ; les montants d'escalade spécifiques ou les amendes journalières ne sont pas précisés sur la ou les pages citées.
- Sanctions non monétaires : résiliation de contrat, exigence de remédier aux vulnérabilités, suspension des appels d'offres, recours injonctifs/ judiciaires et signalement aux autorités provinciales le cas échéant.
- Plaintes et inspections : signalez les incidents présumés au gestionnaire de contrat de la Ville et au bureau de la confidentialité via les pages de contact de la Ville référencées ci‑dessus.
Demandes et formulaires
Les pages publiques sur l'approvisionnement et la confidentialité ne publient pas de « dérogation cybersécurité » dédiée ni de formulaire de sécurité spécifique pour les entrepreneurs ; les clauses, annexes ou questionnaires fournisseurs requis sont généralement inclus dans les documents d'appel d'offres ou les appendices de contrat et doivent être respectés tels qu'émis dans chaque demande ou bon de commande. Les noms de formulaires, numéros, frais ou délais spécifiques ne sont pas précisés sur la ou les pages citées.
- Lorsque requis, les annexes de sécurité ou les questionnaires fournisseurs seront joints à la demande ou au contrat ; examinez attentivement les documents RFP/RFQ.
- Les délais pour soumettre des plans de sécurité ou des mesures correctives peuvent être définis dans chaque contrat ou demande.
Violations courantes et mesures typiques
- Mauvaise séparation des données ou accès non autorisé à des renseignements personnels - peut entraîner des ordres de remédiation ou la résiliation du contrat.
- Non-application des contrôles de sécurité convenus (mises à jour, chiffrement) - généralement soumis à des exigences correctives.
- Notification tardive d'une violation - peut entraîner une enquête et une surveillance accrue.
FAQ
- Qui applique les obligations de cybersécurité pour les contrats municipaux ?
- L'équipe Purchasing and Supply Management de la Ville de Vancouver, conjointement avec le bureau de la confidentialité et la sécurité TI de la Ville, supervise l'application ; les gestionnaires de contrat déclenchent les enquêtes et les actions correctives. Purchasing and Supply Management[1]
- Existe-t-il des amendes précisées pour les violations de cybersécurité ?
- Les pages publiques sur l'approvisionnement et la confidentialité ne donnent pas d'amendes précises ou de pénalités par jour pour les incidents de cybersécurité ; les recours spécifiques sont énoncés dans les contrats individuels ou les documents d'approvisionnement au cas par cas.
- Que doit faire un entrepreneur s'il découvre une fuite de données ?
- Avertissez immédiatement votre gestionnaire de contrat de la Ville et le bureau de la confidentialité, respectez les délais de notification prévus par le contrat, préservez les preuves et mettez en œuvre les mesures de remédiation convenues.
How-To
- Examinez les clauses de sécurité du contrat et les annexes de la demande.
- Réalisez un inventaire des données pour identifier les données municipales, classifier leur sensibilité et documenter leur emplacement.
- Mettez en œuvre des contrôles techniques de base : contrôles d'accès, chiffrement, gestion des correctifs et journalisation conformément aux exigences contractuelles.
- Élaborez un plan d'intervention en cas d'incident aligné sur les délais de notification du contrat et testez-le avec les parties prenantes.
- Conservez des enregistrements des activités de conformité et fournissez les preuves ou les questionnaires requis lors de l'appel d'offres ou sur demande.
Points clés
- Les obligations de cybersécurité sont définies par les modalités contractuelles et les documents d'approvisionnement : examinez-les attentivement.
- Les pages publiques ne mentionnent pas d'amendes fixes ; les recours sont généralement contractuels et spécifiques aux cas.
- Signalez rapidement les incidents à votre gestionnaire de contrat et au bureau de la confidentialité de la Ville.
Aide et ressources
- City of Vancouver - Purchasing and Supply Management
- City of Vancouver - Privacy and Personal Information
- City of Vancouver - By-law Enforcement
- City of Vancouver - Building Permits & Development