Normes de cybersécurité pour les entrepreneurs de Grand Sudbury

Les entrepreneurs de Grand Sudbury, Ontario, qui travaillent avec des systèmes municipaux ou des données de la ville doivent comprendre comment la cybersécurité, les règles d'approvisionnement et la loi sur la protection des renseignements personnels se croisent avec les contrats municipaux. Ce guide explique les attentes qui s'appliquent généralement aux fournisseurs et sous-traitants manipulant des systèmes appartenant à la ville, des réseaux ou des renseignements personnels, et indique où trouver les formulaires officiels, déposer des plaintes et obtenir des précisions. Il couvre les exigences contractuelles courantes, les contrôles de base recommandés, les obligations de signalement des incidents, les voies d'application et les étapes concrètes à suivre pour rester en conformité lors de l'exécution de contrats municipaux.

Portée et personnes visées

Cette orientation s'applique à tout entrepreneur, consultant, fournisseur ou sous-traitant qui accède aux systèmes d'information de la ville, stocke ou traite des données de la Ville de Grand Sudbury, ou connecte des appareils aux réseaux municipaux dans le cadre de travaux pour la municipalité. Elle couvre les données électroniques, les services en nuage, l'accès à distance, les services gérés et les intégrations aux systèmes informatiques municipaux.

Normes de base attendues des entrepreneurs

• Utilisation de mécanismes d'authentification approuvés tels que l'authentification multifactorielle (MFA) pour les comptes privilégiés.
• Chiffrement des données au repos et en transit pour les renseignements sensibles ou personnels (TLS standard, AES le cas échéant).
• Processus documentés de réponse aux incidents et de notification des violations conformes au contrat et aux lois applicables en matière de confidentialité.
• Engagements en matière de gestion des correctifs et de correction des vulnérabilités pour les systèmes utilisés dans la prestation de services à la ville.
• Personne-ressource en sécurité désignée et point d'escalade nominal pour les problèmes de sécurité ou les violations présumées.

Clauses contractuelles souvent incluses

• Clauses de confidentialité et de traitement des données définissant les types d'informations protégées et les utilisations autorisées.
• Droits d'audit et d'accès permettant à la ville de vérifier la conformité ou d'exiger des mesures correctives.
• Indemnisation pour les coûts résultant d'incidents de sécurité causés par l'entrepreneur.
• Résiliation pour motif lié aux violations de sécurité ou à la non-conformité répétée.

Sanctions et application

L'application municipale de la cybersécurité passe généralement par des recours contractuels, l'application des règlements municipaux lorsque c'est pertinent, et les processus provinciaux en matière de protection de la vie privée. Les amendes monétaires spécifiques liées à la cybersécurité ne figurent généralement pas sur les pages de règlements municipaux; consultez les ressources officielles ci-dessous pour les instruments et les points de contact. Lorsqu'une violation touche des renseignements personnels, les obligations provinciales peuvent s'appliquer en parallèle des pénalités contractuelles.

• Amendes monétaires : non précisées sur la page citée.
• Escalade : la distinction première infraction/répétition est généralement traitée dans les conditions du contrat et n'est pas précisée sur la page citée.
• Sanctions non pécuniaires : résiliation contractuelle, mesures correctives, suspension d'accès, audits indépendants obligatoires et actions judiciaires ou arbitrales.
• Autorité d'application : l'administrateur de contrat de la Ville de Grand Sudbury et l'application des règlements municipaux font respecter les obligations contractuelles; les autorités provinciales en matière de confidentialité appliquent les obligations légales.
• Voies d'inspection et de plainte : les plaintes se font auprès du contact contractuel de la ville ou du service d'application des règlements; les incidents de confidentialité sont signalés à l'organisme provincial compétent.
• Recours et appels : les litiges contractuels suivent les procédures de règlement des différends prévues au contrat; les procédures provinciales de révision relatives à la vie privée suivent des délais non précisés sur la page citée.
• Moyens de défense : la ville peut tenir compte d'un motif raisonnable, des remédiations effectuées ou des dérogations approuvées lorsque le contrat ou le règlement permet une marge d'appréciation; les motifs exacts sont spécifiques au contrat ou non précisés sur la page citée.

Formulaires et demandes

Les formulaires requis dépendent de l'étape: appel d'offres, contrat, ou signalement d'une violation. On retrouve souvent des annexes de sécurité, des formulaires de notification d'incident et des attestations du fournisseur; si aucun formulaire propre à la ville n'est publié, les entrepreneurs doivent contacter l'administrateur de contrat du projet. Les ressources officielles ci-dessous fournissent les pages de contact pour obtenir les formulaires et les instructions de soumission.

Violations courantes

• Accès non autorisé aux systèmes ou données municipales dû à des identifiants faibles ou l'absence de MFA.
• Défaut d'application des correctifs critiques sur les systèmes utilisés pour le travail municipal.
• Mauvaise gestion des données entraînant la divulgation non autorisée de renseignements personnels.
• Non-signalement rapide des incidents conformément au contrat ou aux exigences légales.

FAQ

Qui applique les exigences de cybersécurité pour les contrats municipaux?

L'administrateur de contrat de la Ville de Grand Sudbury et le service d'application des règlements font appliquer les exigences contractuelles et municipales; les autorités provinciales en matière de confidentialité appliquent les obligations légales.

Que faire en cas de violation?

Suivre la procédure de notification de violation prévue au contrat, informer immédiatement le contact de sécurité de la ville, contenir l'incident et respecter les obligations provinciales si des renseignements personnels sont touchés.

Existe-t-il des amendes standard pour les manquements en cybersécurité?

Les amendes monétaires spécifiques à la cybersécurité sont généralement basées sur le contrat ou traitées en vertu du droit provincial; les montants exacts ne sont pas précisés sur la page citée.

Key Takeaways

• Consultez les annexes de sécurité du contrat avant de commencer les travaux.
• Mettez en œuvre des contrôles techniques de base: MFA, chiffrement, correctifs et plans d'incident.
• Signalez rapidement les incidents au contact de la ville et respectez les règles provinciales en matière de confidentialité si des données personnelles sont compromises.

Help and Support / Resources

• Ville de Grand Sudbury - Règlements
• Ville de Grand Sudbury - Contact et application des règlements
• Loi sur l'accès à l'information et la protection de la vie privée (Ontario)