Guide sur la cybersécurité et les règles pour fournisseurs à Oakville
Oakville, Ontario exige que les fournisseurs qui traitent des données municipales ou fournissent des services informatiques respectent des conditions précises en matière de cybersécurité et d'approvisionnement avant de contracter avec la ville. Ce guide explique l'origine de ces règles, les services responsables de leur application, les obligations habituelles des fournisseurs et les étapes pour s'inscrire, se conformer et faire appel des décisions. Il s'adresse aux fournisseurs, aux responsables des marchés et aux équipes de conformité travaillant avec la Ville d'Oakville.
Vue d'ensemble des règles et bureaux responsables
La Ville d'Oakville encadre les exigences applicables aux fournisseurs par l'entremise des Services des achats et de la politique informatique opérationnelle; l'application implique l'Unité de mise en application des règlements, les TI corporatives et les Services juridiques pour les litiges contractuels. Les marchés fixent les critères de qualification des fournisseurs, tandis que les Technologies de l'information publient des normes opérationnelles de sécurité et des processus d'évaluation. Pour l'inscription des fournisseurs et les exigences, consultez les pages d'approvisionnement de la Ville[1] et pour les contrôles et orientations informatiques consultables, voyez les pages TI[2].
Exigences pour les fournisseurs et clauses types
Les attentes municipales en cybersécurité comprennent souvent: stockage sécurisé des données, chiffrement en transit et au repos, délais de notification d'incident, vérifications des antécédents pour le personnel accédant aux données, preuve d'assurance responsabilité cyber et clauses de transfert aux sous-traitants. La Ville peut exiger des déclarations contractuelles relatives à la conformité aux lois sur la vie privée, y compris la LFIP (MFIPPA); lorsqu'une clause spécifique ou une norme minimale n'est pas publiée sur les pages citées, elle est non spécifiée sur la page citée et les fournisseurs doivent demander le modèle actuel aux Services des achats.
- L'inscription et les documents de préqualification des fournisseurs sont requis pour la plupart des contrats informatiques et de données.
- Une preuve d'assurance et des attestations de sécurité peuvent être demandées lors de l'évaluation.
- Les incidents de sécurité doivent être signalés aux TI corporatives et aux Services des achats selon les avis contractuels.
Sanctions et application
L'application se fait généralement de manière administrative via des recours contractuels et des processus de conformité municipaux; l'application pénale ou provinciale n'est applicable que si des infractions légales surviennent. Les montants d'amende précis pour les infractions liées à la cybersécurité ou aux marchés ne sont pas indiqués mot pour mot sur les pages d'achat ou TI citées et sont donc non spécifiés sur la page citée. Les recours et mécanismes d'application comprennent la résiliation du contrat, les dommages-intérêts, les indemnités et les mesures injonctives engagées par la Ville.
- Amendes monétaires : non spécifiées sur les pages d'achat ou TI citées.
- Recours contractuels : résiliation, retenue de paiements ou dommages selon les termes du contrat.
- Action en justice ou injonction : disponible par l'entremise des Services juridiques lorsque les manquements s'aggravent.
- Autorités : Services des achats, Technologies de l'information corporatives, Mise en application des règlements; les voies de plainte utilisent les pages de contact officielles de la Ville[3].
Escalade, appels et délais
L'escalade standard comprend : avis initial et période de correction prévue au contrat, avis formel de manquement, résiliation ou ordonnance de réparation, puis procédures judiciaires. L'appel ou la révision des décisions administratives en matière de contrats se fait habituellement par demande écrite au service émetteur ou par les clauses de résolution des différends du contrat; les délais statutaires explicites pour les appels ne sont pas fournis sur les pages citées et sont non spécifiés sur la page citée. Les fournisseurs doivent consulter les clauses contractuelles pour connaître les délais exacts et demander l'avis des Services juridiques pour les différends.
Moyens de défense et pouvoir discrétionnaire
La Ville conserve un pouvoir discrétionnaire dans de nombreuses clauses d'achat et contractuelles pour accepter des écarts, accorder des dérogations ou permettre des plans de remédiation lorsqu'un fournisseur démontre une excuse raisonnable ou des mesures d'atténuation. Les permis ou dérogations temporaires pour des exceptions opérationnelles sont régis par le contrat ou les politiques départementales plutôt que par un seul règlement publié sur les pages citées.
Demandes et formulaires
Les fournisseurs remplissent généralement des formulaires d'inscription et des documents spécifiques aux marchés lors de la soumission. La page d'approvisionnement énumère les étapes d'inscription des fournisseurs et les occasions d'approvisionnement en cours; les formulaires d'attestation de sécurité ou modèles TI spécifiques ne sont pas publiés textuellement sur la page TI citée et sont donc non spécifiés sur la page citée. Contactez les Services des achats pour obtenir les formulaires requis et les instructions de soumission.
Infractions fréquentes
- Omission de signaler une violation de données dans les délais requis — recours contractuels ou actions juridiques possibles.
- Absence ou fausse déclaration d'assurance et d'attestations — rejet de l'offre ou résiliation du contrat.
- Utilisation non autorisée de sous-traitants sans protections en cascade — sanctions contractuelles.
Étapes d'action pour les fournisseurs
- Inscrivez-vous comme fournisseur et surveillez les opportunités d'approvisionnement[1].
- Préparez les attestations de sécurité, certificats d'assurance et preuves demandées.
- Désignez un point de contact pour les incidents et testez les procédures de notification avec les TI corporatives[2].
- Prévoyez un budget pour l'assurance responsabilité cyber et les coûts de remédiation éventuels.
FAQ
- Qui applique les règles de cybersécurité pour les fournisseurs à Oakville?
- Les Services des achats et les Technologies de l'information corporatives de la Ville dirigent l'application, avec la Mise en application des règlements et les Services juridiques pour les questions contractuelles et statutaires.
- Existe-t-il des amendes publiées pour les violations de cybersécurité?
- Les montants précis d'amendes pour les violations de cybersécurité ou des fournisseurs ne sont pas spécifiés sur les pages d'achat ou TI citées; les recours sont principalement contractuels et juridiques.
- Comment signaler un incident de sécurité impliquant des données municipales?
- Signalez les incidents aux TI corporatives et aux Services des achats en utilisant les voies de contact officielles de la Ville; consultez les pages TI et d'approvisionnement pour les coordonnées actuelles.[2]
How-To
Étapes pour qu'un fournisseur respecte les règles de cybersécurité et d'approvisionnement d'Oakville :
- Inscrivez-vous comme fournisseur et examinez les documents d'approvisionnement pour les exigences de l'appel d'offres ou du contrat.
- Rassemblez les preuves de cybersécurité : attestations, politiques, assurances et rapports d'évaluation tiers.
- Désignez un contact de sécurité et confirmez les procédures de notification d'incidents avec les TI corporatives.
- Soumettez les formulaires requis et répondez aux demandes de clarification pendant l'évaluation.
- En cas de litige, utilisez la résolution des différends contractuelle et consultez les Services juridiques pour les appels.
Points clés
- Les Services des achats et les TI fixent les attentes; les contrats prévoient des recours.
- Les amendes précises et les modèles de sécurité ne sont pas publiés sur les pages citées et doivent être demandés.
Aide et ressources
- Town of Oakville - Procurement Services
- Town of Oakville - Information Technology
- Town of Oakville - By-law Enforcement