Règles de cybersécurité et de notification des brèches à Toronto
Toronto, Ontario, les organisations qui exploitent des systèmes municipaux doivent respecter les exigences municipales et provinciales en matière de cybersécurité, de protection des données et de réponse aux brèches. Ce guide résume la façon dont les autorités municipales traitent les normes, le signalement et l'application pour les systèmes sous responsabilité de la Ville, les étapes pratiques pour signaler les incidents et les voies d'appel ou de révision. Il s'adresse aux responsables informatiques, aux responsables de la protection des renseignements, aux fournisseurs et au personnel qui gèrent ou hébergent des systèmes municipaux ou des renseignements personnels détenus par la Ville.
Sanctions et application
L'application en cas de mauvaise gestion de renseignements personnels ou de manquements à la sécurité affectant les systèmes de la Ville est assurée par des bureaux municipaux de responsabilisation et en vertu de lois provinciales le cas échéant. Les montants des amendes monétaires spécifiques pour les défaillances de cybersécurité municipales ne sont pas précisés sur la page citée. [1]
- Amendes monétaires : non précisées sur la page citée.
- Échelle des sanctions : premières infractions, récidives et infractions continues - plages non précisées sur la page citée.
- Sanctions non monétaires : ordres de remédiation, avis obligatoires aux personnes concernées, suspension d'accès, récupération ou saisie de dossiers et actions judiciaires peuvent être appliqués lorsqu'autorisé.
- Organisme chargé et plaintes : le Bureau de l'accès et de la protection des renseignements de la Ville de Toronto gère les plaintes en matière de confidentialité et la réception des signalements; les inspections techniques et opérationnelles peuvent être coordonnées avec les TI de la Ville ou l'unité fonctionnelle concernée.
- Recours et révision : les voies d'appel dépendent de l'instrument invoqué (ordres municipaux ou constats provinciaux); les délais précis ne sont pas précisés sur la page citée et doivent être confirmés auprès du bureau émetteur.
- Moyens de défense et marge d'appréciation : des moyens de défense tels que l'excuse raisonnable, les autorisations légales ou des exceptions/variantes approuvées peuvent s'appliquer lorsque prévus par la politique; les détails sont propres à chaque cas et ne sont pas précisés sur la page citée.
Demandes et formulaires
La Ville ne publie pas de formulaire universel « brèche de cybersécurité » ; le signalement des brèches et les formulaires de plainte en matière d'accès/confidentialité sont gérés par le Bureau de l'accès et de la protection des renseignements de la Ville ou par l'unité fonctionnelle responsable du système. Si aucun formulaire n'est requis, les directives de la Ville indiquent comment signaler : voir Ressources pour les liens.
Normes, contrôles et attentes
Toronto s'attend à ce que les systèmes traitant des données municipales mettent en œuvre des mesures de protection organisationnelles, techniques et administratives proportionnelles à la sensibilité des renseignements. Les contrôles typiques comprennent les contrôles d'accès, le chiffrement, la journalisation et la surveillance, les plans d'intervention en cas d'incident, la gestion des risques fournisseurs et des audits réguliers. Les normes techniques municipales spécifiques ou les listes de contrôles obligatoires sont définies par la gouvernance TI de la Ville ou les politiques de référence et peuvent être publiées par l'unité responsable.
Étapes à suivre après une brèche suspectée
- Confinement : isoler les systèmes affectés pour arrêter la perte en cours.
- Préserver les preuves : capturer les journaux, la chronologie et les enregistrements affectés.
- Notifier : contacter le Bureau de l'accès et de la protection des renseignements de la Ville et le propriétaire du système selon les directives de la Ville.
- Documenter : préparer un rapport d'incident avec l'étendue, la cause profonde et les mesures correctives.
- Remédier et assurer le suivi : appliquer les corrections, informer les personnes concernées si requis, et revoir les contrôles.
FAQ
- Qui applique les règles de cybersécurité et de confidentialité pour les systèmes de la Ville ?
- Le Bureau de l'accès et de la protection des renseignements de la Ville de Toronto, conjointement avec les TI de la Ville et le propriétaire du système, gèrent l'application et la réception des incidents de confidentialité et de sécurité.
- Quelle loi régit la gestion municipale des renseignements personnels ?
- La loi provinciale comme la Loi sur l'accès à l'information municipale et la protection de la vie privée (Municipal Freedom of Information and Protection of Privacy Act - MFIPPA) régit les archives municipales et les obligations de confidentialité des municipalités de l'Ontario.[1]
- Comment signaler une brèche affectant un système de la Ville ?
- Signalez l'incident au propriétaire du système et au Bureau de l'accès et de la protection des renseignements de la Ville en suivant les directives de signalement de la Ville et tout formulaire ou processus de contact publié dans Ressources.
How-To
- Identifier l'incident et son étendue : déterminer les systèmes, types de données et l'exposition potentielle.
- Notifier les intervenants internes : informer le propriétaire du système, le responsable de la sécurité TI et le Bureau de l'accès et de la protection des renseignements de la Ville.
- Collecter les preuves : sécuriser les journaux, les enregistrements affectés et une chronologie des événements.
- Compléter le signalement : remplir le formulaire de signalement requis par la Ville ou rédiger un rapport écrit si publié par l'unité fonctionnelle.
- Notifier les personnes concernées et les autorités : informer les personnes affectées et les régulateurs selon la loi et la politique de la Ville.
- Remédier et réviser : appliquer les correctifs, mettre à jour les contrôles et documenter les enseignements tirés.
Points clés
- Documentez et signalez rapidement pour préserver les options et respecter les obligations.
- Appliquez des contrôles techniques proportionnés et une surveillance des fournisseurs pour les données municipales.
- Utilisez les canaux du Bureau de l'accès et de la protection des renseignements pour les plaintes, le signalement et les conseils.
Aide et ressources
- Ville de Toronto - Accès et confidentialité
- Ville de Toronto - Signaler une brèche de confidentialité
- Ontario - Loi sur l'accès à l'information municipale et la protection de la vie privée (MFIPPA)