Exigences de cybersecurite pour les fournisseurs - contrats TI Windsor
Windsor, Ontario exige que la municipalité et les fournisseurs prennent en compte la cybersécurité lors des acquisitions et contrats TI. Ce guide explique comment rédiger des clauses de cybersécurité pour les appels d'offres et contrats, qui applique les exigences et les étapes pratiques pour gérer les risques, signaler les incidents et respecter les règles d'approvisionnement.
Exigences contractuelles clés
Les clauses contractuelles courantes pour les marchés TI de Windsor couvrent généralement :
- Normes de sécurité et contrôles de base (chiffrement, authentification, correctifs).
- Classification des données et obligations de traitement, y compris la protection en transit et au repos.
- Audit, rapports et délais de notification des brèches ainsi que l'accès pour les évaluations de sécurité.
- Moyens contractuels: résiliation pour cause, indemnisations et plafonds de responsabilité liés aux défaillances de sécurité.
Conseils de rédaction : exiger des plans d'intervention en cas d'incident fournis par le fournisseur, des normes minimales de chiffrement et des obligations de transmission aux sous-traitants. Reliez les obligations de sécurité aux critères d'évaluation dans l'appel d'offres pour que la conformité influence la notation et l'attribution.
Sanctions et application
L'application des obligations de cybersécurité dans les contrats TI municipaux relève principalement des Services d'approvisionnement et de l'administrateur du contrat ; les recours sont principalement contractuels (dommages, retenue de paiement, résiliation) et peuvent impliquer le service juridique. Les amendes monétaires spécifiques pour les brèches de cybersécurité ne sont pas précisées sur les pages d'approvisionnement citées.[1][2]
Escalade et récidive
- Amendes monétaires : non précisées sur la page citée.
- Escalade : avis au contractant, période de correction, puis résiliation ou action en justice ; délais exacts non précisés sur la page citée.
- Sanctions non pécuniaires : suspension du contrat, ordres correctifs, demandes d'indemnisation et résiliation.
Demandes et formulaires
La Ville publie les détails sur les appels d'offres et l'inscription des fournisseurs via ses pages d'approvisionnement ; la soumission des offres et les formulaires connexes sont fournis via le portail officiel des appels d'offres. Aucun modèle de formulaire de cybersécurité obligatoire n'est précisé sur les pages d'approvisionnement citées.[1]
Étapes pratiques pour les fournisseurs
- Préparez un plan d'intervention et précisez les délais de notification au municipalité.
- Documentez le chiffrement, les contrôles d'accès, la journalisation et la gestion des risques tiers.
- Joignez des preuves de conformité : rapports SOC, attestations ou questionnaires de sécurité.
- Désignez un contact sécurité pour la Ville en cas d'incident.
FAQ
- Quelles normes un appel d'offres de Windsor devrait-il exiger ?
- Utilisez des cadres reconnus (par exemple NIST CSF, ISO 27001) comme base, et exigez que les fournisseurs indiquent les contrôles mis en place et fournissent des preuves.
- Dans quels délais les fournisseurs doivent-ils signaler une brèche ?
- Les délais de notification dépendent du contrat ; exigez une notification immédiate et définissez une fenêtre courte et claire dans l'appel d'offres (par exemple, 72 heures) lors de la rédaction des termes.
- Qui applique les clauses de cybersécurité ?
- Les Services d'approvisionnement et l'administrateur du contrat appliquent les termes contractuels ; les questions pénales ou réglementaires peuvent impliquer d'autres autorités.
How-To
Comment inclure des exigences de cybersécurité dans un appel d'offres TI à Windsor :
- Identifiez les types de données et la classification pour le service contracté.
- Spécifiez les contrôles techniques et organisationnels minimaux et les normes acceptables.
- Définissez les exigences d'audit, de rapport et de notification d'incident, y compris les délais.
- Incluez des critères d'évaluation favorisant la conformité démontrée en matière de sécurité.
- Précisez les recours et le libellé contractuel en cas de brèche, y compris les droits de résiliation.
Points clés
- Intégrez la sécurité aux critères d'évaluation, pas seulement au contrat.
- Exigez des preuves et le droit d'auditer ou d'évaluer les contrôles du fournisseur.
- Les recours contractuels sont les principaux moyens d'application ; les amendes monétaires ne sont pas couramment publiées sur les pages d'approvisionnement.