Liste de vérification sécurité fournisseurs TI - Longueuil
Cette liste de vérification aide les fournisseurs TI qui préparent des soumissions pour des contrats municipaux à Longueuil, Québec. Elle se concentre sur les attentes en matière de sécurité, la conformité aux approvisionnements, la gestion des données et les étapes pour réduire les risques lors de la fourniture de services ou de logiciels à la ville. Utilisez la liste pour préparer la documentation, répondre aux questionnaires de sécurité et confirmer les processus de signalement et d'incident avant de déposer une proposition. Pour les règles d'approvisionnement et les avis d'appel d'offres, consultez les pages d'approvisionnement de la Ville de Longueuil Approvisionnement de la Ville[1].
Liste de vérification de sécurité principale pour les soumissionnaires
Les fournisseurs doivent rassembler des preuves et des politiques qui démontrent la gestion sécuritaire des données municipales et la résilience des services.
- Politiques de sécurité formelles et documents de gouvernance, y compris rôles et responsabilités.
- Règles de classification et de traitement des données précisant les catégories de données municipales et la conservation.
- Contrôles réseau et système : chiffrement en transit et au repos, pare-feu et segmentation.
- Plan d'intervention en cas d'incident avec délais de notification et points de contact.
- Preuves d'audits tiers ou de certifications (SOC 2, ISO 27001) ou cartographie des contrôles équivalents.
- Pratiques de gestion des changements et cycle de vie de développement sécurisé pour les fournisseurs de logiciels.
- Contrôle d'accès et gestion des identités : moindre privilège, MFA, procédures pour comptes privilégiés.
- Localisation des données et règles pour les sous-traitants : où les données municipales seront stockées et qui peut y accéder.
- Assurance et divulgations de responsabilité liées aux incidents cybernétiques.
Sanctions et application
Longueuil applique les modalités d'approvisionnement et les règlements municipaux par le biais de ses processus administratifs et juridiques ; les amendes monétaires spécifiques pour manquements à la sécurité TI ne sont généralement pas publiées comme amendes de règlement et doivent être vérifiées dans les documents contractuels ou les spécifications d'appel d'offres. Pour les règles générales d'approvisionnement, contactez le service des approvisionnements de la ville Approvisionnement de la Ville[1].
- Montants des amendes : non précisés sur la page citée pour les manquements à la sécurité TI ; consultez le contrat ou les documents d'appel d'offres.
- Escalade : le traitement des premières, répétées et continues infractions est déterminé par les recours contractuels et les voies de recours municipales, non précisé sur la page citée.
- Sanctions non monétaires : résiliation de contrat, suspension des privilèges de soumission, ordres de remise en état et saisie d'équipements par ordonnance judiciaire.
- Autorité : services des approvisionnements et services juridiques de la Ville de Longueuil ; application des règlements municipaux selon le cas.
- Voies d'inspection et de plainte : les plaintes ou avis de contrat sont soumis au bureau des approvisionnements ou au service identifié dans l'appel d'offres.
- Appels et révision : les différends contractuels suivent les recours et délais énoncés dans le contrat ; les appels administratifs pour les matières réglementaires suivent les procédures municipales et judiciaires.
- Défenses et pouvoir discrétionnaire : excuse raisonnable, plans d'action correctifs ou dérogations approuvées peuvent être envisagés si autorisés par le contrat ou l'autorité municipale.
Demandes et formulaires
Les exigences de soumission pour les preuves de sécurité sont définies dans les instructions aux soumissionnaires de chaque appel d'offres ; il n'existe pas de formulaire unique de sécurité TI publié sur la page citée. Lorsqu'un appel d'offres demande un questionnaire de sécurité, remplissez-le et soumettez-le avec l'offre conformément aux instructions de l'appel d'offres.[1]
Étapes d'évaluation des risques et documentation
- Avant la soumission : rassemblez certificats, rapports d'audit, assurances et un journal d'incidents avec informations sélectionnées.
- Soumission : incluez une annexe sécurité qui cartographie les exigences aux preuves fournies.
- Après attribution : complétez les vérifications d'intégration, fournissez les contacts et planifiez les audits requis.
FAQ
- Quels documents de sécurité dois-je joindre à une soumission municipale TI ?
- Joignez les politiques de sécurité, rapports d'audit (SOC 2, ISO 27001 si disponibles), plan d'intervention, classification des données et accords des sous-traitants.
- Longueuil publie-t-elle des exigences TI standard pour les fournisseurs ?
- Pas sous la forme d'un règlement TI consolidé sur la page citée ; les exigences spécifiques figurent dans chaque appel d'offres. Voir les consignes d'approvisionnement Approvisionnement de la Ville[1].
- Qui contacter pour signaler un incident de sécurité lié à un contrat municipal ?
- Signalez-le à l'agent contractuel indiqué dans l'appel d'offres et aux contacts des approvisionnements/juridiques de la Ville selon le contrat.
How-To
- Examinez les documents d'appel d'offres et relevez toutes les clauses de sécurité et de traitement des données.
- Cartographiez chaque clause à une preuve et préparez une annexe sécurité.
- Complétez les questionnaires exigés et certifiez les contrôles requis.
- Désignez un contact incident et incluez les délais de notification dans votre soumission.
- Confirmez les assurances et limites de responsabilité et joignez les attestations si demandé.
Points clés
- Préparez une cartographie concise entre exigences de l'appel d'offres et preuves.
- Utilisez des audits ou certifications reconnus pour diminuer le risque d'évaluation.
- Confirmez les contacts et délais de notification avant la signature du contrat.
Aide et ressources
- Ville de Longueuil - Approvisionnement
- Ville de Longueuil - Application des règlements
- Ville de Longueuil - Urbanisme / Permis