Liste de contrôle sur l’état de préparation en matière de numérique et de cybersécurité

Nos principaux appareils professionnels (ordinateurs de bureau, ordinateurs portables et tablettes importantes) utilisent des systèmes d’exploitation pris en charge et reçoivent des mises à jour régulières.

Nous utilisons des versions sous licence et prises en charge de logiciels essentiels (p. ex., outils bureautiques et logiciels de comptabilité ou de gestion de la relation avec la clientèle) plutôt que des versions obsolètes ou provenant de sources inconnues.

Nous disposons d’une personne-ressource clairement désignée pour le soutien informatique de base (interne ou externe), qui est chargé de l’entretien et des mises à jour des systèmes.

Nous savons quels appareils et systèmes sont utilisés à des fins professionnelles, y compris les appareils appartenant au personnel et utilisés pour le travail.

Les appareils sont protégés par un verrouillage d’écran et des mots de passe.

Les appareils perdus ou volés peuvent être effacés à distance.

Tous les appareils professionnels sont munis d’une protection antivirus ou antimaliciels activée et mise à jour régulièrement.

Les systèmes d’exploitation et les applications clés sont configurés pour recevoir régulièrement des mises à jour de sécurité.

Des mots de passe forts et uniques sont utilisés pour la messagerie électronique, les services bancaires, les services infonuagiques et d’autres comptes clés (ils ne sont pas utilisés par plusieurs services).

Dans la mesure du possible, l’authentification multifacteur est activée pour les services importants tels que la messagerie électronique, les services bancaires en ligne, la comptabilité ou les outils de collaboration.

Le personnel reçoit de façon régulière des directives de base et des rappels sur la manière de détecter et de traiter les courriels, les liens ou les pièces jointes suspects (p. ex., ne pas cliquer sur des liens inconnus ou vérifier les coordonnées de l’expéditeur).

Lorsqu’un membre du personnel quitte l’entreprise, nous disposons d’une procédure simple pour révoquer son accès et récupérer les appareils ou comptes professionnels.

Notre domaine dispose d’une protection de base pour la messagerie électronique.

Nous savons qui contacter en cas d’incident de sécurité informatique (p. ex., le service informatique, la banque ou l’assureur chargé des risques informatiques).

Notre site Web ou notre profil en ligne principal est raisonnablement à jour, et il présente des coordonnées exactes et des descriptions actuelles des produits ou services.

Aucun avertissement de sécurité évident n’apparaît lors de la consultation de notre site Web (p. ex., des avertissements du navigateur concernant des certificats non sécurisés ou expirés).

Nous pouvons accéder à notre site Web et le mettre à jour en toute sécurité, et nous savons qui contrôle le domaine, l’hébergement et les identifiants de gestion de contenu.

Nous utilisons des adresses électroniques professionnelles (idéalement avec notre propre domaine) plutôt que de recourir à des comptes de messagerie personnels gratuits.

Les clients et partenaires potentiels à l’étranger disposent d’au moins un moyen clair et fiable de nous contacter (p. ex., formulaire de contact, courriel ou téléphone), lequel fait l’objet d’une surveillance régulière.

L’enregistrement et le renouvellement du nom de domaine sont surveillés en vue d’éviter toute expiration accidentelle.

Nous sommes en mesure de créer, d’envoyer et de stocker des documents d’importance par voie électronique (p. ex., devis, factures, contrats et documents d’expédition).

Les documents commerciaux importants sont stockés dans des emplacements partagés (p. ex., des disques partagés ou des dossiers infonuagiques), et non uniquement sur des appareils individuels.

L’accès aux fichiers sensibles (p. ex., contrats, documents financiers et dossiers de ressources humaines) est limité aux personnes qui en ont besoin dans le cadre de leurs fonctions.

Nous disposons d’au moins une méthode de sauvegarde pour les données commerciales importantes (p. ex., sauvegarde infonuagique ou disque externe) et savons comment restaurer ces données.

Nous avons déterminé les principaux systèmes gouvernementaux et liés à la réglementation en ligne que nous devrons utiliser (p. ex., le Système canadien de déclaration des exportations, le Portail client de la Gestion des cotisations et des recettes [GCRA] et les systèmes d’exportation et d’octroi de permis d’autres administrations), et nous savons qui est responsable de chaque compte.

Nous avons accès à des portails liés au commerce (p. ex., le Portail client de la GCRA, le nouveau système des contrôles à l’exportation et à l’importation [NSCEI], les portails d’autorités étrangères de réglementation des aliments et des drogues tels que la Food and Drug Administration des États-Unis, et les systèmes de Santé Canada), qui ont recours à des identifiants individuels, à des pratiques sécurisées en matière de mots de passe et à une authentification multifacteur.

Nous avons accès aux comptes pertinents de transporteurs, de places de marché et de plateformes de commerce électronique (p. ex., logiciels d’expédition, tableaux de bord de boutiques en ligne et comptes de vendeurs sur des places de marché), qui sont gérés conformément à nos politiques de sécurité et par des responsables de compte clairement identifiés, ce qui inclut des procédures de désactivation des comptes lorsque des membres du personnel quittent l’entreprise ou que nous cessons de faire affaire avec un entrepreneur.

Nous disposons d’une procédure simple pour nommer et numéroter les versions des documents importants de sorte que chacun puisse retrouver la version actuelle.

Nous avons une compréhension générale des données à caractère personnel ou sensible que nous collectons (p. ex., des coordonnées de clients, des informations de paiement et des données de salariés).

Nous prenons des précautions simples pour protéger les données à caractère personnel et sensible (p. ex., verrouillage des appareils, partage limité de fichiers et éviter le stockage public non chiffré).

Nous connaissons les obligations canadiennes en matière de protection des renseignements personnels.

Nous comprenons que les exigences en matière de protection de la vie privée et de protection des données peuvent varier d’un pays à l’autre, et nous sommes prêts à nous renseigner à ce sujet à mesure que nous nous élargissons nos activités.

Si nous perdions l’accès aux données des clients ou de l’entreprise à la suite d’un incident, nous avons une idée générale des personnes qui seraient concernées et de la manière dont nous réagirions.