PL-04 - Règles de conduite   (PaFF)  (Obligatoire)

Énoncés :

a. Établir et communiquer les règles qui décrivent les responsabilités et le comportement attendu des personnes qui doivent accéder au système en ce qui concerne l’utilisation, la sécurité et la protection de la vie privée de l’information et du système
b. Obtenir des personnes devant accéder au système une attestation documentée selon laquelle elles ont lu et compris le document et acceptent de respecter les règles de conduite avant d’obtenir l’accès autorisé à l’information et au système
c. Passer en revue et mettre à jour les règles de conduite tous les [Affectation : fréquence définie par l’organisation]
d. Exiger que les personnes qui ont accepté de se conformer à une version antérieure des règles de conduite les lisent et les acceptent de nouveau [Sélection (un choix ou plus) : {Affectation : fréquence définie par l’organisation}; lorsque les règles sont révisées ou mises à jour]

Paramètres :

c. ans
d. lorsque les règles sont révisées ou mises à jour
aaQC. courriel, d’Internet et des outils technologiques; consignes à respecter lors d’événements douteux ou sortant de l’ordinaire (ex. réception de courriels malicieux, la détection de virus ou autres menaces).

Discussion :

Les règles de conduite représentent un type d’entente d’accès pour les utilisatrices et utilisateurs de l’organisation. D’autres types d’ententes d’accès comprennent les ententes régissant les conflits d’intérêts et les ententes d’utilisation acceptable (voir le contrôle PS-06). Les organisations devraient prévoir les règles de conduite selon les rôles et les responsabilités des utilisatrices et utilisateurs et faire une distinction entre les règles appliquées aux utilisatrices et utilisateurs privilégiés et celles appliquées aux utilisatrices et utilisateurs généraux. Il est souvent difficile d’établir des règles de conduite pour certains types d’utilisateurs non organisationnels, notamment des personnes qui reçoivent des renseignements de systèmes gouvernementaux, étant donné le grand nombre de ces utilisatrices et utilisateurs et la nature limitée de leurs interactions sur les systèmes. Les règles de conduite des utilisatrices et utilisateurs organisationnels et non organisationnels peuvent également être établies sous le contrôle AC-
08. La section des contrôles et des activités connexes fournit une liste des contrôles qui sont pertinents aux règles de conduite de l’organisation. Pour satisfaire le contrôle PL-04B (l’attestation documentée de ce contrôle), l’organisation peut offrir de la formation et de la sensibilisation en matière de sécurité, ainsi que des programmes de formation axés sur les rôles, si de telles formations traitent des règles de conduite. Les attestations documentées des règles de conduite comprennent le recours à des signatures électroniques ou physiques et l’utilisation de cases d’option pour l’acceptation électronique.