SA-21 - Filtrage de sécurité des développeuses et développeurs   (PaFF)

Énoncés :

Exiger que la développeuse ou le développeur de [Affectation : système, composant de système ou service qui s’y rapporte désigné par l’organisation] :
a. dispose des autorisations d’accès requises en fonction des [Affectation : responsabilités gouvernementales officielles définies par l’organisation] qui ont été attribuées
b. satisfasse aux critères additionnels de filtrage de sécurité du personnel définis par l’organisation : [Affectation : critères additionnels de sélection du personnel définis par l’organisation]

Paramètres :

Discussion :

Le filtrage de sécurité des développeuses et développeurs concerne les développeurs externes. Le filtrage de sécurité des développeuses et développeurs internes est abordé dans le contrôle PS-
03. Puisque les systèmes, les composants de systèmes ou les services qui s’y rapportent peuvent être employés dans le cadre d’activités de nature critique qui s’avèrent essentielles à la protection des intérêts du Québec en matière de sécurité ou économique, il est primordial que les organisations s’assurent que les développeuses et développeurs soient dignes de confiance. Il se pourrait que le niveau de fiabilité des développeuses et développeurs doive correspondre à celui des autres personnes ayant accès aux systèmes, aux composants ou aux services après le déploiement. Les habilitations de sécurité, les vérifications des antécédents, la citoyenneté et la nationalité sont des exemples de critères d’autorisation d’accès ou de filtrage de sécurité du personnel. La vérification de la fiabilité des développeuses et développeurs peut également nécessiter l’examen et l’analyse des titres de propriété ainsi que des relations que l’entreprise entretient avec des entités pouvant interférer avec la qualité ou la fiabilité des systèmes, des composants ou des services en cours de développement. Le fait de respecter les critères visant les autorisations d’accès et le filtrage de sécurité du personnel se manifeste par la production de listes des personnes autorisées à mener des activités de développement sur les divers systèmes, composants de systèmes et/ou services qui s’y rapportent, de façon à permettre aux organisations d’établir si une développeuse ou un développeur répond aux exigences relatives aux autorisations d’accès et au filtrage de sécurité.