Ce qui la distingue d’un audit ou d’un balayage
L’évaluation de la maturité porte sur la façon dont la cybersécurité est gérée : qui décide, quelles pratiques sont écrites, avec quelle constance elles sont suivies et si quelqu’un en vérifie le résultat. Un audit de sécurité examine les systèmes et relève des faiblesses précises, comme une extension périmée ou un compte d’administrateur sans deuxième étape de connexion. Un balayage de vulnérabilités est encore plus étroit : une recherche automatisée de failles connues.
Le Règl. de l’Ont. 51/26 définit l’évaluation comme une évaluation du statut ou des progrès d’une entité en ce qui concerne la cybersécurité, effectuée conformément aux normes de l’industrie ou aux pratiques exemplaires qu’appuie le directeur général de la sécurité de l’information du ministère. Elle aboutit à un niveau, avec les écarts qui séparent ce niveau du suivant.
Comment l’évaluation ontarienne est construite
L’outil de Cybersécurité Ontario utilise des énoncés de résultats répartis sur les six fonctions du cadre de cybersécurité 2.0 du NIST : Gouverner, Identifier, Protéger, Détecter, Intervenir et Récupérer. La cotation est harmonisée avec les niveaux du modèle d’intégration de la maturité des capacités (CMMI), et chaque énoncé est coté du niveau 0, inexistant, au niveau 5, optimisé. L’évaluation standard contient plus de 100 énoncés.
L’outil produit un résumé téléchargeable avec une note de maturité consolidée et des notes par catégorie. Les preuves restent dans l’organisation : les entrées se limitent à des descripteurs généraux, comme les rôles consultés et l’endroit où les preuves sont stockées. L’outil est offert en français et en anglais.
Qui cote, qui approuve
L’outil provincial répartit le travail en rôles. Le responsable des contacts inscrit les personnes désignées de l’organisation. L’évaluateur recueille les renseignements, interroge des spécialistes, analyse et saisit les notes. L’approbateur examine le résultat, donne l’accord interne et décide de soumettre ou non le résumé; Cybersécurité Ontario suggère que l’approbateur soit un membre de la direction qui n’est pas aussi évaluateur.
C’est cette séparation qui rend une note défendable. Une note saisie par la personne qui l’approuve ressemble à une autoévaluation, et l’examen suivant finit souvent par trouver l’écart.
Qui doit la faire, et à quelle fréquence
Selon le Règl. de l’Ont. 51/26, les conseils scolaires, les collèges et universités, les hôpitaux publics des groupes A, B et C, l’Institut de cardiologie de l’Université d’Ottawa et les sociétés d’aide à l’enfance doivent effectuer une première évaluation au plus tard le 1er juillet 2027, puis au moins une fois par période de deux ans. Pour les organisations qui ne figurent pas sur cette liste, Cybersécurité Ontario indique que l’outil est facultatif et recommande de le faire au moins une fois pour établir un point de référence, puis au moins une fois tous les deux ans.
Le règlement n’impose pas cette obligation aux entreprises privées. La méthode leur sert tout de même de point de départ avant un renouvellement d’assurance, le questionnaire de sécurité d’un client ou une démarche de certification, et notre page sur le Règl. de l’Ont. 51/26 explique comment nous menons l’évaluation pour les entités visées.
