Évaluation de la maturité en cybersécurité des sociétés d’aide à l’enfance

Les sociétés visées par le Règl. de l’Ont. 51/26 et leurs obligations

Toute société d’aide à l’enfance de l’Ontario est une entité du secteur public prescrite au sens de l’article 2 du Règl. de l’Ont. 51/26, le règlement sur la cybersécurité pris en vertu de la Loi de 2024 visant à renforcer la sécurité et la confiance en matière de numérique. Ces règles s’appliquent depuis le 1er juillet 2026.¹ Le gouvernement de l’Ontario précise que les organismes autochtones chargés du bien-être des enfants et des familles sont également visés.²

Le texte est court et concret : sept obligations, présentées ci-dessous avec l’article qui crée chacune d’elles. La page sur le Règl. de l’Ont. 51/26 présente le règlement pour tous les secteurs. Ici, on regarde ce qu’elles signifient pour une société qui détient des dossiers de protection de l’enfance et assure un service après les heures.

Un incident, deux voies de déclaration : le ministère et la partie X de la LSEJF

Un cyberincident dans une société d’aide à l’enfance peut entraîner deux déclarations distinctes : un rapport au ministère en vertu du règlement sur la cybersécurité, et des avis sur la protection des renseignements personnels en vertu de la partie X de la Loi de 2017 sur les services à l’enfance, à la jeunesse et à la famille (LSEJF). Le paragraphe 7 (5) du règlement précise que les autres obligations légales de la société demeurent.¹

Selon l’article 308 de la LSEJF, le fournisseur de services, ce qui comprend une société, prend des mesures raisonnables pour protéger les renseignements personnels contre le vol, la perte et toute utilisation ou divulgation non autorisée. En cas de vol, de perte ou d’utilisation ou de divulgation sans autorisation, la société avise les personnes concernées à la première occasion raisonnable, puis le commissaire à l’information et à la protection de la vie privée et le ministre lorsque les circonstances prescrites sont réunies.⁴ Le commissaire publie des conseils sur la partie X à l’intention des fournisseurs de services.⁵

Un incident devient un cyberincident critique au sens du règlement lorsqu’il a eu des répercussions sur la sécurité, la continuité, la confidentialité, l’intégrité ou la disponibilité de l’information numérique de la société, ou sur l’infrastructure qui la stocke, et qu’il remplit au moins un de ces critères :¹

• des conséquences défavorables importantes pour la prestation des services publics, comme l’accueil des signalements ou l’intervention après les heures;
• un risque pour la sécurité publique;
• des efforts considérables de rétablissement, ou l’activation des plans d’intervention en cas d’incident lié à la cybersécurité;
• un risque considérable de nuire à la réputation de la société et à la confiance du public.

Notre façon d’évaluer la maturité en cybersécurité d’une société

Nous évaluons une société d’aide à l’enfance selon le cadre de cybersécurité 2.0 du NIST, la structure-cadre approuvée par le DGSI du ministère pour ces évaluations. L’outil d’ECM du ministère repose sur le même cadre et compte plus de 100 énoncés évalués pour six fonctions; une société peut aussi faire appel à un fournisseur externe si l’évaluation suit un cadre reconnu par le ministère, comme ce cadre.¹³ Les six fonctions sont : gouverner, identifier, protéger, détecter, répondre et rétablir.⁶

Le travail commence par une lettre de mandat signée. Elle nomme les systèmes visés, les personnes rencontrées, les dates et ce qui restera intact.

Ce que reçoivent le conseil d’administration et la personne-ressource principale

À la fin du mandat, la société détient une évaluation écrite qui lui appartient et qu’elle peut soumettre, ainsi que les documents dont sa direction a besoin pour agir. Comme la personne-ressource principale approuve le résumé transmis au ministère, elle reçoit d’abord une version en langage clair.¹

• un rapport de maturité en langage clair pour la direction générale et le conseil, avec le pointage global et les pointages par fonction;
• une annexe technique pour la personne responsable de l’informatique, avec chaque constat et l’endroit où se trouve la preuve;
• une liste des écarts classés par priorité : à corriger maintenant, cette année, ou d’ici la prochaine évaluation;
• un plan de travail qui nomme un responsable et une date cible pour chaque écart;
• une ébauche du résumé avec les quatre éléments exigés par l’article 6, prête à être revue et approuvée;
• une note brève sur les rôles en cas d’incident, pour le rapport de 72 heures et les avis prévus à la partie X.

Une petite société sans personnel informatique peut respecter l’échéance de 2027

Une société sans personnel informatique interne peut respecter l’échéance du 1er juillet 2027. Selon la FAQ du ministère, des connaissances en cybersécurité sont un atout pour les personnes qui réalisent l’évaluation, sans constituer une exigence.³ Une petite société a surtout besoin de quelques heures des personnes qui connaissent le travail, et d’un fournisseur qui maîtrise le cadre.

Le calendrier dépend de la rapidité à fixer les entrevues et du nombre de fournisseurs externes qui hébergent vos systèmes; la lettre de mandat fixe les dates avant le début des travaux. Une société qui a mené une évaluation entre le 1er juillet 2025 et le 30 juin 2026 peut la considérer comme évaluation initiale, à condition de vérifier qu’elle suit un cadre accepté par le ministère.^{1 3}