Quels hôpitaux publics sont visés par le Règl. 51/26?+
Le règlement vise les hôpitaux publics classés dans les groupes A, B ou C selon la Loi sur les hôpitaux publics, ainsi que l’Institut de cardiologie de l’Université d’Ottawa. Le ministère les décrit comme les hôpitaux publics de soins actifs et exclut les hôpitaux privés. Un hôpital public d’un autre groupe ne figure pas à la liste et devrait faire confirmer sa situation.
Comment l’ECM s’arrime-t-elle aux exigences de Santé Ontario?+
Les hôpitaux qui suivent le modèle d’opération en matière de cybersécurité de Santé Ontario remplissent une ECM annuelle dans l’outil de Santé Ontario avec leur groupe local de prestation de services. Le ministère accepte cet outil, fondé sur le NIST CSF 2.0, pour le règlement. Santé Ontario extrait le résumé, l’hôpital l’approuve, puis Santé Ontario et le GLPS le transmettent au DGSI.
Faut-il une deuxième évaluation si l’hôpital utilise déjà l’outil de Santé Ontario?+
Selon le ministère, l’hôpital qui a réalisé son ECM dans l’outil de Santé Ontario n’a pas à la refaire. La même évaluation et le même résumé servent à Santé Ontario et au règlement. Ce qui change, c’est la responsabilité : l’hôpital approuve le résumé et répond de son exactitude, d’où l’importance des preuves derrière chaque cote.
Comment la LPRPS s’applique-t-elle aux incidents?+
Elle s’applique en parallèle. Le règlement exige la déclaration des cyberincidents critiques au ministère dans les 72 heures suivant leur confirmation, par l’entremise de Santé Ontario pour les hôpitaux. L’article 12 de la LPRPS exige un avis aux patients touchés à la première occasion raisonnable et, dans les cas prescrits comme un vol ou une atteinte importante, un avis au commissaire.
Combien de temps dure l’évaluation dans un hôpital?+
L’évaluation standard de la province compte plus de 100 énoncés répartis sur six fonctions, et le ministère précise que la durée dépend du degré de préparation de l’organisme. Un hôpital dont les preuves sont déjà organisées avance vite; un dossier dispersé demande plus de temps. Après un premier entretien et un coup d’œil aux documents, nous inscrivons un calendrier réaliste dans la lettre de mandat.
Que doit faire un hôpital en premier lorsqu’il soupçonne un cyberincident?+
Éviter d’effacer, de réinstaller ou de restaurer les postes touchés, de payer qui que ce soit ou de supprimer des journaux avant que les bonnes personnes soient en jeu. Aviser Santé Ontario selon le Guide d’intervention en cas d’incident, appeler la police si l’incident semble criminel et prévenir l’assureur cyber. Le Centre canadien pour la cybersécurité reçoit aussi les signalements. Pour une aide directe, utilisez notre page d’urgence.
Combien coûte un mandat de cybersécurité pour un hôpital?+
Le prix dépend du nombre de sites, des systèmes visés, des preuves déjà disponibles et du fait que vous nous confiiez aussi les corrections techniques. Après un entretien de 30 minutes, nous envoyons une lettre de mandat avec un prix fixe pour le travail convenu. L’hôpital approuve ce montant avant le début des travaux, et c’est celui qu’il paie.
