Évaluation de la maturité en matière de cybersécurité des conseils scolaires de l’Ontario

Cybersécurité dans les écoles de l’Ontario : les règles en vigueur depuis 2026

Trois ensembles de règles encadrent maintenant la cybersécurité des écoles de l’Ontario, chacun avec sa propre date d’entrée en vigueur. Le Règl. de l’Ont. 51/26 nomme « un conseil scolaire » parmi les entités du secteur public prescrites, et la Loi définit le conseil scolaire par renvoi à la Loi sur l’éducation.¹³ Le Règl. de l’Ont. 52/26 ajoute des avis sur les renseignements des élèves transmis à des applications logicielles, et la LAIMPVP modifiée ajoute le signalement des atteintes à la vie privée à compter du 1er janvier 2027.²⁷

Le Règl. de l’Ont. 51/26 est présenté article par article sur sa propre page. Ici : qui approuve, ce qui est évalué et comment les régimes se croisent après un incident.

Personne-ressource principale et suppléant : qui répond pour le conseil

Chaque conseil scolaire doit désigner deux employés de la haute direction pour la cybersécurité, une personne-ressource principale et un suppléant, en vertu du Règl. de l’Ont. 51/26, et les deux doivent détenir un pouvoir décisionnel en la matière.¹ La personne-ressource principale communique avec le ministère et approuve chaque résumé d’évaluation; le suppléant prend le relais lorsqu’elle n’est pas en mesure de le faire.

Le règlement fixe le niveau du poste et laisse le titre au conseil. Les coordonnées des deux personnes sont transmises au directeur général de la sécurité de l’information (DGSI) du ministère des Services au public et aux entreprises et de l’Approvisionnement, et tout changement suit dans les 10 jours ouvrables.¹⁴

• Élaborer et mettre en œuvre un programme de cybersécurité conforme, à tout le moins, au règlement (art. 3).¹
• Désigner une personne-ressource principale et un suppléant, tous deux cadres supérieurs (par. 4 (1) et (2)).¹
• Communiquer leurs coordonnées au DGSI et l’aviser de tout changement dans les 10 jours ouvrables (par. 4 (4)).¹
• Signaler un cyberincident critique au DGSI au plus tard 72 heures après sa confirmation (par. 7 (3)).¹

Maturité en cybersécurité d’un conseil scolaire : ce qui est évalué

L’évaluation de la maturité en matière de cybersécurité mesure l’état et les progrès du conseil selon des normes de l’industrie ou des pratiques exemplaires qu’appuie le directeur général de la sécurité de l’information du ministère.¹ L’outil d’évaluation de Cybersécurité Ontario s’appuie sur le cadre de cybersécurité 2.0 du NIST, adapté à l’Ontario, et note chaque énoncé du niveau 0 (inexistant) au niveau 5 (optimisé).⁵⁹

L’évaluation type compte plus de 100 énoncés répartis en six fonctions : gouvernance, identification, protection, détection, réponse et rétablissement.⁶⁵ Le conseil peut remplir l’évaluation dans l’outil ou transmettre son propre résumé au DGSI. Dans les deux cas, le résumé est dû dans les 30 jours ouvrables suivant la fin de l’évaluation et précise la méthode, le modèle ou cadre utilisé, un pointage global et les aspects à améliorer.⁶¹

Renseignements numériques des élèves : le Règl. de l’Ont. 52/26

Chaque conseil scolaire de l’Ontario est un conseil prescrit pour les renseignements numériques personnels de ses élèves, au sens du Règl. de l’Ont. 52/26. Lorsque ces renseignements seront divulgués au tiers propriétaire ou exploitant d’une application logicielle que le conseil utilise pour ses fonctions prévues par la Loi sur l’éducation, ou qu’il acquiert pour les élèves, il remet un avis écrit : au parent ou au tuteur pour un élève de moins de 16 ans, à l’élève lui-même à 16 et 17 ans.²

L’avis précise les renseignements visés, l’autorité légale, la fin poursuivie, l’application et son exploitant, la personne à joindre au conseil et les droits de l’élève ou du parent.² Selon le gouvernement, ce règlement vise uniquement les conseils scolaires.⁴ Les conseillers juridiques rédigent les avis. Notre part est l’inventaire des applications qui reçoivent des données d’élèves, de ce que chacune reçoit et de qui y accède; il sert aussi à l’évaluation et à l’examen d’une éventuelle atteinte.

Après un incident : deux rapports, deux destinataires

Un cyberincident grave dans un conseil scolaire peut entraîner deux rapports distincts, adressés à deux autorités différentes et soumis à deux délais différents. Le cyberincident critique est signalé au DGSI dans les 72 heures suivant sa confirmation; à compter du 1er janvier 2027, la LAIMPVP exige aussi un rapport au commissaire à l’information et à la protection de la vie privée en cas de vol, de perte ou d’utilisation non autorisée de renseignements personnels qui crée un risque réel de préjudice grave.¹⁷

Le règlement laisse intactes les autres obligations légales du conseil.¹ Un même incident peut relever des deux régimes, d’un seul ou d’aucun. En vertu de la LAIMPVP, le conseil avise aussi les personnes touchées, les informe de leur droit de porter plainte au commissaire et tient un registre de chaque atteinte.⁷

Le déroulement de l’évaluation avec un conseil scolaire

Nous préparons l’évaluation en quatre étapes, après la signature d’une lettre de mandat, et le conseil garde toutes les décisions. Le calendrier dépend du nombre d’écoles et de systèmes visés et figure dans la lettre de mandat. Commencer un semestre avant le 1er juillet 2027 laisse le temps de corriger les premiers constats.

Une évaluation faite dans l’année précédant le 1er juillet 2026 peut compter comme évaluation initiale (par. 5 (2)); nous la comparons alors au contenu exigé du résumé.¹

Ce que le conseil a en main à la fin

Le conseil reçoit un rapport de maturité en langage clair et tout ce qu’il faut à sa personne-ressource principale pour approuver et transmettre le résumé.

• Un rapport en langage clair pour les conseillers scolaires et la haute direction, avec annexe technique
• Une note justifiée pour chaque énoncé, prête à saisir dans l’outil
• Un projet de résumé avec les quatre éléments exigés par l’art. 6 : méthode, modèle ou cadre, pointage global, aspects à améliorer¹
• La liste des écarts par priorité, avec responsables et échéances
• L’inventaire des applications qui reçoivent des données d’élèves, s’il fait partie du mandat
• Une page : qui signale quoi, à qui, après un incident