Sécurité

Pour protéger les renseignements sur la santé, nous avons mis en œuvre les mesures énumérées ci-dessous :

Mesures administratives

• CyberSanté Ontario a nommé des personnes responsables de la protection de la vie privée et de la sécurité, à savoir le directeur général de la protection de la vie privée et le chef de la sécurité de l’information.
• CyberSanté Ontario dispose d’un ensemble complet de politiques sur la sécurité des renseignements qui sont régulièrement revues et améliorées. Les membres du personnel et les entrepreneurs sont tenus de lire les politiques pertinentes et de signer une attestation confirmant qu’ils ont lu et compris les politiques et qu’ils s’engagent à s’y conformer. 
• Tous les employés et les entrepreneurs doivent signer des accords de confidentialité et faire l’objet d’une vérification des antécédents judiciaires avant d’entrer en fonction ou de fournir des services à cyberSanté Ontario. CyberSanté Ontario a une politique d’enquête sur la sécurité qui exige que les membres du personnel doivent avoir un niveau approprié d’habilitation de sécurité en fonction de la sensibilité des renseignements auxquels ils peuvent avoir accès.
• CyberSanté Ontario dispose de programmes de sensibilisation et de formation obligatoires en matière de protection de la vie privée et de sécurité à l’intention du personnel, qui comprennent un examen visant à confirmer que les principales notions et que les exigences relatives au comportement ont été comprises.
• Le personnel et les entrepreneurs de cyberSanté Ontario n’ont généralement pas la capacité ou l’autorisation d’accéder aux renseignements personnels sur la santé. Si l’accès à ces renseignements s’avère nécessaire dans le cadre de la prestation de services de l’organisme, les personnes susmentionnées doivent respecter les politiques de ce dernier, et il leur est interdit d’utiliser ou de divulguer de tels renseignements à d’autres fins.
• CyberSanté Ontario veille, grâce à des contrats et à des ententes officielles de niveau de services, à ce que les tiers qu’il embauche pour fournir des services à cyberSanté Ontario ou à des dépositaires de renseignements sur la santé se conforment aux restrictions et aux conditions qui permettent à cyberSanté Ontario de s’acquitter pleinement de ses responsabilités juridiques.
• Le personnel, les consultants, les fournisseurs et les clients de cyberSanté Ontario doivent signaler rapidement à cyberSanté Ontario tout manquement à la protection de la vie privée et toute atteinte à la sécurité aux fins d’enquête. Un programme de gestion interne des incidents touchant la sécurité et la protection de la vie privée (ESPIM) a été établi pour assurer la gestion des incidents et les activités régulières de formation et de sensibilisation des membres du personnel qui participent à la gestion des incidents.
• Les évaluations des menaces et des risques (EMR) à la sécurité sont menées dans le cadre de l’élaboration des produits et des services et lors du déploiement pour les clients. Des activités d’atténuation des risques à la sécurité sont prévues, confiées à une personne responsable, consignées et suivies dans le cadre de chaque évaluation.
• CyberSanté Ontario fournit aux dépositaires de renseignements sur la santé concernés une copie écrite des résultats des évaluations de l’impact sur la vie privée et des évaluations des menaces et des risques à la sécurité.
• CyberSanté Ontario a établi un programme officiel de gestion des risques, y compris une politique et des lignes directrices sur la gestion interne des risques. Un forum de gestion spécialisée, le groupe de responsables de la sécurité, fournit une orientation stratégique et assure la surveillance de la gouvernance du programme de sécurité, notamment l’examen périodique des risques et les plans correspondants de traitement des risques.
• Des registres des activités des utilisateurs, des activités des administrateurs de système, des dérogations et des événements touchant la sécurité des renseignements doivent être tenus et conservés en ligne pendant au moins six mois et archivés pendant au moins 18 mois, afin de faciliter la gestion des incidents et des problèmes, les futures enquêtes et la surveillance du contrôle de l’accès. 
• CyberSanté Ontario tient un registre électronique de tous les accès aux renseignements personnels sur la santé contenus dans le dossier de santé électronique et l’organisme est en voie d’élaborer des solutions visant à faire en sorte qu’un dossier identifie la personne qui a accédé à des renseignements et sauvegarde la date.    
• Les registres de données qui sont nécessaires en cas de litige doivent être conservés jusqu’à ce que le différend juridique soit réglé.

Mesures techniques

• Des mots de passe robustes, des jetons sécurisés et d’autres solutions d’authentification sont nécessaires pour accéder aux renseignements sensibles.
• L’accès administratif au matériel de TI et aux applications est fourni en fonction du principe « besoin de connaître », contrôlé à l’aide d’une autorisation appropriée et d’une authentification forte à deux facteurs. Toutes les activités d’accès au système et aux applications sont consignées.
• Le trafic sur le réseau est surveillé et géré à l’aide des mécanismes de sécurité comme des routeurs, des commutateurs, des pare-feu réseau, des systèmes de détection des intrusions et des programmes antivirus.
• Toutes les données confidentielles sont chiffrées lorsqu’elles sont transmises entre des sources externes et les systèmes de cyberSanté Ontario.
• Toutes les données stockées sur les ordinateurs du personnel sont chiffrées. Si un ordinateur portable est perdu ou volé, la confidentialité et l’intégrité des données ne sont pas à risque.
• Des contrôles de l’intégrité des données sont effectués dans le cadre d’une activité d’assurance qualité des renseignements personnels sur la santé fournis à cyberSanté Ontario par les dépositaires de renseignements sur la santé. Les contrôles d'intégrité des données sont également utilisés pour empêcher la modification et la destruction non autorisées de ces données.
• Des évaluations indépendantes de la vulnérabilité des configurations techniques et des pratiques de sécurité opérationnelle sont effectuées périodiquement.
• Un processus de gestion des rustines est en place pour veiller à ce que les systèmes d’exploitation, les bases de données et les applications reçoivent les rustines de sécurité et les mises à jour fonctionnelles en temps opportun.
• Lors de la cessation d’un emploi ou à la fin d’un contrat, tous les comptes des anciens membres du personnel ou consultants sont supprimés, et l’accès est désactivé.
• Les données et les applications sont sauvegardées régulièrement, et elles peuvent être facilement restaurées en cas d’incidents opérationnels.
• Un plan complet de reprise après sinistre et un plan de continuité des activités ont été élaborés et sont testés et mis à jour périodiquement.

Mesures physiques

• Les centres de données de cybersanté de l’Ontario ont été spécialement conçus et sont dotés de contrôles environnementaux appropriés. Ils sont physiquement protégés contre tout accès non autorisé. Ils sont surveillés par un personnel de sécurité qualifié présent en permanence.
• Des zones de sécurité particulières sont établies afin de séparer et de contrôler l’accès aux zones publiques, de livraison et de chargement, aux bureaux et aux salles d’ordinateurs, avec des contrôles de sécurité physiques de plus en plus rigoureux.
• Les contrôles de sécurité physique des centres de données ont été validés par une tierce partie indépendante, conformément aux normes du gouvernement fédéral, et à l’aide d’évaluations internes des menaces et des risques.
• L’accès aux bureaux est contrôlé par des laissez-passer, et les déplacements dans les bureaux sont enregistrés par des caméras de sécurité.
• L’accès aux bureaux où les activités exigent un accès à des renseignements personnels et à des renseignements personnels sur la santé est physiquement limité aux seuls membres du personnel dont le rôle consiste à traiter les renseignements personnels et les renseignements personnels sur la santé. Les autres membres du personnel n’ont pas accès à ces zones, que ce soit physiquement ou par le biais du système informatique.
• Les visiteurs et les fournisseurs externes qui se rendent aux bureaux de cyberSanté Ontario doivent être munis d’un laissez-passer et ils sont escortés en tout temps par des membres du personnel à temps plein.
• Le matériel mis hors service qui a servi à traiter ou à stocker des renseignements personnels ou des renseignements personnels sur la santé est éliminé, selon les procédures approuvées.
• Des procédures et du matériel appropriés sont en place pour l’élimination sécuritaire du papier, des CD ou d’autres médias pouvant contenir des renseignements confidentiels.