Directive de gestion des droits et des profils d’accès informatiques

Adoption
Instance	Date	Décision
Comité de direction	11 septembre 2020	CODIR-1665-1,1

Modification
Instance	Date	Décision	Commentaires
Régie du Rectorat

Révision	Aux trois (3) ans
Responsable	Vice-recteur ou vice rectrice aux affaires administratives et aux ressources
Parties prenantes	Service des technologies de l’information

1. Dispositions générales

1.1 Préambule

En assurant un contrôle efficace des accès à l’information, l’UQAC réduit les risques encourus à l’égard des objectifs d’intégrité, de disponibilité et de confidentialité de son information et répond à l’obligation gouvernementale énoncée au paragraphe (c) du premier alinéa de l’article 7 de la Directive sur la sécurité de l’information gouvernementale. Celle-ci fait obligation aux organismes publics de s’assurer de la mise en œuvre de processus formels de sécurité de l’information, dont la gestion des accès à l’information.

1.2 Objectifs

La présente directive définit les lignes règles en matière de gestion des accès et les responsabilités à assumer par les principaux intervenants, notamment la responsable organisationnelle de la sécurité de l’information (RSI), les détentrices et détenteurs de l’information (pilotes de systèmes), les gestionnaires des unités administratives et académiques, le Service des technologies de l’information ainsi que les utilisatrices et utilisateurs.

Références

Politique sur la sécurité des actifs informationnels (CAD- 11437)

Cadre de gestion de la sécurité informationnelle (CAD-11520)

1.4 Champ d’application

Cette directive s’applique à :

l’information que détient l’UQAC, que sa conservation soit assurée par elle-même ou par un tiers;
l’information confiée à l’UQAC en vertu d’une entente et qui est reconnue comme devant faire l’objet d’un contrôle d’accès;
l’infrastructure technologique de l’UQAC;

Toute personne physique ou morale qui, à titre d’employé, de consultant, de stagiaire, de partenaire ou de fournisseur, a un accès, sur place ou à distance, à l’information dont la sécurité est assurée par l’UQAC.

1.4 Lignes directrices

Dans la mesure du possible, un compte unique et nominatif est requis pour chaque accès octroyé. Les comptes génériques doivent être évités, à moins d’en justifier techniquement l’utilisation;

Les accès à l’information doivent être définis sur la base du principe du privilège minimal et du principe de séparation des tâches. Les mécanismes de contrôle d’accès doivent être mis en place en se basant sur le degré de sensibilité de l’information utilisée.

Le départ, le transfert ou la mutation d’une utilisatrice ou utilisateur ainsi que tout autre changement relatif à ses tâches et ses fonctions doit conduire systématiquement à la révision de ses droits d’accès.

Toute dérogation aux critères d’habilitation prévus pour disposer des accès requis pour une fonction organisationnelle doit être autorisée par la ou le gestionnaire et la détentrice ou le détenteur concernés.

Des règles d’autorisation et de restriction des accès à distance doivent être clairement définies et approuvées par les détentrices et détenteurs de l’information. L’utilisation de la technologie de réseau privé virtuel (VPN) est privilégiée. Les accès à ces réseaux privés ont une durée de vie limitée et doivent être renouvelés périodiquement.

Les équipements informatiques de l’organisme doivent être protégés adéquatement contre tout accès non autorisé et contre toute perte ou tout dommage qui pourrait être causé de façon accidentelle ou délibérée.

Les utilisatrices et utilisateurs de dispositifs mobiles doivent être sensibilisés aux risques de sécurité encourus par l’information à laquelle ils ont accès. Ils doivent être également formés à l’utilisation des bonnes pratiques en la matière.

L’attribution d’un accès à des données stratégiques est précédée d’un engagement formel de l’utilisatrice ou de l’utilisateur quant au respect des règles de protection des moyens d’accès fournis et au devoir de signalement en cas de divulgation non autorisée ou même de suspicion de divulgation d’information stratégique.

Le réseau de l’organisme doit être divisé en zones de sécurité, si requis. Les niveaux de sécurité de ces zones sont en fonction du degré de sensibilité de l’information et de la criticité des applications.

2. Rôles et responsabilités

Dans le cadre de la mise en place d’un processus de gestion des accès, les principales responsabilités assignées par la présente procédure sont les suivantes :

2.1 Régie du Rectorat :

approuve la présente directive et en assure la diffusion;
s’assure de la mise en place du processus formel de gestion des accès à l’information au sein de son organisme;
approuve toute dérogation aux dispositions de la directive.

2.2 Responsable de la sécurité informationnelle :

approuve le processus de gestion des accès et le soumet pour approbation à la Régie du Rectorat de l’UQAC;
s’assure de la mise en œuvre du processus de gestion des accès.

2.2.1 La ou les conseillère(s) ou le ou les conseiller(s) organisationnel(s) de la sécurité de l’information (COSI) :

soutien les gestionnaires académiques et administratifs, les détentrices ou détenteurs d’actifs informationnels et les pilotes de systèmes dans la mise en œuvre et le maintien du processus de gestion des accès;
définit les procédures régissant les arrivées, départs et mouvement de personnel;
organise des séances de sensibilisation des utilisatrices et utilisateurs.

2.2.2 Les détentrices et détenteurs de l’information, gestionnaires ou leurs représentantes ou représentants (pilotes de systèmes) :

définissent les profils d’accès applicatifs supportés par les systèmes de mission (applications) relevant de leur autorité;
définissent les règles d’autorisation et de restriction des accès à l’information relevant de leur autorité sur la base du principe du privilège minimal et du principe de la séparation des tâches;
autorisent, modifient ou retirent les accès à l’information relevant de leur autorité dans un délai raisonnable;
conservent l’information relative aux demandes d’accès, de modifications ou suppressions.

2.2.2.1 Révisent périodiquement les accès :

les accès attribués doivent être revus de manière périodique. Les droits, leurs modifications et leurs violations doivent être répertoriés;
les habilitations consignées au référentiel des habilitations doivent être, en tout temps, conformes aux descriptions de tâches associées aux fonctions organisationnelles et aux profils d’accès à l’information;
un audit des mécanismes de contrôle de gestion des accès doit être effectué périodiquement;
un registre des détentrices et détenteurs d’actifs est maintenu au service des technologies de l’information.

2.2.3 Le Service des technologies de l’information :

met en place les solutions technologiques répondant aux exigences de la directive de gestion des accès;
met en place les outils de journalisation des accès;
s’assure que les utilisatrices et utilisateurs n’ont pas accès à leur poste de travail en tant qu’administrateurs et que toute exception est documentée et approuvée;
met en place sur les postes de travail des mesures de protection contre les accès non autorisés et les vulnérabilités logicielles;
met en place les mécanismes de surveillance et de contrôle des méthodes d’accès à distance (VPN);
soutien les détentrices et détenteurs d’information, gestionnaires ou leur représentant dans la mise en place et le suivi de la gestion des accès.

2.2.4 L’utilisatrice ou l’utilisateur :

n’emploie l’information à laquelle il a accès que pour des tâches qui lui sont assignées;
est responsable des accès qui lui sont octroyés et redevable auprès de ses gestionnaires de toute action exécutée en utilisant son identifiant et son authentifiant;
n’utilise un compte administrateur (Compte 2) que pour effectuer des actions qui le requièrent;
s’engage au respect des règles de protection mises en place;
ne partage sous aucun prétexte ses informations de connexion aux environnements et systèmes d’information;
signale, sans délai, toute atteinte à la sécurité de l’information à laquelle il accède.

2.3 Sanctions

Lorsqu’une utilisatrice ou un utilisateur contrevient à la présente, il s’expose à des mesures disciplinaires, administratives ou légales en fonction de son geste. Ces mesures peuvent inclure la suspension des privilèges, la réprimande, la suspension, le congédiement ou autre, et ce, conformément aux dispositions des conventions collectives, des ententes ou des contrats. L’établissement peut transmettre à toute autorité judiciaire les renseignements colligés et qui portent à croire qu’une infraction à toute loi ou règlement a été commise.

2.4 Directives associées au présent document :

3. Mise à jour

La présente directive est mise à jour au besoin minimalement à tous les trois (3) ans. La mise à jour est adoptée par la Régie du Rectorat.

4. Dispositions finales

La présente directive entre en vigueur au moment de son adoption par le Comité de direction.