Vous êtes une jeune entreprise de 12 personnes. Voici dans quel ordre faire la conformité.

Si vous êtes douze personnes avec une clientèle qui grandit, faites ces choses dans cet ordre : savoir quelles données vous détenez, contrôler qui peut les atteindre, rédiger les deux documents réellement exigés, rendre la conservation effective, puis viser une certification seulement quand une transaction en dépend. La plupart des jeunes entreprises font cette liste à l'envers, en commençant par la certification parce qu'un acheteur l'a nommée, et passent trois mois à bâtir des preuves pour des contrôles qui n'existent pas encore.

Étape un : savoir ce que vous détenez

Deux semaines, une personne, et cela rend tout le reste moins coûteux.

Bâtissez une cartographie des flux sommaire : quels renseignements personnels vous recueillez, par où ils entrent, quels systèmes les détiennent, quels tiers les reçoivent et où ils résident géographiquement. N'achetez pas d'outil pour cela. Interrogez quatre personnes et consignez le résultat.

Vous cherchez trois réponses précises, car elles débloquent tout le reste. Pouvez-vous produire sur demande toutes les données concernant une personne ? Connaissez-vous chaque tiers recevant des renseignements personnels ? Quelque chose quitte-t-il le Canada, et quelqu'un l'a-t-il évalué ?

Si l'une des réponses est non, c'est votre premier projet. Une certification ne peut pas s'y substituer, car l'auditeur posera la même question et vous n'aurez pas davantage de réponse.

Étape deux : contrôler les accès

Le contrôle le plus rentable à cette taille, et le moins coûteux.

Activez l'authentification multifacteur partout, retirez les accès le jour même du départ, utilisez des groupes plutôt que des attributions individuelles, et révisez trimestriellement qui accède aux données de production. C'est toute l'étape. Elle referme plus de risque réel que tout ce que vous pouvez faire en un mois, et tous les cadres que vous pourriez viser l'exigent.

Le seul ajout à faire tôt : séparez l'accès aux données clients de production de l'accès au reste, et gardez la liste des personnes disposant de cet accès assez courte pour la réciter de mémoire.

Étape trois : rédiger les deux documents nécessaires

Une politique de confidentialité correspondant à ce que vous faites réellement, et une procédure interne de réponse aux incidents. Pas une bibliothèque de politiques.

La politique compte parce qu'elle constitue la promesse que les autorités et les clients vous opposeront. L'échec le plus courant n'est pas l'absence de politique ; c'est une politique décrivant une entreprise que vous n'êtes pas, souvent copiée d'une plus grande. Si elle affirme que vous menez des tests d'intrusion annuels par un tiers et que ce n'est pas le cas, vous avez créé une exposition qui n'existait pas.

La procédure d'incident compte parce que les incidents surviennent au pire moment et que les décisions sont difficiles. Elle doit tenir sur une page : qui décide, qui enquête, qui notifie, et les questions de tri qui déterminent votre obligation de déclaration. Le reste peut attendre.

Étape quatre : rendre la conservation effective

L'étape que tout le monde saute, et celle qui réduit le plus l'impact d'une atteinte.

On ne peut pas perdre des données qu'on ne détient plus. Choisissez vos trois plus grands ensembles de renseignements personnels, décidez combien de temps chaque catégorie doit vraiment être conservée, et mettez en place une suppression réelle. Pas une politique décrivant la suppression. La suppression.

C'est ingrat et cela soulèvera des questions inconfortables, notamment sur les sauvegardes et les exports analytiques. Répondez-y maintenant, pendant que les volumes sont faibles. Un calendrier de conservation mis en œuvre à douze personnes représente une semaine de travail ; à quatre-vingts, un trimestre.

Étape cinq : la certification, quand une transaction l'exige

Pas avant. Et le moment venu, laissez la transaction définir la portée.

La raison d'attendre n'est pas que la certification manque de valeur. C'est qu'une certification obtenue avant l'existence des étapes un à quatre certifie un programme sans substance, coûte le même prix, et devra être refaite correctement au cycle suivant. Les étapes un à quatre sont ce que l'audit examine. Construisez la chose, puis faites-la inspecter.

Que faut-il délibérément reporter ?

Dites non à ceci jusqu'à ce que quelque chose l'impose : une bibliothèque complète de politiques, un registre des risques formel avec notation, un système de management au sens ISO, une embauche dédiée à la conformité, et tout outil coûtant plus par an que le risque qu'il traite.

Je préfère voir une entreprise de douze personnes avec une vraie revue des accès, une conservation appliquée, une politique honnête et aucune certification, que l'inverse. La première est réellement plus sûre. La seconde possède des documents.

Pour la suite sur deux ans, le modèle de maturité des programmes de confidentialité expose les étapes et le point d'arrêt.

Ceci est de l'information générale et non un avis juridique.

Valdra a été conçu pour l'entreprise à l'étape un, non à l'étape cinq : le registre, les évaluations et les preuves s'accumulent au fil du temps, pour que la certification ultérieure ait quelque chose à examiner.