De l'improvisation à l'audit : un modèle de maturité pour les programmes de confidentialité canadiens

Un programme de confidentialité mûrit en cinq étapes : rien d'écrit, des documents sans pratique, une pratique sans preuve, des preuves sans indépendance, et une vérification indépendante. Presque toutes les PME canadiennes avec lesquelles j'ai travaillé se situent à l'étape deux ou trois et se décrivent comme étant à la quatrième.

L'écart compte, car les étapes échouent différemment, et savoir où vous en êtes indique la suite bien mieux qu'une liste de vérification générique.

Les cinq étapes

Lisez ce tableau et soyez honnête sur la ligne qui décrit vos douze derniers mois, non vos intentions.

Comment distinguer l'étape deux de l'étape trois ?

Posez cette question : au dernier trimestre, qu'est-ce qui s'est produit sans que quiconque décide de le faire ?

Les programmes de l'étape deux sont entièrement déclenchés par des humains. La revue fournisseur a lieu parce que quelqu'un s'en est souvenu. La revue des accès a lieu parce qu'un audit approche. La règle de conservation existe dans un document et n'a jamais rien supprimé. Les documents ne sont pas en cause ; c'est la machinerie derrière qui manque.

L'étape trois est celle où les déclencheurs passent dans les systèmes. Une date de renouvellement ouvre une revue. Un nouveau système à risque élevé ouvre une évaluation. Une règle de conservation supprime réellement. Le volume de travail augmente à cette étape, ce qui surprend, mais il augmente parce que du travail auparavant escamoté se fait enfin.

Le passage le moins coûteux de deux à trois : choisissez vos trois contrôles les plus conséquents et donnez à chacun un déclencheur système. Pas tous. Trois.

Comment distinguer l'étape trois de l'étape quatre ?

Demandez-vous ce que vous pourriez produire pour une date précise il y a six mois.

L'étape trois fait le travail et en perd la trace. La revue des accès a eu lieu en juin, et la preuve est un souvenir et peut-être un message. L'étape quatre fait le même travail et laisse un artefact daté, sans que personne n'archive délibérément quoi que ce soit.

C'est l'étape que les entreprises sous-estiment le plus, car le travail semble identique pendant qu'on le fait. La différence n'apparaît que lorsqu'un acheteur, un auditeur ou une autorité pose la question, et il est alors trop tard pour la fabriquer honnêtement. Ce que les auditeurs demandent vraiment approfondit ce qui rend un artefact acceptable.

Qu'exige l'étape cinq que la quatre n'exige pas ?

L'indépendance et la revue. Quelqu'un qui n'a pas exécuté le contrôle vérifie qu'il a fonctionné, et la direction examine formellement les résultats et décide quelque chose.

Pour une petite entreprise, l'indépendance ne veut pas dire embaucher un cabinet d'audit. Cela peut vouloir dire que le responsable des finances teste la revue des accès, ou qu'un test externe annuel porte sur les deux contrôles les plus importants. Ce que cela ne peut pas vouloir dire, c'est que la personne qui exécute le contrôle soit celle qui confirme qu'il fonctionne.

La revue de direction est l'élément qu'exigent les cadres ISO et que tout le monde saute. C'est une réunion où l'on examine les résultats du programme et où l'on consigne des décisions. Deux fois par an suffit pour la plupart des entreprises. Sa véritable fonction est de maintenir le programme en vie lorsque la personne qui l'a bâti s'en va, ce qui est la façon la plus courante dont meurent les programmes de confidentialité.

Où faut-il viser ?

L'étape trois pour la plupart des PME canadiennes, l'étape quatre si vous vendez à de grandes organisations ou traitez des données de santé ou financières, l'étape cinq seulement si une certification ou une autorité l'exige.

Je veux être direct ici, car l'industrie ne l'est pas. Une entreprise de douze personnes n'a pas besoin de l'étape cinq, et la viser consommera une attention qui réduirait davantage le risque si elle allait aux fondamentaux de l'étape trois. Faire appliquer réellement la conservation et réviser réellement les accès vaut mieux qu'un système de management magnifiquement documenté décrivant des contrôles que personne n'exécute.

L'exception est strictement commerciale. Si vos acheteurs exigent SOC 2 ou ISO 27001, il vous faut des preuves de l'étape quatre quelle que soit votre taille, car l'audit teste la preuve et non l'intention. C'est une exigence de vente déguisée en conformité, et elle devrait être budgétée comme telle.

Pour la question de l'ordre, dans quel ordre faire la conformité expose quoi bâtir en premier.

Ceci est de l'information générale et non un avis juridique.

Valdra est conçu pour faire passer un programme de l'étape deux à l'étape quatre sans embauche : les déclencheurs remplacent les rappels, et les preuves s'accumulent à mesure que les contrôles s'exécutent.