CyberSécuritaire Canada

Offre de certification 

Les organismes qui souhaitent démontrer et faire reconnaitre leurs efforts déployés pour améliorer leur contrôle en matière de cybersécurité peuvent s’adresser au Bureau de normalisation du Québec (BNQ), dont le programme de certification CyberSécuritaire Canada est accrédité par le Conseil canadien des normes (CCN).

Pour obtenir cette certification, les organisations doivent démontrer au BNQ qu’elles mettent en œuvre des actions en matière de contrôle de sécurité du programme CyberSécuritaire Canada.

Le cycle de certification est d’une durée de deux ans au cours duquel un audit de maintien est réalisé douze mois après l’audit de certification initiale ou l’audit de recertification, le cas échéant.

Le processus de certification débute par une demande initiale soumise au BNQ en utilisant le portail en ligne de CyberSécuritaire Canada ou par une demande soumise directement auprès du BNQ, par courriel, au moyen du formulaire prévu à cette fin, disponible dans la section Télécharger le document requis pour la certification.

Une fois un contrat de service signé entre le BNQ et le client, et une fois les informations nécessaires à la certification initiale CyberSécuritaire Canada du client transmises au BNQ, le nom de l’auditeur responsable de l’audit est communiqué au client.

D’abord, une évaluation préliminaire visant à mesurer le niveau de préparation du client est réalisée, notamment au moyen d’une revue des documents transmis. Les conclusions de cette évaluation préliminaire sont ensuite communiquées au client sous la forme d’un rapport écrit dans lequel est établi un premier regard neutre sur la conformité de même que sur le niveau de compréhension et de mise en œuvre des contrôles de cybersécurité par le client. Advenant une évaluation favorable, l’auditeur responsable prépare un plan d’audit.

L’audit de certification initiale au cours duquel l’auditeur recueille les informations pertinentes relatives au programme de certification CyberSécuritaire Canada, puis les vérifie peut dès lors commencer. Ces informations sont recueillies au moyen d’entrevues, de l’observation d’activités et de l’environnement de travail ainsi que de la consultation de documents sur place. Le client est informé des constats de l’auditeur au fur et à mesure du déroulement de l’audit, lesquels seront compilés dans le rapport d’audit résumant les conclusions de l’auditeur et remis au client.

Les écarts observés lors de l’audit peuvent faire l’objet de demandes d’actions correctives (DAC) mineures ou majeures, selon l’importance des répercussions de l’écart sur l’atteinte des objectifs. Les DAC doivent être fermées (résolues) dans un délai de 30 jours suivant l’audit.

La décision de certifier le client s’appuie sur la recommandation de l’auditeur responsable combinée à la révision du dossier par le BNQ pour s’assurer du respect de toutes les conditions de certification.

À la suite d’une décision favorable du BNQ, un certificat de conformité est transmis au client qui consent alors à se soumettre à un audit de maintien dans un délai de douze mois à compter du premier jour de l’audit de certification initiale.