gouvernance et politiques

POLITIQUE ET PROCÉDURE DE CYBERSÉCURITÉ

 

1. Introduction

La Fédération mondiale de chiropratique (WFC) s'engage à protéger ses systèmes d'information et ses données contre les cybermenaces. Cette politique décrit les mesures visant à prévenir, détecter et répondre aux incidents de piratage informatique. Elle vise à protéger les actifs numériques de la WFC, à garantir la confidentialité, l'intégrité et la disponibilité des informations et à maintenir la confiance des membres, des parties prenantes et du public.

2. Objectif

Le but de cette politique est de :

•  Définir l’approche du WFC en matière de cybersécurité.

•  Décrire les procédures de prévention et de réponse aux incidents de piratage informatique.

•  Assurer le respect des lois, réglementations et meilleures pratiques en vigueur.

•  Protéger les actifs informationnels du WFC et minimiser l’impact des cyberincidents.

3. Portée

Cette politique s'applique à tous les employés, membres, sous-traitants et fournisseurs de services tiers du WFC qui ont accès aux systèmes d'information et aux données du WFC.

4. Politique de cybersécurité

4.1. Gouvernance et responsabilité

• Le conseil d’administration du WFC est chargé de superviser la politique de cybersécurité et de veiller à ce que des ressources adéquates soient allouées à sa mise en œuvre.
• Le sous-traitant informatique désigné du WFC, assisté du responsable financier et administratif du WFC, est responsable de la gestion du programme de cybersécurité, y compris les évaluations des risques, la surveillance et la réponse aux incidents.
• Tous les employés, membres et sous-traitants du WFC sont responsables du respect de cette politique et du signalement de toute activité suspecte.

4.2. Gestion des risques

•  Effectuer des évaluations régulières des risques pour identifier et évaluer les menaces à la cybersécurité.

•  Mettre en œuvre des contrôles pour atténuer les risques identifiés, y compris des mesures techniques, administratives et physiques.

•  Revoir et mettre à jour les évaluations des risques chaque année ou lorsque des changements importants surviennent.

4.3. Contrôle d'accès

•  Mettre en œuvre des mesures strictes de contrôle d’accès pour garantir que seules les personnes autorisées ont accès aux informations et aux systèmes sensibles.

•  Utilisez l’authentification multifacteur (MFA) pour accéder aux systèmes critiques.

•  Révisez et mettez à jour régulièrement les droits d’accès des utilisateurs en fonction des exigences du rôle.

19. Protection des données

•  Chiffrer les données sensibles en transit et au repos.

•  Mettre en œuvre des procédures de classification et de traitement des données pour garantir une protection appropriée en fonction de la sensibilité des données.

•  Sauvegardez régulièrement vos données et stockez-les en toute sécurité hors site.

4.5. Sécurité du réseau

•  Utiliser des pare-feu, des systèmes de détection d’intrusion (IDS) et des systèmes de prévention d’intrusion (IPS) pour protéger le réseau du WFC.

•  Mettez à jour et corrigez régulièrement les logiciels, les systèmes et les applications pour corriger les vulnérabilités.

•  Segmenter les réseaux pour limiter l’accès aux systèmes et données critiques.

4.6. Sécurité des terminaux

•  Installer et maintenir des logiciels antivirus et anti-malware sur tous les terminaux.

•  Mettre en œuvre des solutions de détection et de réponse aux points de terminaison (EDR) pour détecter et répondre aux menaces sur les appareils.

•  Appliquer des politiques de configuration et de maintenance sécurisées de tous les appareils.

4.7. Formation et sensibilisation

•  Offrir régulièrement des programmes de formation et de sensibilisation à la cybersécurité à tous les employés, membres et sous-traitants du WFC.

•  Sensibiliser les utilisateurs à la reconnaissance des attaques de phishing, de l’ingénierie sociale et d’autres menaces courantes.

•  Mener périodiquement des exercices de simulation d’hameçonnage pour renforcer la sensibilisation.

5. Procédure de réponse aux incidents de piratage informatique

5.1. Préparation

•  Élaborer et maintenir un plan de réponse aux incidents (IRP) détaillant les rôles, les responsabilités et les procédures.

•  Mettre en place une équipe de réponse aux incidents (IRT) composée du sous-traitant informatique et du responsable financier et administratif du WFC.

•  S’assurer que les outils et les ressources nécessaires sont disponibles pour une réponse efficace aux incidents.

5.2. Détection et signalement

•  Mettre en œuvre une surveillance continue pour détecter d’éventuels cyberincidents.

•  Encouragez le signalement rapide des activités suspectes au sous-traitant informatique du WFC ou au contact désigné.

•  Établir un mécanisme de rapport clair, comprenant des informations de contact et des modèles de rapport.

5.3. Évaluation et classification

•  Évaluer les incidents signalés pour déterminer leur validité et leur gravité.

•  Classer les incidents en fonction de leur impact sur la confidentialité, l’intégrité et la disponibilité des informations et des systèmes.

5.4. Endiguement

•  Mettre en œuvre des mesures de confinement à court terme pour empêcher la propagation de l’incident.

•  Identifier et isoler les systèmes ou réseaux affectés pour limiter les dommages.

•  Conserver les preuves en vue d’une analyse et d’une enquête ultérieures.

5.5. Éradication

•  Identifier la cause profonde de l’incident et l’éliminer des systèmes affectés.

•  Supprimez les logiciels malveillants, les accès non autorisés et autres artefacts malveillants.

•  Appliquez les correctifs, les mises à jour et les modifications de configuration pour éviter que le problème ne se reproduise.

5.6. Récupération

•  Restaurez les systèmes et les données affectés à partir de sauvegardes propres.

•  Vérifier l’intégrité et la fonctionnalité des systèmes restaurés.

•  Surveillez les systèmes pour détecter tout signe de problèmes persistants ou d’attaques supplémentaires.

5.7. Examen post-incident

•  Procéder à un examen approfondi de l’incident afin d’identifier les leçons apprises.

•  Mettre à jour le plan de réponse aux incidents et les mesures de sécurité en fonction des résultats.

•  Signaler l’incident aux parties prenantes concernées, y compris aux organismes de réglementation si nécessaire.

6. Conformité et application

•  Assurer le respect de cette politique par des audits et des évaluations réguliers.

•  Le non-respect de cette politique peut entraîner des mesures disciplinaires pouvant aller jusqu’au licenciement ou à la résiliation de l’adhésion.

•  Revoir et mettre à jour cette politique chaque année ou selon les besoins pour faire face aux menaces émergentes et aux changements dans le paysage de la cybersécurité.

7. Conclusion

Le WFC s'engage à maintenir une posture de cybersécurité robuste pour protéger ses systèmes d'information et ses données contre les cybermenaces. Ce document de politique et de procédure fournit un cadre complet pour prévenir, détecter et répondre aux incidents de piratage informatique, garantissant ainsi la confiance continue des membres et des parties prenantes du WFC.

 

Adopté par le Conseil d’Administration ce 12 août 2024.