En bref
- ✦Une large part des incidents de sécurité implique un tiers : fournisseur, sous-traitant ou plateforme infonuagique.
- ✦Classer les fournisseurs par niveau de risque permet d'adapter l'effort d'évaluation.
- ✦La Loi 25 impose une évaluation des facteurs relatifs à la vie privée avant tout transfert de renseignements personnels hors Québec.
Proportionner l'effort au risque
Tous les fournisseurs ne méritent pas le même niveau d'analyse. Un fournisseur qui héberge des renseignements personnels ou des systèmes critiques exige une évaluation complète ; un fournisseur sans accès aux données peut passer par un questionnaire allégé. Cette classification évite de ralentir les projets inutilement.
Les preuves à demander
Pour un fournisseur à risque élevé :
- Rapport SOC 2 Type II récent et lecture attentive des exceptions relevées.
- Certification ISO 27001 et périmètre réellement couvert.
- Localisation des données, sous-traitants ultérieurs et mécanismes de transfert.
- Plan de continuité et de relève testé, avec délais de reprise documentés.
- Engagements contractuels : avis d'incident, droit d'audit, suppression des données en fin de contrat.
Intégrer la Loi 25 au processus d'achat
La Loi 25 demande d'évaluer les facteurs relatifs à la vie privée avant de communiquer des renseignements personnels à l'extérieur du Québec. Intégrer cette étape dès l'appel d'offres, plutôt qu'à la signature, évite les blocages de dernière minute.
Cette lecture est informative et ne constitue pas un avis juridique ; chaque situation doit être validée selon votre contexte.