Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Protéger l’information au niveau de l’organisme (ITSM.10.097)

Recommendations Par Eric Rousseau · 18 février 2023 · Mis à jour le 31 octobre 2026 · 8 min de lecture
Porte ouverte et porte blindée circulaire d'une chambre forte de banque, photographie en noir et blanc de 1908
En bref

L’ITSM.10.097 est le 7e guide de la série canadienne des 10 mesures de sécurité des TI, pas une norme internationale. Pour un service de garde : inventorier les renseignements détenus, classer par sensibilité, limiter les accès et détruire de façon sécuritaire.

L’ITSM.10.097 est une publication de conseils du Centre canadien pour la cybersécurité intitulée « Les 10 mesures de sécurité des TI : No 7, Protéger l’information au niveau de l’organisme », diffusée en décembre 2022 et en vigueur depuis février 2023. Contrairement à ce qu’une ancienne version de cet article affirmait, ce n’est pas une norme internationale : c’est le septième guide d’une série canadienne de dix mesures recommandées aux organisations. Son sujet : savoir quelle information vous détenez, ce qu’elle vaut, et comment la protéger de sa création jusqu’à sa destruction. Pour un service de garde, c’est le guide qui parle le plus directement des dossiers d’enfants.

Allée de rayonnages d'archives remplis de classeurs et de boîtes de documents

Sur les tablettes comme sur les serveurs, protéger l’information commence par savoir ce qu’on garde, où, et pour combien de temps.

Une publication canadienne, pas une norme internationale

Le Centre canadien pour la cybersécurité, qui relève du Centre de la sécurité des télécommunications, publie une série de guides regroupés sous le titre « Les 10 mesures de sécurité des TI ». Chaque numéro approfondit une mesure ; la septième porte sur la protection de l’information au niveau de l’organisme, et c’est elle que détaille l’ITSM.10.097, de la série destinée aux gestionnaires. Une fiche plus courte, l’ITSAP.10.097, publiée en août 2022, résume le même thème en deux pages. Il ne s’agit pas d’une certification ni d’une obligation réglementaire, mais de conseils gratuits et en français, offerts par l’autorité canadienne en la matière.

Protéger l’information « au niveau de l’organisme », ça veut dire quoi?

L’idée de fond : votre information est à la fois essentielle à la continuité de vos activités et une cible de choix pour les attaquants. Le guide demande donc de la gérer comme un actif, en quatre temps.

  • Inventorier : savoir quelles informations l’organisation détient, sur quels systèmes, et qui en est responsable. Le guide étend l’inventaire aux systèmes eux-mêmes, avec leur configuration.
  • Évaluer : le guide distingue trois types de valeur (information essentielle aux activités, information sensible, documents servant de preuve) et trois niveaux de sensibilité, élevé, moyen ou faible, selon l’impact d’une compromission sur la capacité de l’organisation à remplir son mandat. On ne protège pas une liste d’épicerie comme un dossier médical.
  • Encadrer le cycle de vie : étiqueter, traiter, conserver et éliminer selon un calendrier de conservation qui précise les durées et les modes de destruction (déchiquetage, incinération, démagnétisation, cryptodéchiquetage pour l’infonuagique), nettoyer les supports avant de les réutiliser, chiffrer les données sensibles au repos comme en transit, et garder une sauvegarde dans un emplacement différent pour pouvoir se relever d’un rançongiciel.
  • Contrôler les accès et les systèmes externes : refuser les accès qui vont « au-delà des exigences requises », choisir un modèle clair pour les appareils mobiles (fournis par l’organisation ou personnels), et évaluer tout service externe avant de l’autoriser, en documentant l’emplacement des données, parce que des données hébergées hors du Canada relèvent de lois différentes.

Ce que vos lois exigent déjà

Le guide fédéral tombe sur un terrain déjà balisé. Le Règlement sur les services de garde éducatifs à l’enfance vous oblige à tenir pour chaque enfant une fiche d’inscription (article 122) qui contient son nom, sa date de naissance, son adresse, les coordonnées du parent et des personnes autorisées, les instructions en cas d’urgence et des renseignements sur sa santé : c’est précisément de l’information de sensibilité élevée. Le même règlement fixe des durées : les documents du personnel se conservent trois ans après la fin de l’emploi (article 26), et un bureau coordonnateur garde le dossier d’une responsable de service de garde six ans après la cessation de ses activités (article 48.1). Votre calendrier de conservation existe donc déjà en partie ; il reste à l’écrire et à l’appliquer.

La Loi 25 ajoute ses propres exigences : un responsable de la protection des renseignements personnels désigné par écrit, des politiques de gouvernance qui prévoient les règles de conservation et de destruction, un registre des incidents et des sanctions administratives pouvant atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Et le risque n’est pas théorique : selon Statistique Canada, 16 % des entreprises canadiennes ont subi un incident de cybersécurité en 2023. L’application HopHop, débranchée en octobre 2025 après qu’un expert eut montré qu’il accédait facilement aux données des parents, rappelle que l’information confiée à un fournisseur reste la vôtre à protéger.

Un exemple concret dans un CPE

Imaginons un CPE de deux installations à Sherbrooke. La directrice bloque un vendredi après-midi avec l’adjointe et le technicien pour faire l’inventaire. Résultat sur une feuille de calcul : les fiches d’inscription sont dans le logiciel de gestion, mais aussi en copie papier dans un classeur non verrouillé de chaque installation ; les rapports d’incident et les fiches de médicaments traînent dans un dossier partagé accessible à toutes les éducatrices ; les photos des enfants sont sur trois téléphones personnels ; les relevés fiscaux de huit années dorment sur un disque externe dans un tiroir. Elle classe tout en trois niveaux. Niveau élevé : fiches, santé, incidents, relevés fiscaux. Moyen : horaires, menus, communications aux parents. Faible : affiches et documents publics. En trois semaines, le dossier partagé est découpé par groupe avec des accès individuels, les classeurs reçoivent une serrure, les photos passent par l’application du CPE sur un téléphone du milieu, le disque externe est chiffré et rangé sous clé, et un calendrier de conservation d’une page fixe quoi détruire, quand et comment. Coût : une serrure de classeur se vend généralement moins de 50 $, le chiffrement est inclus, et le temps investi tourne autour de deux journées.

Ce que ça change pour votre service de garde

  1. Faites l’inventaire de vos renseignements. Où sont les dossiers des enfants? Sur quel ordinateur, quelle plateforme, quelle tablette, quel classeur, quel téléphone? Qui y a accès? Une feuille de calcul, une demi-journée avec l’adjointe et le technicien.
  2. Classez en trois niveaux. Élevé, moyen, faible, selon ce qui arriverait si l’information sortait : une photo de bricolage et un rapport d’incident n’exigent pas la même protection. Concentrez vos efforts sur le niveau élevé. Une heure.
  3. Limitez les accès au strict nécessaire. L’éducatrice d’un groupe a-t-elle besoin de voir les dossiers de tous les groupes? Le compte partagé « bureau » est-il encore justifiable? Un compte par personne, le minimum d’accès, et un retrait le jour du départ. Deux heures de configuration dans le logiciel de gestion et le stockage partagé.
  4. Écrivez votre calendrier de conservation. Partez des durées du règlement (trois ans pour les documents du personnel, six ans pour les dossiers de responsables en milieu familial) et de vos obligations fiscales, puis fixez la durée et le mode de destruction de chaque catégorie. Une page, une demi-journée, à intégrer à votre politique de gouvernance.
  5. Chiffrez et sauvegardez. Chiffrement activé sur chaque poste, portable, téléphone et disque externe (inclus dans les systèmes, dix minutes par appareil), et une sauvegarde chiffrée dans un autre lieu, testée chaque mois.
  6. Pensez à la fin de vie des documents. Déchiquetez le papier, et ne donnez jamais un ordinateur sans avoir nettoyé ou détruit son disque. Une déchiqueteuse de bureau coûte généralement moins de 100 $.
  7. Vérifiez vos fournisseurs. Où sont hébergées les données? Qui peut y accéder? Que se passe-t-il à la fin du contrat? Les 12 questions à poser à votre fournisseur de logiciel couvrent exactement ce que le guide demande de documenter. Une heure par fournisseur.

Sources

Foire aux questions

Qu’est-ce que l’ITSM.10.097?

Une publication de conseils du Centre canadien pour la cybersécurité : le septième guide de la série « Les 10 mesures de sécurité des TI », consacré à la protection de l’information au niveau de l’organisme. Ce n’est pas une norme internationale ni une certification.

Que recommande ce guide concrètement?

Inventorier l’information détenue, évaluer sa valeur et sa sensibilité, l’encadrer tout au long de son cycle de vie, de la création à la destruction, et contrôler les accès pour que chaque personne ne voie que ce dont elle a besoin.

Comment l’appliquer dans un service de garde?

Recenser où se trouvent les dossiers d’enfants, classer les documents par sensibilité, donner un compte individuel à chaque membre du personnel avec le minimum d’accès nécessaire, et détruire les documents selon les obligations de conservation. Ces gestes rejoignent la Loi 25.

À lire aussi

Étiqueté , , ,