English: Determine whether the security profiles of each applicable standard was considered and applied.}\par \pard\pard \ql \sb100\sa100 {12.2.6 Determine whether classified and extremely sensitive designated information is protected by approved cryptography.}\par \pard\pard \ql \sb100\sa100 {12.2.7 Where approved cryptography is not being used to protect lower sensitive designated information, determine whether this is based on the results of a threat risk assessment.}\par \pard\pard \ql \sb100\sa100 {12.2.8 For departments using value-added networks in their electronic commerce services, determine whether the confidentiality, integrity and availability security requirements were included in the value added network service contract.}\par \pard\pard \ql \sb100\sa100 {12.2.9 In cases where the private sector provides network services, determine whether security requirements were considered in contracting those services and attached to the contract in a security requirement check list.}\par \pard\pard \ql \sb100\sa100 {12.2.10 Where network services involve more than one department (for example, for message handling) determine whether the departments worked cooperatively on security requirements for best effectiveness, efficiency and economy.}\par \pard\pard \ql \sb100\sa100 {{\b Objective #13}}\par \pard\pard \ql \sb100\sa100 {{\b Ensure that Information Technology is developed and maintained with consideration given to electronic authorization and authentication (EAA) security requirements.}}\par \pard\pard \ql \sb100\sa100 {{\b Criterion 13.1 In responding to the need for transaction or document authorization and authentication, or digital signatures, information technology systems consider the requirement for EAA security and utilize related safeguards where appropriate.}}\par \pard\pard \ql \sb100\sa100 {{\b Detailed Criteria/Audit Procedures:}}\par \pard\pard \ql \sb100\sa100 {13.1.1 Based on the sensitivity of the information processed by the application and the degree of accuracy of user identification and authentication required, determine whether electronic authorization and authentication procedures should be implemented.}\par \pard\pard \ql \sb100\sa100 {13.1.2 For systems using digital signatures, public-key cryptography and key management systems, determine whether the cryptography and key management structures are endorsed or approved by CSE.}\par \pard\pard \ql \sb100\sa100 {13.1.3 For applications using digital signatures and also using cryptography for data confidentiality protection, determine whether the two requirements were considered together when being designed.}\par \pard\pard \ql \sb100\sa100 {{\b Objective #14}}\par \pard\pard \ql \sb100\sa100 {{\b Ensure that InformationTechnology is developed and maintained with consideration given to emanations security requirements.}}\par \pard\pard \ql \sb100\sa100 {{\b Criterion 14.1 Information Technology systems, especially those processing, transmitting or storing top secret or extremely sensitive designated information, are/were developed and maintained with consideration being given to the requirement for emanations security.}}\par \pard\pard \ql \sb100\sa100 {{\b Detailed Criteria/Audit Procedures:}}\par \pard\pard \ql \sb100\sa100 {14.1.1 Obtain a list of current Information Technology systems.
French: Déterminer si les profils de sécurité de chaque norme applicable ont été envisagés et appliqués.}\par \pard\pard \ql \sb100\sa100 {12.2.6 Déterminer si les renseignements classifiés et les renseignements désignés de nature extrêmement délicate sont protégés par une cryptographie approuvée.}\par \pard\pard \ql \sb100\sa100 {12.2.7 Lorsqu'on n'utilise une cryptographie approuvée pour protéger les renseignements désignés de nature peu délicate, déterminer si cela résulte de l'évaluation de la menace et des risques.}\par \pard\pard \ql \sb100\sa100 {12.2.8 Dans le cas des ministères qui se servent de réseaux à valeur ajoutée dans leurs services de commerce électronique, déterminer si les exigences de sécurité relatives à la confidentialité, à l'intégrité et à la disponibilité ont été intégrées au marché de service du réseau à valeur ajoutée.}\par \pard\pard \ql \sb100\sa100 {12.2.9 Dans les cas où c'est le secteur privé qui fournit les services de réseau, déterminer si les exigences de sécurité ont été envisagées dans la passation de ces marchés de service et ont été jointes au marché sous forme de liste de contrôle des exigences relatives à la sécurité.}\par \pard\pard \ql \sb100\sa100 {12.2.10 Lorsque les services de réseau engagent plus d'un ministère (par exemple pour le traitement des messages), déterminer si les ministères ont collaboré à l'établissement des exigences relatives à la sécurité pour assurer la meilleure efficacité, efficience et économie.}\par \pard\pard \ql \sb100\sa100 {{\b Objectif n{\super o} 13}}\par \pard\pard \ql \sb100\sa100 {{\b Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences de sécurité relatives à l'autorisation et à l'authentification électroniques (AAE).}}\par \pard\pard \ql \sb100\sa100 {{\b Critère 13.1 En cherchant à assurer l'autorisation et l'authentification des opérations et des documents, ou des signatures numériques, les systèmes liés aux technologies de l'information tiennent compte de l'exigence de sécurité des AAE et utilisent des mesures de protection connexes au besoin.}}\par \pard\pard \ql \sb100\sa100 {{\b Méthodologie :}}\par \pard\pard \ql \sb100\sa100 {13.1.1 Selon le degré de nature délicate des renseignements traités par le logiciel et le degré d'exactitude des codes d'identification d'utilisateur et de l'authentification requis, déterminer si des procédures d'autorisation et d'authentification électroniques devraient être mises en oeuvre.}\par \pard\pard \ql \sb100\sa100 {13.1.2 Dans le cas des systèmes qui utilisent des signatures numériques et aussi des systèmes cryptographiques à clé publique et de gestion des clés, déterminer si la cryptographie et les structures de gestion des clés sont entérinées ou approuvées par le CST.}\par \pard\pard \ql \sb100\sa100 {13.1.3 Dans le cas des applications utilisant des signatures numériques et aussi la cryptographie pour protéger la confidentialité des données, déterminer si les deux exigences ont été retenues ensemble au moment de leur conception.}\par \pard\pard \ql \sb100\sa100 {{\b Objectif n{\super o} 14}}\par \pard\pard \ql \sb100\sa100 {{\b Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité des signaux de valeur.}}\par \pard\pard \ql \sb100\sa100 {{\b Critère 14.1 Les systèmes liés aux technologies de l'information, surtout ceux qui traitent, transmettent ou stockent des renseignements désignés de nature très secrète ou extrêmement délicate, sont ou ont été élaborés et tenus à jour et l'on a tenu compte de l'exigence relative à la sécurité des signaux de valeur.}}\par \pard\pard \ql \sb100\sa100 {{\b Méthodologie :}}\par \pard\pard \ql \sb100\sa100 {14.1.1 Obtenir la liste des systèmes actuels liés aux technologies de l'information.