English: Determine if personnel have attended training courses covering security risk management which are offered by the lead security agencies, private training institutions or other organizations.}\par \pard\pard \ql \sb100\sa100 {2.1.3 Determine whether the ITS function by itself, or through the IT unit, has developed and distributed ITS risk management methodology and procedures to those who need it.}\par \pard\pard \ql \sb100\sa100 {2.1.4 Determine whether the ITS Coordinator regularly provides security risk management training and awareness to IT developers and maintainers.}\par \pard\pard \ql \sb100\sa100 {2.1.5 Verify whether each security deliverable is reviewed and signed-off by the appropriate Responsibility Centre Manager and Security Officer.}\par \pard\pard \ql \sb100\sa100 {{\b Criterion 2.2 Risk decisions are based on adequate information.}}\par \pard\pard \ql \sb100\sa100 {{\b Detailed Criteria/Audit Procedures:}}\par \pard\pard \ql \sb100\sa100 {2.2.1 Determine whether the threat assessment process begins with the identification and scoping of information and assets, with a focus on those which are sensitive and/or valuable.}\par \pard\pard \ql \sb100\sa100 {2.2.2 Ensure that statements of sensitivity (containing confidentiality, integrity and availability requirements) are developed as a precursor to threat and risk assessment, for all systems, applications, and networks.}\par \pard\ql 2.2.3 Determine whether the following sources are consulted for current threat information:\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{RCMP (threat information related to criminal matters, computer and physical security)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{CSIS (threat information related to terrorism, espionage, and sabotage)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{CSE (threat and vulnerability information related to telecommunications, and electronic information processing)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Emergency Preparedness Canada (threat information related to civil disaster)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Natural Resources Canada (threat information related to earthquakes, wind, tornado, flooding and other natural threats)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Local police forces (threat information related to local criminal matters)}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Local fire departments (threat information related to local fire statistics) and}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Departmental internal affairs/investigation units (threat information related to local criminal matters).}\par }}\pard \ql \sb100\sa100 {2.2.4 Determine whether the departmental ITS Coordinator maintains a repository of current ITS threat information for use by security officials, IT managers, and others.}\par \pard\pard \ql \sb100\sa100 {{\b Criterion 2.3 All new IT is developed under the departmentally approved ITS risk management framework.}}\par \pard\pard \ql \sb100\sa100 {{\b Detailed Criteria/Audit Procedures:}}\par \pard\pard \ql \sb100\sa100 {2.3.1 Obtain a list of all current IT development projects.
French: Établir si le personnel a assisté à des cours de formation concernant la gestion des risques liés à la sécurité offerts par les organismes ayant un rôle conseil de la sécurité, par des établissements de formation privés et d'autres organisations.}\par \pard\pard \ql \sb100\sa100 {2.1.3 Déterminer si la fonction de la STI a, elle-même, ou par l'entremise de l'unité des TI, élaboré une méthode et des procédures de gestion des risques liés à la STI et les a distribués à ceux qui en ont besoin.}\par \pard\pard \ql \sb100\sa100 {2.1.4 Déterminer si le coordonnateur de la STI donne régulièrement aux personnes chargées de concevoir et de tenir à jour les TI une formation sur la gestion des risques liés à la sécurité et s'il les y sensibilise.}\par \pard\pard \ql \sb100\sa100 {2.1.5 Vérifier si chaque extrant lié à la sécurité est examiné et approuvé par le gestionnaire du centre de responsabilité et l'agent de sécurité concernés.}\par \pard\pard \ql \sb100\sa100 {{\b Critère 2.2 Les décisions relatives aux risques sont fondées sur une information adéquate.}}\par \pard\pard \ql \sb100\sa100 {{\b Méthodologie :}}\par \pard\pard \ql \sb100\sa100 {2.2.1 Déterminer si le processus d'évaluation de la menace commence par définir et délimiter l'étendue des renseignements et des biens, l'accent étant mis sur ceux qui sont de nature délicate ou qui ont de la valeur.}\par \pard\pard \ql \sb100\sa100 {2.2.2 Voir à ce que les énoncés de la nature délicate (renfermant des exigences relatives à la confidentialité, à l'intégrité et à la disponibilité) soient élaborés en prévision de l'évaluation de la menace et des risques, pour tous les systèmes, applications et réseaux.}\par \pard\ql 2.2.3 Déterminer si les sources suivantes sont consultées pour obtenir des renseignements à jour sur la menace :\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{GRC (renseignements sur la menace concernant des questions criminelles, les ordinateurs et la sécurité matérielle);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{SCRS (renseignements sur la menace concernant le terrorisme, l'espionnage et le sabotage);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{CST (renseignements sur la menace et la vulnérabilité concernant les télécommunications et le traitement de l'information électronique);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Protection civile Canada (renseignements sur la menace concernant les catastrophes civiles);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ressources naturelles Canada (renseignements sur la menace concernant les tremblements de terre, le vent, les tornades, les inondations et autres catastrophes naturelles);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{les forces policières locales (renseignements sur la menace concernant les questions locales de nature criminelle);}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{les services d'incendie locaux (renseignements sur la menace concernant les statistiques d'incendie locales); et}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{les unités des affaires internes ou des enquêtes ministérielles (renseignements sur la menace concernant des questions de criminalité locales).}\par }}\pard \ql \sb100\sa100 {2.2.4 Déterminer si le coordonnateur de la STI du ministère tient à jour un service d'archivage des renseignements actuels sur la menace pour la STI à l'intention des agents de sécurité, des gestionnaires des TI et d'autres personnes.}\par \pard\pard \ql \sb100\sa100 {{\b Critère 2.3 Toutes les nouvelles TI sont élaborées en fonction du cadre de gestion des risques de la STI approuvé par le ministère.}}\par \pard\pard \ql \sb100\sa100 {{\b Méthodologie :}}\par \pard\pard \ql \sb100\sa100 {2.3.1 Obtenir une liste de tous les projets d'élaboration des TI en cours.