English: They were chosen because they best approximate the requirements of the Security Policy and Operational Standards relating to establishing and maintaining an effective and efficient ITS program and represent best practices of previously audited security programs.}\par \pard\pard \ql \sb100\sa100 {Auditors may wish to add, modify or delete the specific objectives, criteria and detailed criteria in order to tailor the audit process to their organization.}\par \pard\ql The following audit objectives are grouped based on the main sections of the June, 1994 ITS Operational Standards:\par \pard{\pard \fs24\ql\b Organizing and Administering ITS\fs24\b0 \par\par} {\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that an ITS management structure is in place and meets the needs of the department}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that ITS safeguards are implemented, maintained, monitored and adjusted, within a risk management environment.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that the information technology (IT) resources are appropriately managed.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that ITS equipment is appropriately managed, repaired, maintained and disposed.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that cryptographic materiel is appropriately managed, repaired, maintained and disposed.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that departmental ITS undergoes regular monitoring and review.}\par }}\pard \sa60 {\b Personnel Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that personnel having access to IT systems/networks/ applications that process, transmit or store sensitive information are appropriately screened before being given access and are aware of their security-related responsibilities.}\par }}\pard \sa60 {\b Physical Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to its physical and environmental security requirements.}\par }}\pard \sa60 {\b Hardware Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to its hardware security requirements.}\par }}\pard \sa60 {\b Software Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to its software security requirements.}\par }}\pard \sa60 {\b Communications Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to its general communications security requirements.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that networks and network applications are developed and maintained with consideration given to their security requirements.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to electronic authorization and authentication (EAA) security requirements.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that IT is developed and maintained with consideration given to emanations security requirements.}\par }}\pard \sa60 {\b Operations Security}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Ensure that ITS operations are in place and meet the needs of the department.}\par }}\pard \ql \sb100\sa100 {{\b Organizing and administering ITS}}\par \pard\pard \ql \sb100\sa100 {{\b {\i Objective #1}}}\par \pard\pard \ql \sb100\sa100 {{\b Ensure that an Information Technology Security management structure is in place and meets the needs of the department.}}\par \pard\pard \ql \sb100\sa100 {{\b Criterion 1.1 Security management responsibilities are established, defined and assigned.}}\par \pard\pard \ql \sb100\sa100 {{\b Detailed criteria/Audit Procedures:}}\par \pard\pard \ql \sb100\sa100 {1.1.1 Obtain a copy of the most recent departmental security organization chart(s). Determine its adequacy in portraying all security relationships (both line and functional).}\par \pard\pard \ql \sb100\sa100 {1.1.2.
French: Ces éléments ont été retenus parce qu'ils respectent au mieux les exigences de la politique sur la sécurité et les normes opérationnelles concernant l'établissement et le maintien d'un programme efficace et efficient de la STI et qu'ils constituent les meilleures méthodes des programmes de sécurité ayant fait l'objet d'une vérification.}\par \pard\pard \ql \sb100\sa100 {Les vérificateurs voudront peut-être ajouter des objectifs, critères et des éléments à la méthodologie ou modifier certains d'entre eux, en vue d'adapter le processus de vérification à leur organisation.}\par \pard\ql Les objectifs de vérification suivants sont regroupés en fonction des principales sections des normes opérationnelles de la STI de juin 1994 :\par \pard{\pard \fs24\ql\b Organisation et planification de la STI\fs24\b0 \par\par} {\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce qu'une structure de gestion de la STI soit établie et réponde aux besoins du ministère}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que des mesures de protection de la STI soient mises en oeuvre, tenues à jour, surveillées et rajustées dans un environnement de gestion des risques.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les ressources en technologies de l'information (TI) soient adéquatement gérées.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que le matériel de la STI soit géré, réparé, entretenu et détruit de façon appropriée.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que le matériel cryptographique soit géré, réparé, entretenu et détruit de façon appropriée.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que la STI du ministère fasse l'objet d'une surveillance et d'un examen réguliers.}\par }}\pard \sa60 {\b Sécurité du personnel}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que le personnel ayant accès aux systèmes/réseaux/ applications des TI qui traitent, transmettent ou stockent des renseignements de nature délicate aient fait l'objet d'une enquête de sécurité adéquate avant d'y avoir accès et soient conscients de leurs responsabilités dans le domaine de la sécurité.}\par }}\pard \sa60 {\b Sécurité matérielle}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité matérielle et environnementale.}\par }}\pard \sa60 {\b Sécurité du matériel}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité du matériel.}\par }}\pard \sa60 {\b Sécurité des logiciels}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité des logiciels.}\par }}\pard \sa60 {\b Sécurité des communications}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences générales relatives à la sécurité des communications.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les réseaux et applications réseaux soient élaborés et tenus à jour en tenant compte des exigences relatives à leur sécurité.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité de l'autorisation et de l'authentification électroniques (AAE).}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les TI soient élaborées et tenues à jour en tenant compte des exigences relatives à la sécurité des signaux de valeur.}\par }}\pard \sa60 {\b Sécurité de l'exploitation}\par{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Voir à ce que les activités d'exploitation de la STI soient exercées et répondent aux besoins du ministère.}\par }}\pard \ql \sb100\sa100 {{\b Organiser et administrer la STI}}\par \pard\pard \ql \sb100\sa100 {{\b Objectif n{\super o} 1}}\par \pard\pard \ql \sb100\sa100 {{\b {\i Voir à ce qu'une structure de gestion de la STI soit établie et qu'elle réponde aux besoins du ministère}}}\par \pard\pard \ql \sb100\sa100 {{\b Critère 1.1 Les responsabilités de gestion de la sécurité sont établies, définies et attribuées.}}\par \pard\pard \ql \sb100\sa100 {{\b Méthodologie :}}\par \pard\pard \ql \sb100\sa100 {1.1.1 Obtenir une copie du ou des organigrammes les plus récents du ministère dans le domaine de la sécurité.