English: These controls, and the security roles and responsibilities of all personnel, must be clearly defined, documented and communicated to departmental program, legal, administrative, technical and general staff.}\par \pard\ql To ensure policy compliance, departments must:\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Certify and accredit IT systems prior to operation and subject them, including associated security safeguards, to sound configuration management practices.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Conduct periodic security evaluations of systems, including assessments of configuration changes conducted on a routine basis.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Periodically seek review by third parties in order to get an independent assessment.}\par }}\sb120\sa120 {\b\fs20 10.12.2 Detection}\par\ql Since services may rapidly degrade due to computer incidents, ranging from a simple slowdown to a complete halt, departments must continuously monitor the operations of their systems to detect anomalies in service delivery levels.\par \pard\sb120\sa120 {\b\fs20 10.12.3 Response}\par\ql Departments must:\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{In the context of investigation of security incidents (section 10.15), establish mechanisms to respond effectively to IT incidents and exchange incident-related information with designated lead departments in a timely fashion.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{Designate an IT security point of contact for communications with respect to government-wide incident response.}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{To prevent unintentional degradation of another department's security posture, conduct security activities, including incident response, in a manner that recognises that government is, in effect, a single interconnected entity.}\par }}\sb120\sa120 {\b\fs20 10.12.4 Recovery}\par\ql To ensure the ongoing availability of critical services, departments must develop IT continuity plans as part of their overall business continuity planning and recovery activities.\par \pard{\pard \fs24\ql\b 10.13 Security in emergency and increased threat situations\fs24\b0 \par\par} \pard \ql \sb100\sa100 {Departments must develop plans and procedures to move up to heightened security levels in case of emergency and increased threat.
French: Ils doivent définir et documenter ces contrôles, ainsi que les rôles et les responsabilités du personnel, et les communiquer à leur personnel y incluant les membres des services opérationnels, légaux, administratifs et techniques.}\par \pard\ql Pour observer la politique, les ministères doivent :\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{certifier et accréditer les systèmes des TI avant qu'ils ne soient mis en état de fonctionnement, et bien gérer la configuration de ces systèmes et de leurs mesures de sécurité;}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{effectuer périodiquement des évaluations de sécurité des systèmes, y incluant des routines d'évaluation des changements apportés à la configuration;}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{faire réaliser par des tiers des examens indépendants de conformité.}\par }}\sb120\sa120 {\b\fs20 10.12.2 {\i Détection}}\par\ql Un incident peut causer une dégradation rapide des services allant d'un ralentissement à un arrêt complet. Les ministères doivent surveiller continuellement les opérations de leurs systèmes pour dépister les anomalies aux niveaux de prestation de services.\par \pard\sb120\sa120 {\b\fs20 10.12.3 {\i Réponse}}\par\ql Les ministères doivent :\par \pard{\pard{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{dans le cadre des enquêtes sur les incidents de sécurité (section 10.15), établir des mécanismes pour bien répondre aux incidents reliés aux TI et pour partager rapidement les détails de l'incident avec les ministères responsables;}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{nommer une personne chargée de la sécurité des TI responsable de la communication en cas d'incident touchant l'ensemble du gouvernement;}\par }{\pard\plain{\listtext\pard\plain}\ls0\li720\ri0\lin720\rin0\fi-360{effectuer leurs activités de sécurité, y incluant la réponse aux incidents, de façon à ne pas dégrader la sécurité d'autres ministères et à reconnaître que le gouvernement, grâce aux connexions, fonctionne comme une entité distincte.}\par }}\sb120\sa120 {\b\fs20 10.12.4 {\i Reprise}}\par\ql Pour assurer la prestation continue des services essentiels, les ministères doivent préparer des plans de continuité pour les TI dans le cadre de leur planification de la continuité opérationnelle, et de leurs activités de recouvrement suite à un incident.\par \pard{\pard \fs24\ql\b 10.13 Sécurité en cas d'urgence et de menace accrue\fs24\b0 \par\par} \pard \ql \sb100\sa100 {Les ministères doivent élaborer des plans et des procédures pour mettre en place des niveaux de sécurité plus élevés en cas d'urgence ou de menace accrue.