Comment réaliser une cartographie de vos actifs informationnels conforme à la Loi 25
La cartographie des actifs est la première étape de tout programme GRC efficace et une exigence explicite de la Loi 25. Voici un guide méthodique pour l’accomplir sans vous perdre.
Vous ne pouvez pas protéger ce que vous ne connaissez pas. C’est le postulat fondamental de toute démarche de sécurité de l’information. La Loi 25 traduit ce principe en obligation légale : les organisations doivent être en mesure de démontrer qu’elles connaissent les renseignements personnels qu’elles détiennent, pourquoi elles les ont, où ils se trouvent et qui y a accès.
Loi 25 : une exigence concrète
Le règlement sur la protection des renseignements personnels (LPRPDE) et la Loi 25 exigent que les organisations connaissent les renseignements personnels qu’elles détiennent. Sans cartographie, il est impossible de réaliser une EFVP, de notifier un incident ou de répondre à une demande d’accès.
Les catégories d’actifs à inventorier
Actifs de données
Bases de données clients, dossiers RH, listes de courriel, fichiers de santé, données biométriques, enregistrements financiers
Actifs applicatifs
CRM, ERP, SIRH, applications web, API, microservices, scripts d’automatisation
Actifs d’infrastructure
Serveurs physiques et virtuels, systèmes cloud (AWS, Azure, GCP), réseaux, pare-feux, postes de travail
Actifs de services tiers
Fournisseurs SaaS, sous-traitants ayant accès aux données, partenaires d’affaires, services d’infonuagique
Actifs physiques
Supports amovibles (clés USB, disques durs), dossiers papier, archives physiques, équipements mobiles
Méthodologie en 5 étapes
Identifier les propriétaires d’actifs
Chaque actif doit avoir un propriétaire responsable de sa protection. Sans propriétaire désigné, la responsabilité devient diffuse et les obligations ne sont pas respectées.
- Définir la notion de propriétaire d’actif dans vos politiques
- Assigner un propriétaire à chaque système ou base de données
- Créer un registre de propriété accessible aux parties prenantes
Réaliser l’inventaire exhaustif
L’inventaire doit couvrir 100 % des systèmes traitant des renseignements personnels. Les actifs oubliés sont les plus dangereux en cas d’audit ou d’incident.
- Interroger les équipes IT, métier et RH pour identifier les systèmes
- Scanner le réseau pour détecter les actifs non répertoriés (shadow IT)
- Inclure les services SaaS utilisés sans supervision IT
- Documenter les systèmes hérités (legacy) même si en décommission
Classifier les actifs par sensibilité
La Loi 25 requiert une classification spécifique des renseignements sensibles. La classification guide les niveaux de protection à appliquer.
- Définir votre grille de classification (ex. Public, Interne, Confidentiel, Restreint)
- Classer chaque actif selon sa sensibilité
- Identifier les renseignements sensibles au sens de la Loi 25 (santé, finances, biométrie, convictions religieuses, etc.)
- Documenter les exigences de protection spécifiques à chaque niveau
Cartographier les flux de données
Comprendre comment les données circulent est essentiel pour les EFVP et la gestion des risques liés aux tiers.
- Pour chaque actif : d’où viennent les données ? Où vont-elles ?
- Identifier les transferts hors Québec (exigences de la Loi 25)
- Documenter les accès des fournisseurs tiers
- Valider que les ententes de communication sont en place
Maintenir l’inventaire à jour
Un inventaire périmé est pire qu’un inventaire inexistant : il crée un faux sentiment de sécurité.
- Définir un processus de mise à jour déclenché par tout changement de système
- Prévoir une revue annuelle complète de l’inventaire
- Intégrer la cartographie dans le processus d’EFVP
- Automatiser la découverte d’actifs si possible
Grille de classification recommandée
Information destinée au grand public, sans restriction
Exemples : Site web, communiqués de presse, documentation produit
Information à usage interne, non confidentielle
Exemples : Politiques internes, procédures opérationnelles, organigrammes
Information sensible dont la divulgation pourrait nuire à l’organisation ou aux individus
Exemples : Données clients, contrats, informations RH générales
Information très sensible, accès limité au minimum requis
Exemples : Données de santé, informations financières personnelles, données biométriques, secrets commerciaux
CapGRC intègre la cartographie des actifs à votre programme GRC
Registre des actifs, classification automatisée, flux de données et lien direct avec les risques et les EFVP.