Page de titre
-
Site de réalisation
-
Service
-
Date et heure de l'inspection
-
Personnel informatique (nom complet)
PERSONNEL
-
Votre personnel porte-t-il des badges d'id ?
-
Une photo récente est-elle sur le badge d'identification ?
-
Les niveaux et le type d'accès autorisés (employé, entrepreneur, visiteur) sont-ils identifiés sur le badge ?
-
Vérifiez-vous les références des contractants externes ?
-
Avez-vous des politiques concernant la vérification des antécédents des employés et des contractuels ?
-
Disposez-vous d'un processus pour couper efficacement l'accès aux installations et aux systèmes d'information lorsqu'un employé ou un contractuel quitte son emploi ?
SÉCURITÉ PHYSIQUE
-
Avez-vous des politiques et des procédures permettant d'autoriser et de limiter l'accès physique non autorisé aux systèmes d'information électroniques et aux installations dans lesquelles ils sont hébergés ?
-
Vos politiques et procédures précisent-elles les méthodes utilisées pour contrôler l'accès physique à vos zones sécurisées, comme les serrures de porte, les systèmes de contrôle d'accès, les agents de sécurité ou la surveillance vidéo ?
-
L'accès à votre espace informatique est-il contrôlé (point unique, réception ou bureau de sécurité, registre d'entrée / sortie, badges temporaires / visiteurs) ?
-
Les visiteurs sont-ils accompagnés pour entrer et sortir des zones contrôlées ?
-
Vos ordinateurs sont-ils inaccessibles aux utilisateurs non autorisés (par exemple, situés loin des zones publiques) ?
-
Votre zone et vos équipements informatiques sont-ils physiquement sécurisés ?
-
Existe-t-il des procédures pour empêcher que les ordinateurs soient laissés en état de connexion, même brièvement ?
-
Les écrans sont-ils automatiquement verrouillés après 10 minutes d'inactivité ?
-
Les modems sont-ils réglés sur la fonction Auto-Answer OFF (pour ne pas accepter les appels entrants) ?
-
Avez-vous des procédures pour protéger les données pendant les réparations de l'équipement ?
-
Avez-vous des politiques concernant la sécurité des ordinateurs portables (par exemple, verrouillage par câble ou stockage sécurisé) ?
-
Avez-vous un plan d'évacuation d'urgence et est-il à jour ?
-
Votre plan identifie-t-il les zones et les installations qui doivent être immédiatement fermées en cas d'urgence ?
-
Le personnel clé sait-il quelles sont les zones et les installations qui doivent être isolées et comment ?
GESTION DES COMPTES ET DES MOTS DE PASSE
-
Disposez-vous de politiques et de normes couvrant l'authentification électronique, l'autorisation et le contrôle d'accès du personnel et des ressources à vos systèmes d'information, applications et données ?
-
Veillez-vous à ce que seul le personnel autorisé ait accès à vos ordinateurs ?
-
Des mots de passe appropriés sont ils obligatoires et respectés ?
-
Vos mots de passe sont-ils sûrs ( difficiles à deviner, changés régulièrement, pas d'utilisation de mots de passe temporaires ou par défaut) ?
-
Vos ordinateurs sont-ils configurés de manière à ce qu'on ne puisse pas afficher les mots de passe saisis par le personnel ?
CONFIDENTIALITÉ DES DONNÉES SENSIBLES
-
Classifiez-vous vos données, en identifiant les données sensibles et non sensibles ?
-
Exercez-vous vos responsabilités pour protéger les données sensibles sous votre contrôle ?
-
Les données les plus précieuses ou les plus sensibles sont-elles cryptées ?
-
Avez-vous une politique d'identification de la conservation des informations (sur papier et sur support électronique) ?
-
Avez-vous des procédures en place pour traiter les informations relatives aux cartes de crédit ?
-
Avez-vous des procédures pour la gestion des informations personnelles privées ?
-
Existe-t-il un processus pour créer des copies de sauvegarde et d'archivage récupérables des informations critiques ?
-
Avez-vous des procédures pour l'élimination des déchets ?
-
Les déchets de papier sont-ils mis à la poubelle ou déchiquetés ?
-
Votre corbeille de déchiqueteuse est-elle verrouillée en permanence ?
-
Vos politiques d'élimination des anciens équipements informatiques protègent-elles contre la perte de données (par exemple, en lisant les vieux disques et disques durs) ?
-
Vos procédures d'élimination identifient-elles les technologies et les méthodes appropriées pour rendre le matériel et les supports électroniques inutilisables et inaccessibles (comme le déchiquetage des CD et des DVD, l'effacement électronique des disques, la gravure des bandes, etc.)?
REPRISE APRÈS SINISTRE
-
Existe-t-il un plan de continuité des activités ?
-
Existe-t-il un processus pour créer des copies de sauvegarde et d'archivage récupérables des informations critiques ?
-
Disposez-vous d'un plan de communication pour la gestion des urgences / incidents ?
-
Avez-vous une procédure pour notifier les autorités en cas de catastrophe ou d'incident de sécurité ?
-
Votre procédure indique-t-elle qui doit être contacté, y compris les coordonnées des personnes à contacter ?
-
Les informations de contact sont-elles classées et identifiées par type d'incident ?
-
Votre procédure identifie-t-elle qui doit prendre les contacts ?
-
Avez-vous déterminé qui s'adressera à la presse / au public en cas d'urgence ou d'incident ?
-
Votre plan de communication couvre-t-il les communications internes avec vos employés et leurs familles ?
-
Les procédures d'urgence peuvent-elles être mises en œuvre de manière appropriée, selon les besoins, par les personnes responsables ?
SENSIBILISATION À LA SÉCURITÉ
-
Fournissez-vous des informations sur la sécurité informatique à votre personnel ?
-
Dispensez-vous des formations de manière régulière et récurrente ?
-
Les employés apprennent-ils à être attentifs aux éventuelles violations de la sécurité ?
-
Vos employés ont-ils appris à sécuriser leurs mots de passe ?
-
Vos employés sont-ils capables d'identifier et de protéger les données classifiées, notamment les documents papier, les supports amovibles et les documents électroniques ?
-
Votre plan de sensibilisation et d'éducation enseigne-t-il les méthodes appropriées pour gérer les données des cartes de crédit (normes PCI) et les informations personnelles privées (numéros de sécurité sociale, noms, adresses, numéros de téléphone, etc.)
CONFORMITÉ
-
Examinez-vous et révisez-vous régulièrement vos documents de sécurité, tels que : politiques, normes, procédures et directives ?
-
Auditez-vous vos processus et procédures pour vérifier leur conformité aux politiques et normes établies ?
-
Testez-vous régulièrement vos plans d'urgence ?
-
La direction examine-t-elle régulièrement les listes des personnes ayant un accès physique aux installations sensibles ou un accès électronique aux systèmes d'information ?
TERMINER
-
Recommandations générales
-
Personnel informatique (nom et signature)
