Depuis la mise en place du Centre gouvernemental de cyberdéfense du gouvernement du Québec en 2020, des politiques et directives avaient été élaborées et diffusées au sein des ministères et organismes de la province, notamment en lien avec la protection des renseignements personnels et l’hébergement des données. Celles-ci s’appliquaient aussi au réseau de l’éducation.
Afin de s’assurer d’une compréhension commune des exigences et pour appuyer ses membres dans le respect de celles-ci, l’Assocation Edteq, qui regroupe des entreprises en technologies éducatives du Québec, a mené une démarche collaborative au cours de l’année 2023. Outre le ministère de l’Éducation du Québec (MEQ) et l’Association, la Fédération des centres de services scolaire du Québec (FCSSQ) a participé à cette démarche d’évaluation des exigences en matière de sécurité de l’information (SI) pour les applications et plateformes Web québécoises.
« Cette démarche s’inscrit dans le contexte d’amélioration de l’offre existante dans le milieu éducatif et un désir de ces partenaires d’améliorer graduellement leur qualification aux exigences gouvernementales », lit-on sur le site de l’Association Edteq. Elle visait essentiellement à obtenir « une procédure claire à propos des exigences requises en matière de cybersécurité et de protection des renseignements personnels pour les fournisseurs de technologies éducatives ». Il s’agit d’un processus essentiel en vue de protéger adéquatement les données des élèves et des enseignants.
Des badges numériques de bonnes pratiques
Les formulaires en vue de l’évaluation ont été soumis par les membres d’Edteq entre juillet et août 2023. Ceux-ci ont été évalués par le Centre opérationnel de cyberdéfense (COCD) du MEQ et la FCSSQ. Les applications et plateformes Web éducatives qui ont répondu avec succès aux critères de sécurité informatique (protection des renseignements personnels et cybersécurité) établis pour l’année scolaire 2023-2024 sont maintenant identifiées par un badge numérique sur le site Web de l’Association.
« La liste […] reflète les organisations qui ont franchi avec succès cette première série de critères. Par ce processus, ces membres ont démontré une adhésion aux bonnes pratiques en SI et également un engagement à l’amélioration de celle-ci », lit-on dans un document obtenu du MEQ par l’École branchée. Cette liste concerne les centres de services scolaires et les commissions scolaires, les cégeps et les universités.
D’autres phases d’évaluation pourraient donc avoir lieu dans les prochains mois.
Les critères de cette première phase d’évaluation
(Cette liste de critères a été obtenue par l’École branchée à la suite d’une demande d’accès à l’information.)
1- Politique de confidentialité et déclaration des bonnes pratiques en SI
- Lien public vers la politique de confidentialité de l’organisation.
- Lien public vers la déclaration des bonnes pratiques en sécurité informatique de l’organisation.
- Lien public vers la déclaration indiquant que l’organisation ne collecte que les données nécessaires à l’utilisation de la plateforme.
- Capture d’écran du consentement des utilisateurs pour la collecte de données personnelles et lien vers le consentement des utilisateurs. Lien public où sont disponibles les informations pour joindre le soutien technique de la plateforme Web.
2- Lieu géographique d’hébergement
- Assurance que l’hébergement des données des utilisateurs est situé sur le territoire québécois ou bénéficie d’un niveau de protection jugé équivalent, avec des mesures spécifiques telles que le chiffrement des serveurs et des clauses contractuelles adéquates.
3- Entretien de la plateforme
- Preuve de sécurité des sites Web et services de transfert de données de la plateforme (HTTPS, TLS, certificat SSL).
- La plateforme doit être exempte de failles ou de vulnérabilités connues.
- La plateforme doit être exempte de composantes désuètes.
- La plateforme doit être exempte de logiciels malveillants.
- La plateforme ne doit pas faire partie d’une liste noire (blacklist).
- La plateforme doit jouir d’une bonne réputation.
4- Gestion des systèmes
- Conformité de la plateforme avec la norme PCI-DSS pour les cartes de paiement si applicable.
- Déclaration publique des mises à jour et des rustines effectuées de façon régulière.
- Lien public vers la déclaration de consignation d’événements.
- Politique pour remédier rapidement aux vulnérabilités découvertes.
5- Test d’intrusion (pentest) et utilisation de plateformes externe
- Conformité de développement des applications et plateformes Web avec un standard de sécurité tel que l’ASVS d’OWASP.
- Déclaration quant aux plateformes connues utilisées par l’entreprise.
