CAN/DGSI 100-8, Gouvernance des données - Partie 8 : Cadre pour la souveraineté numérique

Ce document spécifie les exigences minimales et fournit un cadre permettant aux organisations d'évaluer leur capacité à protéger, contrôler et gérer leur infrastructure numérique, leurs données et les technologies dont elles ont la garde contre les risques juridictionnels, tout en tirant parti de l'écosystème technologique mondial.

Ce document n'a pas pour objectif de prescrire la manière dont une organisation doit mettre en œuvre des contrôles de sécurité spécifiques. Il vise plutôt à guider les organisations en utilisant des approches juridictionnelles et technologiquement neutres qui peuvent être adaptées pour répondre à des besoins commerciaux spécifiques.
Les considérations suivantes sont prises en compte :
• Identification et catégorisation des infrastructures numériques, des données et des actifs technologiques ;
• Élaboration d'un modèle de menace approprié ;
• Identification des risques potentiels, y compris ceux liés aux lois des juridictions étrangères ;
• Options pour atténuer les risques associés ; et
• Respect des exigences en matière de diligence raisonnable et de transfert des données en vertu des lois et réglementations applicables.

Le document s'inspire de la norme ISO/IEC TS 10866:2024, Technologies de l'information - Informatique en nuage et plateformes distribuées - Cadre et concepts pour l'autonomie organisationnelle et la souveraineté numérique.

Ce document s'applique à tous les secteurs, y compris les entreprises publiques et privées, les entités gouvernementales et les organisations à but non lucratif.

Le présent document part du principe que l'organisation qui met en œuvre les exigences suivantes dispose déjà de politiques et de procédures de gestion des risques.

REMARQUE : Pour les personnes qui appliquent le présent document, en cas d'incohérence ou d'ambiguïté potentielle entre ce document et la législation applicable en matière de confidentialité des données, la loi prévaut. Lorsque des informations personnelles sont utilisées dans le document, les définitions juridictionnelles, légales et/ou réglementaires locales s'appliquent.