Courtiers en placement canadiens
Programme de cybersécurité de CIRO pour les courtiers membres
CIRO, l’Organisme canadien de réglementation des investissements, établit les obligations de cybersécurité de ses courtiers membres. Une partie est une règle contraignante dont la violation peut entraîner des sanctions; le reste est de l’orientation que CIRO s’attend à ce que vous suiviez et sur laquelle il vous posera des questions.
CIRO a été créé le 1er janvier 2023 par la fusion de l’IIROC et de l’ACFM (MFDA); beaucoup de documents plus anciens parlent donc encore de l’« IIROC ». Les obligations ci-dessous sont l’ensemble actuel de CIRO et remplacent le cadre désuet de l’IIROC.
À qui cela s’applique
- Les courtiers en placement inscrits auprès de CIRO.
- Les courtiers en fonds mutuels maintenant réglementés par CIRO depuis la fusion avec l’ACFM.
- Les gestionnaires de portefeuille et les conseillers qui exercent au sein d’un courtier membre.
Si vous êtes une firme inscrite qui n’est pas un courtier membre de CIRO, les règles qui s’appliquent à vous sont celles des ACVM (CSA), dans l’Avis du personnel 33-322. Voir CSA 33-322.
Le volet contraignant : les règles des IDPC
Il s’agit des règles relatives aux courtiers en placement et règles partiellement consolidées (IDPC). Elles sont exécutoires, et l’une d’elles fait de l’absence de déclaration une infraction en soi.
- Règle 3703 : déclaration des incidents. Déclarez un incident de cybersécurité à CIRO au moyen d’un rapport initial dans les 3 jours civils suivant sa découverte, et d’un rapport de suivi dans les 30 jours civils.
- Règle 3704 : défaut de déclarer. Omettre de déclarer en vertu de la règle 3703 constitue en soi un manquement, distinct de l’incident. Les organismes de réglementation regardent d’abord le chronomètre.
- Règles 4710–4714 : continuité des affaires. Maintenez un plan de continuité des affaires, et révisez-le et mettez-le à l’essai chaque année.
Le délai de déclaration en une ligne
Découverte → rapport initial à CIRO dans les 3 jours civils → suivi dans les 30 jours. Si vous le ratez, la règle 3704 devient un deuxième problème en plus de l’incident.
Le volet d’orientation : ce que CIRO publie
Trois documents portent les attentes de CIRO. Ce ne sont pas des règles au sens de la 3703, mais un examinateur s’attendra à vous voir travailler à partir d’eux.
- Guide des pratiques exemplaires en cybersécurité. Le principal, organisé selon les fonctions du cadre de cybersécurité du NIST, qui couvre la gouvernance, la gestion des risques, le personnel et les menaces internes, la sécurité physique, la sensibilisation et la formation, l’évaluation des menaces et des vulnérabilités, la sécurité des réseaux, le contrôle des comptes et des accès, la gestion des actifs, la réponse aux incidents, le partage d’information, la cyberassurance et le risque lié aux fournisseurs.
- Guide de planification de la gestion des cyberincidents. Cinq phases : planifier et se préparer, détecter et déclarer, évaluer et décider, intervenir et activités postérieures à l’incident.
- Outil d’autoévaluation en cybersécurité. Le questionnaire de base. CIRO ne le publie pas en téléchargement; un courtier membre en demande une copie par la page des guides et ressources.
- Sommaire de la déclaration des incidents. Le sommaire de CIRO sur ce que les membres ont déclaré et comment, utile pour étalonner vos propres déclarations.
Les trois niveaux selon lesquels nous la cernons
Les niveaux s’empilent : le niveau supérieur inclut tout ce qui se trouve en dessous. Choisissez celui qui correspond à l’avancement de votre programme.
| Niveau | Ce qu’il couvre |
|---|---|
| Base : autoévaluation | L’outil d’autoévaluation de CIRO : environ 40 questions pour savoir si les éléments de base existent, comme une politique écrite, un responsable, une liste des actifs, des sauvegardes, l’AMF, la formation et un plan d’incident. Le bon point de départ pour un petit courtier. |
| Guide des pratiques exemplaires | Le guide complet des pratiques exemplaires, sections 3.1 à 3.15. Comprend la base. |
| Gestion des incidents | Ajoute l’intégralité du guide de planification de la gestion des cyberincidents et le délai de déclaration de la règle 3703. Choisissez-le si vous mettez en place ou mettez à l’essai la réponse aux incidents, ou si CIRO s’est enquis de votre état de préparation. Comprend les deux niveaux inférieurs. |
Comment Lavawall® fait correspondre CIRO
La majeure partie du guide des pratiques exemplaires est constituée de contrôles techniques que vous devez exploiter et démontrer. Lavawall les exploite et tient la preuve à jour : une revue de CIRO devient un rapport que vous exportez, et non une course folle.
- Contrôles, cartographiés. L’AMF, l’application des correctifs, la revue des accès, les sauvegardes, la surveillance du réseau et le risque lié aux fournisseurs correspondent directement aux sections du guide des pratiques exemplaires.
- Preuve, en continu. Des registres horodatés des contrôles techniques, prêts pour un examinateur ou un assureur.
- Le délai de la règle 3703, appuyé. La détection des intrusions fait ressortir l’incident tôt, ce qui est la seule façon de rendre le rapport de 3 jours confortable plutôt qu’affolé.
- Continuité des affaires, suivie. La preuve que le plan prévu par les règles 4710–4714 a été révisé et mis à l’essai cette année.
CIRO et le NIST CSF se recoupent volontairement.
Comme le guide des pratiques exemplaires est bâti sur les fonctions du NIST CSF, le travail que vous faites pour l’un vous mène presque jusqu’à l’autre. Si vous appliquez déjà le NIST CSF, vous avez fait la plus grande partie du chemin vers CIRO.
Foire aux questions
Un rapport initial dans les 3 jours civils suivant la découverte, et un suivi dans les 30 jours, en vertu de la règle 3703 des IDPC. L’absence de déclaration constitue un manquement distinct en vertu de la règle 3704.
Non. CIRO ne le publie pas en téléchargement. Un courtier membre en demande une copie à CIRO par la page des guides et ressources.
Oui. L’IIROC a fusionné avec l’ACFM (MFDA) le 1er janvier 2023 pour former CIRO. Le programme de CIRO la remplace, et les évaluations existantes selon l’ancien cadre de l’IIROC demeurent lisibles.
L’équipe de ThreeShield, titulaire des certifications CISSP et CISA, peut cerner CIRO avec vous et mener l’évaluation. Les renvois aux règles et à l’orientation sont résumés à des fins de planification; confirmez le texte actuel de CIRO avant de certifier.