Aucune certification ni avis juridique
La revue n’émet aucun certificat de conformité, aucun avis juridique ni aucune attestation formelle à l’égard de l’une ou l’autre de ces lois.
Revue de sécurité informatique indépendante
Sachez précisément ce que cette revue peut appuyer - et ce qu’elle ne peut pas.
Une personne responsable de la protection des renseignements personnels qui bâtit un dossier de diligence raisonnable Loi 25 ou LPRPDE a besoin de preuves précises et vérifiables sur le locataire. Cette revue énonce clairement ce qu’elle peut remettre, et où un avocat spécialisé en protection des renseignements personnels ou un évaluateur accrédité doit prendre le relais.
- Avant tout accès
- Question et périmètre écrits
- Méthode de preuve convenue
- Aucun changement automatique
Sachez ce que cette revue n’est pas.
Aucune page de ce site ne prétend certifier la conformité à la Loi 25 ou à la LPRPDE, et cette revue ne change rien à cela. Elle produit des preuves de configuration, pas un avis juridique ni un certificat de conformité.
Aucune attestation article par article
Elle ne passe pas en revue chaque obligation de la Loi 25 ou de la LPRPDE pour la marquer conforme ou non; elle examine les preuves de configuration Microsoft 365 dans le périmètre convenu.
Où un avocat en protection des renseignements personnels demeure requis
La suffisance juridique, les obligations de déclaration d’incident et la conformité globale du programme demeurent des questions pour un conseiller juridique qualifié ou un évaluateur accrédité en protection des renseignements personnels.
Sachez quelles preuves du locataire appuient réellement un dossier de confidentialité.
Les preuves de contrôle d’accès, d’emplacement des données et de partage correspondent directement aux mesures de sauvegarde qu’une personne responsable de la confidentialité doit documenter - sans exiger un audit spécialisé distinct pour les produire.
Preuves de contrôle d’accès
Documenter qui peut accéder à l’information pouvant inclure des renseignements personnels, et par quels rôles, groupes ou parcours de partage.
Configuration de l’emplacement et de la résidence des données
Confirmer où les charges de travail Microsoft 365 pertinentes sont configurées pour stocker les données, car la résidence des données est un paramètre à vérifier, pas une supposition.
Preuves de partage externe et d’accès par des tiers
Documenter quelles parties externes, applications ou personnes invitées peuvent accéder à l’information visée, et selon quels paramètres de partage.
Reliez les constats aux vraies questions de la personne responsable de la confidentialité.
Les questions courantes de diligence raisonnable correspondent à des domaines de revue déjà couverts sur ce site, pour que les preuves puissent être rassemblées sans dupliquer un travail déjà décrit ailleurs.
Qui peut accéder aux renseignements personnels
Répondu conjointement par la revue d’identité et d’accès et la revue des rôles privilégiés.
Est-ce partagé à l’extérieur de l’organisation
Répondu par la revue du partage externe, qui documente les parcours de partage aux invités, par lien et par application.
Les mesures de sauvegarde sont-elles réellement appliquées
Répondu par les preuves d’identité, d’accès conditionnel et de conformité des appareils, plutôt que par le seul nom d’une stratégie.
Remettez les preuves au bon responsable.
Le résultat de la revue est rédigé pour appuyer la documentation de la personne responsable de la confidentialité ou du conseiller juridique - pas pour remplacer leur jugement sur ce qui est juridiquement suffisant.
Un format utilisable par un conseiller en confidentialité
Les constats sont rédigés pour pouvoir être joints à une évaluation des facteurs relatifs à la vie privée ou à un dossier de diligence raisonnable sans devoir être réécrits.
Ce qui demeure une décision propre à l’organisation
Les décisions relatives à la déclaration d’incident et la tolérance globale au risque juridique demeurent une décision de l’organisation et de son conseiller juridique, pas un résultat de cette revue.
Cadence de revérification
Lier une revérification à un changement réglementaire, une nouvelle charge de travail ou un changement important du locataire, plutôt que de considérer les preuves comme éternellement à jour.
Prochaine étape
Définissez la revue avant de partager des preuves.
Commencez avec le déclencheur, la décision et les limites connues. N’envoyez aucun mot de passe, code de récupération ni export du locataire.