Cette section des Lignes directrices constitue un document de référence essentiel pour la gestion de la sécurité de l’information et la protection de la vie privée dans les institutions en charge de la sécurité sociale. Les huit lignes directrices ci-dessous constituent un point de départ permettant aux institutions de développer leurs propres politiques et projets, et aidant à faire face aux défis de la sécurité de l’information à travers une approche cohérente fondée sur des normes reconnues. Elles visent également une sensibilisation accrue aux risques dans le domaine de la sécurité de l’information et à la façon de les traiter.

Les lignes directrices reposent sur les principes bien établis et les meilleures pratiques en matière de planification, de gestion des risques et de mesure de la performance. Elles ont été composées à partir de plusieurs instruments et principes directeurs politiques, de lignes directrices et de rapports préparés par différentes instances publiques ainsi que par l’industrie privée, les professionnels des institutions de la sécurité sociale et des organismes chargés d’établir des normes, tels que l’Organisation internationale de normalisation (ISO), le National Institute of Standards and Technology (NIST) ou l’Information Systems Audit and Control Association (ISACA).

Ces huit lignes directrices sont destinées au personnel du service TIC, aux cadres et gestionnaires chargés de la sécurité de l’information, au personnel responsable de la conception, de la mise en œuvre et/ou du suivi de la gestion des risques au sein des institutions concernées. Elles pourégalement être utiles à des gestionnaires des risques dans certains services d’entreprise, à des planificateurs stratégiques, à des coordinateurs et à d’autres spécialistes qui jouent un rôle important dans l’intégration de la sécurité dans la gestion des risques institutionnels, la planification et la mesure de la performance au sein d’une organisation.

Les lignes directrices s’appliquent à toute étape d’une activité, d’une fonction, d’un projet, d’un produit ou d’un actif touchant à l’information. Même si la gestion de la sécurité de l’information s’applique généralement à des systèmes et installations informatiques complets, elle peut également cibler des services ou des éléments de système précis quand cela s’avère pratique et utile.