Réponse et plan d'action de la direction - Audit de la planification de la continuité des activités de technologie de l'information pour les systèmes et applications essentiels à la mission à Santé Canada et à l'Agence de la santé publique du Canada - Septembre 2016

Version traduite. En cas de divergence entre le présent texte et le texte anglais, la version anglaise a préséance.

Organisation : Santé Canada et Agence de la santé publique du Canada

Date publiée : 2016-12-16

Réponse et plan d'action de la direction
Septembre 2016

Recommandations	Réponses et mesures prévues par la direction	Produits livrables		Date d'achèvement prévue		Responsabilité
Recommandation 1 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion intègre la planification de la continuité des activités de technologies de l'information dans la structure de gouvernance de la planification de la continuité des activités, notamment en définissant et en communiquant clairement les rôles et les responsabilités.	La direction souscrit à cette recommandation.
	La DGSG établira une définition claire des rôles et responsabilités relativement à la planification de la continuité des activités de TI, les intégrant à la structure de gouvernance de la planification de la continuité des activités, et elle les partagera avec les comités de gestion de la continuité des activités du Partenariat de la santé.	Des mandats révisés pour tous les comités pertinents. Le processus a fait l'objet de discussions lors de la réunion du 5 avril 2016 du Comité de gestion de la continuité des activités du Partenariat (CGCAP). Le processus sera présenté au Comité des directeurs généraux - planification des investissements (PI-DG) (date à déterminer).		Juin 2016		Sous-ministre adjointe (SMA), Direction générale des services de gestion (DGSG)
		L'intégration de la planification de la continuité des activités de TI à la planification des activités; un document d'une page, à l'intention des propriétaires fonctionnels, détaillant un plan de continuité des activités, sera présenté à la fin d'avril 2016.
Recommandation 2 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion veille à ce que les risques liés à la planification de la continuité des activités de technologies de l'information soient évalués plus en profondeur et qu'ils soient inclus dans les plans de la technologie de l'information de HC et de l'Agence.	La direction souscrit à cette recommandation.
	La DGSG évaluera davantage les risques liés à la planification de la continuité des activités de TI et assurera qu'ils sont consignés aux plans de TI de HC et de l'ASPC.	Les plans de TI annuels de SC et de l'ASPC incluent cette analyse.		Mars 2016		SMA, DGSG
		Le manque de plan de continuité des activités de TI a été inclus comme un risque dans les plans de TI de SC et de l'ASPC		Complété Mars 2016Tableau 1 - Note 1
Recommandation 3 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion : communique aux autres directions générales l'exigence d'une évaluation de la menace et des risques et de plans d'action à jour pour tous les systèmes et applications essentiels à la mission; veille à ce que le coordonnateur ministériel de la sécurité des TI surveille la conformité à l'exigence et en fasse rapport au moins une fois par année; veille à ce qu'aucune nouvelle application essentielle à la mission ne soit lancée dans l'environnement de production sans l'autorisation d'exploitation.	La direction souscrit à cette recommandation.
	Dans le cadre du processus annuel de validation, la DGSG communiquera aux directions générales l'exigence d'une évaluation de la menace et des risques (EMR) pour tous les systèmes et applications essentiels à la mission (AEM).	Communiqué annuel sur les exigences à jour relatives aux EMR.		Juillet 2016		SMA, DGSG Tous les propriétaires d'AEM
		Dans le cadre de la mise à jour des processus décrite à la recommandation 1 ci-dessus, les directions générales ont été informées de l'exigence de mettre à jour les EMR pour toutes les AEM.		Complété Mars 2016Tableau 1 - Note 1
	La DGSG surveillera la conformité à cette exigence pour toutes les EMR d'AEM et fera rapport sur les résultats au moins une fois par année aux Comités exécutifs de HC et de l'Agence. Les sous-ministres adjoints de directions générales qui sont les propriétaires fonctionnels d'AEM veilleront à ce qu'un EMR à jour soit en place pour chacune des AEM dont ils sont responsables.	Présentation au moins annuellement d'un rapport sur les EMR des AEM. Des EMR ont été commencées pour toutes les AEM. Un rapport d'étape mensuel existe déjà en fonction du Cadre de responsabilisation de gestion 2013-2014. La présentation de rapports aux Comités exécutifs est à prévoir.		Septembre 2016		Les SMA de directions générales propriétaires fonctionnels d'AEM SMA, DGSG
	La DGSG mettra en place un processus permettant au DPI de donner son aval à l'évaluation de la sécurité et rapport d'autorisation (ESRA) avant qu'une AEM ne soit lancée dans l'environnement de production.	Révisions apportées au processus de la DGSG pour la gestion du changement des AEM.		Mars 2016		SMA, DGSG
		L'exigence relative à une ESRA approuvée par le DPI (qui comprend le besoin d'établir une EMR) a été intégrée au processus d'autorisation d'exploitation requis avant qu'une application ne soit lancée dans l'environnement de production		Complété Mars 2016Tableau 1 - Note 1
Recommandation 4 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion documente le processus d'identification et d'approbation de la liste des systèmes et applications essentiels à la mission de HC et de l'Agence.	La direction souscrit à cette recommandation.
	La DGSG documentera le processus d'identification et d'approbation des AEM à HC et à l'Agence.	Révisions apportées au processus de la DGSG pour la gestion du changement des AEM.		Mars 2016		SMA, DGSG
		Le Programme national de GCA a mis au point un nouveau processus, en collaboration avec la DGSI.		Complété Mars 2016Tableau 1 - Note 1
Recommandation 5 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion, en collaboration avec les propriétaires fonctionnels, veille à ce qu'une entente sur les niveaux de service ou autre entente d'affaires officielle soit mise en place avec les fournisseurs de services, décrivant les niveaux de service pour le rétablissement des systèmes et applications essentiels à la mission.	La direction souscrit à cette recommandation.
	La DGSG travaillera en collaboration avec les directions générales afin d'identifier des fournisseurs de services, et ce, afin d'assurer qu'une entente sur les niveaux de service (ENS) ou autre entente d'affaires officielle soit mise en place, laquelle décrit les niveaux de service pour le rétablissement des AEM.	Des ENS ou autre entente d'affaires en place pour toutes les AEM. Le 10 février 2016, le Comité exécutif de l'ASPC a approuvé la liste des AEM. Date de la demande d'approbation de la liste des AEM par le Comité exécutif de SC est à prévoir.		Avril 2017		Les SMA de directions générales propriétaires fonctionnels d'AEM SMA, DGSG
		Le PNGCA a communiqué aux propriétaires fonctionnels le besoin de déterminer les fournisseurs de service et de négocier avec eux un plan de continuité des activités de TI approprié. On travaille présentement à aider les propriétaires fonctionnels à déterminer un plan de continuité des activités de TI (voir la recommandation 1 ci-dessus).
Recommandation 6 Il est recommandé que la sous-ministre adjointe de la Direction générale des services de gestion : communique aux propriétaires fonctionnels l'exigence d'avoir des plans complets de continuité des activités de TI pour tous les systèmes et applications essentiels à la mission; surveille la conformité à l'exigence et fasse rapport sur les résultats au moins une fois par année.	La direction souscrit à cette recommandation.
	La DGSG développera les exigences relatives aux plans de continuité de TI pour toutes les AEM, communiquera ces exigences aux propriétaires fonctionnels, en surveillera la conformité et fera rapport sur les résultats au moins une fois par année.	Des révisions apportées aux mandats de tous les comités pertinents.	Juin 2016		SMA, DGSG
	Pour chacune des AEM, le plan de continuité des activités de TI sera examiné, mis à jour et opérationnalisé annuellement par le SMA de la direction générale qui est le propriétaire fonctionnel de l'AEM.	Lettre d'appel annuelle relative aux plans de continuité des activités de TI.	Complété Mars 2016Tableau 1 - Note 1		Les SMA de directions générales propriétaires fonctionnels d'AEM SMA, DGSG
		Le Programme national de GCA a émis une lettre d'appel le 30 mars 2016, afin de réaliser cet objectif.	Complété Mars 2016Tableau 1 - Note 1