Glossaire de la conformité et de la résilience

3PAO

Third-Party Assessment Organization (organisation d’évaluation tierce). Un évaluateur indépendant et accrédité qui vérifie qu’un produit infonuagique satisfait aux exigences de sécurité d’un programme. Exigé au niveau Ready de GovRAMP et aux niveaux supérieurs, ainsi que dans l’ensemble de FedRAMP.

ADA, titre II

La partie de l’Americans with Disabilities Act qui vise les gouvernements des États et locaux. Une règle de 2024 du ministère de la Justice des États-Unis exige que leurs sites Web et leurs applications mobiles respectent WCAG 2.1 niveau AA, avec des dates de conformité en 2027 et en 2028.

APL

Approved Products List (liste des produits approuvés). Une liste publiée des produits infonuagiques qui ont obtenu un statut d’autorisation donné, afin qu’un acheteur gouvernemental puisse confirmer d’un coup d’œil la situation d’un produit.

BAA

Business Associate Agreement (entente avec un associé d’affaires). Le contrat HIPAA entre une entité couverte et un fournisseur qui traite des renseignements de santé protégés en son nom, et qui établit les mesures de protection et les obligations de déclaration des atteintes de chaque partie.

BCP

Plan de continuité des affaires (Business Continuity Plan). Le plan qui permet à l’organisation de continuer à fonctionner malgré une perturbation, et qui relie les priorités de reprise, les rôles et les plans de réponse aux incidents et de reprise après sinistre.

BIA

Analyse d’impact sur les affaires (Business Impact Analysis). L’exercice qui détermine quels processus comptent le plus et ce qu’il en coûte lorsqu’ils s’arrêtent, et qui produit les objectifs de reprise sur lesquels tout le reste repose.

CCCS

Centre canadien pour la cybersécurité (Canadian Centre for Cyber Security). L’autorité nationale du Canada en matière de cybersécurité, qui publie aussi un ensemble de base de contrôles destiné aux petites et moyennes organisations.

CCSPA

Loi sur la protection des cybersystèmes essentiels (Critical Cyber Systems Protection Act). La loi canadienne issue du projet de loi C-8, qui crée des obligations de cybersécurité pour les exploitants désignés des secteurs sous réglementation fédérale : télécommunications, services bancaires, énergie et transport.

CIRO

Organisme canadien de réglementation des investissements (Canadian Investment Regulatory Organization). L’organisme d’autoréglementation national des courtiers en placement, formé en 2023 à partir de l’IIROC et de l’ACFM (MFDA), qui établit les attentes de cybersécurité et de déclaration des incidents pour ses membres.

CJI

Informations de justice pénale (Criminal Justice Information). Les données que protège la politique de sécurité CJIS du FBI, comme les dossiers de casier judiciaire et les renseignements connexes.

Données CJI

Les dossiers sous-jacents que protègent les mesures de sécurité de la CJIS. Voir CJI.

CJIS

Criminal Justice Information Services (services d’information de la justice pénale). La division du FBI qui exploite les bases de données nationales de justice pénale et publie la politique de sécurité CJIS.

Politique de sécurité CJIS

Les exigences de sécurité du FBI pour toute agence ou tout entrepreneur qui touche à des informations de justice pénale. La version 6.1 est la version actuelle; certaines parties des anciennes exigences de la 5.9 s’appliquent toujours et sont toujours passibles de sanctions.

Surveillance continue des contrôles

Vérifier que les contrôles fonctionnent réellement de façon continue, à partir de données de système en direct, plutôt que de les confirmer une fois par an en présumant qu’ils ont tenu.

Entité couverte

Selon HIPAA, un régime de santé, une chambre de compensation des soins de santé ou un fournisseur de soins de santé qui transmet des renseignements de santé par voie électronique. Une entité couverte est directement liée par les règles de HIPAA.

CSA (agence des systèmes CJIS)

L’agence à l’échelle de l’État chargée d’administrer l’accès à la CJIS et la conformité à celle-ci dans son État. En Iowa, il s’agit du Department of Public Safety.

Avis du personnel 33-322 des ACVM (CSA)

Les attentes en cybersécurité des Autorités canadiennes en valeurs mobilières à l’égard des firmes inscrites, rattachées à leur obligation existante de maintenir un système de conformité raisonnable.

CSO (dirigeant des systèmes CJIS)

La personne, au sein d’une agence des systèmes CJIS, qui est responsable de la conformité de l’agence à la CJIS et de son administration courante.

Carte des dépendances

Un portrait des systèmes et des processus qui dépendent d’autres systèmes et processus, utilisé pour repérer les points de défaillance uniques et fixer l’ordre dans lequel les choses doivent être rétablies.

DPA

Data Processing Agreement (entente de traitement des données). La clause contractuelle qui oblige un fournisseur à protéger les renseignements personnels que vous lui confiez. Une DPA publiée dans le centre de confiance d’un fournisseur signifie qu’il en existe une; cela ne veut pas dire que votre organisation l’a signée ni qu’elle est couverte.

DRP

Plan de reprise après sinistre (Disaster Recovery Plan). Le plan technique de rétablissement des systèmes et des données après une panne : quoi rétablir, dans quel ordre et selon quels objectifs de reprise.

Preuve

Les dossiers qui démontrent qu’un contrôle était réellement en place et fonctionnait : journaux, instantanés de configuration, revues d’accès et autres, idéalement horodatés et exportables pour un auditeur.

FedRAMP

Le programme fédéral américain qui autorise les produits infonuagiques à être vendus aux agences fédérales. C’est l’équivalent fédéral de GovRAMP, qui sert les gouvernements des États et locaux.

FINTRAC

Centre d’analyse des opérations et déclarations financières du Canada (CANAFE, ou FINTRAC en anglais). L’unité du renseignement financier du Canada, qui établit les obligations de lutte contre le blanchiment d’argent (connaissance du client, déclaration, tenue de dossiers) pour les entités déclarantes.

FIPPA

Freedom of Information and Protection of Privacy Act (loi sur l’accès à l’information et la protection de la vie privée). Une loi provinciale sur l’accès et la protection de la vie privée dans le secteur public. La version de la Colombie-Britannique exige un programme de gestion de la protection de la vie privée et, dans bien des cas, la résidence des données au Canada.

FOIP

Freedom of Information and Protection of Privacy (accès à l’information et protection de la vie privée). L’ancienne loi albertaine sur la protection de la vie privée dans le secteur public, remplacée le 11 juin 2025 par la Protection of Privacy Act et l’Access to Information Act. Un texte qui cite encore la FOIP décrit une loi abrogée.

GCC (Government Community Cloud)

Un environnement infonuagique que Microsoft exploite pour les clients du secteur public des États-Unis, isolé pour satisfaire aux exigences gouvernementales de traitement des données.

GCC High

Un environnement Government Community Cloud à assurance renforcée pour les clients des États-Unis soumis à des obligations ITAR ou touchant des informations non classifiées contrôlées, avec une vérification du personnel et des contrôles de résidence des données plus stricts.

GovRAMP (anciennement StateRAMP)

Un programme normalisé d’évaluation de la sécurité pour les produits infonuagiques vendus aux gouvernements des États et locaux des États-Unis. StateRAMP a été rebaptisé GovRAMP en 2025; les statuts, les exigences et les autorisations existantes ont été reportés sans changement.

HIA (Health Information Act, Alberta)

La loi albertaine qui régit les dépositaires détenant des renseignements sur la santé, avec des règles sur la collecte, l’utilisation, la communication et les mesures de protection.

Règle de sécurité HIPAA

La norme américaine de protection des renseignements de santé électroniques protégés, qui établit des mesures de protection administratives, physiques et techniques pour les entités couvertes et leurs associés d’affaires.

Publication 1075 de l’IRS

Les mesures de protection de l’IRS pour toute organisation qui reçoit des renseignements fiscaux fédéraux. Elle repose sur le NIST SP 800-53 avec des ajouts propres à l’IRS, et les renseignements ne doivent jamais quitter les États-Unis.

ITAR

International Traffic in Arms Regulations (règlement sur le trafic d’armes à l’échelle internationale). Des règles américaines de contrôle des exportations qui exigent notamment que certaines données soient traitées uniquement par des personnes des États-Unis, sur le sol américain.

LASO (agent de sécurité de l’agence locale)

La personne, au sein d’une agence locale, souvent un service de police, qui est responsable de la conformité à la sécurité CJIS et qui en est le point de contact.

Loi 25 (Québec)

La loi québécoise sur la protection des renseignements personnels dans le secteur privé (projet de loi 64), avec des obligations de consentement, de déclaration des atteintes, de responsable de la protection des renseignements personnels et d’évaluation des facteurs relatifs à la vie privée, et des pénalités pouvant atteindre 4 % du chiffre d’affaires mondial.

Contrat-cadre

Le contrat général entre deux parties qui fixe les conditions générales et sous lequel s’inscrivent ensuite des commandes ou des énoncés de travaux précis.

MDSAP

Medical Device Single Audit Program (programme d’audit unique des dispositifs médicaux). Un audit réglementaire unique du système qualité d’un fabricant de dispositifs que les organismes de réglementation de plusieurs pays acceptent. C’est une voie d’audit, et non une norme à laquelle on se conforme.

MFIPPA

Municipal Freedom of Information and Protection of Privacy Act (Loi sur l’accès à l’information municipale et la protection de la vie privée, LAIMPVP). La loi ontarienne sur l’accès et la protection de la vie privée pour les municipalités et les conseils locaux, modifiée par le projet de loi 194.

MTD

Durée maximale d’interruption tolérable (Maximum Tolerable Downtime). Le temps maximal pendant lequel un processus peut être interrompu avant que les dommages ne deviennent inacceptables. Si un objectif de reprise est plus long que la MTD, le plan ne tient pas la route.

OPC

Commissariat à la protection de la vie privée du Canada (Office of the Privacy Commissioner of Canada). L’organisme de réglementation fédéral qui supervise la LPRPDE et enquête sur les plaintes en matière de protection de la vie privée.

PHI

Renseignements de santé protégés (Protected Health Information). Les renseignements de santé associés à une personne que HIPAA protège.

PHIPA

Loi sur la protection des renseignements personnels sur la santé (LPRPS, Personal Health Information Protection Act). La loi ontarienne sur la protection de la vie privée en matière de santé, pour les dépositaires de renseignements sur la santé.

PIPA (Alberta et C.-B.)

Personal Information Protection Act (loi sur la protection des renseignements personnels). La loi sur la protection de la vie privée dans le secteur privé en Alberta et, séparément, en Colombie-Britannique, chacune étant essentiellement semblable à la LPRPDE.

PIPEDA

Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, Personal Information Protection and Electronic Documents Act). La loi fédérale canadienne sur la protection de la vie privée dans le secteur privé, fondée sur dix principes d’équité en matière d’information, avec un critère de risque réel de préjudice grave pour la déclaration des atteintes.

POPA

Protection of Privacy Act (loi sur la protection de la vie privée). La loi albertaine sur la protection de la vie privée dans le secteur public, en vigueur le 11 juin 2025, qui exige notamment un programme de gestion de la protection de la vie privée documenté (article 25).

QMSR

Quality Management System Regulation (règlement sur le système de gestion de la qualité). La règle de la FDA sur le système qualité des dispositifs médicaux, en vigueur le 2 février 2026, qui incorpore par renvoi la norme ISO 13485:2016. C’est un système qualité, et non un cadre de cybersécurité.

RPO

Objectif de point de récupération (Recovery Point Objective). La quantité de données, mesurée en temps, que vous pouvez vous permettre de perdre. Un RPO d’une heure signifie que les sauvegardes ne doivent pas être espacées de plus d’une heure.

RTO

Objectif de temps de récupération (Recovery Time Objective). La rapidité avec laquelle un processus doit être rétabli après une défaillance. Il doit être plus court que la durée maximale d’interruption tolérable.

SAQ (questionnaire d’autoévaluation PCI)

Un questionnaire d’autoévaluation PCI DSS. La version qui s’applique (A, A-EP, B, B-IP, C, C-VT ou D) dépend de la façon dont un commerçant traite les données de cartes.

Article 524B (cybersécurité préalable à la mise en marché de la FDA)

La loi américaine qui exige un contenu de cybersécurité dans une demande préalable à la mise en marché d’un dispositif médical : un plan de surveillance et de divulgation coordonnée des vulnérabilités, une conception sécurisée et une nomenclature logicielle (SBOM). Obligatoire depuis le 29 mars 2023.

Addenda de sécurité

Dans la CJIS, l’addenda de sécurité CJIS (CJIS Security Addendum) : le contrat qu’un entrepreneur privé signe pour traiter des informations de justice pénale, qui lie son personnel à la politique et à une vérification fondée sur les empreintes digitales.

Point de défaillance unique

Un composant dont la défaillance suffit à interrompre un processus, parce que rien d’autre ne peut prendre la relève. La planification de la continuité les cherche en premier.

SLED

États, administrations locales et éducation (State, Local, and Education). Le marché du secteur public sous le palier fédéral des États-Unis, et les acheteurs que sert GovRAMP.

Sous-traitant

Un tiers qu’un fournisseur utilise pour aider à traiter vos données. Les lois sur la protection de la vie privée et les contrats exigent habituellement que le fournisseur divulgue ses sous-traitants et leur transmette les mêmes obligations.

Exercice sur table

Un exercice de simulation où une équipe discute de sa réponse à un scénario, comme une atteinte ou une panne, afin de mettre le plan à l’épreuve avant un véritable événement.

Centre de confiance

Une page publique où un fournisseur publie sa posture de sécurité, ses certifications et ses documents, afin que ses clients puissent répondre une seule fois à leurs questions de diligence raisonnable.

TX-RAMP

Le programme d’évaluation de la sécurité infonuagique propre à l’État du Texas, son équivalent de GovRAMP pour les produits vendus aux agences du Texas.

Type I et type II

Les deux types de rapports SOC 2. Le type I vérifie que les contrôles sont adéquatement conçus à un moment précis; le type II vérifie qu’ils ont fonctionné efficacement sur une période, habituellement de 6 à 12 mois.

UAR

User Access Review (revue des accès des utilisateurs). Une vérification périodique que chaque personne a toujours besoin des accès qu’elle détient, avec les approbations consignées comme preuve.

Il manque un terme auquel vous vous attendiez? Le catalogue des cadres de référence définit chaque cadre en détail, et la page GRC montre comment ils s’articulent. Dernière mise à jour : 28 août 2026.