3. Évaluation des risques

3.1 Scénarios de risque

Cernez les scénarios de risque susceptibles de se produire; évitez de mettre l’accent sur des événements très précis ou improbables (comme des scénarios détaillés de catastrophes naturelles). Veillez plutôt à comprendre l’impact opérationnel que les diverses perturbations pourraient avoir sur la capacité de fonctionnement du cabinet.

Des exemples suivent (remplacer/modifier au besoin).

Scenario

1. Incendie ou inondation de bureau
2. Bureau inaccessible, mais non endommagé
3. Défaillance de l’infrastructure de TI
4. Défaillance des services infonuagiques
5. Cyberattaque

3.2 Répercussions sur les renseignements confidentiels

Pour chaque scénario décrit à la section 3.1, cernez les renseignements confidentiels (c.‑à‑d. les renseignements permettant d’identifier une personne [RIP] et la confidentialité des clients) qui pourraient être compromis. Pour chaque type distinct de renseignements, précisez les mesures à prendre et les politiques et procédures du cabinet qui régissent ces mesures.

Des exemples suivent (remplacer/modifier au besoin).

Renseignements	Mesure à prendre	Documents de référence (emplacement)
Confidentialité des clients	Aviser le ou les clients touchés Aviser l’ordre professionnel	Procédures d’avis d’atteinte (DMS – document no 12345)
Renseignements permettant d’identifier une personne	Aviser toute personne qui pourrait avoir été touchée Aviser l’ordre professionnel	Procédures d’avis d’atteinte (DMS – document no 12345)

3.3 Répercussions sur les activités

Pour chaque scénario décrit à la section 3.1, évaluez la probabilité et les répercussions, puis établissez l’ordre de priorité en conséquence.

Des exemples suivent (remplacer/modifier au besoin).

Scénario	Probabilité	Répercussions	Priorité
Incendie ou inondation de bureau	F	M	4
Bureau inaccessible, mais non endommagé	M	M	3
Défaillance de l’infrastructure de TI	M	M	3
Défaillance des services infonuagiques	F	É	3
É	É	1

3.4 Répercussions sur le service

Pour chaque scénario décrit à la section 3.1, dressez une liste des services essentiels qui devraient être temporairement inaccessibles ou perdus de façon permanente.

Des exemples suivent (remplacer/modifier au besoin).

Scénario	Répercussions sur le service
Incendie ou inondation de bureau	Dossiers physiques perdus de façon permanente Équipement de bureau perdu de façon permanente Salles de conférence perdues de façon permanente Ordinateurs des utilisateurs perdus de façon permanente Infrastructure de TI perdue de façon permanente Espaces de travail perdus de façon permanente
Bureau inaccessible, mais non endommagé	Dossiers physiques temporairement indisponibles Équipement de bureau temporairement indisponible Salles de conférence temporairement indisponibles Ordinateurs des utilisateurs temporairement indisponibles Données du bureau temporairement indisponibles (soyez précis ici, p. ex. produit du travail, courriel, documents de référence, etc.) Espaces de travail temporairement indisponibles
Défaillance de l’infrastructure de TI	Perte temporaire de services qui ne peuvent être fournis qu’au bureau (soyez précis ici, p. ex. Internet, réseau local, sans fil, impression, télécopieur, courriel, etc.) Données du bureau temporairement indisponibles ou perdues de façon permanente (soyez précis ici, comme ci-dessus)
Défaillance des services infonuagiques	Perte temporaire de services infonuagiques (soyez précis ici, comme ci-dessus) Données infonuagiques temporairement indisponibles ou perdues de façon permanente (soyez précis ici, comme ci-dessus)
Cyberattaque	Données compromises ou perdues Violation des lois ou des règlements Perte de confiance des clients Atteinte à la réputation

3.5 Objectifs de rétablissement

Pour chaque service indiqué à la section 1.1, attribuez un OTR et un OPR, le cas échéant. Ces concepts doivent s’appliquer au rétablissement des services numériques qui peuvent être remis dans l’état où ils étaient à un moment donné avant l’incident, plutôt qu’au rétablissement à partir de scénarios de catastrophe physique. Par conséquent, ce tableau ne comprendra pas tous les éléments de service.

Des exemples suivent (remplacer/modifier au besoin).

Service	OTR1	OPR2
Produits du travail entreposés au bureau	24 h	12 h
Panne d’Internet au bureau	24 h	24 h
Panne de réseau local au bureau	24 h	24 h
Sans fil au bureau	24 h	24 h
Impression au bureau (c.-à-d. aucune imprimante ne fonctionne)	24 h	24 h
Téléphone au bureau	24 h	24 h
Télécopieur au bureau	24 h	24 h
Produits du travail stockés dans le nuage	24 h	12 h
Courriel – livraison future	4 h	s.o.
Courriel – contenu historique	24 h	1 h