Afin d’appuyer ses membres dans leur environnement technologique, le RCCAQ poursuit ses démarches pour leur offrir des solutions concrètes. En collaboration avec Cyberswat, firme spécialisée dans la protection des données, le RCCAQ offre aux cabinets quelques bonnes pratiques à suivre pour bien gérer leur BMS (en mode infonuagique) et éviter de se retrouver face à de graves conséquences advenant des enjeux technologiques dans leur cabinet.

1- Sélectionner un service de courriel indépendant de votre fournisseur de BMS

Au lieu de faire l’achat de la licence Microsoft pour le courriel avec votre fournisseur de BMS, procédez à un achat des licences Office 365 directement par Microsoft ou par un fournisseur informatique indépendant. Cela vous évitera, si un incident affecte votre BMS, de potentiellement voir votre service de courriel touché.

2- Faire une sauvegarde externe des documents partagés (Shared drive) et de l’archivage des courriels

En cas de perte de service de votre fournisseur, vous aurez toujours accès à vos documents; minimisant ainsi vos pertes de données potentielles. Des procédures spécifiques devront probablement être prévues avec votre fournisseur informatique afin de vous assurer que le tout est mis en place adéquatement.

3- Planifier une installation locale de votre logiciel de tarification en cas de non-disponibilité de votre BMS

Ceci vous permettrait de poursuivre le traitement des dossiers durant une éventuelle difficulté avec votre BMS. Cette action pourrait minimiser les probabilités que des ventes soient perdues et pourrait éviter également certains frais chargés par des intermédiaires pour la réalisation de soumission manuelle.

4- Mise en place d’un système d’enregistrement des appels

En cas de panne, vous serez en mesure de reconstituer les conversations primordiales au traitement de vos données. Cela limitera les pertes de données potentielles.

5- Programmer un rappel de fin de contrat de 9 à 12 mois avant le terme du contrat avec votre fournisseur de BMS

Si vous désirez renégocier les termes du contrat ou utiliser les services d’un autre fournisseur, vous aurez alors davantage de temps en le signifiant de 9 à 12 mois avant la fin du contrat.

6- Faire spécifier explicitement au contrat les coûts liés à un transfert de données en fin de contrat

Demandez à ce que le contrat indique explicitement quels seront les frais liés à un transfert de données en fin de contrat. Par exemple, le coût peut être à forfait, selon un volume de données ou un volume de dossiers clients. Cette précision au contrat permettra de facilement élaborer le coût d’une fin de contrat avec votre fournisseur. Ceci rendra plus facile les calculs de retour sur investissement dans le cadre de la migration vers un autre fournisseur et évitera les surprises et les coûts inattendus.

7- Redéfinir les clauses de disponibilité des services et établir des pénalités plus contraignantes pour un fournisseur qui ne serait pas en mesure de pallier adéquatement les conséquences occasionnées par une éventuelle panne de service

Un taux de disponibilités plus élevé et des pénalités plus claires ou contraignantes pour le fournisseur directement indiqué au contrat incitera ce dernier à rehausser les mesures technologiques en place afin de respecter cette nouvelle cible.

8- Exiger de votre fournisseur des objectifs clairs en matière de plan de récupération en cas de désastre.

Les bonnes pratiques de l’industrie demandent qu’un fournisseur s’engage à un objectif de temps de recouvrement (RTO) et à un objectif de perte de données maximale (RPO) lors d’un incident. Des objectifs clairs de RTO et RPO pour le fournisseur indiqué au contrat inciteront celui-ci à rehausser les mesures technologiques et les procédures en place afin de respecter ces cibles.

9- Exiger de votre fournisseur BMS des clarifications sur les formats de données à retourner à un client en fin de contrat

Cette exigence vous permettra d’élaborer plus facilement le coût d’un contrat venant à échéance. Ceci facilitera les calculs de retour sur investissement dans le cadre de la migration vers un autre fournisseur et évitera les coûts de conversion inattendus.

10- Exiger au contrat des tests de sécurité de votre fournisseur infonuagique et les faire réaliser par un tiers indépendant

Les tests de sécurité réalisés de manière indépendante pourraient trouver des failles dans les systèmes avant que les pirates ne les trouvent. Ensuite, des recommandations doivent être appliquées dans un délai respectant le niveau de gravité des vulnérabilités décelées.

11- Préparer des plans de communication envers la clientèle

Une bonne pratique de l’industrie est de préparer à l’avance diverses communications adaptées en cas d’incident de sécurité informatique. Préparez des messages clés à envoyer aux clients en cas de perte d’accès au système accompagné d’une perte de données, mais également en cas de fuite de données de clients. Rédiger à l’avance ce type de communication aidera à communiquer rapidement les bonnes informations aux clients touchés.