Renforcer la confidentialité et la sécurité des données

Chaque année, les membres du personnel suivent un cours obligatoire sur la sécurité et la protection des renseignements personnels. Cette formation les aide à comprendre leurs responsabilités, les règles applicables et la façon de protéger les données et les renseignements personnels des Clients et Clientes.

De plus, nous fournissons des conseils et des programmes de sensibilisation pour approfondir les connaissances. Par exemple, notre équipe de la sécurité effectue des simulations d’hameçonnage interactives. Grâce à ces exercices, les membres du personnel apprennent à repérer les vraies cybermenaces.

La cybersécurité est une préoccupation grandissante pour le public – et une priorité pour la Sun Life. Les organisations du monde entier font face à de plus en plus d’attaques par des groupes sophistiqués.

Le premier directeur de la sécurité informatique est chargé de surveiller, à l’échelle mondiale, la mise en place du programme de sécurité informatique et des principes directeurs en matière de gestion du risque de sécurité de la Sun Life. Il dirige une équipe de plus de 200 personnes hautement qualifiées. Son mandat englobe les activités de développement, de mise en place et de gestion opérationnelle de la Sun Life pour tout ce qui concerne la stratégie de sécurité, l’évaluation des risques, les contrôles de sécurité, la surveillance, l’intervention en cas d’incident et la conformité. Il dirige aussi l’équipe de gestion de crise à l’échelle mondiale et est responsable de signaler les risques technologiques.

Nous continuons de faire évoluer nos mesures de cyberdéfense pour qu’elles demeurent efficaces contre les menaces émergentes. Par exemple :

• Meilleures pratiques de défense – Nos programmes de sécurité suivent les principales normes, comme le cadre de cybersécurité du National Institute of Standards and Technology. Ce cadre décrit les meilleures pratiques que les entreprises peuvent adopter pour gérer et réduire les risques liés à la cybersécurité.
• Mécanismes de contrôle multiples – Nous utilisons un modèle à trois lignes de défense pour gérer les risques de sécurité (voir la section Gestion du risque et résilience). Nous appliquons une « stratégie de défense évoluée » qui prévoit plusieurs mécanismes de contrôle pour protéger les données. En voici quelques exemples : pare-feu pour les applications Web, protection contre les logiciels malveillants, chiffrement des données, surveillance contre les intrusions et protection contre les menaces par courriel.
• Vérification de la sécurité – Nous vérifions et testons périodiquement la sécurité de nos systèmes et de nos pratiques liés aux données des Clients et Clientes. L’équipe de la sécurité évalue l’efficacité de nos mécanismes de sécurité et contribue activement à leur amélioration. Nous utilisons des solutions de sécurité fondées sur l’intelligence artificielle et l’apprentissage automatique. Ces technologies aident nos analystes de la sécurité à évaluer les menaces et à répondre aux cyberattaques. Chaque trimestre, nous produisons un rapport sur les cyberrisques et la cybersécurité pour le comité d’examen des risques du conseil d’administration.
• Cyberrenseignements – Nous utilisons des services de cyberrenseignements pour nous aider à déterminer et à évaluer les meilleures solutions, et pour mettre à jour notre défense contre les plus récentes cybermenaces.

Nous sommes tenus de protéger de manière responsable les données personnelles et sensibles qui nous sont confiées. Notre réputation en dépend. Pour remplir cette obligation, nous devons respecter des pratiques rigoureuses, nous assurer que les données sont protégées tout au long de leur cycle de vie et favoriser la confiance et la transparence auprès des gens dont nous gérons les renseignements.

• Engagement à respecter les normes – Notre programme mondial de protection des renseignements personnels s’insère dans le Cadre de gestion des risques à l’échelle de l’entreprise. Il comprend des processus rigoureux et des normes strictes, dont notre déclaration mondiale pour la protection des renseignements personnels. Celle-ci décrit comment nous recueillons et utilisons, de façon respectueuse et conforme à la loi, les renseignements personnels des Clients et Clientes et des autres personnes avec qui nous interagissons. Les déclarations et principes directeurs locaux en matière de confidentialité fournissent plus de précision sur les droits individuels liés à l’accès, à la correction, à la suppression ou au transfert de renseignements personnels, ou à l’obtention d’une copie de ces renseignements.
• Surveillance et communication de l’information – La première directrice, vie privée et éthique des données assure la supervision du programme mondial de protection des renseignements personnels et détermine l’orientation de la conformité en la matière à l’échelle de l’entreprise. Plus de 30 directeurs et directrices responsables de la protection des renseignements personnels de l’ensemble de l’entreprise aident nos divisions à prendre des décisions en matière de protection de la vie privée. Nos programmes internes d’audit et de contrôle de la conformité évaluent le risque lié à la protection des renseignements personnels. Chaque trimestre, nous rendons compte à la haute direction et au comité de gouvernance du conseil d’administration de toute question importante touchant la vie privée.
• Protection des renseignements personnels dès la conception – Les principes de protection des renseignements personnels font partie intégrante de la conception de nos produits et de nos processus. Nous effectuons des évaluations des répercussions sur la protection des renseignements personnels pour les nouveaux projets ou pour tout changement important apporté aux processus existants qui concernent les renseignements personnels. Ces évaluations sont un excellent moyen de repérer et d’atténuer les risques. Nous ajoutons également des clauses particulières dans nos contrats avec les tiers fournisseurs de services qui gèrent des renseignements personnels pour nous.

La Sun Life participe activement à plusieurs groupes de l’industrie et discussions sur les politiques publiques. On y échange des renseignements et des pratiques exemplaires sur la façon de renforcer les programmes de protection des données et des renseignements personnels. Par exemple :

• l’American Council of Life Insurers;
• le Canadian Anonymization Network;
• l’Échange canadien des menaces cybernétiques;
• le groupe de travail de l’Association canadienne des compagnies d’assurances de personnes;
• le comité sur les données et la protection des renseignements personnels de l’Association canadienne du marketing;
• le groupe de travail sur la sensibilisation des citoyens – cybersécurité, organisé par l’Association des banquiers canadiens;
• le Financial Services Information Sharing and Analysis Center;
• le Life Insurance Council of New York, Inc.;
• la Philippine Life Insurance Association, Inc.;
• l’Institut Vector pour la recherche sur l’intelligence artificielle.