Canada 

Réglementations

• Les institutions financières peuvent-elles utiliser AWS ?

  Oui. Les institutions financières au Canada sont autorisées à utiliser des services infonuagiques, à condition qu'elles se conforment aux obligations réglementaires et juridiques applicables, telles que celles décrites ci-dessous. 

• Qui sont les régulateurs financiers ?

  Le Bureau du surintendant des institutions financières (BSIF) est le régulateur fédéral pour toutes les banques au Canada, ainsi que des sociétés de fiducie et de prêt, des compagnies d'assurance, des associations coopératives de crédit, des sociétés de secours mutuel et des régimes de retraite privés constitués ou enregistrés au niveau fédéral. Le BSIF est chargé de surveiller les institutions financières et les régimes de retraite sous réglementation fédérale afin de déterminer s'ils sont en bonne santé financière et s'ils respectent les exigences applicables. Il publie également des réglementations et des directives qui peuvent avoir une incidence sur la manière dont les clients des services financiers utilisent AWS.

  La Banque du Canada, la banque centrale du pays, exerce une surveillance directe sur les systèmes de compensation et de règlement, c'est-à-dire les infrastructures des marchés financiers. La Banque du Canada a la capacité de qualifier certaines infrastructures des marchés financiers comme des « systèmes de paiement importants » ou des « infrastructures des marchés financiers d'importance systémique » et exige que les infrastructures des marchés financiers se conforment à des normes de gestion des risques.

  Chaque province et territoire canadien dispose de son propre régulateur chargé de faire respecter les réglementations sur les valeurs mobilières. Les Autorités canadiennes en valeurs mobilières sont une organisation parapluie composée des régulateurs des valeurs mobilières de chaque province et territoire, dont l'objectif est d'améliorer, de coordonner et d'harmoniser la réglementation des valeurs mobilières.
  

• Quelles sont les réglementations applicables aux institutions financières utilisant AWS ?

  Les institutions financières au Canada peuvent être soumises à un certain nombre de considérations juridiques et réglementaires différentes lorsqu'elles ont recours à des services cloud. Les réglementations et directives applicables aux institutions financières fédérales (« IFF ») sont notamment les suivantes :
  

  La ligne directrice no B-10 du BSIF expose les attentes du BSIF en matière de gestion des risques associés aux accords conclus avec des tiers. La ligne directrice s'applique à tous les accords conclus avec des tiers, y compris les services cloud, mais les attentes du BSIF sont évaluées en fonction du niveau de risque évalué et de l'importance de l'accord pour les activités de l'institution financière. La B-10 inclut des attentes spécifiques concernant la gestion des technologies et des cyber-risques dans le cadre d'accords avec des tiers, ainsi que des attentes spécifiques à l'adoption du cloud.
  

  La directive B-13 du BSIF décrit les attentes du BSIF en matière de saine gestion des risques technologiques et cybernétiques. Bien qu'il n'y ait pas d'exigences spécifiques aux services cloud, les résultats, les principes et les attentes s'appliquent à tous les aspects de la gestion des technologies et des risques cybernétiques, y compris le cloud computing.
  

  La directive E-21 du BSIF énonce les attentes du BSIF en matière de gestion du risque opérationnel par les entités réglementées, défini comme « le risque d'encourir des pertes découlant de lacunes ou de défauts attribuables aux ressources humaines et matérielles, telles que des procédures et des systèmes internes, ou résultant d'événements déclencheurs externes. » Bien qu'elles ne soient pas spécifiques à l'utilisation du cloud, les attentes de cette directive s'appliquent à tous les aspects des opérations d'une entité réglementée, y compris celles qui sont rendues possibles par les services de cloud.

  L'avis du BSIF sur la Déclaration des incidents liés à la technologie et à la cybersécurité régit la manière dont les institutions financières sous réglementation fédérale doivent divulguer et déclarer les incidents liés à la technologie et à la cybersécurité au BSIF.
  

  Le BSIF a également publié une Auto-évaluation de la cybersécurité actualisée qui aide les IFF à évaluer et à améliorer leur niveau de préparation face aux nouvelles cybermenaces. L'auto-évaluation de la cybersécurité examine la capacité d'une IFF à réagir à un cyberincident dans des domaines allant de l'organisation et des ressources à la façon dont elle gère les menaces, les risques et les incidents, et permet aux IFF d'évaluer chaque élément sur une échelle allant de l'inexistant à l'amélioration continue.
  

  La Banque du Canada a publié des normes de gestion des risques pour les IMF désignées sur la base des « Principes pour les IMF » établis par le Comité sur les paiements et les infrastructures de marché (CPIM) de la Banque des règlements internationaux (BRI) et l'Organisation internationale des commissions de valeurs (OICV). Outre ces normes générales de gestion des risques, la Banque du Canada a publié des directives spécifiques sur les attentes en matière de cyberrésilience des infrastructures des marchés financiers et les rapports sur les incidents liés à la cybertechnologie et aux technologies de l'information.
  

  Les réglementations évoluent rapidement dans ce domaine et AWS s'efforce d'aider ses clients à répondre de manière proactive aux nouvelles règles et directives. AWS encourage ses institutions financières clientes à obtenir des conseils appropriés sur leur conformité à toutes les exigences réglementaires et légales qui sont pertinentes pour leur activité, ainsi qu'aux réglementations, directives et lois locales.
  

• Principales considérations pour les institutions financières utilisant AWS

  AWS s'engage à offrir aux clients un référentiel de conformité solide, ainsi que des mesures de sécurité et des outils avancés que les clients peuvent utiliser pour évaluer, respecter et démontrer la conformité aux obligations réglementaires et juridiques applicables.

  Les institutions financières qui utilisent ou prévoient d'utiliser les services AWS peuvent prendre les mesures suivantes pour mieux cerner leurs besoins en matière de conformité :

  1. Tenir compte de la finalité de la ou des charges de travail envisagées et des catégories de données pertinentes afin d'anticiper les obligations réglementaires et légales susceptibles de s'appliquer.

  2. Évaluez le niveau de risque et la criticité de la ou des charges de travail pertinentes par rapport aux opérations de l'institution financière. Ligne directrice no B-10 décrit les considérations relatives à l'évaluation du risque et de la criticité des accords avec des tiers.
  

  3. Examinez le modèle de responsabilité partagée d'AWS et mettez en correspondance les responsabilités d'AWS et celles du client en fonction de chaque service AWS qui sera utilisé. Les clients peuvent également utiliser AWS Artifact pour accéder aux rapports d'audit d'AWS et mener leur évaluation des responsabilités en matière de contrôle.

  Les clients qui ont d'autres questions sur la façon dont les services AWS peuvent répondre à leurs besoins en matière de sécurité et de conformité, ou qui souhaitent obtenir plus d'informations, peuvent contacter leur représentant.
  

• Principales considérations en matière de protection et de la confidentialité des données pour les institutions financières utilisant AWS

  Les institutions financières au Canada qui ont recours à AWS doivent également tenir compte des exigences applicables en matière de protection de la vie privée, notamment la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), une loi fédérale canadienne qui régit la collecte, l'utilisation et la divulgation de renseignements personnels dans le cadre d'activités commerciales dans toutes les provinces canadiennes.

  Certaines provinces canadiennes peuvent avoir adopté une législation sur la protection de la vie privée essentiellement similaire à la LPRPDE. Pour savoir à quelles lois ils sont assujettis en matière de confidentialité des données, les clients doivent s'adresser à leurs propres conseillers juridiques. Une liste actualisée des réglementations en matière de protection de la vie privée est disponible dans le Centre de protection de la confidentialité des données.
  

  Le livre blanc AWS intitulé Utilisation d'AWS afin de répondre aux exigences de confidentialité et de protection des données communes fournit des informations utiles aux clients qui utilisent les services cloud AWS pour stocker ou traiter des données personnelles.
  

Ressources