2.1.2. Aux fins du point 2.1.1, les entités concernées établissent des procédures d’identification …

a)

suivent une méthodologie de gestion des risques;

b)

établissent le niveau de tolérance au risque en fonction de leur propension au risque;

c)

définissent et maintiennent les critères de risque pertinents;

d)

en suivant une approche «tous risques», identifient et consignent les risques pour la sécurité des réseaux et des systèmes d’information, en particulier en ce qui concerne les tiers et les risques susceptibles de perturber la disponibilité, l’intégrité, l’authenticité et la confidentialité des réseaux et des systèmes d’information, y compris l’identification de points uniques de défaillance;

e)

analysent les risques qui pèsent sur la sécurité des réseaux et des systèmes d’information, y compris la menace, la probabilité, l’impact et le niveau de risque, en tenant compte des renseignements sur les cybermenaces et des vulnérabilités;

f)

évaluent les risques identifiés en se fondant sur les critères de risque;

g)

déterminent et hiérarchisent les options et les mesures qu’il convient d’appliquer en matière de traitement des risques;

h)

suivent en continu la mise en œuvre des mesures de traitement du risque;

i)

déterminent qui est responsable de la mise en œuvre des mesures de traitement des risques et quand celles-ci devraient être mises en œuvre;

j)

consignent de manière compréhensible dans un plan de traitement des risques les mesures de traitement des risques choisies et les raisons justifiant l’acceptation des risques résiduels.