Directeur(trice) de la sécurité de l’information

Groupe Santé Sedna; Brossard; On-site; CAD 150,000 - 210,000; Full time

Job summary

Groupe Santé Sedna recherche un Directeur(trice) de la sécurité de l’information pour définir et faire évoluer le programme de cybersécurité et protéger les actifs informationnels et les données personnelles.

Vous coordonnerez la gouvernance, les risques et la conformité, en alignant les initiatives sur les objectifs d’affaires et les exigences réglementaires du réseau de la santé, notamment Loi 25 et normes sectorielles.

Qualifications

• Baccalauréat en informatique ou sécurité de l'information.
• Diplôme de deuxième cycle en cybersécurité considéré comme un atout.
• Certifications CISSP, CISM, CRISC, CCSP ou équivalent un atout.

Responsibilities

• Élaborer et maintenir la stratégie et le programme de cybersécurité du Groupe Santé Sedna et de ses affiliées.
• Assurer la gouvernance, la gestion des risques et la conformité réglementaire (Loi 25, exigences du réseau de la santé, etc.).
• Protéger les renseignements personnels et les actifs informationnels; coordonner les efforts entre les intervenants et les comités.
• Piloter l’architecture sécurité (Microsoft 365, cloud, identité et accès, Zero Trust).
• Gérer les relations avec les fournisseurs et les tiers et superviser les plans de remédiation suite aux audits.

Skills

Leadership stratégique

Gouvernance TI

Gestion des risques

Conformité réglementaire

Communication

Education

Baccalauréat informatique ou sécurité

Diplôme 2e cycle cybersécurité (atout)

Job description

Chez Groupe Santé Sedna, nous nous engageons à offrir des soins de santé, de l’hébergement de longue durée et des services de réadaptation spécialisée de qualité en développant des modèles de gestion et de création de valeur adaptés aux besoins de la population. Notre rôle consiste à assurer la gouvernance, l’administration et le soutien stratégique de nos sociétés affiliées, notamment Groupe Champlain, Villa Medica et Santé Valeo, qui offrent directement des soins et des services de santé dans leurs installations respectives.

Ensemble, nos organisations contribuent à bâtir des milieux de soins humains, innovants et durables, en complémentarité avec les besoins du réseau de la santé québécois.

Relevant du Vice-président Technologies de l'information, le ou la Directeur(trice) de la sécurité de l’information est responsable de définir, mettre en œuvre, maintenir et faire évoluer le programme de cybersécurité du Groupe Santé Sedna et de ses sociétés affiliées.

Le titulaire agit à titre de leader stratégique et de conseiller auprès de la direction en matière de sécurité de l'information et de cybersécurité. Il est responsable de la gestion intégrée des risques cyber, de la conformité aux exigences réglementaires et sectorielles, de la gouvernance de la cybersécurité et de l'alignement des initiatives de sécurité avec les objectifs d'affaires de l'organisation.

Le ou la Directeur(trice) de la sécurité de l’information assure la protection des actifs informationnels, des renseignements personnels et des systèmes critiques tout en soutenant la mission de soins, la croissance de l'organisation et sa transformation numérique. Il agit comme responsable de la posture globale de cybersécurité de l'organisation et assure la coordination des différents intervenants impliqués dans la gestion des risques de sécurité.

Responsabilités

Gouvernance et stratégie de cybersécurité

• Élaborer et maintenir la stratégie de cybersécurité du Groupe Santé Sedna.
• Développer et maintenir le programme corporatif de cybersécurité.
• Établir et maintenir le cadre de gouvernance de la cybersécurité.
• Développer, maintenir et faire évoluer le cadre normatif de sécurité de l'information (politiques, directives, normes et procédures).
• Développer et maintenir la feuille de route stratégique de cybersécurité.
• Assurer l'alignement du programme avec le cadre NIST CSF et les meilleures pratiques de l'industrie.
• Assurer la reddition de comptes auprès du VP TI et des diverses instances de gouvernance.

Gestion des risques et conformité

• Assurer l'identification, l'analyse et l'évaluation des risques de cybersécurité.
• Maintenir le registre des risques de cybersécurité.
• Recommander et suivre les mesures de mitigation appropriées.
• Conseiller les dirigeants sur les risques résiduels et la tolérance au risque.
• Assurer la conformité aux exigences réglementaires applicables (Loi 25, exigences des assureurs cyber, exigences sectorielles du réseau de la santé, exigences de Santé Québec, etc.).
• Participer aux audits internes et externes.
• Coordonner les plans de remédiation découlant des audits ou évaluations.

Protection des renseignements personnels

• Collaborer étroitement avec le responsable de la protection des renseignements personnels.
• Assurer l'alignement des contrôles de cybersécurité avec les exigences relatives à la protection des renseignements personnels et des renseignements de santé.
• Participer aux travaux liés à la Loi 25, aux évaluations des facteurs relatifs à la vie privée (EFVP) et aux autres exigences réglementaires applicables.
• Contribuer à la mise en place des contrôles de protection des renseignements personnels.
• Participer aux comités liés à la protection des renseignements personnels, à l'éthique et à la conformité.

Architecture et sécurité technologique

• Définir les orientations de sécurité applicables à l'ensemble des solutions technologiques.
• Réviser et approuver les exigences de sécurité des projets et initiatives majeures.
• Participer aux décisions stratégiques liées aux plateformes Microsoft 365, au cloud, à la gestion des identités et des accès, à la protection des données, au Zero Trust et aux infrastructures critiques.
• Conseiller les équipes TI sur les choix d'architecture ayant un impact significatif sur la sécurité.

Gestion des fournisseurs et des tiers

• Évaluer les risques de cybersécurité associés aux fournisseurs critiques.
• Définir les exigences de sécurité applicables aux tiers.
• Participer à l'évaluation des fournisseurs stratégiques.
• Assurer le suivi des risques liés aux fournisseurs et partenaires.
• Contribuer aux revues contractuelles sous l'angle de la cybersécurité.

Gestion des incidents de cybersécurité

• Assurer le leadership lors des incidents majeurs de cybersécurité.
• Maintenir et faire évoluer le plan de réponse aux incidents.
• Coordonner les activités de gestion de crise liées aux incidents cyber.
• Assurer les communications et la reddition appropriées lors d'incidents majeurs.
• Superviser les analyses post-incident et le suivi des actions correctives.

Mesure de la performance

• Développer et maintenir les indicateurs de performance (KPI) et de risque (KRI).
• Effectuer le suivi de la maturité de cybersécurité de l'organisation.
• Produire les tableaux de bord requis par les instances de gouvernance.
• Présenter périodiquement l'état de la cybersécurité à la direction.

Comités et représentation

• Animer le Comité de cybersécurité.
• Participer au Comité VP TI.
• Participer aux instances corporatives requérant une expertise en cybersécurité.
• Représenter l'organisation auprès d'intervenants externes sur les questions liées à la cybersécurité.
• Assurer la veille stratégique, réglementaire et technologique en matière de cybersécurité.

Profil recherché

• Baccalauréat en informatique, en sécurité de l'information, en génie informatique ou dans une discipline pertinente.
• Diplôme de deuxième cycle en cybersécurité, gestion des risques ou administration constitue un atout.
• Certifications CISSP, CISM, CRISC, CCSP et/ou toute autre certification pertinente constitue un atout.

Expérience

• Minimum de 10 ans d'expérience dans le domaine des technologies de l'information.
• Minimum de 5 ans d'expérience dans des fonctions de cybersécurité ou de sécurité de l'information.
• Expérience en gestion des risques, gouvernance et conformité.
• Expérience dans un environnement réglementé constitue un atout.
• Expérience dans le secteur de la santé constitue un atout important.

Nous remercions toutes les personnes qui poseront leur candidature; seules les personnes retenues seront contactées.

Nous souscrivons au principe de l’accès à l’égalité. Les candidatures des minorités visibles, des minorités ethniques, des autochtones, des personnes handicapées et des femmes sont encouragées. Des mesures d’adaptation peuvent être offertes aux personnes handicapées en fonction de leurs besoins.