Information Security Policy – October 24, 2016 

Page 1 of 6  

 

 

INFORMATION SECURITY POLICY 

 

Policy Type: 

Management 

Initially 

Approved: 

October 24, 

2016 

Policy 

Sponsor: 

VP, Finance and 

Administration 

Last 

Revised: 

October 24, 

2016 

Primary 

Contact: 

Information 

Technology 

Services 

Review 

Scheduled: 

May 1, 2025 

Approver: 

Board of Governors 

 

 

A. 

OVERVIEW 

 

The intent of this Policy is to set expectations for implementing reasonable safeguards to mitigate 

Information loss such as unauthorized or inappropriate access, collection, destruction, use, 

modification or disclosure of Information. Unauthorized or inappropriate disclosure of Information 

includes unlawful disclosure of information, specifically payment card and personal information.  

 

The University recognizes the need for safe and secure management of Information generated, 

collected, accessed, modified, synthesized or maintained to conduct University Operations. 

 

 

B. 

PURPOSE 

 

The purpose of this Policy is to: 

 

1.  Prevent unlawful disclosure of information and to comply with Payment Card Industry (PCI) 

requirements; 

 

2.  Prevent unlawful disclosure  of information and to comply with Freedom of Information and 

Protection of Privacy (FOIP) Act requirements; and 

 

3.  Outlie and communicate expectation and Information Security and Security Controls at the 

University. 

 

 

C. 

SCOPE 

 

This Policy applies to all Employees and Users. 

 

 

D. 

POLICY STATEMENT 

 

1. 

GENERAL 

 

1.1 

Information Security is necessary to maintain uncompromised, reliable Information 

that is accessible where and when it is needed for maintaining University 

operations. 

 

Information Security Policy – October 24, 2016 

Page 2 of 6  

 

1.2 

Information Security is characterized by the protection of Information by reasonable 

security safeguards against such risks as loss, unauthorized or in appropriate 

access, destruction, use, modification, or disclosure of Information. 

 

1.3 

Information Security involves more than developing a Security Control such as anti-

malware software.  This Policy provides a means to identify and co-ordinate the 

University’s approach for maintaining Information Security and Security Controls. 

 

1.4 

The University will assign heads of Functional Units to work with ITS to maintain 

Critical Technologies using Security Controls. 

 

 

2. 

RESPONSIBILITIES 

 

2.1 

Users are responsible for: 

 

a.  Reading, complying and acting in accordance with this Policy and any 

associated Procedures; 

 

b.  Ensuring that any sharing of Information is only to the intended recipient and 

the recipient is made aware that the Information is not to be distributed; 

 

c.  Ensuring that any non-University systems used to store Information meet 

Security Controls; 

 

d.  Ensuring that any exchange of Information is compliant with relevant law; and 

 

e.  Completing Information Security Awareness Training in compliance with PCI 

requirements. 

 

2.2 

Management Employees are responsible for: 

 

a.  Ensuring that their Employees, and any other relevant Users, are aware of and 

act in accordance with this Policy and any associated Procedures; 

 

b.  Ensuring that their Employees, and any other relevant Users, are assigned 

access only to Information that is necessary to perform the requirements of 

their Role; and 

 

c.  Ensuring that Information Security Awareness Training has been completed 

upon hire and annually by relevant Users in compliance with PCI requirements. 

 

2.3 

ITS is responsible for: 

 

a.  Identifying, evaluating, documenting and managing Information Security risks 

which are identified in the scope of ITS operations or by the University’s risk 

management process, 

 

b.  Recording, assessing and monitoring attempted and/or actual Information 

security breaches with the intent to prevent recurrent; 

 

c.  Ensuring that critical or sensitive Information is stored in facilities with secured 

areas, physically protected from access, damage, interference and/or theft; 

 

d.  Identifying Security Controls in consultation with applicable Functional Units 

prior to the development or enhancement of applications and other systems 

Information Security Policy – October 24, 2016 

Page 3 of 6  

 

that may affect University operations or result in a Technical Landscape 

change; 

 

e.  Responding to actual or predicted changes to the University’s operational 

environment that may  affect or result in a Technical Landscape change; 

 

f.  Providing guidance, operation support, maintaining, and managing change to 

the University’s Technical Landscape to ensure consistency and accuracy in a 

timely and cost-effective manner; and 

 

g.  Maintaining and administering Information Security Awareness Training  in 

compliance with PCI requirements on an annual basis. 

 

 

3. 

INFORMATION SECURITY REQUIREMENTS 

 

3.1 

Information Security requirements will be identified by ITS in consultation with 

applicable Functional Units, prior to the development or enhancement of 

applications and other systems that may affect the Technical Landscape. 

 

3.2 

The Functional Unit will consult with ITS to assess whether any new technology, 

upgrade or maintenance has the potential to affect Information Security or the 

Technical Landscape and to apply ITS approved Security Controls. 

 

3.3 

The Functional Unit will consult with ITS in order to assess the impact of any 

system malfunction or abnormality to ensure that it has not affected Information 

Security or the Technical Landscape. 

 

3.4 

ITS may require the Functional Unit to provide access to Critical Technologies in 

order to assess the impact of any malfunction or abnormality to ensure that it has 

not affected Information Security or the Technical Landscape. 

 

3.5 

Any Information Security breaches will be thoroughly reviewed and evaluated on a 

case by case basis and a full report on the outcomes, causes and findings will be 

documented and corrective actions will be implemented, as required. 

 

 

4. 

ACCESS TO INFORMATION 

 

4.1 

Access to Information will be limited by the User’s Role within or for the University. 

 

4.2 

The University will regularly monitor and control access to Information 

requirements to ensure they are current, relevant and that the appropriate level of 

access is administered. 

 

 

5. 

SHARING INFORMATION 

 

5.1 

Information will not be used or disclosed except where it is needed to conduct 

University operations, as provided by this Policy, other University Policies and 

Procedures, and relevant law. 

 

 

 

 

 

Information Security Policy – October 24, 2016 

Page 4 of 6  

 

6. 

STORAGE OF INFORMATION 

 

6.1 

Information will be stored in facilities with secured areas, physically protected from 

access, damage, interference and/or theft. These areas will be protected by an ITS 

defined security perimeter, specific to each Functional Unit, with enforced security 

measures. 

6.2 

Information will not be stored on non-University secured systems unless the 

system meets the same Security Controls. 

 

 

7. 

INFORMATION RETENTION 

 

7.1 

Information that has only immediate or short-term operational value to the 

University should be considered as transitory and routinely disposed of after the 

completion of that particular operational activity or transaction in a secure manner.  

 

7.2 

Records that are deemed to have a long-term operational value such as those 

containing Information concerning contracts, financial, legal, research or archival 

value to the University should be retained according to other University Policies. 

 

 

8. 

INFORMATION SECURITY AWARENESS TRAINING 

 

8.1 

The University will administer role-specific training on Information Security upon 

hire and annually in compliance with PCI requirements. 

 

 

9. 

COMPLIANCE 

 

9.1 

Exchange of Information must comply with this Policy, other applicable Policies and 

Procedures, and relevant law. 

 

9.2 

Functional Units and Users who act in good faith and execute their responsibilities 

with a reasonable standard of care will not be subject to disciplinary action in the 

event of an Information Security breach. 

 

 

E. 

DEFINITIONS 

 

(1) 

Availability: 

 

ensuring that authorized Users have access to the necessary 

Information and associated assets when required 

 

(2) 

CIO: 

 

the University’s Chief Information Officer 

(3) 

Confidentiality: 

 

ensuring that Information is accessible only to those persons 

with authorized access 

 

(4) 

Critical 

Technologies: 

 

these are defined as University systems used for regular 

operations, as identified by ITS in consultation with Functional 

Units 

 

(5) 

Employees: 

means individuals who are engaged to work for the University 

under an employment contract, including but not limited to 

faculty, staff, exempt, casual and management employees  

 

 

Information Security Policy – October 24, 2016 

Page 5 of 6  

 

(6) 

Functional Unit: 

any division, department, office, program, or other collective 

entity of the University 

 

(7) 

Information: 

specific to this Policy, is personal information and 

transactional data in all tangible forms (physical or electronic) 

that is collected, maintained, accessed, modified or 

synthesized to perform the operations of the University 

 

(8) 

Information 

Security: 

the preservation of Confidentiality, Integrity, and Availability of 

Information 

 

(9) 

Integrity: 

safeguarding the accuracy and completeness of Information 

and processing methods 

 

(10) 

ITS: 

the University’s Information Technology Services Department 

 

(11) 

ELT: 

the University’s Executive Leadership Team 

 

(12) 

PDP: 

the University’s Policy Development Plan/Process 

 

(13) 

Role: 

the behaviours and responsibilities associated with the work 

being carried out by an individual for the University 

 

(14) 

Secured Areas: 

areas intended to physically protect information from access, 

damage, interference and/or theft. These areas are 

determined by and specific to the needs of the Functional Unit 

 

(15) 

Security Controls: 

measures in place to safeguard both the Integrity of the 

security mechanisms established by ITS and the Technical 

Landscape and that are also compliant with this Policy and 

relevant law. Security Controls include Users practicing 

reasonable standards of care to ensure malicious software 

prevention such as checking the authenticity of email 

attachments or software installations 

 

(16) 

Technical 

Landscape: 

the set of hardware, software and facility elements, arranged 

in a specific configuration, which serves as a fabric to support 

the operations of the University 

 

(17) 

User: 

all individuals dealing with Information. This includes, but is 

not limited to, Employees, students, contractors, agents, 

consultants, vendors, visitors, volunteers and third parties who 

maintain, receive, create, disseminate or use Information 

 

 

F. 

RELATED POLICIES 

 

•

  Acceptable Use of Computing and Communication Resources 

•

  Cash and Payments Handling Policy  

•

  Email Policy 

•

  Internet and Network Access 

•

  Management of Microcomputer Software 

•

  Records and Information Management Program 

•

  Enterprise Risk Management Policy  

 

Information Security Policy – October 24, 2016 

Page 6 of 6  

 

 

 

G. 

RELATED LEGISLATION 

 

•

  Freedom of Information and Protection of Privacy Act, RSA 2000, c F-25 (FOIP Act)  

 

 

H. 

RELATED DOCUMENTS 

 

•

  Data Security Standard version 3.2.1 (May 2018); PCI Security Standards Council 

 

 

I. 

REVISION HISTORY 

 

Date 

(mm/dd/yyyy) 

Description of 

Change 

Sections 

Person who 

Entered Revision 

(Position Title) 

Person who 

Authorized Revision 

(Position Title) 

10/24/2016 

NEW  

 

Director, University 

Secretariat 

VP, Administrative 

Services 

07/24/2018 

Editorial – Update 

Sponsor Title and 

Data Security 

Standard Version 

 

Policy Specialist 

Director, University 

Secretariat  

01/22/2020 

Editorial 

Template Update 

Policy Specialist 

University Secretary 

01/19/2022 

Editorial 

Related Policies 

Policy Advisor 

General Counsel and 

University Secretary 

04/20/2023 

Editorial 

Definitions 

Policy Advisor 

General Counsel and 

University Secretary