9.7 Dans les ministères, il n'y a que très peu d'activités qui ne soient pas plus ou moins informatisées. Les ordinateurs sont au coeur d'un grand nombre d'opérations des ministères. Ils fournissent de l'information pour faciliter la prise de décisions ainsi que les fonctions administratives et financières et permettent de fournir des services à la population.
9.8 La Politique concernant la sécurité du gouvernement, approuvée en juin 1986, exige de l'administration fédérale qu'elle protège suffisamment toute l'information classifiée et délicate qu'elle détient. Elle dévolue également aux sous-ministres la responsabilité de la protection de l'information et des autres biens qui leur sont confiés. Cette année, nous avons examiné la sécurité informatique et la sécurité des télécommunications qui s'y rattachent, que nous avons regroupées avec la gestion de ces secteurs, sous l'appellation «sécurité de l'information».
9.9 Un programme de sécurité efficace englobe plusieurs aspects de la sécurité étroitement liés entre eux (voir la pièce 9.1). Chacun contribue à la fiabilité du système de sécurité.
La pièce n'est pas disponible
La pièce n'est pas disponible
9.11 De nouvelles menaces planent sur les systèmes informatisés. Le terme «virus informatique» est souvent utilisé pour désigner une catégorie de programmes créés et disséminés dans l'intention d'endommager des ordinateurs ou d'en dérégler le fonctionnement, c'est-à-dire leur faire des choses pour lesquelles ils ne sont pas conçus. Les virus informatiques, qui sont en mesure de se «reproduire» et de se propager, ne sont qu'un exemple de l'utilisation à mauvais escient des logiciels, qui peuvent endommager considérablement les ordinateurs. Jusqu'à maintenant, on a relevé près de 200 virus différents.
9.12 L'«intrusion informatique» est en quelque sorte l'équivalent électronique d'une entrée par effraction. Des utilisateurs non autorisés accèdent à un système. Ils peuvent parcourir les fichiers, copier des données ou endommager le système. Les centres de traitement de données ont besoin d'un éventail de mesures de sécurité pour se protéger de ces intrus et d'autres menaces.
9.13 Des changements récents survenus dans les milieux où l'on utilise la technologie de l'information ont accru la vulnérabilité des ordinateurs :
9.15 L'année dernière, les demandes d'enquêtes sur des activités criminelles - par exemple, des violations de droits d'auteur ou des cas de fraude informatique - présentées à la Sous-direction de la sécurité informatique de la GRC ont doublé.
9.18 Il n'est pas possible d'évaluer dans leur intégralité les pertes que le gouvernement pourrait essuyer à moins que les ministères déterminent d'abord la valeur et la nature délicate de l'information qu'ils détiennent. La sécurité est par définition «préventive», comme les ceintures de sécurité. Même si la plupart des gens n'ont jamais été victimes d'un grave accident de la route, ils portent toujours leur ceinture. Nous n'en apprécions jamais les avantages à leur juste valeur tant que nous n'avons pas d'accident.
9.19 De la même façon, la sécurité de l'information est question de bon sens. Il s'agit d'un prix légitime et nécessaire à payer pour pouvoir gérer l'information. Les ministères devraient prendre en considération tant le prix à payer pour mettre en place des contrôles que les pertes qu'ils pourraient subir à défaut de le faire. Les coûts de la sécurité devraient être proportionnés aux besoins et incorporés dans les coûts du cycle de vie de tous les systèmes informatiques.
9.22 Nous estimons que la sécurité est l'affaire des cadres supérieurs. Nous sommes donc concentrés sur la gestion des programmes de sécurité de l'information dans les ministères et sur l'orientation qui est donnée aux cadres supérieurs. Nous n'avons pas examiné le caractère sécuritaire de centres et d'applications informatiques.
9.23 Nos constatations indiquent le degré de sécurité, au 31 mars 1990, de l'information que détenait l'administration fédérale.
9.24 Cette année, nous sommes concentrés sur les ministères qui traitent surtout de l'information délicate dont la mise en péril pourrait faire du tort à des intérêts privés ou publics. Nous n'avons pas examiné des ministères comme la Défense nationale qui détiennent la majeure partie des renseignements «confidentiels» pour des raisons de sécurité nationale.
9.25 Voici les 13 ministères et organismes que comprend notre échantillon :
la Commission de l'emploi et de l'immigration du Canada,
le ministère des Communications,
le ministère de l'Énergie, des Mines et des Ressources,
le ministère de l'Environnement,
le ministère des Finances,
le ministère des Affaires indiennes et du Nord canadien,
le ministère de la Santé nationale et du Bien-être social,
le ministère du Revenu national, Douanes et Accise,
le ministère du Revenu national, Impôt
le ministère des Approvisionnements et Services,
le ministère des Transports,
la Gendarmerie royale du Canada,
Statistique Canada.
9.26 Nous avons aussi inclus les organismes centraux et les organismes d'encadrement qui assurent en grande partie l'orientation à l'échelle de l'administration fédérale et le soutien au chapitre de la sécurité de l'information :
le Secrétariat du Conseil du Trésor (SCT)
9.29 On n'a affecté aucune ressource pour la mise en application à moins que la demande ait été faite de façon expresse au Conseil du Trésor et qu'elle ait été justifiée.
Commentaires du SCT : L'administration fédérale attache beaucoup d'importance à la nécessité de protéger suffisamment l'information délicate et confidentielle qu'elle détient. Pour cette raison, en 1986, le Conseil du Trésor a publié une nouvelle politique régissant la protection, non seulement de l'information confidentielle pour des raisons de sécurité nationale, mais aussi de l'information considérée comme délicate pour d'autres raisons. Le champ d'application de la politique était sans précédent et a mené à l'introduction d'un nouveau système de gestion de la sécurité.
La politique a entraîné la création d'une nouvelle méthode de classification ou de désignation de l'information, selon son degré de confidentialité. La classification ou la désignation déclenche l'utilisation des dispositifs de protection prescrits dans les normes de sécurité administrative, de sécurité du personnel, de sécurité physique et informatique. La politique concernant la sécurité du gouvernement offre donc un système de sécurité complet et coordonné en prévoyant l'application intégrée de dispositifs de protection à chaque étape du cycle de vie de l'information.
Les progrès ont été évalués périodiquement depuis l'adoption de la politique en 1986 et il en est résulté quatre modifications distinctes qui ont été approuvées par le Conseil du Trésor. L'ensemble des normes concernant la protection de l'information ont été publiées à titre provisoire, en 1987, et la version définitive a été publiée en 1990. La politique et les normes fournissent également un cadre qui permet de coordonner les activités dans divers domaines de la sécurité.
9.31 Seulement 4 des 13 ministères que nous avons vérifiés avaient jeté les bases de la mise en application de la Politique sur la sécurité du gouvernement et des normes en la matière. De plus, aux termes de la politique, chaque ministère doit désigner un fonctionnaire supérieur pour la coordination de la mise en application, mais nous avons constaté que quatre ministères n'avaient pas confié cette tâche à un cadre supérieur.
Commentaires du SCT : La plupart des institutions ont réalisé d'importants progrès depuis 1986. La création d'équipes interdisciplinaires a permis d'adopter un système aux fins de l'application des normes de sécurité. L'information confidentielle et de nature délicate détenue a été répertoriée dans des guides de classification/ désignation. Les exigences en matière de sécurité du personnel ont été révisées et, dans de nombreux cas, les exigences concernant l'examen sécuritaire ont été considérablement réduites.
Dans le domaine de la sécurité de l'information, la prolifération de l'information et de la technologie de l'information pose d'importants défis. Parmi tous les différents domaines qui constituent un système de sécurité intégré, la sécurité de l'information est le domaine le plus complexe et le plus difficile à appliquer, en raison de la rapidité des changements qui s'y produisent.
9.33 Nous avons constaté des chevauchements et des lacunes dans les activités qui visent la sécurité de l'information que mènent les organismes d'encadrement. Par exemple, la GRC et le CST fournissent de l'information sur la sécurité informatique, organisent des séminaires et des conférences, évaluent la sécurité des systèmes des ministères et mènent des activités de recherche et développement. Le CST et Communications Canada fournissent aux ministères des conseils et une orientation en matière de sécurité des télécommunications tandis que les mesures de protection correspondantes peuvent être examinées par la GRC, Communications Canada ou par le CST. Les travaux que nous avons effectués dans les ministères confirment également qu'il existe de la confusion quant à l'endroit où s'adresser pour obtenir des conseils et une orientation sur la sécurité de l'information.
9.34 Les indications sur les mesures de sécurité à adopter pour les micro-ordinateurs, que donnent le CST et la GRC, sont un autre domaine où l'on constate des chevauchements. Ce sont les deux organismes d'encadrement à qui sont dévolus des rôles consultatifs; pourtant, les ministères ne reçoivent pas d'orientation suffisante ou des produits approuvés qui contrôlent l'accès aux micro-ordinateurs ou qui rendent les données inintelligibles aux intrus. Les ordinateurs portatifs utilisés par les fonctionnaires sont donc extrêmement vulnérables. Non seulement peut-on voler les ordinateurs mêmes, mais aussi l'information qu'ils renferment.
9.35 Trois organismes ont été désignés pour s'occuper de l'évaluation des menaces et des risques dans toute l'administration fédérale, aucune pour l'élaboration de plans de secours et quatre pour la formation en sécurité de l'information. La politique ne désigne pas expressément un organisme qui aurait charge d'appuyer de façon suivie les ministères et de les aider à appliquer les dispositions concernant la sécurité de l'information.
Commentaires du SCT : Le Secrétariat du Conseil du Trésor dirige et coordonne la sécurité dans l'ensemble de l'administration fédérale. Des organismes d'encadrement assurent des services centralisés et dispensent des conseils techniques aux ministères et organismes fédéraux, en conformité avec les responsabilités qui leur sont attribuées dans la politique. Conformément au régime d'Accroissement des pouvoirs et des responsabilités ministériels, les ministères et organismes doivent rendre compte de la protection de l'information et de l'équipement informatique qu'elles détiennent.
Pour ce qui est du domaine de la sécurité de l'information, divers organismes offrent de la formation qui tient compte des divers domaines de compétences reconnus dans la politique. Par exemple, le CST offre de la formation dans les domaines de la sécurité des télécommunications et de la sécurité des systèmes informatiques; la GRC offre de la formation dans le domaine de la sécurité informatique. La formation offerte par le Secrétariat du Conseil du Trésor, conjointement avec les organismes d'encadrement et la Commission de la fonction publique, intègre les divers volets de la sécurité de l'information ainsi que d'autres aspects de la sécurité, tels que la sécurité du personnel et la sécurité physique.
Parallèlement, les organismes d'encadrement désignés dans la politique comme organismes chargés de fournir des conseils et une orientation dans le domaine de l'évaluation des risques et des menaces remplissent cette fonction dans d'autres domaines. La sous-direction de la sécurité de l'informatique de la GRC fournit des conseils et une orientation pour ce qui est des plans de secours. Nous reconnaissons, toutefois, qu'il faudrait peut-être unifier quelque peu nos efforts.
9.37 Le Conseil du Trésor a donné à la GRC le mandat d'inspecter la sécurité informatique dans les ministères (sauf le ministère de la Défense nationale) et dans les entreprises du secteur privé qui fournissent des services de traitement de données à l'État et de donner des conseils en la matière.
9.38 La GRC reçoit plus de demandes d'inspection et de consultations qu'elle et ses experts-conseils peuvent en accepter. Les dépenses annuelles consacrées à du matériel informatique ont augmenté. Des 125 millions de dollars par année qu'elles étaient, il y a cinq ans, elles atteignent maintenant plus de 400 millions de dollars. Jusqu'à présent, au cours de la même période, la GRC n'a embauché qu'un seul inspecteur.
9.39 L'intervalle entre les inspections de la GRC dans les ministères est maintenant estimé à sept ou huit ans. L'informatisation connaissant une croissance rapide, ce cycle est de toute évidence trop long. Nous sommes donc d'avis que la GRC ne s'acquitte pas de son mandat qui est d'examiner la sécurité informatique dans toute l'administration fédérale.
9.40 En fin de compte, il incombe aux ministères mêmes de veiller à faire examiner leurs mécanismes de sécurité de l'information. Cependant, nous avons constaté que deux des ministères seulement possédaient la combinaison méthodes, compétences et personnel qu'il fallait pour mener des examens complets, et dans les règles, des mécanismes de sécurité.
9.41 Bien que les ministères en général suivent les recommandations de la GRC et disent surveiller les questions de sécurité de façon continue, nous avons constaté que le personnel de sécurité des ministères préparait très peu de rapports indiquant qu'ils avaient effectué leurs propres inspections. Les normes de sécurité exigent des ministères qu'ils effectuent chaque année des inspections de sécurité pour toutes les activités informatiques. Aucun des ministères qui faisaient l'objet de notre vérification n'avait satisfait à cette exigence.
9.42 Sans rétroaction fréquente sur l'efficacité des mesures visant à protéger l'information, la direction expose des ministères à des risques trop grands.
9.43 Même alors que les ministères projettent d'identifier leur propre surveillance des mécanismes de protection de l'information, nous estimons qu'il faut quand même des inspections périodiques et indépendantes de la part des services centraux experts en la matière.
9.45 Lorsque le Conseil du Trésor le lui demande, le Centre de la sécurité des télécommunications présente des rapports sur la sécurité des télécommunications dans l'administration fédérale. Il n'a cependant pas reçu le mandat de vérifier si les ministères observent la politique et il ne peut le faire qu'à leur demande. Les ministères ne sont pas obligés de demander une évaluation de la part du CST. Par conséquent, il n'existe pas de mécanisme qui puisse être appliqué pour être au courant de l'observation des normes de sécurité des télécommunications, à l'échelle de l'administration fédérale.
9.46 La politique sur la sécurité stipule qu'il incombe au SCT de surveiller, par le biais de la vérification interne et des rapports de l'organisme d'encadrement, s'il y a respect, sous tous les aspects, de la Politique concernant la sécurité du gouvernement. Au moment de notre vérification, le SCT était en voie d'élaborer un guide de vérification de la sécurité. En avril 1988, tous les ministères ont soumis au SCT des rapports d'avancement. Nous avons constaté que bon nombre de ces rapports étaient beaucoup trop optimistes au sujet des dates cibles prévues. Tous les ministères devront aussi avoir fait une vérification complète de la sécurité, d'ici 1993. En raison du fait qu'un petit nombre de ministères ont déjà terminé leur vérification à l'heure actuelle et que les rapports des organismes d'encadrement ne sont ni complets, ni d'actualité, on n'évalue pas pour le moment dans quelle mesure il y a conformité aux exigences particulières de la politique et aux normes de sécurité de l'information.
Commentaire du SCT : En septembre 1988, le Conseil du Trésor a examiné l'ensemble des progrès réalisés dans la mise en oeuvre de la politique et a approuvé des plans en vue d'aider les ministères à terminer la mise en oeuvre. Ces plans comprenaient l'élaboration d'un guide de vérification de la sécurité, qui a été publié en juin 1990, un programme de formation et l'accroissement des conseils et de l'aide aux ministères. Afin de faire le suivi des rapports soumis par les ministères en 1988, le personnel du Secrétariat du Conseil du Trésor s'est rendu dans les ministères (l'administration centrale et les bureaux régionaux), pour évaluer les progrès de la mise en oeuvre et pour fournir une aide. Les visites ont donné au Secrétariat du Conseil du Trésor une image globale de la mise en oeuvre des exigences générales de la politique. Le Secrétariat du Conseil du Trésor continuera d'évaluer les progrès de la mise en oeuvre de la politique au moyen de l'information qui lui sera fournie par les organismes d'encadrement et par les ministères.
9.48 Bien que la plupart des ministères aient élaboré diverses méthodes de formation et de sensibilisation dans le domaine de la sécurité informatique, deux seulement avaient des documents qui indiquaient qu'une formation obligatoire est donnée périodiquement à tous les employés qui travaillent avec des ordinateurs. Plusieurs n'offraient pas vraiment aux gestionnaires de la formation en sensibilisation à la sécurité.
9.49 Ce n'est pas la première fois que l'on constate le manque de formation pour le personnel de sécurité. En 1969, la Commission royale d'enquête sur la sécurité qualifiait de question «urgente» la formation des employés des ministères affectés à la sécurité. On lisait également, dans une étude de portée gouvernementale réalisée en avril 1987, que l'on n'offrait pas de formation à l'intention des responsables de la sécurité dans les ministères. Le SCT, de concert avec la Commission de la fonction publique, était en voie d'élaborer un cours d'une durée de cinq jours à l'intention des responsables de la sécurité des ministères.
9.50 En outre, la GRC et le CST offrent des cours sur la sécurité de l'information gouvernementale. Le SCT a également organisé des séminaires et des ateliers sur des sujets qui se rapportent à la mise en application de la politique. Toutefois, selon des ministères, ces cours n'ont pas bien couvert certains domaines techniques comme l'évaluation des menaces et des risques pour les systèmes informatiques et les installations, l'élaboration de plans de secours ainsi que les contrôles et la vérification informatiques et ils ne prévoient pas de séminaires de recyclage pour les coordonnateurs de la sécurité informatique.
9.51 Il n'y a pas, au gouvernement, de programme de formation intégré et complet sur la sécurité de l'information. Un tel programme prévoirait une formation technique en sécurité, à l'intention des responsables de la sécurité des ministères, des coordonnateurs de la sécurité informatique et des vérificateurs ainsi que des séances de sensibilisation à la sécurité de l'information à l'intention des cadres supérieurs, des gestionnaires axiaux et des utilisateurs d'ordinateurs. Bien que, selon la politique, la Commission de la fonction publique (CFP) soit chargée d'instaurer un programme de formation en sécurité, elle n'avait pas assumé le rôle de chef de file.
9.52 En l'absence de mécanisme de coordination pour encourager le partage du matériel didactique et l'échange d'idées, les ministères ont conçu, de leur propre chef, divers modules de formation, des affiches et des vidéos, soit un chevauchement non nécessaire d'efforts et de coût.
Commentaire du SCT : L'aide et les conseils fournis aux ministères l'ont été sous la forme de lignes directrices pour la mise en oeuvre, de bulletins d'interprétation de la politique, d'un manuel pour les cadres supérieurs et d'une présentation audio-visuelle. Un cours complet de cinq jours qui regroupe tous les aspects des normes et de la politique en matière de sécurité a été élaboré et donné à titre d'essai en septembre 1989; maintenant, il est offert à titre régulier, en collaboration avec la Commission de la fonction publique. De plus, le Secrétariat du Conseil du Trésor et les organismes d'encadrement donnent une série de conférences, d'ateliers et de séminaires sur divers aspects de la politique. Des séances d'information spéciales ont été données aux hauts fonctionnaires des ministères sur les exigences de la politique et sur le besoin d'une sécurité accrue.
Commentaire de la CFP : La CFP offre déjà quelques cours de formation en sécurité et compte offrir d'autres cours en 1990-1991, financés par le SCT. S'il devient nécessaire de donner d'autres cours sur la sécurité gouvernementale, la CFP se chargera de mettre au point et de dispenser les cours, si les fonds et les compétences sont fournis par les organismes d'encadrement.
9.55 Presque tous les ministères qui ont fait l'objet de notre vérification n'avaient pas terminé toutes leurs évaluations des menaces et des risques et ils n'ont donc toujours pas une idée juste de la vulnérabilité de leurs systèmes d'information. Presque tous ont déclaré que le manque de conseils, d'orientation et de formation sur l'évaluation des menaces et des risques ainsi que l'absence d'une méthode applicable ont contribué à leur difficulté d'effectuer les évaluations. Même si huit des 13 ministères que nous avons examinés avaient élaboré des procédés détaillés d'évaluation des menaces et des risques pour leurs systèmes d'information et leurs installations de TÉD, un seulement avait à l'heure actuelle mené à bien le processus.
9.56 Comme les ministères n'ont pas évalué suffisamment les risques ou la valeur de leur information, il ne peut y avoir de certitude que la sécurité des systèmes informatiques du gouvernement est appropriée ou présente un bon rapport coût-efficacité.
9.57 La population s'attend que le gouvernement dispense sans faute les services essentiels ou indispensables. Les plans de secours ont donc pour objet de permettre aux systèmes informatiques essentiels de continuer à fonctionner pendant une période prolongée parce que, dans la plupart des cas, il serait impossible de revenir à la méthode manuelle du traitement des données.
9.58 Il faut, aux fins d'élaboration des plans de secours, recenser les opérations critiques et les ordinateurs qui les effectuent. On détermine ainsi combien de temps le ministère pourrait fonctionner sans le soutien informatique et la séquence de la reprise. La préparation préliminaire pour l'élaboration des plans de secours requiert la participation des gestionnaires axiaux de tout le ministère.
9.59 La GRC signale au Secrétariat du Conseil du Trésor depuis plus de dix ans le manque de concertation entre les ministères pour se préoccuper de plans de secours. Elle a indiqué que le manque de planification constituait une menace certaine sur les systèmes informatisés fédéraux. Toutefois, on n'a pas remédié à la situation et personne ne prend les devants dans ce domaine. Personne ne dispense une formation appropriée et ne diffuse de la documentation pertinente ou n'évalue les logiciels qui pourraient faciliter l'élaboration de plans de secours. Les organismes d'encadrement viennent tout juste de commencer à élaborer un cours d'une durée de deux jours sur l'évaluation des menaces et des risques et sur l'élaboration de plans de secours.
9.60 La plupart des ministères ont indiqué que l'absence de plans de secours chez eux engendrait un risque inacceptable. Toutefois, sauf pour trois ministères, ils n'avaient pas effectué tous les travaux préliminaires nécessaires pour préciser quels étaient les systèmes informatiques essentiels et pour déterminer pendant combien de temps ils pourraient se permettre de s'en passer. Ainsi, leurs sous-ministres n'avaient pas une bonne idée des répercussions qu'aurait une perte importante de l'usage de leurs systèmes informatiques sur leurs opérations.
9.61 Bien que nous ayons trouvé quelques plans de secours partiels, aucun des ministères échantillonnés n'a pu nous montrer des plans de secours à jour, et éprouvés, pour tous ses systèmes essentiels.
9.62 Trois des ministères que nous avons examinés avaient recours, pour des systèmes essentiels, à un bureau de service du secteur privé qui n'avait pas fait l'objet, de la part de la GRC, d'une inspection à jour du lieu du traitement de données du gouvernement dans ce service. En dépit du risque, aucun de ces ministères n'avait payé pour l'ajout dans les contrats de clauses visant à garantir la poursuite du traitement si le service était touché par un sinistre, et aucun n'avait prévu le recours à un autre service.
9.63 Les trois ministères en question comptaient parmi 25 ministères fédéraux environ qui utilisent ce service. Nous estimons que cette concentration de données a exposé le gouvernement à un risque inacceptable. Sans clause relative à la sécurité dans les contrats, les ministères ne sont pas protégés si jamais ce service ou l'un de ses établissements de traitement des données d'Ottawa est touché par un sinistre.
9.64 La pièce 9.5 montre que les sinistres informatiques et les pannes d'ordinateurs peuvent bel et bien se produire; rien ne permet de croire que les ordinateurs de l'administration fédérale ne sont pas tout aussi vulnérables.
La pièce n'est pas disponible
9.65 Les quelques ministères qui ont effectué certaines évaluations des menaces et des risques ont finalement découvert que leurs systèmes informatisés couraient un risque important. Les résultats indiquent que le talon d'Achille se situe dans la perception des recettes, le maintien de la confiance en la protection des renseignements et le maintien des services indispensables.
9.66 Préparer des plans valables de reprise du traitement après un sinistre est une exigence fondamentale de la direction. Il ne s'agit pas de déterminer si le gouvernement a les moyens d'instaurer et de maintenir de tels plans, mais bien s'il peut se permettre de ne pas le faire. Nous sommes d'avis que les ministères et les organismes ont été négligents en ne satisfaisant pas ce besoin et en omettant de s'engager suffisamment dans l'évaluation des menaces et des risques. Il est possible que certains ministères n'aient pas besoin de plans de secours, mais tant qu'ils n'auront pas terminé leur évaluation des menaces et des risques, ils ne peuvent en être certains. Tant que la nécessité de plans n'a pas été établie, il est impossible de déterminer ce qu'il en coûterait pour réduire les risques à un niveau acceptable. Les ministères ont choisi d'accepter de courir le risque de perdre leurs installations informatiques, sans connaître l'ampleur de ce risque.
9.67 L'absence d'orientation centrale vers une planification de secours et le manque de planification de secours, au sein des ministères, ne donnent aucunement au gouvernement l'assurance qu'il pourrait assurer tous ses services essentiels.
Commentaire du SCT : Le Secrétariat du Conseil du Trésor a fourni une orientation sur l'évaluation des risques et des menaces depuis que la politique a été adoptée en 1986. Les conseils techniques sur l'évaluation des menaces sont fournis par différents organismes d'encadrement en fonction de la nature des conseils requis et du mandat et des compétences de l'organisme. Le Secrétariat du Conseil du Trésor évalue actuellement les problèmes qui se posent aux ministères lorsqu'ils évaluent les risques et les menaces, afin de trouver des solutions et modifier les lignes directrices et la formation supplémentaires en conséquence. Une initiative semblable est en cours en vue de la mise au point de normes opérationnelles et techniques concernant les plans de secours, qui intègrent tous les secteurs de la sécurité. On compte aussi offrir des ateliers dans ce domaine à la fin de 1990 et au début de 1991.
Commentaire du SCT : Au début de 1989, on a élaboré un cadre pour coordonner les activités des divers comités et organismes d'encadrement et assurer l'uniformité de la documentation en matière de sécurité. Le mécanisme prescrit par ce cadre d'intégration est appliqué dans la plupart des domaines de la sécurité et des plans sont en place pour y incorporer les domaines de la sécurité qui sont actuellement hors du cadre.
|
Échantillon de 13 ministères
|
|
|
Constatations
|
Nombre de
ministères
où cela
s'applique
|
|
1. Défaut d'affecter à temps plein un coordonnateur de la sécurité informatique
(9.28)
|
2
|
|
2. Défaut de se conformer entièrement à la politique sur la sécurité et aux
normes en la matière (9.30)
|
13
|
|
3. Défaut de jeter les bases de la sécurité (9.31)
|
9
|
|
4. Absence de méthodes, de personnel ou de compétences pour mener des
examens complets officiels de la sécurité (9.40)
|
11
|
|
5. Examens officiels insuffisants de la part du personnel affecté à la sécurité
(9.41)
|
10
|
|
6. On n'a pas fait d'examens annuels de toutes les activités de TÉD (9.41)
|
13
|
|
7. Défaut de donner périodiquement une formation obligatoire sur la
sensibilisation à la sécurité (9.48)
|
11
|
|
8. Absence de formation officielle en sensibilisation à la sécurité à l'intention de
la gestion (9.48)
|
8
|
|
9. Défaut de mener à bien les évaluations des menaces et des risques (9.55)
|
12
|
|
10. Absence de procédés officiels d'évaluation des menaces et des risques
(9.55)
|
5
|
|
11. Absence de plans de secours officiels qui englobent tous les systèmes
critiques (9.60 à 9.62)
|
13
|
|
Organismes centraux et d'encadrement
|
|
Constatations
|
|
1. L'élaboration de la politique et des normes en matière de sécurité a constitué un grand pas en
avant (9.28)
|
|
2. Responsabilités mal définies en ce qui concerne les activités des organismes d'encadrement
(9.32 à 9.34)
|
|
3. Il n'y a pas d'organisme d'encadrement désigné pour s'occuper de l'évaluation des menaces et
des risques, des plans de secours ou de la formation sur la sécurité de l'information (9.35)
|
|
4. La GRC ne s'acquitte pas de son mandat qui est d'examiner la sécurité informatique (9.39)
|
|
5. Des rapports insuffisants sur les questions de sécurité à l'échelle de l'administration fédérale
(9.44 à 9.46)
|
|
6. Absence de programme de formation sur la sécurité à l'échelle de l'administration fédérale
(9.51)
|
|
7. Nécessité de fournir un encadrement et une coordination solides (9.68)
|
Commentaire du SCT : Le Secrétariat du Conseil du Trésor et les organismes d'encadrement en matière de sécurité continueront de fournir des conseils, une orientation et de l'aide aux institutions pour ce qui est de la mise en oeuvre de la politique concernant la sécurité du gouvernement. Le leadership centralisé nécessaire pour assurer la protection de l'information que détient le gouvernement sera renforcé. Le Secrétariat du Conseil du Trésor continuera de diriger son attention essentiellement vers les exigences générales aux fins de la gestion de tous les aspects de la sécurité, y compris l'évaluation des menaces et des risques, ainsi que l'application intégrée des normes de sécurité administrative, de sécurité du personnel, de sécurité physique et informatique.
9.73 Envisager de consolider l'aide dans le domaine de la sécurité de l'information. Compte tenu des progrès technologiques récents, il est devenu impossible de séparer l'informatique des télécommunications. Il faudrait se pencher sur la possibilité d'intégrer l'aide actuellement fournie, les conseils, l'orientation et la formation.
Commentaire du SCT : Le Secrétariat du Conseil du Trésor a pris des dispositions avec la GRC et le CST pour effectuer en collaboration un examen des normes de sécurité informatique et pour coordonner l'appui fourni aux institutions, notamment l'aide technique, la formation et les services d'inspection. Le Secrétariat reconnaît également qu'il est souhaitable qu'il existe, en vue d'un tel appui, un centre unique de responsabilité n'empiétant pas sur les responsabilités plus étendues du CST et de la GRC. Par conséquent, le Secrétariat étudiera la mise sur pied de services centralisés aux fins de la sécurité informatique, en collaboration avec ces organismes, et formulera des recommandations pertinentes.
Commentaire du CST : Il y a, au sein de l'administration fédérale, fragmentation des rôles dans le domaine de la sécurité de l'information, et nous pensons qu'il faudrait les clarifier. Malgré cette situation, le CST et la GRC collaborent vraiment et sont sur le point d'entreprendre des projets communs visant à résoudre les questions de sécurité de l'information.
Commentaire de la GRC : Le rôle de la GRC et celui du CST sont définis dans la Politique concernant la sécurité du gouvernement. Il y a un soutien intégré pour la prestation de conseils, d'une orientation et de formation dans le domaine de la sécurité de l'information. Il existe bel et bien entre le CST et la GRC une liaison étroite, un protocole d'entente et des projets communs visant à réunir les services de soutien pour la sécurité informatique et la sécurité des télécommunications pour les institutions de l'État. Étant donné les changements technologiques, il est temps de revoir les questions de mandat afin d'éviter les chevauchements.
Commentaire du ministère des Communications : Nous avons étudié votre chapitre et l'estimons juste, surtout en ce qui concerne les observations sur notre rôle d'encadrement.
9.74 Assurer une surveillance indépendante officielle. Indépendants, l'inspection des mécanismes de sécurité informatique à l'échelle de l'administration fédérale et les rapports qui en découlent devraient être renforcés de façon à pouvoir répondre aux besoins. Il faudrait aussi envisager de mener des inspections régulières de la sécurité des télécommunications et d'en faire rapport.
Commentaire du SCT : Le Secrétariat du Conseil du Trésor examinera la pertinence de services centraux d'inspection de la sécurité. Cependant, la responsabilité des inspections périodiques des installations, systèmes et services fédéraux visant à garantir la conformité avec les normes applicables à l'échelle du gouvernement incombera aux institutions elles-mêmes.
Commentaire de la GRC : L'inspection indépendante dans toute l'administration fédérale de la sécurité informatique et l'établissement de rapports à ce sujet seront intensifiés de façon à pouvoir répondre aux besoins. Cinq autres employés de la GRC seront affectés à ce service pour répondre à la demande croissante. Un système d'établissement des priorités plus structuré a été élaboré pour les inspections et est actuellement mis au point.
Commentaire du CST : Bien que les inspections indépendantes périodiques et les rapports sur la sécurité des télécommunications aient leur valeur, il faudrait des ressources plus nombreuses pour mener à bien cette tâche. Il faudra bien entendu comparer les avantages prévus aux dépenses occasionnées par les ressources requises.
9.75 Les ministères devraient accepter de prendre en charge leur surveillance. Il n'est pas réaliste de s'attendre qu'un service central d'inspection exerce toute la surveillance nécessaire. Il faut trouver des moyens plus efficaces de mener les inspections, et les ministères devraient endosser une plus grande partie de cette responsabilité. Pour éviter le chevauchement et pour assurer l'uniformité de la mise en application, la surveillance devrait être coordonnée à l'échelle de l'administration fédérale, ce qui suppose, entre autres, un encadrement central pour l'élaboration des méthodes d'évaluation, une entente sur le partage des responsabilités et une surveillance centrale des examens effectués par les ministères. Les sous-ministres devraient recevoir des rapports annuels sur la sécurité dans leur ministère, sur l'efficience de la mise en application de la politique et sur l'observation des politiques et des normes.
9.76 Les ministères devraient revoir leurs obligations de mettre en application les dispositions de la Politique concernant la sécurité du gouvernement. Il est clair que la responsabilité de protéger l'actif que constitue l'information incombe aux sous-ministres. La haute direction des ministères doit réévaluer son engagement à assurer la sécurité de l'information et veiller à ce que toutes les exigences de la Politique concernant la sécurité du gouvernement en matière de technologie de l'information ainsi que les normes soient respectées, ce qui comprend la prestation d'une formation et la surveillance périodique des questions de sécurité ainsi que l'évaluation des menaces et des risques qui doit précéder l'élaboration de plans de secours pour tous les systèmes informatiques essentiels. Les questions de sécurité devraient être l'affaire des paliers supérieurs des ministères, et les cadres supérieurs devraient être chargés d'instaurer la politique et rendre des comptes aux sous-ministres.
9.77 Les sous-ministres devraient avoir à répondre des mesures correctives à apporter aux lacunes qui ont été relevées au cours de cette vérification. Un mécanisme pourrait consister à utiliser le régime d'Accroissement des pouvoirs et des responsabilités ministériels (APRM) pour que soit fourni chaque année au Conseil du Trésor un rapport sur la sécurité de l'information dans les ministères et de renforcer l'obligation de rendre compte des résultats.
Commentaire du SCT : Les sous-ministres sont tenus responsables de la mise en oeuvre de la politique au moyen d'une évaluation annuelle du rendement qui porte essentiellement sur les exigences générales de la politique, plutôt qu'une évaluation plus détaillée du respect des normes. Aux termes du régime actuel de l'ARPM pour ce qui est de la politique concernant la sécurité du gouvernement sont énoncés les critères et l'information utilisés par le Secrétariat du Conseil du Trésor pour ce processus.