Archivée [2009-07-06] - Politique sur la Sécurité

Les ministères doivent nommer un agent de sécurité du ministère (ASM) chargé d'établir et de diriger un programme de sécurité qui assure la coordination de toutes les fonctions de la politique et la mise en œuvre de ses exigences. Ces fonctions comprennent l'administration générale (p. ex. procédures du ministère, formation et sensibilisation, identification des biens, gestion des risques pour la sécurité, partage des renseignements et des biens), le contrôle de l'accès, les vérifications de fiabilité et de sécurité, la sécurité matérielle, la protection des employés, la sécurité des technologies de l'information, la sécurité en cas d'urgence et de menace accrue, la planification de la continuité opérationnelle, la sécurité des marchés et les enquêtes sur les incidents de sécurité.

Étant donné l'importance de ce rôle, il faudrait que l'agent de sécurité du ministère ait suffisamment d'expérience en matière de sécurité et qu'il occupe un poste stratégique au sein de l'organisation de sorte à pouvoir fournir des conseils et une orientation stratégique aux cadres supérieurs de celle-ci.

Les ministères doivent appliquer cette politique lors du partage de renseignements et d'autres biens du Gouvernement du Canada avec d'autres gouvernements (p. ex. étrangers, provinciaux, territoriaux et municipaux), des organismes internationaux, des établissements d'enseignement et des organismes du secteur privé. Ils doivent à cet effet établir des arrangements qui exposent les grandes lignes des responsabilités en matière de sécurité, les mesures de sauvegarde à prendre et les modalités de la participation continue.

Les ministères doivent prendre soin des renseignements et autres biens reçus d'autres gouvernements (p. ex. étrangers, provinciaux, territoriaux et municipaux), des organismes internationaux (p. ex. l'OTAN), des établissements d'enseignement et des organismes du secteur privé, conformément aux accords ou arrangements conclus avec eux.

Les ministères qui partagent l'infrastructure commune de gestion de l'information et des technologies de l'information pour la prestation de services en ligne ou pour d'autres besoins doivent respecter toutes les normes de sécurité établies pour cette infrastructure.

Dans des endroits particuliers à l'extérieur du Canada, il peut être difficile d'appliquer certaines exigences de cette politique. En de tels cas, des dispositions spéciales peuvent être formulées, de concert avec le ministère des Affaires étrangères et du Commerce international.

Dans les endroits particulièrement dangereux, il peut y avoir des restrictions sur les activités personnelles. Tous les employés, à moins d'occuper un poste diplomatique et d'être sous les conventions de Vienne, sont automatiquement assujettis aux lois et aux règlements de l'endroit où ils se trouvent. Les employés peuvent obtenir des avis de voyage et des renseignements spécifiques quant à la sécurité et aux restrictions en communiquant avec le ministère des Affaires étrangères et du Commerce international ou avec l'ambassade canadienne la plus proche. Les diplomates doivent être conscients que les infractions sérieuses aux lois étrangères peuvent, selon la loi canadienne, être traitées en justice au Canada.

La présente politique s'applique autant au processus de gestion des marchés qu'aux opérations internes du gouvernement. L'autorité contractante, qu'il s'agisse du ministère des Travaux publics et des Services gouvernementaux ou d'un autre ministère, doit satisfaire aux exigences de la politique, des normes sur la sécurité des marchés et de la documentation technique.

L'autorité contractante doit :

1. assujettir les entrepreneurs qui ont accès à l'information et aux biens protégés et classifiés aux vérifications de fiabilité et de sécurité, tel que spécifié dans les normes de sécurité;
2. sauvegarder les biens du gouvernement, y compris les systèmes des TI;
3. préciser dans les documents relatifs aux marchés les dispositions nécessaires en matière de sécurité.

Les ministères doivent :

1. assurer la formation de manière appropriée et actualisée des personnes chargées de tâches précises en matière de sécurité;
2. avoir un programme de sensibilisation en matière de sécurité pour informer les personnes de leurs responsabilités en matière de sécurité et pour leur faire des rappels périodiques à cet égard;
3. informer les personnes des privilèges d'accès et des limites reliées à leur cote de sécurité avant qu'elles assument leurs fonctions et lors du renouvellement de leur cote.

Confidentialité

Les ministères doivent identifier les renseignements et autres biens dont la divulgation sans autorisation risquerait vraisemblablement de porter préjudice, au sens des dispositions particulières de la Loi sur l'accès à l'information et de la Loi sur la protection des renseignements personnels,

1. à l'intérêt national. De tels renseignements sont classifiés. On doit les catégoriser et les marquer selon le degré de préjudice potentiel (préjudice : « Confidentiel », préjudice sérieux : « Secret », préjudice exceptionnellement grave : « Très Secret »);
2. à des intérêts privés ou non reliés à l'intérêt national. De tels renseignements sont protégés et doivent être catégorisés et marqués selon le degré de préjudice potentiel (bas : « Protégé A »; moyen : « Protégé B », élevé : « Protégé C »).

Disponibilité, intégrité et valeur

Les ministères doivent identifier et catégoriser les biens, notamment les services essentiels, selon le degré de préjudice (bas, moyen ou élevé) qui pourrait vraisemblablement résulter d'un compromis à leur disponibilité ou à leur intégrité. Ils doivent considérer la valeur (p. ex. monétaire, reliée au patrimoine) des biens pour déterminer le degré de préjudice. Afin d'indiquer le niveau de protection requis, les ministères devraient envisager de marquer les biens en fonction de leur disponibilité et de leur intégrité.

Les ministères doivent effectuer des évaluations des menaces et des risques pour déterminer la nécessité d'aller au-delà des mesures sécuritaires de base. Ils doivent continuellement être aux aguets de tout changement aux menaces et faire les ajustements nécessaires au maintien d'un niveau de risque acceptable et d'un équilibre entre les besoins opérationnels et la sécurité.

Les évaluations des menaces et des risques comprennent les activités suivantes :

1. déterminer le champ d'application de l'évaluation et identifier les employés et les biens à sauvegarder (voir sections 10.6 et 10.10);
2. identifier les menaces envers les employés et les biens au Canada et à l'étranger, et évaluer la probabilité qu'elles se concrétisent et leur incidence;
3. évaluer les risques en fonction de la pertinence des mesures de sauvegarde existantes et des vulnérabilités;
4. mettre en œuvre toute mesure supplémentaire qui réduira les risques à un niveau acceptable.

Les ministères doivent limiter l'accès aux renseignements classifiés et protégés et autres biens aux seules personnes qui ont besoin de les connaître et qui ont la cote de fiabilité ou de sécurité appropriée. Ils doivent, dans la mesure nécessaire, limiter l'accès à d'autres biens exigeant des mesures de sauvegarde supplémentaires pour des raisons de disponibilité, d'intégrité ou de valeur. Ceci inclue l'assurance qu'aucune personne a le contrôle unique de tous les aspects d'un processus ou d'un système.

Le Gouvernement du Canada doit s'assurer que les individus qui ont accès à ses renseignements et biens sont fiables et dignes de confiance. Pour ce qui touche à la sécurité nationale, le gouvernement doit vérifier la loyauté de ces personnes envers le Canada afin de se protéger du terrorisme et de la collecte de renseignements par des puissances étrangères. On doit tout particulièrement veiller à assurer la fiabilité et la loyauté continuelles de ces personnes et à prévenir tout acte malveillant et toute divulgation non autorisée de renseignements classifiés et protégés causés par le mécontentement de personnes en poste de confiance.

Les ministères doivent s'assurer qu'avant leur entrée en fonction, les personnes qui ont besoin d'avoir :

1. accès aux biens du gouvernement (sauf les personnes nommées par le gouverneur en conseil) font l'objet d'une vérification de la fiabilité et obtiennent une cote de fiabilité;
2. accès à des renseignements et biens classifiés ont une cote valide de fiabilité, font l'objet d'une vérification de sécurité et obtiennent une cote de sécurité au niveau approprié. Ceci comprend les ressortissants étrangers qui visitent ou travaillent dans un ministère. On peut imposer certaines restrictions à une cote de sécurité selon la norme relative à cette section.
3. accès aux installations essentielles à l'intérêt national ou aux zones à accès restreint des événements majeurs, font l'objet des vérifications appropriées et obtiennent une cote spéciale d'accès. Les ministères doivent obtenir l'approbation du Secrétariat du Conseil du Trésor du Canada pour mettre en place des programmes de cotes spéciales d'accès.

Les ministères doivent aussi :

1. obtenir le consentement écrit de la personne visée avant de commencer toute vérification;
2. la traiter de façon juste et équitable, et lui donner l'occasion d'expliquer tout point défavorable avant qu'une décision soit prise;
3. l'informer de ses droits touchant le réexamen et le recours en cas de refus, de suspension ou de révocation d'une cote;
4. assurer que les gestionnaires restent vigilants, une fois une cote accordée, et donnent suite à tout renseignement qui éveillerait des doutes quant à la fiabilité et à la loyauté de la personne visée;
5. refaire régulièrement les vérifications appropriées et renouveler les cotes;
6. revoir, révoquer, suspendre ou déclasser pour un motif valable une cote précédemment accordée.

Un gestionnaire délégataire a le pouvoir d'accorder ou de refuser une cote de fiabilité. L'ASM peut octroyer une cote de sécurité au nom de l'administrateur général. Seul ce dernier peut refuser, révoquer ou suspendre une cote de sécurité. Il doit consulter le Bureau du Conseil privé concernant tout désaccord avec une recommandation du Comité de surveillance des activités de renseignements de sécurité quant à la cote de sécurité. L'administrateur général doit également consulter le Bureau du Conseil privé concernant toute décision de recommander au gouverneur en conseil la suspension ou le congédiement d'une personne suite au refus, à la révocation ou à la suspension d'une cote de sécurité.

Les ministères doivent obtenir l'approbation du Secrétariat du Conseil du Trésor du Canada concernant toute proposition de faire des vérifications impliquant un recouvrement des coûts.

Les ministères sont responsables de la santé et de la sécurité des employés au travail en vertu de la partie II du Code canadien du travail et des politiques du Conseil du Trésor. Cette responsabilité s'étend aux cas où des employés sont menacés de violence en raison des fonctions qu'ils exercent ou de situations auxquelles ils sont exposés, comme les appels ou les lettres de menace, la réception de matières dangereuses, le harcèlement criminel ou les agressions.

Les ministères doivent avoir des mécanismes pour :

1. identifier les employés menacés ou victimes de violence, les protéger et les soutenir selon une évaluation des menaces et des risques applicables aux situations précises. Dans certains cas, la protection et le soutien s'étendront aux membres de la famille et à d'autres personnes;
2. signaler tout incident à la direction, aux services des ressources humaines, aux services de sécurité et à la police selon le cas;
3. informer et conseiller les employés visés, et leur donner accès à de la formation et à des services de consultation;
4. tenir de façon approfondie des registres et des déclarations sur les incidents signalés.

La sécurité matérielle repose sur l'aménagement et la conception adéquates des installations, ainsi que sur l'usage de mesures pour éviter ou retarder l'accès non autorisé aux biens du gouvernement. Elle inclut des mesures pour détecter l'accès non autorisé, recherché ou obtenu, et pour déclencher une intervention appropriée. La sécurité matérielle prévoit également des mesures pour protéger les employés de la violence.

Les ministères sont tenus d'assurer l'intégration totale des aspects sécuritaires aux processus de planification, de sélection, de conception et de modification des installations, et ce, dès les premières étapes.

Ils doivent :

1. sélectionner, concevoir et modifier leurs installations de manière à faciliter le contrôle de l'accès;
2. délimiter les aires à accès restreint et installer les barrières, les systèmes de sécurité et le matériel nécessaires selon une évaluation des menaces et des risques;
3. intégrer les spécifications imposées en matière de sécurité à la planification, aux demandes de proposition et aux dossiers de soumission;
4. incorporer les coûts connexes aux exigences de financement.

Les ministères doivent veiller à l'entreposage, la transmission et la destruction sécuritaires des renseignements classifiés et protégés, peu importe le support sur lequel ils se trouvent, conformément aux normes de sécurité matérielle. Selon une évaluation des menaces et des risques, ils doivent aussi veiller à l'entreposage, la transmission et la destruction sécuritaires de tout autre bien.

Il est essentiel de revoir continuellement les mesures de sécurité matérielle pour tenir compte de changements aux menaces et de bénéficier de nouvelles technologies qui sont moins dispendieuses.

On doit sauvegarder les systèmes électroniques d'information contre les menaces qui changent rapidement et ont le potentiel d'affecter la confidentialité, l'intégrité, la disponibilité, l'usage prévu et la valeur de ces systèmes. Comme défense, une stratégie pour la sécurité des technologies de l'information (STI) est requise. Cette stratégie doit tenir compte des changements aux menaces qui peuvent être soudains et doit soutenir la prestation continue de services. Cela exige que les ministères aient des contrôles sécuritaires de base, surveillent continuellement leurs niveaux de prestation de services, identifient et analysent les menaces à leurs propres systèmes et établissent des mécanismes efficaces de réponse aux incidents et de continuité opérationnelle.

Les ministères doivent s'assurer que la STI est intégrée à chaque étape du cycle de développement de systèmes. Ils doivent identifier les exigences de sécurité et leur coût et les énoncer dans les documents relatifs à la planification, aux appels d'offre, aux soumissions et aux contrats pour les projets des TI.

En se conformant aux normes opérationnelles et techniques de la STI, les ministères pourront mieux prévenir et détecter les incidents, y réagir et revenir aux opérations normales.

10.12.1 Prévention

Pour prévenir les incidents aux systèmes électroniques de l'information, les ministères doivent mettre en place des contrôles sécuritaires de base et tout autre contrôle jugé nécessaire selon une évaluation des menaces et des risques. Ils doivent définir et documenter ces contrôles, ainsi que les rôles et les responsabilités du personnel, et les communiquer à leur personnel y incluant les membres des services opérationnels, légaux, administratifs et techniques.

Pour observer la politique, les ministères doivent :

1. certifier et accréditer les systèmes des TI avant qu'ils ne soient mis en état de fonctionnement, et bien gérer la configuration de ces systèmes et de leurs mesures de sécurité;
2. effectuer périodiquement des évaluations de sécurité des systèmes, y incluant des routines d'évaluation des changements apportés à la configuration;
3. faire réaliser par des tiers des examens indépendants de conformité.

10.12.2 Détection

Un incident peut causer une dégradation rapide des services allant d'un ralentissement à un arrêt complet. Les ministères doivent surveiller continuellement les opérations de leurs systèmes pour dépister les anomalies aux niveaux de prestation de services.

10.12.3 Réponse

Les ministères doivent :

1. dans le cadre des enquêtes sur les incidents de sécurité (section 10.15), établir des mécanismes pour bien répondre aux incidents reliés aux TI et pour partager rapidement les détails de l'incident avec les ministères responsables;
2. nommer une personne chargée de la sécurité des TI responsable de la communication en cas d'incident touchant l'ensemble du gouvernement;
3. effectuer leurs activités de sécurité, y incluant la réponse aux incidents, de façon à ne pas dégrader la sécurité d'autres ministères et à reconnaître que le gouvernement, grâce aux connexions, fonctionne comme une entité distincte.

10.12.4 Reprise

Pour assurer la prestation continue des services essentiels, les ministères doivent préparer des plans de continuité pour les TI dans le cadre de leur planification de la continuité opérationnelle, et de leurs activités de recouvrement suite à un incident.

Les ministères doivent élaborer des plans et des procédures pour mettre en place des niveaux de sécurité plus élevés en cas d'urgence ou de menace accrue. Selon l'urgence ou la menace, le Gouvernement du Canada peut obliger les ministères à mettre en place de tels niveaux.

Ils doivent coordonner ces plans et procédures avec ceux concernant la prévention et la réponse en cas d'urgence (p. ex. feux, alertes à la bombe, matières dangereuses, pannes d'électricité, évacuations, urgences civiles).

Les services essentiels et les biens afférents doivent toujours être disponibles pour assurer la santé, la sûreté, la sécurité et le bien-être économique des Canadiens et des Canadiennes ainsi que l'efficacité du gouvernement. Les ministères doivent établir un programme de planification de la continuité opérationnelle pour permettre la disponibilité continue des services et des biens essentiels, et de tout autre service ou bien dont la disponibilité est jugée importante selon une évaluation des menaces et des risques. Le programme doit comprendre les éléments suivants :

1. dans le cadre du programme et de l'organisation ministérielle de sécurité (section 10.1), une structure de régie définissant les autorités et les responsabilités pour le programme et pour le développement et l'approbation de plans de continuité opérationnelle;
2. dans le cadre de l'identification des biens (section 10.6), une analyse d'impact pour inventorier par ordre de priorité les services et les biens essentiels;
3. des plans, des mesures et des préparatifs pour assurer la disponibilité continue des services et des biens essentiels, et de tout autre service ou bien tel qu'indiqué par une évaluation des menaces et des risques;
4. des activités pour surveiller le niveau de préparation du ministère;
5. des activités de revue, de mise à l'essai et de vérifications des plans de continuité opérationnelle.

Des comptes rendus et des enquêtes efficaces sur les incidents de sécurité permettent de déterminer les points faibles et de réduire le risque d'un nouvel incident de même nature.

Les ministères doivent mettre en place des procédures de compte rendu et d'enquête relativement aux incidents de sécurité et prendre des mesures correctives pour y donner suite.

Ils doivent informer :

1. les services de police compétents des incidents qui pourraient constituer des infractions pénales;
2. le Bureau du Conseil privé de tout incident concernant une confidence du Cabinet;
3. le Service canadien du renseignement de sécurité de tout incident comprenant des menaces à l'intérêt national;
4. le Bureau de la protection des infrastructures essentielles et de la protection civile de toute menace et de tout incident influant sur la disponibilité de biens et de services essentiels;
5. les comités de la santé et de la sécurité et les agents de santé et de sécurité nommés en vertu du Code canadien du travail de tout incident qui peut être considéré comme dangereux ou susceptible de causer des blessures aux employés;
6. le Secrétariat du Conseil du Trésor du Canada de tout incident ayant une incidence sur les opérations gouvernementales ou qui pourraient susciter une révision aux normes opérationnelles de sécurité ou à la documentation technique.

Les ministères sont tenus d'imposer des sanctions à la suite d'incidents de sécurité lorsque, de l'avis de l'administrateur général, il y a eu inconduite ou négligence.