Politique sur la sécurité du gouvernement

La présente annexe décrit les mesures de sécurité qui sont mentionnés à la sous-section 4.1.5 de la présente Politique.

• A.1Le filtrage de sécurité est effectué d’une manière efficace, rigoureuse, uniforme et juste. Il vise à offrir une assurance raisonnable que des personnes dignes de confiance protègent l’information et les actifs du gouvernement, et qu’elles s’acquittent de leurs fonctions avec fiabilité, et à assurer la transférabilité du filtrage de sécurité entre les ministères.
• A.2Les exigences, les pratiques et les mesures relatives à la sécurité de la technologie de l’information sont définies, documentées, mises en œuvre, évaluées, surveillées et tenues à jour à chaque étape du cycle de vie des systèmes d’information, ce qui permet de fournir une assurance raisonnable que les systèmes d’information sont en mesure de protéger adéquatement l’information, sont utilisés d’une façon acceptable, et appuient les programmes, les activités et les services gouvernementaux.
• A.3Les exigences, les pratiques et les mesures liées à la sécurité matérielle sont définies, documentées, mises en œuvre, évaluées, surveillées et tenues à jour à toutes les étapes du cycle de vie de la gestion des biens immobiliers et du matériel, ce qui permet de fournir une assurance raisonnable que les particuliers, l’information et les actifs sont adéquatement protégés, appuyant ainsi la prestation de programmes, de services et d’activités du gouvernement.
• A.4La gestion de la continuité des activités est menée de manière systématique et complète. Elle fournit une assurance raisonnable qu’en cas de perturbation, le ministère pourra garantir un niveau acceptable de prestation des services et des activités critiques, et qu’il sera en mesure de reprendre rapidement les autres services et activités.
• A.5Les exigences, les pratiques et les mesures de sécurité de la gestion des renseignements sont définis, documentés, élaborés, évalués, surveillés et entretenus à chaque étape du cycle de vie de l’information afin de fournir une assurance raisonnable que l’information est adéquatement protégée d’une manière qui respecte les obligations juridiques et autres et pèse le risque de préjudice et de menaces avec le coût d’appliquer des mesures de sauvegarde.
• A.6Les exigences de sécurité liées aux contrats et autres ententes sont déterminées et documentées, et les mesures de sécurité connexes sont mises en œuvre et surveillées à chaque étape du processus d’octroi de contrats ou d’établissement d’ententes, afin de fournir une assurance raisonnable que l’information, les particuliers, les actifs et les services liés au contrat ou à l’entente sont protégés de façon adéquate.
• A.7Les pratiques relative à la gestion des événements liés à la sécurité sont définies, documentées, mises en œuvre et tenues à jour afin d’assurer la surveillance, la réponse et le signalement des menaces, des vulnérabilités, des incidents et d’autres événements liés à la sécurité, et de veiller à ce que de telles activités soient coordonnées de façon efficace au sein du ministère, avec les partenaires et dans l’ensemble du gouvernement, ce qui permet de gérer les incidences possibles, d’appuyer la prise de décisions et de permettre la mettre en œuvre des mesures correctives.
• A.8La sensibilisation et la formation en matière de sécurité sont offertes de façon systématique et complète, et permettent à chaque personne de connaître ses responsabilités en matière de sécurité, de maintenir les connaissances et les compétences nécessaires pour s’acquitter adéquatement de ses fonctions, et offrent une assurance raisonnable que les personnes ne viendront pas mettre sciemment la sécurité en danger et qu’elles comprennent les conséquences potentielles de ne pas s’acquitter de leurs responsabilités en matière de sécurité.

autorisation de sécurité (security authorization)

Le processus continu d’obtenir et maintenir une décision sur la gestion des risques en matière de sécurité et d’accepter explicitement le risque résiduel fondé sur les résultats de l’évaluation de sécurité.

cadre de fiabilité (trust framework)

Dans le contexte de la Directive sur la gestion de l’identité, un ensemble de définitions, de principes, de critères de conformité, de méthode de validation, de normes et de spécifications acceptées.

>catégorisation de sécurité (security categorization)

Le processus d’attribuer une catégorie de sécurité aux renseignements, aux actifs et aux services, en fonction du degré de préjudice qui pourrait vraisemblablement résulter de leur compromission.

compromission (compromise)

Une violation de la sécurité du gouvernement. Ceci comprend, sans toutefois s’y limiter :

• un accès non autorisé à des renseignements ou des actifs de nature délicate, ou la communication, la modification, l’utilisation, l’élimination ou la destruction de renseignements ou d’actifs de nature délicate, qui pourraient occasionner une perte de confidentialité, d’intégrité, de disponibilité ou de valeur;
• tout agissement, comportement, menace ou geste d’une personne à l’égard d’un employé à son lieu de travail, ou d’une personne au sein d’une installation fédérale qui a causé un dommage ou un préjudice à cet employé ou à cette personne;
• des événements qui engendrent la perte d’intégrité ou de disponibilité des services ou des activités du gouvernement.

évaluation de sécurité (security assessment)

Processus continu d’évaluation des pratiques et des mesures de sécurité visant à déterminer dans quelle mesure elles ont été mises en œuvre comme il se doit, à savoir si elles fonctionnent comme prévu et atteignent les résultats escomptés en ce qui a trait au respect des exigences en matière de sécurité.

événement lié à la sécurité (security event)

Tout événement, acte, omission ou situation qui pourrait porter atteinte à la sécurité du gouvernement, y compris les menaces, les vulnérabilités et les incidents de sécurité.

exigence en matière de sécurité (security requirement)

Une exigence qui doit être satisfaite afin de ramener les risques liés à la sécurité à un niveau acceptable et/ou répondre aux obligations législatives, réglementaires, politiques, contractuelles ou autres, en matière de sécurité.

fonction de sécurité (security function)

Activité qui appuie directement la réalisation des objectifs en matière de sécurité du gouvernement, y compris le filtrage de sécurité, la sécurité de la technologie de l’information, la sécurité matérielle, la gestion de la continuité des activités, la sécurité de la gestion de l’information, la sécurité lors de l’octroi de contrats et d’autres ententes, la gestion d’événements liés à la sécurité, et la sensibilisation et la formation en matière de sécurité, et la gestion de l’ensemble de la sécurité (y compris la gouvernance, la planification, la surveillance et l’établissement de rapports).

haut fonctionnaire (senior official)

Aux fins de la Politique sur la sécurité du gouvernement, les particuliers désignés par l’administrateur général dans la gouvernance de la sécurité ministérielle comme ayant la responsabilité globale pour les aspects de sécurité d’un programme, d’un service ou d’un secteur d’activités ou pour une fonction de sécurité. Les hauts fonctionnaires peuvent inclure les responsables de programmes, le dirigeant principal des finances, le dirigeant principal de la vérification, le dirigeant principal de l’information, le chef de la protection des renseignements personnels et les divers fonctionnaires désignés en vertu d’une obligation légale, d’une politique du Conseil du Trésor ou de toute autre exigence. Les hauts fonctionnaires comprennent également les particuliers ayant été désignées par les administrateurs généraux des organisations de services internes intégrés afin de superviser leurs activités en matière de services internes intégrés en vertu de la Politique sur la sécurité du gouvernement.

identité (identity)

Référence ou désignation utilisée pour distinguer une personne, une organisation ou un appareil unique.

identité numérique de confiance (trusted digital identity)

Une représentation électronique d’une personne, utilisée exclusivement par la même personne afin de recevoir des services de valeur et d’exécuter des opérations importantes en toute confiance.

incident de sécurité (security incident)

Un événement (ou un ensemble d’événements), un acte, une omission ou une situation qui a entraîné une compromission.

justificatif (credential)

Aux fins de la Directive sur la gestion de l’identité, un objet physique ou un identificateur électronique unique est émis à un particulier, une organisation ou un appareil, ou en lien avec un particulier, une organisation ou un appareil.

menace (threat)

Tout événement ou acte potentiel, délibéré ou non intentionnel, ou risque naturel susceptible d’entraîner une compromission.

mesure de sécurité (security control)

Une mesure juridique, administrative, opérationnelle ou technique pour répondre aux exigences en matière de sécurité. Ce terme est synonyme à mesure de protection.

organisation de services internes intégrés (internal enterprise service organization)

Ministère ou organisme qui fournit des services internes intégrés à d’autres ministères du gouvernement du Canada. Ceci comprend les principaux organismes chargés de la sécurité qui fournissent des services de sécurité à l’échelle du gouvernement.

pratiques de sécurité (security practices)

Les processus, les procédures et les normes qui gouvernent la mise en œuvre, la surveillance et la tenue à jour des mesures de sécurité.

preuve de l’identité (evidence of identity)

Un document provenant d’une source qui fait autorité et qui confirme l’identité d’une personne. Il existe deux catégories de preuves de l’identité : essentielles et à l’appui.

preuve à l’appui de l’identité (supporting evidence of identity)

La preuve de l’identité qui corrobore la preuve essentielle et permet d’établir un lien entre l’information d’identification et la personne concernée. Elle peut comprendre également de l’information supplémentaire, comme une photo, une signature ou une adresse.

preuve de l’identité essentielle (foundational evidence of identity)

La preuve de l’identité qui comprend de l’information de base, comme le nom de famille, le prénom, la date de naissance et le lieu de naissance. Des exemples comprennent les dossiers de naissance, d’immigration ou de citoyenneté provenant d’une autorité au sein de la compétence pertinente.

renseignement ou bien de nature délicate (sensitive information or asset)

Renseignement ou bien dont on peut raisonnablement prévoir que, s’il faisait l’objet d’une compromission, il pourrait causer un préjudice. On entend ici tout renseignement qui peut être admissible à une exemption en vertu de la Loi sur l’accès à l’information ou d’une disposition d’exclusion en vertu de la Loi sur la protection des renseignements personnels. Ceci comprend également les « marchandises contrôlées », de même que toute autre information et biens qui sont assujettis à des interdictions ou à de mesures d’origine législative ou réglementaire. 

risque résiduel (residual risk)

Aux fins de la Politique sur la sécurité du gouvernement, niveau restant de risque lié à la sécurité après la mise en œuvre de mesures de sécurité et d’autres mesures d’atténuation des risques.

sécurité de l’immeuble de base (base building security)

Mesures de sécurité fournies par le responsable d’un immeuble afin de protéger la structure de l’immeuble et son infrastructure.

sécurité du gouvernement (government security)

L’assurance de ce qui suit :

• l’information et les actifs qui appuient les programmes du gouvernement sont protégés tout au long de leur cycle de vie contre les menaces à leur confidentialité, leur intégrité et, leur disponibilité ou leur valeur;
• les employés à leur lieu de travail et les personnes qui se trouvent dans des installations fédérales sont protégés contre les agissements, comportements, menaces ou gestes de personnes qui pourraient leur causer un dommage ou un préjudice;
• la continuité des opérations du gouvernement peut être maintenue dans le cadre de situations qui risqueraient de déranger les opérations normales;
• le gouvernement du Canada peut maintenir la prestation des programmes et des services en présence de menaces à leur intégrité ou à leur disponibilité.

services internes intégrés (internal enterprise services)

Un service offert par un ministère du gouvernement du Canada à d’autres ministères du gouvernement du Canada, afin d’être distribué à l’échelle du gouvernement.

service ou activité critique (critical service or activity)

Un service ou une activité dont la perturbation porterait un préjudice élevé ou très élevé à la santé, à la sûreté, à la sécurité ou au bien-être économique des Canadiens et des Canadiennes, ou encore au fonctionnement efficace du gouvernement du Canada.

source autorisée (authoritative source)

Une collection ou un registre de dossiers entretenu par une autorité qui respecte les critères établis.

vulnérabilité (vulnerability)

Facteur qui pourrait accroître la susceptibilité à la compromission.