Archivée [2019-06-28] - Directive sur la gestion de la sécurité ministérielle

gestionnaires de tous niveaux (managers at all levels)

Cela comprend les superviseurs, les gestionnaires et les cadres supérieurs.

intégrité (integrity)

État de ce qui est précis, complet, authentique et intact.

pour un motif valable (for cause)

Situation où il est déterminé qu'il existe une raison suffisante de révaluer, de révoquer, de suspendre ou de réduire une cote de fiabilité, une autorisation de sécurité ou un accès à des sites.

programme de sécurité (security program)

Ensemble de moyens mis en Œuvre et d'activités liés à la sécurité qui sont gérés dans le but de répondre à des besoins particuliers et pour obtenir les résultats prévus.

renseignement ou bien protégé (protected asset or information)

Un bien ou un renseignement pouvant être visé par une exemption ou une disposition d'exclusion de la Loi sur l'accès à l'information ou de la Loi sur la protection des renseignements personnels parce que l'on peut raisonnablement s'attendre à ce que sa divulgation compromette l'intérêt non national.

risque résiduel (residual risk)

Le risque qui continue d'exister après l'application des contrôles.

L'ASM ou une autre personne désignée est chargé de signaler les incidents de sécurité et les incidents soupçonnés de constituer une menace nationale ou une menace à une organisation autre que la sienne comme suit :

• Les préoccupations liées à la sécurité nationale, y compris celles en matière de terrorisme, doivent être déclarées au Service canadien du renseignement de sécurité (SCRS), au 613-993-9620.
• Les activités criminelles soupçonnées doivent être déclarées au Centre national des opérations (CNO) de la GRC, un service ouvert 24 heures sur 24, 7 jours sur 7, au 613-993-4460 (les signalements ou les appels peuvent être réacheminés aux organisations locales d'application de la loi s'il y a lieu).
• Les demandes de renseignements concernant les évaluations de l'application de la loi doivent être acheminées par courriel à Soutien opérationnel et services aux clients des Services canadiens d'identification criminelle en temps réel (SCICTR) de la GRC, à l'adresse RTID_ITR@rcmp-grc.gc.ca.
• Les cyberincidents, atteintes à la sécurité matérielle de systèmes ou de services critiques et incidents de sécurité des TI ne faisant pas partie des opérations normales qui causent ou peuvent causer une perturbation ou une réduction de la qualité des services ou de la productivité, ou qui sont caractérisés par une tentative non autorisée, réussie ou non, d'accès dans le but de modifier, de détruire, de supprimer ou de rendre inutilisable tout réseau informatique ou système doivent être signalés selon le Plan de gestion des incidents de TI du GC.
• Les incidents concernant le matériel COMSEC comptable doivent être signalés à l'ASM du ministère où l'incident lié à la COMSEC s'est produit.

Les ministères sont responsables de sélectionner, de mettre en œuvre, de surveiller et de maintenir des moyens durables de contrôle de la sécurité afin d'atteindre les objectifs en matière de contrôles de sécurité. Les mesures de contrôle de sécurité peuvent être de nature administrative, directoriale, opérationnelle, technique ou procédurale. Les contrôles de sécurité obligatoires et recommandés sont précisés dans les normes et les lignes directrices qui appuient la Politique sur la sécurité du gouvernement. Les ministères peuvent prendre d'autres mesures de contrôle de sécurité et se fixer des objectifs de contrôle supplémentaires en se fondant sur les résultats des évaluations des risques.

Assurance de l'information

• L'information est protégée contre les actes non autorisés d'accès, d'utilisation, de divulgation, de modification, de déclassement, de transmission ou de destruction.
• Les renseignements sont définis et classés en fonction du degré de préjudice qui pourrait résulter de la compromission de leur confidentialité, de leur disponibilité ou de leur intégrité.
  • Des renseignements sont définis et classés dans la catégorie « Classifié » (confidentiel, secret ou très secret) lorsque l'on peut raisonnablement s'attendre à ce que leur divulgation non autorisée porte atteinte à l'intérêt national.
  • Des renseignements sont définis et classés dans la catégorie « Protégé » (A, B et C) lorsque leur divulgation non autorisée pourrait raisonnablement porter atteinte à des intérêts autres que l'intérêt national.
  • Des renseignements sont définis et classés dans les catégories « Élevé », « Moyen » et « Faible » lorsque leur divulgation, modification, interruption ou destruction non autorisée pourrait raisonnablement entraîner une atteinte à leur disponibilité ou leur intégrité.
• L'accès à des renseignements classifiés et protégés est limité aux personnes autorisées ayant fait l'objet d'une enquête de sécurité au niveau approprié et ayant expressément besoin d'y avoir accès.
• Seules les personnes autorisées peuvent modifier ou supprimer des renseignements.
• Des mesures de sécurité appropriées sont en place pour l'accès, le stockage, la transmission et le déclassement des renseignements.
• La sécurité de l'information est prise en compte dans toutes les étapes du cycle de vie des renseignements ou du système d'information afin de s'assurer que les exigences liées à la sécurité soient fixées tôt, que les mesures de contrôle de sécurité soient examinées, que la direction donne son autorisation avant le début de l'opération et que l'autorisation soit maintenue par un contrôle continu de la posture de sécurité.

Enquête de sécurité

• Toutes les personnes qui doivent avoir accès à des renseignements, des biens ou des installations du gouvernement se soumettent à une vérification de leur fiabilité et de leur intégrité et, le cas échéant, de leur loyauté ou fiabilité quant à leur loyauté envers le Canada avant d'obtenir leur autorisation d'accès.
• Le processus d'enquête de sécurité est juste et objectif et il respecte les droits de la personne, y compris la vie privée.
• Les personnes sont officiellement informées des privilèges et des interdictions d'accès qui se rattache à leur niveau d'enquête de sécurité avant le début de leurs fonctions, au besoin, au cours du cycle de mise à jour et lorsqu'il y a un changement à leur niveau d'enquête de sécurité, elles signent des formulaires appropriés d'information.
• Les personnes sont traitées de façon juste lorsque leur cote de sécurité est révisée, annulée, refusée, suspendue temporairement ou abaissée pour un motif valable.
• Les enquêtes de sécurité sont effectuées dans le respect des normes du gouvernement du Canada et peuvent être transférées d'un ministère à l'autre.

Sécurité matérielle

• Les renseignements, les biens et les installations sont protégés contre l'accès, la divulgation, la modification ou la destruction non autorisés, en fonction de leur niveau de sensibilité, de leur pertinence et de leur valeur.
• L'accès aux biens et installations du gouvernement est limité aux personnes autorisées ayant fait l'objet d'une enquête de sécurité au niveau approprié et ayant expressément besoin d'y avoir accès.
• Des relations de gardien à locataire sont définies dans une entente officielle de façon que les responsabilités partagées et individuelles soient attribuées en vue d'atteindre des résultats optimaux au chapitre de la sécurité.
• Les considérations liées à la sécurité sont complètement intégrées au processus de planification, de sélection, de conception, de modification, de construction, d'application, d'exploitation et d'entretien des installations et de l'équipement.
• L'environnement externe et interne d'une installation est conçu et géré de manière à créer des conditions qui, grâce à des mesures de sécurité matérielle, réduisent le risque de violence au lieu de travail, protègent contre l'accès non autorisé, permettent de détecter les tentatives réussies ou non d'accès non autorisé et de mettre en branle une intervention efficace.
• Des contenants, des procédés et des procédures définis ou recommandés dans les normes et directives du gouvernement du Canada sont utilisés pour le transport, la transmission ou la destruction de renseignements et de biens protégés et classifiés.

Sécurité des TI

• Les considérations en matière de sécurité des TI sont pleinement intégrées afin d'atteindre les objectifs opérationnels à chaque étape du cycle de vie du système de TI, y compris à celles de la définition, de la conception, de l'élaboration, de l'exploitation, de l'entretien et du démantèlement.
• Les utilisateurs doivent être identifiés et authentifiés avant d'obtenir accès aux systèmes de TI.
• L'accès aux systèmes de TI et d'information électronique est limité aux utilisateurs autorisés, y compris les types de transaction et de fonction que les utilisateurs autorisés ont le droit d'effectuer, en fonction des exigences opérationnelles et de sécurité.
• La confiance dans la sécurité des systèmes de TI est assurée par ce qui suit :
  • l'évaluation des contrôles de sécurité;
  • la réduction ou l'élimination des lacunes;
  • l'octroi de l'autorisation avant la mise en service;
  • le maintien de l'autorisation.
• La posture de sécurité des TI est constamment maintenue grâce à une surveillance des menaces et des vulnérabilités, à la détection d'activités malveillantes et d'accès non autorisés et à la prise de mesures à la fois préventives et d'intervention pour minimiser les conséquences.
• Des dossiers et des registres de vérification des systèmes de TI sont crés, protégés et conservés pour permettre une surveillance, des analyses et des enquêtes de manière que les utilisateurs puissent être tenus responsables de leurs actes.
• Les données que renferment tous les appareils, les dispositifs et les médias électroniques portables sont protégées puis épurées ou détruites avant la disposition ou la réutilisation de matériel.
• Les communications électroniques sont protégées par des zones de sécurité dans les réseaux et par la défense du périmètre aux limites des réseaux.

Sécurité des marchés

• Les exigences en matière de sécurité sont définies, traitées, formellement documentées, appliquées et surveillées au cours de toutes les étapes de la passation du marché et pendant toute la durée du contrat.
• Les renseignements, les biens, les systèmes et les installations confiés à l'industrie satisfont aux exigences en matière de sécurité de l'industrie et bénéficient d'un niveau adéquat de protection pendant tout leur cycle de vie.

Partage de renseignements et de biens avec d'autres administrations publiques et organisations

• Les renseignements, les biens et les installations confiés à des organisations extérieures au gouvernement du Canada, ou qui sont partagés avec ces dernières, bénéficient d'un degré adéquat de protection pendant tout leur cycle de vie.
• Les renseignements et les biens de tiers confiés au gouvernement du Canada bénéficient d'un niveau de protection adéquat pendant tout leur cycle de vie.
• Des arrangements ou accords documentés énoncent clairement les obligations redditionnelles et les responsabilités respectives des parties, conformément aux normes du gouvernement et de l'industrie, et on les réexamine périodiquement pour vérifier qu'ils sont toujours appropriés et pertinents.

Obtention de services de sécurité auprès d'autres organisations

• Des arrangements ou accords formels sont conclus lorsque des services de sécurité sont obtenus d'une autre organisation.
• Ces accords renferment des dispositions en matière de sécurité qui exposent clairement les obligations redditionnelles et les responsabilités respectives du ministère et du fournisseur de services.
• Une surveillance est effectuée pour vérifier que les arrangements respectent les dispositions en matière de sécurité et sont toujours pertinents ou pour les actualiser au besoin.

Sensibilisation aux questions de sécurité

• Un programme de sensibilisation à la sécurité ministérielle couvrant tous les aspects de la sécurité des ministères et du gouvernement est cré, géré, exécuté et actualisé pour s'assurer de renseigner les personnes et de leur rappeler régulièrement les questions et les préoccupations liées à la sécurité ainsi que leurs responsabilités à ce titre.
• Les personnes comprennent et assument leurs responsabilités en matière de sécurité et ne compromettent pas la sécurité par inadvertance.

Formation sur la sécurité

• Les ASM, les praticiens de la sécurité ainsi que d'autres personnes ayant des responsabilités particulières au chapitre de la sécurité reçoivent une formation adéquate et actualisée de manière à posséder les connaissances et les compétences nécessaires pour s'acquitter efficacement de leurs responsabilités en matière de sécurité et ne pas compromettre la sécurité par inadvertance.

Gestion des incidents de sécurité

• Des mesures sont prises pour se tenir prêts et intervenir en cas d'incidents de sécurité, pour en atténuer rapidement les incidences et assurer la reprise des activités ainsi que pour prévenir ou minimiser les conséquences et les pertes potentielles.
• Les incidents qui ont ou pourraient avoir des répercussions sur le degré de préparation du gouvernement, sur l'atténuation des incidences, sur les interventions ou sur la reprise des activités à la suite de menaces et de vulnérabilités sont signalés à l'organisme principal concerné chargé de la sécurité ou aux autorités d'application de la loi (voir l'annexe B – Points de contact pour le règlement des incidents) et, au besoin, à d'autres ministères lorsqu'il y a des raisons de croire que l'atteinte à la sécurité provient d'un ministère en particulier.
• Une analyse postérieure à l'incident et un suivi sont effectués, et les résultats sont communiqués à l'organisme principal concerné chargé de la sécurité.

Protection des employés contre la violence en milieu de travail

• Des mesures de protection sont en place pour protéger les employés (et les membres de leur famille si on le juge nécessaire en fonction de l'évaluation des menaces et des risques de certaines situations) contre la violence au lieu de travail à laquelle ils pourraient s'exposer en raison des fonctions qu'ils assument ou dans le cadre de leur travail.
• Les employés exposés à ce risque ont accès à des renseignements et une formation sur la gestion de telles situations.
• Des registres détaillés sont tenus et des déclarations sont prises sur les incidents signalés de violence en milieu de travail.

Inspection de sécurité

• Des inspections de routine sont effectuées aux emplacements/installations ou systèmes dans lesquels sont traités ou entreposés des biens et informations de nature délicate afin d'assurer la conformité aux exigences en matière de sécurité du ministère (p. ex. vérification des aires de bureau pendant les heures à accès limité).
• Des inspections de sécurité sont menées en conformité avec les dispositions des conventions collectives et des lois et des règlements sous-jacents; elles revêtent un caractère raisonnable dans les circonstances, et l'on fait connaître aux employés leurs procédures de déroulement avant de les effectuer.
• Les inspections de sécurité sont menées par des personnes à qui l'on a assigné cette responsabilité et ne ciblent pas de fonctionnaires en particuliers.
• Les violations ou atteintes soupçonnées à la sécurité sont signalées sans délai et font l'objet d'une enquête aux fins de mesures correctives, ou d'une déclaration aux autorités responsables, au besoin.

Enquêtes administratives liées aux incidents de sécurité

• Des enquêtes sont conduites de manière à ne pas compromettre l'évidence, les droits des personnes ou les poursuites civiles ou criminelles.
• Des procédures sont définies et mises en œuvre pour fixer les conditions dans lesquelles se déroulera chaque enquête administrative.
• Les incidents qu'on soupçonne de constituer une infraction criminelle sont signalés aux autorités chargées de l'application de la loi et des protocoles sont établis pour assurer la coopération entre le ministère et les organismes d'application de la loi.
• Les parties à l'enquête sont dûment informées de leurs droits et obligations.  

Sécurité dans les situations d'urgence et de menace accrue

• Des plans et des procédures sont en place pour passer à des niveaux de sécurité supérieurs en cas d'urgence et de menace accrue.
• Les ministères peuvent assurer la coordination avec d'autres plans de prévention et d'intervention en cas d'urgence (p. ex. incendie, alertes à la bombe, matériaux dangereux, pannes de courant, évacuations, situations de crise civile) lors d'une situation d'urgence ou de menace accrue.

Planification des urgences et de la continuité des activités

• Des plans d'assurance de la continuité des activités et des plans d'urgence viennent appuyer la récupération et la reprise des fonctions et des services opérationnels essentiels ainsi que des biens et des ressources qui leur sont associés pour assurer la prestation d'un minimum de services sans interruption.
• Les biens et les services critiques du ministère sont définis, analysés et une priorité leur est accordée selon leur caractère essentiel.
• Un répertoire de services critiques et de renseignements connexes, de biens et de dépendances est tenu à jour, et ce répertoire est transmis à Sécurité publique Canada au besoin.
• Des plans de continuité des activités et des stratégies de reprise des activités sont élaborés et des ententes sont conclues pour tous les service critiques.
• Les plans de continuité des activités sont testés et des exercices de préparation sont menés de façon à assurer une intervention et un rétablissement efficients et efficaces.