Mission hybride horizontale de la sécurité des technologies de l’information (TI) - Partie 2 : audit interne ciblé des auto-évaluations effectuées par les petits ministères sur la sécurité des TI

Contexte – Mission hybride horizontale de la sécurité des TI

En 2019, le Bureau du contrôleur général (BCG) a lancé une mission hybride horizontale de la sécurité des TI, qui comprend un ensemble d’activités d’assurance et de consultation^{Voir la note en bas de page 1}, afin d’aborder les divers risques liés à la sécurité des TI relevés au sein du gouvernement du Canada (GC). La mission était constituée des parties indiquées ci-dessous.

À propos de l’auto-évaluation – Partie 2

Pour la deuxième partie de cette mission, le BCG a élaboré un outil d’auto-évaluation^{Voir la note en bas de page 4} afin d’aider les petits ministères à jauger leurs progrès dans la mise en œuvre des principaux contrôles de sécurité des TI et de déterminer les domaines où des améliorations pourraient être apportées. Les domaines évalués sont les suivants :

• la gouvernance de la sécurité des TI;
• les 10 meilleures mesures de sécurité du Centre de la sécurité des télécommunications (CST)^{Voir la note en bas de page 5};
• la formation et sensibilisation en matière de sécurité des TI;
• la gestion des incidents.

Parmi les 47 petits ministères^{Voir la note en bas de page 6}, 36 ont été sélectionnés par le BCG pour remplir l’outil d’auto-évaluation de la sécurité des TI. Le BCG a compilé les résultats.

À l’automne 2019, le BCG a présenté aux petits ministères participants un rapport individuel personnalisé qui résume les résultats de leur auto-évaluation ministérielle, notamment une analyse comparative avec leur groupe de pairs^{Voir la note en bas de page 7} et les tendances observées dans tous les petits ministères. En plus de permettre l’échange de bonnes pratiques entre les petits ministères, l’objectif de ces rapports était :

• d’aider à sensibiliser tous les petits ministères participants à l’état de leurs principaux contrôles de sécurité des TI;
• de fournir aux petits ministères des renseignements sur les domaines qu’ils devraient envisager d’améliorer en priorité.

L’annexe D présente un résumé des résultats observés dans l’ensemble de la communauté des petits ministères qui ont participé à l’exercice d’auto-évaluation.

Remarque : même si les grands ministères étaient exclus de cet exercice, l’outil d’auto-évaluation leur a été remis à titre d’information et aux fins d’utilisation interne s’ils le jugent nécessaire, à leur discrétion.

Objectif du présent rapport

Le présent rapport contient les principaux points à retenir, les recommandations et les conseils généraux découlant de la section de l’audit interne de la partie 2 de la mission hybride horizontale de la sécurité des TI.

Il s’adresse principalement aux petits ministères sélectionnés aux fins d’inclusion dans l’audit.

Les petits ministères qui n’ont pas été inclus dans cet audit sont invités à :

• évaluer l’applicabilité des sections relatives aux recommandations et aux conseils généraux contenus dans le présent rapport en tenant compte de leur contexte respectif;
• élaborer leur propre plan d’action de la direction et à en assurer le suivi interne, s’il y a lieu.

Objectifs de l’audit

1. Vérifier l’exactitude des résultats de l’auto-évaluation de la sécurité des TI pour un échantillon de petits ministères axé sur les risques.
2. Fournir un aperçu des obstacles potentiels à l’échelle du gouvernement et des causes profondes possibles en ce qui a trait aux constatations relatives aux principaux domaines de la sécurité des TI.

Portée

Une approche axée sur les risques (voir l’annexe E) a été utilisée pour sélectionner les trois petits ministères suivants aux fins d’inclusion dans l’audit interne :

• [Caviardé]
• [Caviardé]
• [Caviardé]

Compte tenu de la petite taille de l’échantillon, les résultats de l’audit ne donnent qu’une indication limitée de la fiabilité globale des auto-évaluations réalisées par les 36 petits ministères participants. Les résultats de l’audit ne peuvent donc pas être utilisés pour extrapoler sur la fiabilité de l’ensemble de la population des résultats d’auto-évaluation fournis par les 36 petits ministères participants.

Afin d’approfondir les connaissances sur les obstacles potentiels à l’échelle du gouvernement et les causes profondes liées aux constatations de l’audit, les trois petits ministères suivants ont également été consultés dans le cadre de l’audit interne (voir l’annexe E pour en savoir plus) :

• [Caviardé]
• [Caviardé]
• [Caviardé]

L’audit a porté sur les pratiques en vigueur au 31 mai 2020.

Exclusion

L’audit n’incluait pas la vérification de l’efficacité des contrôles de sécurité des TI.

Approche

L’approche adoptée pour l’audit consistait à évaluer la documentation fournie par chacun des trois petits ministères participants à l’appui des cotes qu’ils ont obtenues à l’auto-évaluation. Des entrevues de suivi ont également eu lieu avec des représentants de la haute direction de chaque ministère qui ont des responsabilités clés en matière de sécurité des TI.

Les critères de l’audit comprenaient les 20 énoncés de l’outil d’auto-évaluation et les échelles de cotation prédéfinies correspondantes. Chaque cote faisait référence à un niveau de maturité, et des attributs spécifiques ont été établis pour chaque niveau (voir l’annexe B pour les énoncés de l’outil d’auto‑évaluation et les échelles de cotation, dont les attributs du niveau de maturité).

Les niveaux de maturité sont présentés dans le tableau 1.

Un point d’interrogation « ? » a été attribué si un ministère n’était pas au courant ou n’était pas certain de son niveau de maturité pour toute question évaluée (ce qui était considéré comme un manque de connaissance de la situation). En outre, il convient de noter que le point d’interrogation a été compté comme zéro dans le calcul de la maturité moyenne présenté à la figure 1.

Pourquoi est-ce important?

Le gouvernement fédéral est chargé de protéger une grande quantité de renseignements personnels et d’information sensible lorsqu’il fournit des programmes et des services aux Canadiens, et, pour ce faire, il compte beaucoup sur les TI. Les auteurs de menaces sont connus pour profiter de l’interconnexion des technologies en utilisant les systèmes compromis comme plateformes pour attaquer d’autres secteurs du réseau et causer des dommages considérables. Il est donc important que tous les ministères, y compris les petits ministères, soient au courant de leurs contrôles de sécurité des TI et qu’ils les gèrent de façon stratégique.

Cet audit n’avait pas pour but d’établir des niveaux de maturité cibles pour les petits ministères, puisque les contrôles de sécurité des TI doivent être adaptés en fonction du contexte de risque du ministère. L’audit devait plutôt servir à :

• compléter les auto-évaluations en aidant à mieux faire connaître l’état des principaux contrôles de sécurité des TI au sein des petits ministères participants;
• formuler des recommandations précises sur les domaines que les petits ministères participants devraient envisager d’améliorer en priorité.

Malgré la petite taille de l’échantillon pour cet audit, les écarts observés entre les résultats des auto‑évaluations et les résultats de l’audit sont un facteur important à prendre en considération par tous les petits ministères participants (ou tout autre ministère utilisant l’outil d’auto-évaluation du BCG) pour interpréter les résultats de leur auto-évaluation. Par exemple, les écarts observés dans le cadre de l’audit peuvent aider à fournir une indication des domaines pour lesquels le risque de surestimation importante des niveaux de maturité par la direction est plus probable.

Constatation

Les petits ministères ont surestimé les niveaux de maturité de leurs contrôles de sécurité des TI à divers degrés.

Principaux points à retenir

• Les ministères audités ont surestimé le niveau de maturité de leurs contrôles de sécurité des TI à divers degrés dans la grande majorité des cas (voir la figure 1).
• Dans l’ensemble, les cotes moyennes d’auto-évaluation des trois ministères audités ont été évaluées à un niveau de maturité plus élevé, allant principalement de cotes moyennes supérieures à élevées. En revanche, les cotes moyennes d’audit étaient nettement inférieures, se situant dans la partie inférieure de l’échelle de maturité (voir la figure 1).
• Pour les ministères audités, les écarts observés entre les cotes d’auto-évaluation et les cotes d’audit étaient les plus importants dans les 10 meilleures mesures de sécurité du CST et la gestion des incidents.

Constatations pour tous les domaines évalués

La figure 1 illustre les cotes moyennes d’auto-évaluation et les cotes moyennes d’audit dans chacun des domaines évalués pour tous les ministères audités. Elle comprend également les cotes moyennes d’auto-évaluation de tous les ministères participants. Les niveaux de maturité sont définis dans le tableau B2 de l’annexe B. Une analyse plus poussée a également permis de constater ce qui suit :

• 27 % des cotes attribuées à l’auto-évaluation étaient supérieures aux cotes attribuées dans le cadre de l’audit d’au moins deux niveaux de maturité;
• 37 % des cotes attribuées à l’auto-évaluation étaient supérieures aux cotes attribuées dans le cadre de l’audit d’un niveau de maturité;
• 35 % des cotes attribuées dans le cadre de l’audit correspondaient aux cotes attribuées à l’auto‑évaluation.

Figure 1 - Version textuelle

Énoncés évalués dans l’outil d’auto-évaluation du BCG^{Voir la note b du tableau 1}

ÉnoncéVoir la note a du tableau 1	Cotes de l’auto-évaluation des 3 PMVoir la note c du tableau 1	Cotes de l’audit du BCGVoir la note d du tableau 1	Cotes de l’auto-évaluation des 35 PMVoir la note e du tableau 1
Remarque Notes du tableau 1 Note 1 du tableau f1 Il convient de noter que les résultats correspondant aux points d’interrogation (« ? ») pour les niveaux de maturité (considérés comme un manque de connaissance de la situation) ont été comptés comme zéro dans le calcul des moyennes des niveaux de maturité aux fins de cette figure. Retour à la référence de la note a du tableau f1 Note 2 du tableau f1 Un aperçu des domaines visés par l’outil d’auto-évaluation et des niveaux de maturité se trouve à l’annexe B. Retour à la référence de la note b du tableau f1 Note 3 du tableau f1 Cette ligne représente les cotes moyennes obtenues par les trois ministères audités dans leur auto-évaluation. Retour à la référence de la note c du tableau f1 Note 4 du tableau f1 Cette ligne représente les cotes moyennes des ministères audités obtenus par le BCG dans le cadre de son audit. Retour à la référence de la note d du tableau f1 Note 5 du tableau f1 Cette ligne représente les cotes moyennes de 35 petits ministères au lieu des 36 petits ministères qui ont effectué l’auto-évaluation. Les résultats d’un ministère n’ont pas été pris en compte pour des raisons de sécurité. Retour à la référence de la note e du tableau f1
1.1	2.3	1.3	2.1
1.2	2.3	2.0	2.1
1.3	2.3	1.7	2.1
1.4	1.7	1.3	1.7
1.5	2.0	0.7	1.4
1.6	1.3	0.7	1.7
1.7	2.7	0.7	2.2
1.8	2.3	0.3	1.8
2.1	2.0	1.0	1.9
2.2	2.3	1.0	2.1
2.3	2.7	2.0	2.2
2.4	2.0	2.0	1.6
2.5	1.7	0.7	1.4
3.1	2.0	1.3	1.9
3.2	2.0	1.3	2.0
3.3	1.7	1.3	1.5
3.4	1.7	0.7	1.7
3.5	2.0	1.3	1.6
3.6	2.3	0.3	1.5
3.7	2.0	0.3	1.1

Domaines présentant les écarts les plus importants entre les cotes attribuées à l’auto-évaluation et celles attribuées dans le cadre de l’audit

Pour les trois ministères audités, les deux principaux domaines présentant les écarts les plus importants entre les cotes attribuées par les petits ministères à l’auto-évaluation et les cotes attribuées par le BCG dans le cadre de l’audit (voir la figure 1) sont principalement liés aux contrôles relatifs aux 10 meilleures mesures de sécurité du CST et à la gestion des incidents. Des détails à propos de ces domaines sont fournis ci-dessous.

Causes profondes possibles

Les causes profondes possibles énumérées ci-dessous ont été définies en tenant compte des consultations auprès de trois autres petits ministères^{Voir la note en bas de page 14} des entrevues de suivi, d’un examen des documents justificatifs fournis par les ministères audités^{Voir la note en bas de page 15} et du jugement professionnel de l’équipe d’audit du BCG. Ces causes profondes possibles ne sont pas nécessairement considérées comme des énoncés de fait, mais plutôt comme des facteurs qui pourraient aider à expliquer les écarts observés.

Conclusion

Dans l’ensemble, l’audit a permis de constater que les trois petits ministères audités ont surestimé, à des degrés divers, le niveau de maturité de leurs contrôles de sécurité des TI. Voici les domaines qui ont présenté les plus grands écarts entre les cotes indiquées dans l’auto-évaluation et celles de l’audit :

• les 10 meilleures mesures de sécurité du CST, [Caviardé];
• la gestion des incidents, dont la documentation sur les leçons retenues et la mise à jour des plans d’intervention en cas d’incident lorsque cela s’avère nécessaire ou à la suite d’un incident.

Il y a un risque que d’autres petits ministères qui ont aussi effectué la même auto-évaluation, mais qui n’ont pas été compris dans le présent audit, puissent observer des tendances de surestimation semblables au sein de leur propre ministère. Ces surestimations pourraient s’expliquer par une multitude de facteurs, y compris, mais sans s’y limiter, les suivants :

• se fier sur des hypothèses non vérifiées concernant l’étendue des contrôles pris en charge par les tiers fournisseurs de services (ce qui entraîne un manque de connaissance de la situation);
• l’absence de formation;
• ne pas avoir accès en temps opportun à l’expertise technique en matière de sécurité des TI pour évaluer avec précision l’état des contrôles techniques en place;
• l’absence de mécanismes de gouvernance efficaces pour s’assurer que les administrateurs généraux sont informés avec exactitude de l’état des contrôles de sécurité des TI de leur organisation.

Recommandations

1. [Caviardé] devraient s’assurer de mettre en place un processus documenté pour examiner et mettre à jour régulièrement (au besoin et dans la mesure du possible) les ententes de services qu’ils ont conclus avec des tiers fournisseurs de services de TI. Pendant ces examens et mises à jour réguliers, ils devraient s’assurer, s’il y a lieu et dans la mesure du possible, de tenir compte des éléments suivants :
   1. les services et (ou) contrôles de sécurité des TI (y compris ceux qui sont exclus) pris en charge par les tiers fournisseurs de services sont indiqués en détail dans les ententes;
   2. les rôles et les responsabilités sont présentés en détail dans les ententes;
   3. les normes de service et les exigences en matière de rapport attendues des fournisseurs de services tiers sont indiquées en détail dans les ententes;
   4. les risques de sécurité et les profils de contrôle ministériels sont réévalués, et, s’il y a lieu, tout changement nécessaire est apporté aux ententes;
   5. les dernières versions des ententes en place avec les tiers fournisseurs de services de TI sont communiquées à tous les intervenants ministériels concernés qui ont des responsabilités en matière de sécurité des TI.
2. Afin de faciliter davantage une évaluation cohérente et précise du niveau de maturité de la sécurité des TI, tous les ministères visés par cet audit devraient s’assurer de mettre en place des cadres officiels de surveillance et de production de rapports normalisés et d’informer régulièrement les cadres supérieurs désignés ministériels (y compris les administrateurs généraux) des résultats de ces activités de surveillance et de l’état de toute mesure corrective jugée appropriée, selon la tolérance au risque du ministère. Il s’agit de les informer à tout le moins de la mise en œuvre des 10 meilleures mesures de sécurité du CST^{Voir la note en bas de page 16}, dans la mesure jugée appropriée en fonction de la tolérance au risque du ministère et des ressources disponibles.
   
   De plus, les responsabilités relatives à l’exécution des activités de surveillance et de production de rapports devraient, dans la mesure du possible, être assumées par des personnes autres que celles responsables de la mise en œuvre des contrôles de sécurité des TI évalués.

Conseils généraux à l’intention de tous les petits ministères

Cette section fournit des conseils généraux à l’intention de tous les petits ministères en fonction de l’analyse des résultats des auto-évaluations reçus (de la part des 36 petits ministères) et du travail subséquent accompli dans le cadre de l’audit de suivi effectué par le BCG au moyen d’un échantillon ciblé de ces ministères.

1. Lorsqu’il faut s’en remettre aux auto-évaluations, tenir compte du risque de surestimation des niveaux de maturité :
   • tenir compte du fait que, selon le travail accompli dans le cadre de l’audit de suivi ciblé du BCG :
     • la plupart des ministères audités ont surestimé leurs résultats d’auto-évaluation par au moins un niveau de maturité,
     • les résultats ont été considérablement surestimés dans les domaines des 10 meilleures mesures de sécurité du CST et de la gestion des incidents;
   • s’assurer de tirer parti de la formation offerte par les principaux organismes responsables de la sécurité pour aider à atténuer le risque de surestimation, par exemple la formation du Centre d’apprentissage du Centre canadien pour la cybersécurité et celle de l’École de la fonction publique du Canada (consulter l’annexe F pour obtenir d’autres ressources).
2. Évaluer l’applicabilité des recommandations de l’audit :
• tous les petits ministères qui n’étaient pas visés par le présent audit ciblé sont fortement encouragés à évaluer l’applicabilité des recommandations formulées dans le présent rapport dans leur contexte respectif ainsi qu’à élaborer des plans d’action de la direction et à en faire le suivi en interne, s’il y a lieu.
3. Tirer parti des outils préétablis pour faciliter davantage une surveillance régulière et structurée des contrôles de sécurité des TI :
   • tous les ministères devraient envisager de mettre régulièrement à profit les outils existants à cette fin. Voici des exemples d’outils existants pertinents :
     • l’outil d’auto-évaluation du BCG,
     • les profils normalisés de contrôle de sécurité du CST ou d’autres outils publiés par les principaux organismes responsables de la sécurité (Secrétariat du Conseil du Trésor du Canada, CST et Services partagés Canada).
     D’autres exemples sont fournis à l’annexe G.
   • Au besoin et dans la mesure du possible, les ministères devraient élaborer et (ou) utiliser des outils personnalisés adaptés précisément à leur contexte de risque afin d’évaluer de façon uniforme l’état des contrôles de sécurité des TI dans les domaines jugés importants et conformément aux exigences des politiques.

Réponse de la direction

Les constatations et les recommandations de l’audit ont été présentées aux trois petits ministères audités ainsi qu’aux trois petits ministères consultés qui ont participé à l’audit.

La direction a accepté les constatations incluses dans le présent rapport et prendra des mesures pour donner suite à toutes les recommandations applicables.

Déclaration de conformité

L’audit interne a été effectué conformément aux Normes internationales pour la pratique professionnelle de l’audit interne.

Mike Milito, MBA, CIA, CRMA
Contrôleur général adjoint et dirigeant principal de l’audit

Secteur de l’audit interne, Bureau du contrôleur général

Description des niveaux de maturité de la sécurité des TI

Le niveau de maturité précise les étapes d’un processus pour passer d’un stade précoce et ponctuel à un stade de maturité avancé. Chaque niveau de maturité fournit un ensemble d’objectifs qui, lorsqu’ils sont atteints, font passer une organisation au niveau de maturité suivant. Chaque niveau de maturité prévoit également certaines caractéristiques nécessaires en ce qui a trait aux processus, procédures ou activités. Par conséquent, des niveaux de maturité plus élevés présenteront des caractéristiques plus avancées et peuvent être considérés comme une étape vers l’atteinte d’un processus arrivé à maturité.

Le tableau B2 présente des exemples de ce qui s’impose dans chaque niveau de maturité.

Gouvernance de la sécurité des TI

• Une grande partie des petits ministères ont indiqué qu’ils disposent :
  • d’organes de surveillance ministériels;
  • d’un plan portant sur la sécurité des TI;
  • de responsabilités officiellement définies et comprises en matière de sécurité des TI;
  • de rôles et de responsabilités clairement définis.

Les 10 meilleures mesures de sécurité du CST

• Seuls 14 % des ministères ont indiqué un niveau de maturité élevé pour avoir mis en œuvre les principaux éléments recommandés dans l’annexe 1 de l’ITSG-33 du CST, et 11 % ne sont pas au courant de ce qui a été mis en œuvre au sein de leur organisation.
• Des petits ministères, 75 % ont mentionné qu’ils surveillent une partie ou l’ensemble des 10 meilleures mesures de sécurité du CST et qu’ils communiquent tout écart à la haute direction.
• Des petits ministères, 53 % ont révélé un niveau de maturité élevé en ce qui a trait à la gestion [Caviardé].
• Concernant [Caviardé], 81 % des petits ministères ont signalé un niveau de maturité moyen à élevé. Cependant, seulement 12 % ont mentionné qu’ils utilisent une [Caviardé].

Figure D1 - Version textuelle

Mise en œuvre des 10 meilleures mesures de sécurité du CST par les petits ministères et niveau de maturité

• 14 % ont indiqué un niveau de maturité élevé
• 28 % ont indiqué un niveau de maturité moyen
• 47 % ont indiqué un faible niveau de maturité
• 11 % ont indiqué un niveau de maturité inconnu

Programme de formation et de sensibilisation en matière de sécurité des TI

• La majorité des petits ministères ont indiqué qu’ils disposent d’un programme ministériel de formation et de sensibilisation en matière de sécurité, et 85 % d’entre eux traitent de l’hameçonnage dans leur programme. Par contre, seulement une proportion de 42 % a mentionné mettre en œuvre un programme qui traite de l’ensemble des quatre domaines liés à la formation et à la sensibilisation en matière de sécurité. Seulement 14 % des ministères ont mentionné qu’ils disposent d’un programme de formation et de sensibilisation axé sur les rôles, examiné et mis à jour régulièrement.
• Près de la totalité des petits ministères ont indiqué qu’ils rappellent à leurs employés les responsabilités qui leur incombent en matière de sécurité des TI, et environ le tiers dispose d’un processus officiel approuvé et consigné.
• Aucun répondant n’a indiqué l’existence d’un processus approuvé et consigné pour mesurer l’efficacité du programme. Cet énoncé a donné lieu au niveau global de maturité le plus faible des auto-évaluations pour l’ensemble des énoncés dans ce domaine, et ce, dans tous les ministères.
• Seulement 56 % des petits ministères ont indiqué avoir un niveau de maturité moyen ou élevé pour la surveillance de la participation des employés à la formation en matière de sécurité des TI et l’achèvement de celle-ci.

Figure D2 - Version textuelle

Pourcentage de petits ministères disposant d’un programme de formation et de sensibilisation en matière de sécurité des TI qui traite des domaines clés suivants :

• Navigation Web sécurisée : 62 %
• Ingénierie sociale : 59 %
• Hameçonnage : 85 %.
• Choix et protection des mots de passe : 71 %

Gestion des incidents

• Une grande partie des petits ministères ont indiqué qu’ils ont défini et communiqué leurs rôles et leurs responsabilités dans le cadre de la détection des incidents et qu’ils disposent d’un processus pour cerner et évaluer les incidents liés à la sécurité des TI.
• Seulement 13 % des répondants ont indiqué un niveau de maturité élevé pour la gestion des incidents (le plus faible sur l’ensemble des quatre domaines visés par l’auto-évaluation).
• 56 % des petits ministères ont indiqué avoir un plan d’intervention en cas d’incident, mais seulement le [Caviardé]. Seulement deux petits ministères ont déclaré disposer d’un plan bien établi, régulièrement examiné et mis à jour.
• Seulement 6 % des petits ministères ont indiqué qu’ils disposent d’un plan pour se remettre rapidement des incidents en matière de sécurité des TI.
• Parmi les petits ministères, 61 % ont indiqué qu’ils consignent les leçons retenues.

Ministères sélectionnés pour la validation

À la lumière de l’analyse des auto-évaluations effectuées, le BCG a identifié les petits ministères qui ont indiqué le niveau de maturité relative le plus élevé en réponse aux 20 énoncés de l’auto-évaluation comme suit :

• le niveau de maturité général (c.-à-d. élevé en ce qui concerne le niveau de maturité moyen le plus élevé pour les 20 énoncés);
• les énoncés qui ont constamment donné lieu à des cotes plus basses pour la quasi-totalité des petits ministères (c.-à-d. quatre petits ministères ou moins ont indiqué un niveau de maturité de « 3 » pour cet énoncé en particulier).

À partir de ce sous-ensemble de ministères, le BCG a établi l’ordre de priorité de sa sélection en fonction du risque, de la vérifiabilité, de la valeur ajoutée et de la représentation. Voici les facteurs pris en considération afin de déterminer l’ordre de priorité :

• la représentation des groupes de pairs (petits, moyens, grands et agences de développement régional);
• la représentation du modèle de prestation de services (en interne, Services partagés Canada, tiers ou une combinaison de ceux-ci);
• la nature délicate des renseignements traités et la nature publique des applications ministérielles;
• la vérifiabilité en ce qui concerne la disponibilité de la documentation présentée à l’appui des auto-évaluations effectuées;
• l’existence de pratiques exemplaires possibles;
• si le petit ministère était visé par l’audit précédent de la sécurité des TI (les ministères qui ont déjà été visés par cet audit n’ont pas été priorisés).

Deux petits ministères ont été sélectionnés en fonction des priorités susmentionnées, et un autre petit ministère du groupe de petits ministères dont la cote d’auto-évaluation est supérieure à 1,5 en ce qui concerne le niveau de maturité moyen a été ajouté. Voici les trois ministères visés pour la validation des résultats de l’auto-évaluation :

• [Caviardé]
• [Caviardé]
• [Caviardé]

Ministères sélectionnés pour la consultation

L’échantillon pour la consultation a été sélectionné parmi les petits ministères qui ont indiqué dans leur auto-évaluation avoir un niveau de maturité faible dans un ou plusieurs domaines ou qui représentaient des « cas atypiques » en ce qui concerne leurs réponses aux énoncés dans des domaines précis. Les trois petits ministères retenus pour la consultation ont été sélectionnés après une analyse des auto‑évaluations effectuées, et chacun des ministères sélectionnés devait satisfaire à l'un des critères suivants :

• ministère affichant un niveau général de maturité faible dans les quatre domaines;
• ministère affichant un faible niveau de maturité dans un domaine, et un niveau de maturité moyen à élevé dans tous les autres;
• ministère ayant répondu « ? » à tous les énoncés dans un ou deux domaines.

Les trois petits ministères visés par les consultations étaient les suivants :

• [Caviardé]
• [Caviardé]
• [Caviardé]

Les consultations ont pris la forme d’entrevues structurées qui ont permis d’explorer les causes profondes et les autres difficultés rencontrées par les ministères qui ont indiqué dans leur auto-évaluation avoir un niveau de maturité très faible pour certains ou tous les domaines, selon les critères de sélection susmentionnés auxquels ils devaient répondre. La valeur ajoutée était le principal facteur dans la sélection de ces ministères aux fins de consultation.