Gouvernement du Canada Livre blanc : Souveraineté des données et nuage public

Sécurité des données

Lorsque les données sont transférées dans le nuage, la sécurité devient une responsabilité partagée avec les FSIN. Les FSIN sont responsables de la sécurité du nuage, et les ministères du GC sont responsables de la sécurité à destination, en provenance et dans le nuage. Une simple analogie serait un immeuble loué. Les propriétaires ou les gérants d’immeubles sont responsables de la sécurité de l’immeuble et des aires communes, mais les locataires sont responsables des mesures de sécurité dans les unités qu’ils louent. Ce modèle modifié de la portée du contrôle et de la responsabilité partagée suscite souvent des craintes que la position de sécurité d’une organisation soit dégradée.

Résidence des données

En général, les FSIN sont des fournisseurs à grande échelle, ce qui signifie que leurs services sont déployés partout au monde, outrepassant les actifs de la TI du GC. Bien que les FSIN aient la capacité de déplacer les données d’un consommateur n’importe où dans le monde, le consommateur peut isoler ses données dans une région géographique donnée. Il s’agit d’une caractéristique importante pour les consommateurs, car elle leur permet de protéger leurs données en vertu des lois et des politiques d’un territoire donné. Le déplacement des données du GC à l’extérieur des frontières géographiques du Canada peut avoir une incidence sur sa capacité d’accéder aux données et aux services, qui sont essentiels à la poursuite des activités du GC.

Souveraineté des données

Peu importe l’emplacement géographique des ressources d’informatique en nuage, les données hébergées dans le nuage peuvent être assujetties aux lois d’autres pays. Comme il a déjà été mentionné, les FSIN sont des fournisseurs à grande échelle, affichant un déploiement mondial. Par conséquent, un FSIN qui mène des activités à l’étranger pourrait être tenu de respecter un mandat, une ordonnance d’un tribunal ou une demande d’assignation d’un organisme d’application de la loi étranger qui cherche à obtenir des données du GC. Cela signifie que le Canada, lorsqu’il stocke des données dans le nuage, ne peut pas assurer la pleine souveraineté de ses données. Le manque de pleine souveraineté des données risque de nuire au GC et à ses tierces parties. Les données sensibles du GC pourraient être assujetties à des lois étrangères et divulguées à un autre gouvernement. En vertu de certaines lois étrangères, les données du GC pourraient être divulguées sans préavis au GC.

Sécurité des données

Comme il a déjà été mentionné, étant donné la responsabilité partagée en matière de sécurité dans le nuage et la couverture à grande échelle des FSIN, le GC doit utiliser différents processus, lorsqu’il utilise le nuage, afin de répondre aux exigences des politiques en matière de gestion des risques pour la sécurité. Les FSIN ne s’évaluent pas en fonction des lignes directrices du GC comme les ITSG-33^{Voir la note en bas de page 4}, mais ils ont obtenu les certifications reconnues à l’échelle internationale comme ISO 27001. Le GC a publié le Profil de contrôle de sécurité pour les services de la TI du GC fondés sur l’informatique en nuage qui renvoie à ITSG-33 par les certifications communes dans l’industrie de l’informatique en nuage. Le GC a aussi publié l’Orientation sur l’utilisation sécurisée des services commerciaux d’informatique en nuage : Avis de mise en œuvre de la Politique sur la sécurité (AMOPS) pour aider les ministères et les organismes à comprendre les exigences actuelles de la politique sur la sécurité du SCT dans le contexte de l’informatique en nuage. L’AMOPS met en lumière les mesures suivantes :

• principales mesures de sécurité nécessaires pour protéger l’information et les actifs du GC dans un environnement de l’informatique en nuage;
• mesures de contrôle de la sécurité qui relèvent du FSIN et du ministère.

Résidence des données

Le GC a publié l’Orientation relative à la résidence des données électroniques (AMPTI), qui établit les exigences canadiennes en matière de résidence des données classées dans les catégories Protégé B, Protégé C ou Classifiées. Ces exigences sont intégrées dans les récentes mises à jour de la Politique sur la gestion de la technologie de l’information du Conseil du Trésor (section 6.2.7). Cependant, le fait de limiter la résidence des données au Canada entraîne deux nouveaux risques :

1. Limiter la disponibilité des solutions sur le marché. Au moment de la rédaction du présent document, au moins cinq des plus grands FSIN avaient la capacité d’isoler les données au Canada.
2. Créer un obstacle au commerce. Les considérations commerciales et le risque juridique connexe font l’objet de conseils juridiques formulés par le ministère de la Justice Canada dans le contexte des récentes mises à jour apportées à la Politique sur la gestion de la technologie de l’information. Lorsqu’il s’agit d’obtenir des services d’informatique en nuage, les ministères voudront peut-être examiner ces conseils.

Souveraineté des données

En autant qu’un FSIN menant ses activités au Canada soit assujetti aux lois d’un pays étranger, le Canada n’aura pas la pleine souveraineté sur ses données, car il y a toujours le risque qu’un autre pays accède aux données stockées dans le nuage. La question de la souveraineté des données est complexe, et elle évolue continuellement au fur et à mesure que les lois étrangères sont mises à l’essai dans les tribunaux étrangers.

Limiter les catégories de données stockées dans le nuage

Suivant l’exemple d’autres pays, le Canada limitera les catégories de données qui peuvent être stockées dans le nuage. Jusqu’à ce jour, les principaux FSIN ont affirmé leur capacité de répondre aux exigences du GC en matière de stockage et de traitement des données classées Protégé B. Cette affirmation sera mise à l’épreuve par le GC au fur et à mesure qu’il obtiendra des services d’informatique en nuage pour les scénarios utilisant des données classées Protégé B. Pour cette raison, le GC a déclaré que seulement les données classées jusqu’à Protégé B peuvent être déployées dans un nuage public.

Chiffrement des données

Lorsque l’on utilise des services d’informatique en nuage, le chiffrement peut offrir un degré élevé de séparation afin de protéger les renseignements personnels et d’autres renseignements de nature délicate. Les données chiffrées au moyen d'un algorithme cryptographique rigide sont protégées contre toute personne qui n’a pas la clé de déchiffrement. Le GC exigera que :

• toutes les données protégées en transit et non utilisées qui sont hébergées dans le nuage soient chiffrées de manière appropriée;
• le GC conserve le contrôle exclusif des clés de chiffrement.

Il convient de mentionner que si les données chiffrées doivent être traitées dans le nuage au moyen d’une application, elles devront être déchiffrées au préalable. Par conséquent, une photo non chiffrée des données sensibles serait stockée temporairement dans le nuage avant d’être écrasée. Le GC continuera d’examiner les techniques disponibles afin d’atténuer ce risque et d’empêcher la divulgation de données à des personnes non autorisées. Parmi les techniques d’atténuation possibles, on compte l’anonymisation des données et l’isolement du matériel.

Clauses contractuelles types pour le nuage

Les autorités contractantes doivent veiller à ce que tous les contrats conclus avec un FSIN comprennent des clauses qui l’obligent de divulguer tous les incidents d’accès non autorisé aux données, y compris ceux qui sont permis en vertu d’une ordonnance du tribunal, le cas échéant, et à moins que la loi l’interdise au FSIN. Dans certains cas, comme celui d’une ordonnance de la Cour de surveillance du renseignement étranger des États-Unis (FISC), une telle divulgation est interdite en vertu de la loi américaine. Le GC peut demander aux FSIN de lui fournir leurs procédures pour gérer le conflit entre leurs obligations contractuelles et les lois applicables.

Vieillissement de l’infrastructure de la TI

Vieillissante et essentielle à la mission du GC, l’infrastructure de la TI risque de tomber en panne et doit être renouvelée. La transformation de l’infrastructure de la TI se fait plus lentement que prévu, en partie en raison de la complexité et des défis de la consolidation des centres de données, des réseaux et des systèmes de courriel de 43 ministères. Comme il est indiqué dans l’Examen de l’harmonisation des ressources de Services partagés Canada, l’informatique en nuage présente une importante occasion de relever ces défis et de réaliser des économies. Un facteur clé de l’adoption de l’informatique en nuage est la nécessité d’éliminer graduellement la fonction de gestion des actifs vieillissants et d’accroître l’utilisation des services d’informatique en nuage offerts sur le marché, optimisant les ressources.

Lacunes en matière de pratiques de base concernant la cybersécurité

Le nombre croissant d’incidents de sécurité a démontré l’inégalité de la sécurité des systèmes informatiques du GC. Les leçons retenues ont mis en évidence les défis liés à la capacité du GC de repérer rapidement les actifs et d’appliquer en temps opportun des mesures correctives au regard des vulnérabilités connues, de sorte que le GC est exposé à des cybermenaces. Le passage à l’informatique en nuage offre au GC la possibilité de :

• déployer rapidement un environnement virtuel sécurisé;
• adapter son approche au regard de la gestion des actifs et aborder les questions de sécurité dès le départ.

Les FSIN disposent d’un budget important pour entretenir, corriger et sécuriser leur infrastructure d’informatique en nuage. Cela signifie que les FSIN peuvent :

• atténuer de nombreux risques communs que rencontrent les organisations gouvernementales;
• offrir une sécurité globale beaucoup plus solide.

En outre, les FSIN de premier rang soumettent leurs services et leurs procédures à de nombreux audits menés par des tierces parties, et ils se conforment à de nombreuses normes de certification de la sécurité reconnues à l’échelle internationale comme ISO 27001 afin de fournir des garanties à leurs clients.

Disponibilité de solutions hors-nuage

De plus en plus dans le secteur industriel, on offre seulement des solutions d’informatique en nuage public ou on concentre ses efforts sur les services d’informatique en nuage. L’expression « né dans le nuage » signifie qu’une solution particulière a été conçue pour résider dans un nuage public à l’échelle nationale et qu’il n’existe aucun autre logiciel équivalent. Si l’on exclut les solutions d’informatique en nuage de la TI du GC, on limite le nombre de solutions disponibles.

Plans du GC visant une transformation numérique

La demande en compétences et en capacités de la TI du GC dépasse l’offre disponible. Le GC entend suivre la tendance mondiale visant à améliorer les services numériques pour les citoyens, ce qui est tout à fait possible au moyen des services d’informatique en nuage. De nombreux gouvernements ont mis en œuvre des politiques « d’informatique en nuage d’abord », y compris les autres pays du Groupe des cinq, les États-Unis, le Royaume-Uni, l’Australie et la Nouvelle-Zélande. Le Canada est le seul pays du Groupe des cinq à ne pas avoir de politique d’informatique en nuage d’abord. Le manquement à intégrer le nuage au paysage numérique du GC aura une incidence sur sa capacité de réaliser en temps opportun la vision numérique pour le GC.

Élaborer des lignes directrices sur le chiffrement des données pour le nuage

Dans le présent document, on explique comment le GC assurera le contrôle des clés de chiffrement des données hébergées dans un environnement en nuage afin d’atténuer les préoccupations d’accès non autorisé (hiver 2017-2018).

Établir des clauses contractuelles types pour le nuage

Ces clauses obligeront le FSIN à divulguer au GC tout accès non autorisé aux données (y compris celles qui ont été obtenues en vertu d’une ordonnance du tribunal), à moins que le FSIN ne soit interdit par la loi de le faire (exercice financier 2018-2019).

Lancement de l’approvisionnement en informatique en nuage protégé

SPC et SPAC seront en mesure d’utiliser l’Orientation relative à la résidence des données électroniques, l’Orientation sur l’utilisation sécurisée des services commerciaux d’informatique en nuage : Avis de mise en œuvre de la Politique sur la sécurité (AMOPS) et le Profil de contrôle de sécurité pour les services de la TI du GC fondés sur l’informatique en nuage pour lancer l’approvisionnement en informatique en nuage protégé en 2018.

Les ministères et organismes utiliseront également l’Orientation sur l’utilisation sécurisée des services commerciaux d’informatique en nuage : Avis de mise en œuvre de la Politique sur la sécurité (AMOPS) pour sécuriser les services qu’ils déploient dans le nuage.