Exigences relatives aux supports de stockage de données portatifs
Dans cette page
- 1. Définition
- 2. Sécurité matérielle
- 3. Chiffrement
- 4. Stockage
- 5. Effacement et élimination
- 6. Autres responsabilités des ministères et organismes
1. Définition
1.1 Les dispositifs qui sont portatifs et qui ont une capacité de stockage ou une mémoire où les utilisateurs peuvent sauvegarder des renseignements sont considérés comme des supports de stockage de données portatifs.
1.2 Voici des exemples de supports de stockage de données portatifs :
- 1.2.1 supports USB (p. ex., les clés USB, disques durs externes);
- 1.2.2 unités eSATA (External Serial Advanced Technology Attachment);
- 1.2.3 tablettes, ordinateurs portables, appareils intelligents, téléphones intelligents (p. ex., BlackBerry, Android, IOS, etc.) et caméras;
- 1.2.4 Supports portatifs – casettes, disques optiques (p. ex., CD et DVD).
2. Sécurité matérielle
2.1 Les principales mesures de protection de l’information sauvegardée sur des supports de stockage de données portatifs sont les mesures de sécurité matérielle.
2.2 Les supports de données portatifs doivent être correctement sécurisés à tout moment, en fonction du niveau de classification de sécurité le plus élevé des renseignements qui y sont sauvegardés. Pour les renseignements Protégé A et B, mettez le support sous clé ou si une évaluation de la menace et des risques le justifie, choisissez un coffre de sécurité approprié. Les renseignements Protégé C et classifiés doivent être sauvegardés dans un coffre de sécurité approprié.
2.3 Les supports de stockage de données portatifs doivent être étiquetés pour indiquer le plus haut niveau de classification des renseignements qui y ont été sauvegardés. Les ministères et les organismes devraient utiliser un système de codage indirect qui n’est pas immédiatement reconnaissable par le grand public. Les codes à barres, les codes de couleurs et les plans de numérotation sont des exemples de codage indirect suggéré.
2.4 Les orientations actuelles demeurent inchangées lorsqu’il s’agit de transporter un support de stockage de données portatif tel qu’un téléphone intelligent ou un ordinateur portable sur lequel sont sauvegardés des renseignements du gouvernement du Canada. La personne qui le transporte doit le garder en sa possession en tout temps et en assurer la surveillance.
2.5 D’autres mesures de sécurité matérielle telles que l’utilisation d’une mallette verrouillée ou d’une serviette approuvée pourraient être exigées si une évaluation de la menace et des risques le justifie.
2.6 Des exigences particulières concernant la sécurité matérielle et les coffres de sécurité peuvent être consultées dans les documents suivants :
- 2.6.1 Directive sur la gestion de la sécurité, annexe C – Procédures obligatoires relatives aux mesures de sécurité matérielle;
- 2.6.2 Guides de la Gendarmerie Royale du Canada (GRC) :
3. Chiffrement
3.1 Tous les supports de stockage de données portatifs doivent être contrôlés au moyen d’un mot de passe ou d’un identificateur biométrique, et l’information du GC qui y est sauvegardée doit être chiffrée.
3.2 Le contrôle des supports de stockage de données portatifs au moyen d’un mot de passe ou d’un identificateur biométrique et le chiffrement des renseignements du GC qui sont sauvegardés sur des supports de stockage de données portatifs complètent les procédures de sécurité physique sans toutefois les remplacer.
3.3 Rien qu’à titre exceptionnel, selon la tolérance au risque du ministère ou de l’organisme et moyennant que le ministère ou organisme ait donné son approbation officielle, les renseignements du GC non chiffrés peuvent être sauvegardés sur un support de stockage de données portatif ou un support de stockage de données portatif non contrôlé par un mot de passe ou un identificateur biométrique.
3.4 Tous les renseignements du GC sauvegardés sur des supports de stockage de données portatifs doivent être chiffrés au moyen d’un module de chiffrement certifié du Programme de validation des modules cryptographiques. Dans la mesure du possible, les ministères et organismes doivent utiliser des produits certifiés en vertu du Schéma canadien lié aux Critères communs.
3.5 Les méthodes de chiffrement qu’utilisent les ministères et les organismes doivent être configurées de manière à être conformes aux méthodes décrites dans la publication du Centre de la sécurité des télécommunications Canada (CSTC) Algorithmes cryptographiques pour l’information NON CLASSIFIÉ, PROTÉGÉ A et PROTÉGÉ B (ITSP.40.111). Il conviendrait aussi de tenir compte du Guide sur l’authentification des utilisateurs dans les systèmes de technologie de l’information (ITSP.30.031 v3) – Centre canadien pour la cybersécurité du Centre de la sécurité des télécommunications Canada.
4. Stockage
4.1 Les supports de stockage de données portatifs sont conçus uniquement pour la sauvegarde temporaire de l’information, et ils ne doivent pas être utilisés comme dépôts de documents permanents pour stocker les renseignements du GC. Rien qu’à titre exceptionnel seulement, et conformément au seuil de tolérance de l’organisation au risque, et avec l’approbation formelle du ministère ou de l’organisme, il convient de stocker les renseignements du GC sur des supports portatifs de façon permanente.
5. Effacement et élimination
5.1 L’effacement est le processus qui consiste à effacer l’information qui est sauvegardée sur des supports de stockage de données portatifs d’une manière permettant de la réutiliser dans un environnement de sécurité équivalent.
5.2 L’effacement doit pouvoir empêcher toute récupération des données à l’aide des outils habituellement disponibles dans un système d’information. La suppression ou l’effacement des données ou le formatage d’un disque n’efface pas de façon permanente les données, car des commandes comme « annulation de la suppression » ou « annulation du formatage » peuvent permettre la récupération des données.
5.3 De plus, l’effacement ne saurait être considéré comme un processus à l’épreuve des méthodes « pratiques » de récupération des données faisant appel à des utilitaires de la TI spécialisés ou à des techniques de laboratoire. Pour cette raison, les supports de stockage de données portatifs effacés doivent être conservés dans un environnement dont le niveau de sécurité correspond au niveau de sécurité le plus élevé de l’information qui y était sauvegardée, et ils ne doivent pas faire l’objet d’une déclassification.
5.4 L’élimination consiste à définir les méthodes convenables pour préparer les supports de stockage de données portatifs en vue d’une déclassification ou élimination.
5.5 Chaque utilisateur doit remettre les supports de stockage de données portatifs à son ministère ou organisme aux fins de l’élimination.
5.6 La GRC et le Centre de sécurité des télécommunications Canada ont approuvé des normes de base et diverses méthodes pour l’élimination de différents types de supports. Les méthodes sont recommandées selon les niveaux particuliers de sensibilité des données dans un éventail d’environnements opérationnels types du GC.
5.7 L’effacement et l’élimination doivent être effectués conformément aux dispositions énoncées dans la publication suivante du Centre de la sécurité des télécommunications Canada : Nettoyage et élimination d’appareils électroniques (ITSAP.40.006).
6. Autres responsabilités des ministères et organismes
6.1 Les ministères et organismes doivent tenir compte de ce qui suit dans le cadre de leur responsabilité minimale, en ce qui concerne l’utilisation sécuritaire des supports de stockage de données portatifs.
6.2 Seuls les supports de stockage de données portatifs fournis par les ministères et organismes peuvent être utilisés pour sauvegarder les renseignements du GC.
6.3 Tous les supports de stockage de données portatifs doivent être contrôlés au moyen d’un mot de passe ou d’un identificateur biométrique, et l’information du GC qui y est sauvegardée doit être chiffrée.
6.4 Tous les supports de stockage de données portatifs fournis par un ministère ou organisme pour y sauvegarder des renseignements du GC Protégé C ou classifiés doivent être recommandés par le Centre de sécurité des télécommunications Canada.
6.5 Les exceptions suivantes s’appliquent à l’utilisation d’appareils de stockage de données portatifs et sont permises selon le seuil de tolérance du ministère ou de l’organisme, et moyennant que le ministère ou organisme ait donné son approbation officielle :
- 6.5.1 connexion d’un support non autorisé aux réseaux de la TI du GC pour le transfert unidirectionnel des renseignements du support de stockage de données portatif aux réseaux de la TI du GC;
- 6.5.2 sauvegarde de données du GC sur un support non autorisé;
- 6.5.3 sauvegarde permanente de données du GC sur un média portatif;
- 6.5.4 sauvegarde de données non chiffrées du GC sur un support de stockage de données portatif non contrôlé par un mot de passe ou un identificateur biométrique.
6.6 Pour déceler tout logiciel malveillant, les ministères et organismes doivent effectuer le balayage des supports de stockage de données portatifs chaque fois qu’ils sont connectés à l’infrastructure de la TI du GC.
6.7 Les supports de stockage de données portatifs utilisés sur un réseau non classifié, « Protégé A » ou « Protégé B » ne doivent jamais être connectés à un réseau classifié (Secret). Les ministères et organismes peuvent demander au Centre de la sécurité des télécommunications Canada des précisions sur les solutions pour le transfert de données au moyen d’un support de stockage de données portatif d’un réseau à un autre ayant un niveau de sécurité différent.
6.8 Les ministères et organismes doivent mettre en œuvre un processus de sécurité administrative approprié tout au long du cycle de vie des supports de stockage de données portatifs. Ce processus doit comprendre, entre autres, le fait d’établir de bonnes pratiques de gestion des biens, ce qui comprend le contrôle des supports, la responsabilisation, l’autorisation, le stockage, le traitement, le transfert (prévention de la perte de données) et l’élimination de données.
6.9 Les ministères et organismes doivent tenir des registres des supports de stockage de données portatifs fournis au sein de leur organisation. À tout le moins, le registre indiquera l’identificateur unique (p. ex., un numéro de série) du support de stockage de données portatif, le nom du détenteur, la date d’attribution, le but et le plus haut niveau de classification de sécurité de l’information qu’il est permis de sauvegarder sur le support.
6.10 Les ministères et organismes doivent offrir un programme de formation des utilisateurs pour assurer l’utilisation appropriée des supports de stockage de données portatifs. Il faut donner la formation avant l’émission des supports de stockage de données portatifs, et chaque utilisateur doit signer une entente relative à l’utilisation du support de stockage de données portatif. Cette entente peut s’inscrire dans le cadre d’une entente globale sur l’utilisation acceptable des systèmes de la TI.
6.11 Les ministères et organismes sont responsables de l’établissement de processus et de procédures permettant aux utilisateurs de signaler la perte ou le vol d’un support de stockage de données portatif.
6.12 Les ministères et organismes doivent déclarer toute perte et tout vol réels ou présumés de supports de stockage de données portatifs aux entités suivantes :
- 6.12.1 Bureau du dirigeant principal de l’information (SCT);
- 6.12.2 responsables de la sécurité et de l’accès à l’information et de la protection des renseignements personnels au sein de leur ministère ou organisme;
- 6.12.3 Commissariat à la protection de la vie privée en conformité avec les Lignes directrices sur les atteintes à la vie privée du SCT.
6.13 Les ministères et organismes assujettis à la Loi sur la protection des renseignements personnels doivent tenir compte des exigences de cette loi et se renseigner sur les Lignes directrices sur les atteintes à la vie privée du SCT. La Loi décrit les responsabilités du GC au regard des renseignements personnels, et elle :
- 6.13.1 définit les causes des atteintes à la vie privée;
- 6.13.2 fournit des directives sur la façon de réagir face aux atteintes à la vie privée, de les restreindre et de les gérer;
- 6.13.3 décrit les rôles et les responsabilités;
- 6.13.4 comprend des liens permettant d’accéder à des documents d’appui pertinents.
6.14 Les ministères et organismes peuvent aussi consulter les Principales étapes à suivre par les organisations en cas d’atteintes à la vie privée du Commissariat à la protection de la vie privée.
Détails de la page
- Date de modification :