Sélection de la langue

Gouvernement du Canada / Government of Canada

Recherche

Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC)

Sur cette page

1. Introduction

Dans cette section

1.1 Contexte

Les événements de cybersécurité liés aux systèmes d’information du gouvernement du Canada (GC) peuvent avoir une incidence considérable sur la qualité des programmes et des services qui sont offerts aux Canadiens et aux Canadiennes et, par conséquent, sur la confiance qu’ils éprouvent à l’égard du gouvernement. La sécurité du gouvernement et la continuité des programmes et des services du GC dépendent de la capacité des ministères et des organismes, ainsi que de celle du gouvernement dans son ensemble, à gérer les événements de cybersécurité. Il est essentiel d’être en mesure d’intervenir rapidement et de manière cohérente et concertée en cas d’événement de cybersécurité à l’échelle du GC afin d’assurer la sécurité et la résilience lors de la prestation des programmes et des services gouvernementaux.

1.2 Objectif

Ce document fournit :

  • un cadre opérationnel pour la gestion des événements de cybersécurité (y compris les cybermenaces, les vulnérabilités et les incidents de sécurité) qui influent ou sont susceptibles d’influer sur la capacité du GC d’offrir des programmes et des services aux Canadiens et aux Canadiennes;
  • un contexte pour les plans et les procédures que les ministères et organismes ont mis en place pour gérer les événements de cybersécurité liés à leurs programmes et services, conformément à ce planNote en bas de page 1.

1.3 Portée

La portée du PGEC GC s’applique aux événements de cybersécurité touchant les systèmes d’information du gouvernement du CanadaNote en bas de page 2, quelle que soit leur classification, qui :

  • ont ou risquent d’avoir une incidence sur la prestation des programmes ou des services offerts aux Canadiens et aux Canadiennes ou encore sur le fonctionnement du gouvernement, la sécurité ou la confidentialité des renseignements ou la confiance à l’endroit du gouvernement;
  • nécessitent une solution intégrée à l’échelle du GC afin d’en réduire au minimum les effets et de permettre une atténuation rapide et le prompt rétablissement des programmes et des services.

De plus, des éléments du PGEC GC peuvent être mis à profit pour fournir une approche coordonnée à l’échelle du GC pour les événements qui peuvent survenir, notamment :

  • les événements de sécurité où des données ou des renseignements du GC hébergés sur des systèmes d’information autres que ceux du GC sont ou peuvent être touchés (du point de vue de la confidentialité, de l’intégrité ou de la disponibilité), comme une violation par un tiers;
  • les incidents de menace interne comportant un lien cybernétique;
  • les interruptions importantes des services de technologies de l’information (TI) touchant l’organisation du GC.

Le PGEC GC ne traite pas de la coordination de la réponse aux événements de cybersécurité pangouvernementaux (p. ex., avec les provinces et territoires, les municipalités, d’autres pays ou des organisations non gouvernementales, comme le secteur privé).

1.4 Harmonisation avec d’autres plans et protocoles

Le présent document vient compléter d’autres plans et protocoles du GC, dont ceux qui suivent.

1.5 Termes clés

Les définitions clés qui suivent appuient le présent plan.

Compromission : Une atteinte à la sécurité du gouvernement. Cela comprend notamment :

  • l’accès non autorisé à des renseignements ou des biens de nature délicate, ou la communication, la modification, l’utilisation, l’élimination ou la destruction non autorisée de tels renseignements ou biens, qui entraîne une perte de confidentialité, d’intégrité, de disponibilité ou de valeur;
  • les événements qui se traduisent par une perte d’intégrité ou de disponibilité des services ou des activités du gouvernement.

Cybercrime : Tout crime comportant un cyberélément (c’est-à-dire des technologies Web et des TI, comme un ordinateur, une tablette ou un téléphone intelligent) qui joue un rôle important dans la perpétration d’une infraction criminelleRéférence R5.

Cybersécurité : L’ensemble des technologies, des processus, des pratiques, des réponses et des mesures d’atténuation ayant été conçus pour protéger l’information électronique et l’infrastructure de l’information contre toute utilisation malveillante ou non autorisée ou toute interruption.

Figure 1-1. Types d’événements de cybersécurité
Figure 1-1: Types d’événements de cybersécurité, version textuelle ci-dessous :
Figure 1-1 - version textuelle

La figure 1-1 présente, à l’aide de quatre cercles, la différence entre les événements de cybersécurité, les incidents de cybersécurité, les vulnérabilités et les cybermenaces, tels qu’ils sont définis dans le PGEC. Le premier grand cercle représente les événements de cybersécurité, et les cercles beaucoup plus petits au sein du premier montrent que les incidents de cybersécurité, les cybermenaces et les vulnérabilités sont un sous-ensemble des événements de cybersécurité.

Événement de cybersécurité : Un événement, un acte, une omission ou une situation pouvant nuire à la sécurité du gouvernement, y compris les menaces, les vulnérabilités et les incidents (voir la figure 1-1).

Exemples d’événements de cybersécurité :

  • la divulgation d’une nouvelle vulnérabilité;
  • un renseignement laissant entendre qu’un auteur de menace planifie des activités cybernétiques malveillantes contre un système d’information du GC;
  • les tentatives de violation du périmètre réseau;
  • les courriels suspects ou ciblés contenant des liens ou des pièces jointes que les systèmes de contrôle en place n’ont pas détectés;
  • une activité du réseau suspecte ou non autorisée qui s’écarte de la norme.

Incident de cybersécurité : Un événement (ou une série d’événements), un acte, une omission ou une situation qui a entraîné une compromission. Exemples d’incidents de cybersécurité :

  • la violation de données ou la compromission ou corruption de renseignements;
  • des attaques par bourrage d’identifiants;
  • des tentatives d’hameçonnage;
  • l’introduction intentionnelle ou accidentelle d’un logiciel malveillant dans un réseau;
  • des attaques par déni de service;
  • la défiguration ou la compromission de pages Web ou d’une présence en ligne, y compris l’utilisation non autorisée de comptes de médias sociaux du GC;
  • les tentatives réussies de rançongiciel.

Tous les incidents de cybersécurité sont considérés comme des événements de cybersécurité, mais les événements de cybersécurité ne sont pas tous considérés comme des incidents de cybersécurité (voir la Figure 1-1).

Cybermenace : Une activité qui vise à compromettre la sécurité d’un système d’information en altérant la confidentialité, l’intégrité ou la disponibilité d’un système ou des renseignements qu’il contientRéférence R6.

Atteinte à la vie privée : L’accès, la création, la collecte, l’utilisation, la divulgation, la conservation ou la destruction inappropriée ou non autorisée de renseignements personnels.

Vulnérabilité : Une faiblesse dans un système d’information, des procédures de sécurité, des mesures de contrôle internes ou la mise en œuvre d’un système qui pourrait être exploitée ou déclenchée par une source de menaceRéférence R7 .

Exploit de jour zéro :Une attaque qui exploite une vulnérabilité de jour zéroRéférence R7.

Vulnérabilité de jour zéro : Une vulnérabilité logicielle dont l’existence n’est pas encore connue du fournisseur et qui n’est donc pas atténuéeRéférence R7.

1.6 Mise en application

Le PGEC GC est préparé dans le cadre des responsabilités conférées au SCT au titre de la Politique sur la sécurité du gouvernement (PSG)Référence R10 et s’adresse à tous les ministères et organismes assujettis à la PSG.

1.7 Date d’entrée en vigueur

Le PGEC GC entre en vigueur le 19 mai 2026. Il remplace la version datée du .

2. Concept des opérations

Dans cette section

La présente section du PGEC GC décrit le processus de gestion des événements de cybersécurité, détermine les intervenants concernés et définit les niveaux d’intervention en cas d’événement de cybersécurité et le recours aux niveaux supérieurs pour :

  • améliorer la connaissance de la situation entourant des cybermenaces et des vulnérabilités probables, ainsi que des incidents de cybersécurité confirmés, dans l’ensemble du GC;
  • atténuer les menaces et les vulnérabilités avant qu’une compromission ne puisse se produire;
  • réduire au minimum les incidences des cyberévénements sur la confidentialité, l’intégrité ou la disponibilité des programmes et services, des renseignements (y compris les renseignements personnels) et des opérations du gouvernement;
  • améliorer la coordination et la gestion des cyberévénements au sein du GC, y compris la mise en commun des connaissances et de l’expertise du GC;
  • appuyer les pratiques d’évaluation des risques cybernétiques à l’échelle du GC ainsi que l’établissement des priorités relativement aux mesures correctives;
  • éclairer la prise de décisions à tous les niveaux nécessaires;
  • renforcer la confiance du public dans la capacité du GC à gérer les cyberévénements de manière cohérente, coordonnée et opportune.

Le PGEC GC sera révisé et testé chaque année, et mis à jour si des modifications s’imposent, afin de garantir son efficacité.

2.1 Vue d’ensemble du processus

Le processus global de gestion des événements de cybersécurité comporte plusieurs phases, comme l’indique la Figure 2-1.

Figure 2-1. Processus de gestion des événements de cybersécurité
Figure 2-1 : Graphique représentant le PGEC, version textuelle ci-dessous :
Figure 2-1 - version textuelle

La figure 2-1 représente le processus global de gestion des événements de cybersécurité et ses multiples phases, comme défini dans le présent document. Les quatre phases (Préparation, Détection et évaluation, Atténuation et reprise, et Activité après l’événement) sont illustrées au milieu, avec une flèche pointant de la phase finale (Activité après l’événement) vers la première (Préparation) pour indiquer une boucle de rétroaction continue. Chaque phase clé est décrite brièvement. Les descriptions sont les suivantes :

  1. Préparation
    1. Établir les rôles et les responsabilités
    2. Documenter et tester les procédures
    3. Former le personnel
    4. Appliquer des mesures de protection
  2. Détection et évaluation
    1. Surveiller les sources d’information
    2. Détecter et reconnaître les événements de cybersécurité
    3. Trier et établir les priorités
  3. Atténuation et reprise
    1. Effectuer des analyses judiciaires
    2. Atténuation (par le confinement et l’éradication)
    3. Rétablir les activités normales
  4. Activité après l’événement
    1. Effectuer une analyse après l’événement
    2. Tirer des leçons
    3. Amélioration continue

Au-dessus des phases 2 à 4 se trouve une boîte qui contient les mots « Établissement de rapports et communication ». Cela indique que l’établissement de rapports est une activité continue tout au long de ces phases. Cette case comporte des flèches pointant vers une boîte qui contient les mots « Connaissance situationnelle dans l’ensemble du GC » pour représenter le concept central de la connaissance continue de la situation à l’échelle du GC à chaque point du cycle de vie de gestion des événements.

  • Préparation : La première phase se compose d’activités de préparation que les ministères et l’ensemble du GC devraient entreprendre pour veiller à ce qu’ils soient prêts à répondre à un large éventail d’événements de cybersécurité possibles, afin de minimiser l’incidence qui en résulte.
  • Détection et Évaluation : La deuxième phase consiste à détecter les événements de cybersécurité potentiels, y compris les menaces émergentes, les vulnérabilités ou les incidents de cybersécurité confirmés, et à procéder à une évaluation initiale des Niveaux d’intervention du GC appropriés.
  • Atténuation et reprise : La troisième phase se compose de toutes les interventions requises des divers intervenants pour réduire au minimum l’incidence et pour reprendre les activités normales.
  • Activités post-événement : La dernière phase joue un rôle crucial dans l’amélioration continue du processus global de gestion des événements de cybersécurité et, à ce titre, permet de tirer des leçons desquelles on tiendra compte dans le cadre de la prochaine phase de préparation, bouclant ainsi le cycle de gestion de l’événement.

Les sections qui suivent présentent les attentes des intervenants pour chaque phase du cycle de gestion des événements de cybersécurité du GC, et décrivent ce qui suit :

  • la façon dont le PGEC GC est mis en œuvre à l’appui des exigences fondamentales de la PSGRéférence R10 et de la fonction de gestion de la cybersécurité décrite dans la Politique sur les services et le numérique (PSN)Référence R11;
  • les principaux intrants et extrants de chaque phase. Veuillez prendre note qu’en pratique, les phases peuvent se chevaucher lorsque certaines activités d’une phase se poursuivent pendant que la phase suivante est lancée.

Tous les intervenants doivent élaborer leurs propres procédures normalisées d’exploitation ou leurs propres processus internes menant à l’obtention des extrants attendus.

2.2 Préparation

Figure 2-2. Phase de préparation
Figure 2-2 : Phase de préparation, version textuelle ci-dessous :
Figure 2-2 - version textuelle

Il s’agit d’une reproduction de la figure 2-1, avec une flèche en gris indiquant la phase de Préparation. La flèche de Préparation est surlignée en bleu et cette image est une représentation visuelle de la phase décrite pour le lecteur dans cette section.

La phase de préparation est une phase permanente au cours de laquelle les organisations du gouvernement exécutent une série de processus continus afin de se préparer à des événements précis ou inattendus. Cette phase comprend l’élaboration d’une compréhension organisationnelle pour gérer les risques liés à la cybersécurité pour les systèmes, les personnes, les ressources, les données et les capacités. Cela exige la tenue à jour et l’amélioration des capacités existantes et la création de nouveaux mécanismes qui permettent de définir les priorités, d’intégrer plusieurs organisations et plusieurs fonctions, et de veiller à ce que des moyens efficaces soient disponibles pour répondre à l’ensemble des exigences qu’entraîne la gestion des événements de cybersécurité.

La mise en œuvre de mesures de protection et préventives avant l’arrivée d’un cyberévénement représente l’élément clé de cette phase. L’élaboration et la mise en œuvre de mesures de protection appropriées pour assurer la prestation de services critiques, notamment l’établissement de processus reproductibles et normalisés pour des activités comme la gestion des vulnérabilités et des correctifs, sont essentielles pour assurer la sécurité des systèmes et des services. Comme défini dans la PSG, un service critique est un service dont la perturbation porterait un préjudice élevé ou très élevé à la santé, à la sûreté, à la sécurité, au bien-être économique des Canadiens ou encore au fonctionnement efficace du GC. Tous les ministères doivent déterminer leurs services critiques respectifs et les ressources connexes à l’appui.

Il est important de mener des exercices réguliers pour mettre à l’épreuve tant le PGEC GC que les PGEC ministériels afin de veiller à ce que les divers intervenants (particulièrement en cas de changements dans le personnel) comprennent leurs rôles, de valider les plans et de réviser ces derniers en fonction des leçons tirées des exercices.

L’annexe C décrit les rôles et les responsabilités des intervenants du PGEC GC pour chaque phase du processus du PGEC GC.

Voici les intrants et les extrants de cette phase.

Intrants Extrants
  • Application de mesures de protection et de prévention pour assurer la sécurité des systèmes.
  • Mise en pratique des leçons retenues.
  • Révision des plans, processus, directives et outils de gestion des événements de cybersécurité à l’échelle du GC.
  • Exercices, scénarios et tests afin de valider régulièrement l’efficacité du PGEC GC et des PGEC ministériels.
  • Formation de sensibilisation du personnel à la sécurité.
  • Révision des plans (y compris les PGEC ministériels), des processus et des procédures des ministères, afin qu’ils concordent avec le PGEC GC.
  • Connaissance des systèmes de l’ensemble du GC qui sont jugés critiques.
  • Consignation de rôles et de responsabilités clairs, y compris pour la gestion des cyberévénements et la mise en œuvre de mesures de sécurité figurant dans les contrats avec des tiers, les ententes internes (selon le cas) et les ententes d’interconnexion du gouvernement du Canada.

2.3 Détection et évaluation

Figure 2-3. Phase de détection et d’évaluation
Figure 2-3. Phase de détection et d’évaluation, version textuelle ci-dessous :
Figure 2-3 - version textuelle

Il s’agit d’une reproduction de la figure 2-3, avec toutes les flèches en gris, sauf celle qui représente la phase de Détection et d’évaluation. La flèche Détection et évaluation est surlignée en bleu et cette image est une représentation visuelle de la phase décrite pour le lecteur dans cette section.

La phase de détection et d’évaluation consiste en un contrôle continu des sources d’information afin de repérer les signes avant-coureurs des événements de cybersécurité, y compris les vulnérabilités ou les incidents de cybersécurité confirmés, et d’évaluer initialement leurs incidences (réelles ou éventuelles) sur la prestation des services offerts aux Canadiens et aux Canadiennes, sur le fonctionnement du gouvernement ou sur la confiance que l’on a envers le gouvernement.

Voici les intrants et les extrants de la phase de détection et d’évaluation.

Intrants Extrants
  • Rapports de menaces et de renseignements obtenus des intervenants de la gestion des événements du GC ou de sources externes (p. ex. fournisseurs, code source libre).
  • Rapports d’incidents obtenus des intervenants de la gestion des événements du GC, des ministères ou de sources externes.
  • Rapports ministériels et pangouvernementaux d’évaluation de l’incidence, et communications publiques possibles.
  • Établissement d’un niveau d’intervention global.
  • Recensement des événements qui nécessitent une intervention coordonnée dans l’ensemble du gouvernement.
  • Recours aux organes de gouvernance du PGEC GC ou du PFIU, s’il y a lieu.

2.3.1 Détection

Le volet de détection de cette phase reste le même quel que soit le type d’événement de cybersécurité, et il comprend aussi la notification initiale des intervenants appropriés. La détection étant un produit direct de l’activité de contrôle et d’intrants suffisants pour la surveillance, si la composante de contrôle est inadéquate ou incomplète, le processus de détection peut passer à côté d’anomalies ou d’événements qui pourraient nuire au GC.

2.3.1.1 Surveillance

Afin de veiller à ce que les événements de cybersécurité soient traités de manière cohérente, coordonnée et opportune à l’échelle du gouvernement du Canada, il est essentiel que le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) et le Bureau du dirigeant principal de l’information du Secrétariat du Conseil du Trésor du Canada (BDPI du SCT) disposent de coordonnées ministérielles à jour sur les cyberincidents afin de garantir la réception des communications critiques, notamment les produits de connaissance de la situation du Centre pour la cybersécurité et les messages du dirigeant principal de l’information du Canada (DPI du GC).

Produits de connaissance de la situation du Centre canadien pour la cybersécurité

Avis – Les avis sont publiés sur le site Web public du Centre pour la cybersécurité. Ils mettent en évidence les correctifs des fournisseurs pour les vulnérabilités qui ne répondent pas aux critères d’urgence ou d’incidence pour la publication d’un bulletin cybernétique ou le déclenchement d’une alerte.

Alerte – Les alertes sont publiées sur le site Web public du Centre pour la cybersécurité et diffusées par courriel. Elles fournissent un résumé du sujet (incident, vulnérabilité, avis conjoint) et des conseils techniques. Elles peuvent contenir des renseignements supplémentaires, comme des IdC.
Bulletin cybernétique – Rapport technique non public et assujetti à des contraintes de temps. Fournit des descriptions détaillées et des conseils en matière de détection et d’atténuation. Diffusé par courriel à des listes de distribution spécifiques à TLP:AMBER pour garantir un traitement approprié et une communication continue des renseignements sur les cybermenaces aux ministères.

De plus amples renseignements sur le protocole TLP (pour Traffic Light Protocol, protocole dit des « feux de circulation ») sont accessibles dans le Forum des équipes d’intervention et de sécurité en cas d’incident (FIRST) (en anglais seulement).

Les organisations du GC sont tenues de mettre en place des boîtes aux lettres génériques pour leur DPI, leur agent désigné pour la cybersécurité (ADC) et leurs équipes de sécurité des TI, et doivent les surveiller régulièrement. Consultez la Directive sur la gestion des coordonnées en cas de cyberincident pour obtenir de plus amples renseignements (uniquement accessible sur le réseau du GC).

En plus de surveiller les alertes et avis du Centre pour la cybersécurité, les organisations du GC doivent surveiller les avis des fournisseurs dans le cadre de leurs programmes de gestion des vulnérabilités. De plus, bien qu’il soit important de tirer parti des indicateurs de compromission (IdC) (p. ex. mauvaises adresses IP connues, domaines, hachages de fichiers) provenant des produits du Centre pour la cybersécurité et d’autres sources de renseignements sur les menaces pour détecter (et prévenir) les activités malveillantes, il y a des limites. Les auteurs de menaces changent souvent d’adresse IP, de domaine et de fichier, entre autres, pour contourner ces moyens de défense. Par conséquent, la mise en place d’un solide régime de surveillance et la compréhension de l’activité de base ou normale permettront de détecter les comportements anormaux et de repérer les tactiques, techniques et procédures (TTP) des adversaires.

2.3.1.2 Signalements

Les organisations du GC doivent signaler tous les incidents de cybersécurité au Centre pour la cybersécurité, qui fait office de point de contact central pour le signalement des incidents de cybersécurité pour le GC.

Dans le cas des cyberincidents touchant un service fourni par une organisation de services internes intégrés (OSII), l’organisation qui détecte l’incident en premier doit le signaler au Centre pour la cybersécurité. Si le consommateur de service (p. ex. un ministère ou un organisme) est le premier à détecter le cyberincident, on s’attend également à ce qu’il le signale à l’OSII. Sinon, l’OSII le signalera au Centre pour la cybersécurité et en informera les ministères et organismes touchés.

En cas de doute, il est préférable de déclarer trop d’information que pas assez. Signaler tous les événements permettra au Centre pour la cybersécurité de cerner les tendances ou les profils d’activités suspects et de déterminer les incidences potentielles sur d’autres organisations du GC qui pourraient utiliser le même service ou système qu’un ministère touché.

Le Centre pour la cybersécurité stockera et traitera ces rapports d’incidents. Les renseignements peuvent être communiqués au BDPI du SCT et à d’autres PORS, au besoin. Pour renforcer les protections de cyberdéfense, des renseignements techniques comme les IdC et les TTP peuvent être communiqués plus largement. Les renseignements de nature délicate propres à un ministère ne seront pas transmis au-delà des PORS sans l’approbation du ministère en question.

Dans le cas des cyberévénements affectant les SSN, il est important que les bons outils, proportionnels à la catégorie de sécurité du système d’information touché, soient utilisés pour communiquer avec le Centre pour la cybersécurité de façon sécuritaire.

Les ministères doivent signaler les incidents dans les délais indiqués au Tableau 2-1 .

Tableau 2-1. Échéancier de l’établissement des rapports
Type de rapport Délai Remarque
Rapport d’incident initial

Immédiatement et pas plus de 1 heure après la détection initiale

 Sans objet
Rapport d’incident détaillé Dans les 24 heures après la détection Dans la mesure du possible, les répercussions probables ou potentielles sur les activités de l’organisation devraient être incluses dans le rapport.

Voir l’annexe D : Procédures d’établissement de rapports pour savoir comment communiquer avec le Centre pour la cybersécurité, y compris les attentes en matière d’établissement de rapports initiaux et détaillés.

Si une organisation du GC a besoin d’aide supplémentaire pour comprendre les processus de gouvernance ou d’établissement de rapports du PGEC GC, le BDPI du SCT, dans le cadre de sa fonction de surveillance, devrait être mobilisé pour veiller à ce que la coordination et le soutien appropriés permettant une intervention rapide soient mis en place.

2.3.1.3 Signalement aux organismes d’application de la loi

Dans la plupart des cas, les cyberincidents sont des cybercrimes. En plus du signalement au Centre pour la cybersécurité, les ministères et organismes devraient signaler les cyberincidents directement au service de police compétent (plus précisément le Centre national de coordination en cybercriminalité de la Gendarmerie royale du Canada ou la police militaire). Il incombe aux organismes d’application de la loi de mener une enquête pour déterminer s’il existe des preuves raisonnables d’une activité criminelle, ce qui pourrait mener à des inculpations, des arrestations, des perquisitions et saisies, et autres résultats perturbateurs permettant de prévenir de futurs cyberincidents. Même si les plaintes n’entraîneront pas toutes une enquête criminelle, le signalement aux organismes d’application de la loi renforcera les efforts visant à enquêter sur les activités cybercriminelles qui affectent la sécurité des Canadiens et à les perturber.

Voir l’annexe D : Procédures d’établissement de rapports pour obtenir des renseignements sur la façon de communiquer avec la Gendarmerie royale du Canada.

2.3.1.4 Renseignements personnels et atteintes à la vie privée
Figure 2-4. Incidents de cybersécurité comportant des renseignements personnels
Figure 2-4. Incidents de cybersécurité comportant des renseignements personnels, version textuelle ci-dessous :
Figure 2-4 - version textuelle

La figure 2-4 représente le chevauchement entre un incident de cybersécurité et une atteinte à la vie privée dans le cas où des renseignements personnels pourraient être touchés. La figure utilise deux cercles, le cercle de gauche représentant les incidents de cybersécurité et celui de droite, les atteintes à la vie privée. L’élément de renseignements personnels représente l’intersection des deux cercles.

Les organisations du GC sont responsables de la protection et de la gestion des renseignements personnels et font preuve de transparence à cet égard. S’il est possible que des renseignements personnels soient touchés par un incident de cybersécurité, les autorités compétentes devraient être avisées. Dans le cas des organisations du GC assujetties à la Loi sur la protection des renseignements personnelsRéférence R14 et à la Politique sur la protection de la vie privéeRéférence R15, les bureaux ministériels de l’accès à l’information et de la protection des renseignements personnels (AIPRP) doivent être avisés immédiatement afin de déterminer si une atteinte à la vie privée a eu lieu. Le cas échéant, les ministères et organismes réagiront selon leurs plans et procédures en matière d’atteinte à la vie privée définis dans la Directive sur les pratiques relatives à la protection de la vie privéeRéférence R16.

Ce processus devrait comprendre les mesures qui suivent.

  • Une évaluation pour déterminer l’incidence potentielle sur le GC lorsque des vulnérabilités matérielles ou logicielles sont divulguées.
  • Une évaluation pour déterminer si des renseignements personnels peuvent être touchés dans le cadre de l’événement ou de l’incident, ce qui indiquerait qu’une atteinte à la vie privée a peut-être eu lieu.

Les ministères et organismes doivent aussi prendre connaissance de la Directive sur les pratiques relatives à la protection de la vie privéeRéférence R16 et de la trousse d’outils pour la gestion des atteintes à la vie privéeRéférence R9. Ces instruments en matière de protection des renseignements personnels déterminent les causes des atteintes à la vie privée, et fournissent des orientations sur la façon d’intervenir et de circonscrire et de gérer les cas d’atteinte à la vie privée, en plus de définir les rôles et responsabilités et de fournir des liens vers des documents de référence pertinents. Les ministères et organismes doivent consulter les conseillers juridiques au besoin.

2.3.1.5 Signalement des incidents de sécurité touchant des fournisseurs tiers

Tel qu’il est énoncé dans le Programme de sécurité des contrats de Services publics et Approvisionnement Canada (SPAC)Référence R17, les organisations du secteur privé à qui le GC octroie des contrats ont l’obligation de se conformer aux exigences du Programme de sécurité des contrats en tout temps pendant toute la durée d’un marché. Cela comprend le signalement des incidents de sécurité et des changements de la situation personnelle et du comportement, à l’aide du formulaire de rapport d’incident de sécurité des agents de sécurité, au Programme de sécurité des contrats de SPAC qui coordonnera l’enquête. Les ministères demeurent responsables de veiller à ce que les incidents liés à la sécurité et à la protection des renseignements personnels touchant des fournisseurs tiers soient repérés, transmis à un niveau supérieur et signalés.

Pour obtenir de plus amples renseignements sur les exigences en matière de signalement de cyberévénements touchant un service tiers, veuillez consulter le Protocole de gestion des cyberévénements des fournisseurs de services tiersRéférence R18 (uniquement accessible sur le réseau du GC).

2.3.2 Évaluation

Le volet évaluation a pour objectif d’établir un niveau d’intervention du GC et de déterminer s’il faut recourir aux organes de gouvernance du PGEC GC ou même du PFIU. Dès la détection d’un événement de cybersécurité, le BDPI du SCT et le Centre pour la cybersécurité effectueront une évaluation initiale et détermineront l’intervention gouvernementale appropriée en déclarant le niveau d’intervention du GC. Les intervenants requis seront alors informés du niveau d’intervention et les activités d’atténuation et de reprise suivront.

2.3.2.1 Niveaux d’intervention du GC

Tel qu’il est indiqué à la figure 2-5, il existe quatre niveaux d’intervention qui déterminent les activités de gestion des événements de cybersécurité. Ces niveaux d’intervention déterminent le niveau de coordination nécessaire à la bonne gestion de l’événement de cybersécurité, y compris le niveau hiérarchique, la participation des intervenants et l’établissement des rapports requis. Le tableau 2-2 fournit de plus amples renseignements sur chacun des niveaux.

Figure 2-5. Niveaux d’intervention du GC
Figure 2-5. Niveaux d’intervention du GC, version textuelle ci-dessous :
Figure 2-5 - version textuelle

La figure 2-5 représente les quatre niveaux d’intervention du GC qui régissent les activités de gestion des événements de cybersécurité du GC et dictent la nécessité et le degré d’intervention ministériel requis. La figure utilise quatre boîtes empilées en indiquant à gauche le niveau de coordination requis.

  1. Niveau 1 – Intervention ministérielle
    1. Nécessite une coordination normalisée
  2. Niveau 2 – Intervention limitée à l’échelle du GC
    1. Nécessite la coordination du PGEC GC
  3. Niveau 3 – Intervention globale à l’échelle du GC
    1. Nécessite la coordination du PGEC GC
  4. Niveau 4 – Intervention d’urgence (crise)
    1. Nécessite une coordination combinée du PFIU et du PGEC GC
Tableau 2-2. Niveaux d’intervention du GC

Niveau

Étendue

Description

Responsable de la coordination

1

Intervention ministérielle

Les interventions de niveau 1 sont limitées à une intervention ministérielle. Par conséquent, les ministères et organismes doivent suivre leurs procédures ministérielles normalisées, continuer à appliquer les mesures préventives habituelles et rester en communication avec le Centre pour la cybersécurité afin d’obtenir des conseils et des orientations.

Les événements à ce niveau peuvent déclencher le recours au Cadre de communication en matière de cybersécuritéRéférence R19 de la division des Communications stratégiques et affaires ministérielles (CSAM) du SCT lorsque approprié, comme lors d’un événement limité qui suscite un intérêt disproportionné de la part des médias. Des séances d’information pangouvernementales seront menées par le DPI du GC lorsque cela est justifié.

Ministère

2

Intervention limitée à l’échelle du GC

 Le niveau 2 indique qu’une coordination limitée à l’échelle du GC s’impose, ce qui déclenche la mise sur pied de l’équipe de coordination des événements (ECE). À ce niveau, tous les principaux intervenants du PGEC GC (et les intervenants spécialisés, au besoin) sont sur le pied d’alerte. Ils surveillent la cyberactivité par le contrôle des niveaux de risque dans l’ensemble du GC et par le confinement et l’atténuation des incidences potentielles. Il est possible que des conseils supplémentaires soient donnés à certains ministères ou organismes quant à leur façon d’intervenir, ce qui pourrait inclure le recours à des procédés de gestion des correctifs d’urgence. Les événements qui se produisent à ce niveau déclencheront le recours au Cadre de communication en matière de cybersécuritéRéférence R19 de la division des CSAM du SCT. Des séances d’information pangouvernementales seront menées par le DPI du GC lorsque cela est justifié.

ECE

3

Intervention globale à l’échelle du GC

Le niveau 3 indique que l’ensemble du GC doit se mobiliser, ce qui déclenche la mise sur pied de l’équipe de la haute direction (EHD) (voir la section 3.2). À ce niveau, les interventions sont entièrement coordonnées par l’intermédiaire de l’ECE et de l’EHD, et les ministères et les organismes reçoivent des conseils et des orientations sur la façon d’intervenir. L’intervention peut aller de processus de gestion des correctifs d’urgence jusqu’au débranchement des systèmes des réseaux du GC. Les événements qui se produisent à ce niveau déclencheront le recours au Cadre de communication en matière de cybersécuritéRéférence R19 de la division des CSAM du SCT. Des séances d’information pangouvernementales seront menées par le DPI du GC.

EHD

4

Intervention en cas d’urgence (crises)

Le niveau 4 est réservé aux événements graves ou catastrophiques qui concernent plusieurs institutions du gouvernement, qui minent la confiance envers le gouvernement ou qui concernent d’autres aspects d’intérêt national. Le BDPI du SCT et le Centre pour la cybersécurité peuvent recommander à SP de déclarer un événement de niveau 4, lorsque cela est justifié. Les événements qui atteignent ce niveau relèveront immédiatement d’une structure de gouvernance du PFIU, coordonnée par le Centre des opérations du gouvernement (COG) et conformément au PFIURéférence R1, afin d’assurer l’harmonisation des interventions fédérales. Les aspects cybernétiques des interventions au niveau 4 s’appuieront sur les structures de gouvernance du PGEC GC.

COG, SP
2.3.2.2 Évaluation du niveau d’intervention

Le BDPI du SCT et le Centre pour la cybersécurité déterminent ensemble le niveau d’intervention approprié du PGEC GC (niveaux 2 à 3) pour un cyberévénement, avec l’appui des ministères touchés, le cas échéant.

L’approche d’évaluation diffère selon que l’événement est un incident ou qu’il est lié à une cybermenace ou à une vulnérabilité (voir l’Annexe E : Évaluation pour en savoir plus). Le niveau d’intervention est déterminé en fonction du préjudice subi par le gouvernement du Canada (pour les incidents) ou du préjudice potentiel (pour les menaces ou les vulnérabilités). Dans cette évaluation, plusieurs facteurs sont pris en compte, comme :

  • la probabilité d’occurrence;
  • l’exploitabilité ou l’exposition de systèmes vulnérables;
  • l’étendue de l’incidence;
  • l’efficacité des mesures de sécurité.

D’autres facteurs peuvent également devoir être pris en compte, en fonction du contexte de l’événement en question, comme le montre la Figure 2-6. Bien que cette évaluation guide la détermination du niveau d’intervention approprié, le BDPI du SCT et le Centre pour la cybersécurité peuvent tenir compte d’autres facteurs, comme les répercussions opérationnelles et les facteurs géopolitiques, afin de déterminer l’intervention appropriée.

Figure 2-6. Critères de niveau d’intervention du PGEC GC
  Menaces/Vulnérabilités Incidents

Niveau 1
Réponse du ministère
  • Incidence faible sur un seul ministère.
  • Exposition faible des systèmes vulnérables.
  • Compromission à incidence faible d’un programme/service privé du GC dans un seul ministère.
  • Aucun indicateur d’une propagation plus large ou d’une mutation latérale.

Niveau 2
Intervention limitée à l’échelle du GC
  • Probabilité accrue d’une incidence moyenne+ sur plusieurs ministères.
  • Exposition moyenne+ des systèmes vulnérables ou exploitabilité accrue des systèmes vulnérables.
  • Compromission à incidence moyenne+ touchant la prestation d’un ou plusieurs programmes/services publics du GC.
  • Indicateurs d’une propagation plus large/mutation latérale au sein d’un ou de plusieurs ministères touchés.

Niveau 3
Intervention globale à l’échelle du GC
  • Menace imminente d’une incidence élevée+ sur plusieurs ministères.
  • Exposition élevée+ des systèmes vulnérables.
  • Compromission ayant une incidence élevée+ sur la prestation des programmes et services publics du GC ou sur le fonctionnement d’un ou de plusieurs systèmes.
  • Forte probabilité de propagation plus large/mutation latérale au sein du GC.

Niveau 4
Intervention d’urgence
  • Menace imminente d’une incidence très élevée sur plusieurs ministères.
  • Exposition très élevée à de nombreux systèmes vulnérables.
  • Incidence très élevée compromettant la prestation de programmes ou de services et entraînant des blessures graves.
  • Propagation généralisée/mutation latérale au sein du GC.

Tout recours ultérieur à un niveau de gouvernance supérieur ou inférieur, en cas de besoin, est déterminé conjointement de la même manière (voir l’Annexe F : Procédures de pour en savoir plus).

2.4 Atténuation et reprise

Figure 2-7. Phase d’atténuation et de reprise
Figure 2-7. Phase d’atténuation et de reprise, version textuelle ci-dessous :
Figure 2-7 - version textuelle

Il s’agit d’une reproduction de la figure 2-1, avec toutes les flèches en gris, sauf celle qui représente la phase d’Atténuation et de reprise. La flèche Atténuation et reprise est surlignée en bleu et cette image est une représentation visuelle de la phase décrite pour le lecteur dans cette section.

La phase d’atténuation et de reprise a pour but de circonscrire et d’atténuer les préjudices réels ou potentiels découlant d’un événement de cybersécurité. Si les activités de cette phase varient en fonction de la nature de l’événement, elles pourraient comprendre, entre autres choses, l’installation de correctifs, la mise en place de mesures préventives, le confinement et l’éradication d’un incident confirmé, le recours au plan de continuité des activités et au plan de reprise après sinistre ou encore l’interruption temporaire des services vulnérables. Quel que soit le type d’événement, le but ultime de cette phase est de réduire au minimum les incidences et d’assurer la reprise rapide des activités normales.

Pour les incidents, le confinement et l’éradication sont des éléments clés de cette phase, qui comprend notamment des mesures comme l’arrêt des systèmes, la déconnexion des réseaux ou la désactivation des fonctionnalités, y compris des comptes, et la correction des vulnérabilités exploitées par l’installation de correctifs. Ces mesures peuvent être prises par les propriétaires des biens touchés au sein des ministères, ou selon les instructions de leur chaîne de commandement pouvant aller jusqu’à l’administrateur général d’un ministère. Les organisations du GC devraient consigner par écrit les rôles et les responsabilités quant à la prise de telles décisions afin d’accélérer le processus décisionnel. De plus, le DPI du GC a le pouvoir de demander à un administrateur général de prendre des mesures en réponse à un cyberévénemenNote en bas de page 3.

L’annexe C décrit les rôles et les responsabilités des intervenants du PGEC GC pour chaque phase du processus du PGEC GC.

Voici les intrants et les extrants de cette phase.

Intrants Extrants
  • Rapports d’incidents
  • Renseignement
  • Résultats de l’analyse judiciaire
  • Autres éléments (politiques, légaux)
  • Rapports d’évaluation de l’incidence
  • Plans de continuité des activités
  • Plans de reprise après sinistre
  • Rapports de situation (RAPSIT)
  • Registre des changements
  • Plan d’intervention
  • Atténuation de la menace ou de la vulnérabilité (s’il y a lieu)
  • Confinement et éradication de l’incident (s’il y a lieu)
  • Reprise continue des activités normales

2.5 Activités post-événement

Figure 2-8. Phase d’activités post-événement
Figure 2-8. Phase d’activités post-événement, version textuelle ci-dessous :
Figure 2-8 - version textuelle

Il s’agit d’une reproduction de la figure 2-1, avec toutes les flèches en gris, sauf celle qui représente la phase d’Activité après l’événement et rétroaction. Les flèches d’Activité après l’événement et de rétroaction sont surlignées en bleu et cette image est une représentation visuelle de la phase décrite pour le lecteur dans cette section.

La phase d’activités post-événement consiste à tirer parti des leçons retenues de chaque événement de cybersécurité afin d’améliorer continuellement le processus et, par extension, le niveau de sécurité de l’infrastructure du GC dans son ensemble. Cette phase a pour but de clore officiellement la gestion de l’événement de cybersécurité en procédant à une analyse après l’événement, en recensant les leçons retenues et en préconisant des améliorations dans les politiques, dans l’architecture de sécurité, ou d’autres mesures, au besoin. L’importance des efforts et des ressources à consacrer à cette phase varie d’un événement à l’autre. Les événements plus complexes et graves nécessitent une analyse post-événement plus approfondie que les événements moins graves. Les événements répétitifs peuvent faire l’objet d’une analyse d’ensemble.

L’annexe C décrit les rôles et les responsabilités des intervenants du PGEC GC pour chaque phase du processus du PGEC GC.

Voici les intrants et les extrants de cette phase.

Intrants Extrants
  • Examen de la chronologie des événements
  • Registre des changements
  • Examen des procédures d’établissement de rapports et de communication, et de la possibilité qu’offrent les produits
  • Analyse de la cause première
  • Autres intrants importants obtenus des intervenants concernés du PGEC GC
  • Rapport du ministère sur les leçons retenues et plan d’action (s’il y a lieu)
  • Rapports du GC à la suite d’un événement
  • Leçons retenues et plan d’action à l’échelle du GC (s’il y a lieu)
  • Recommandations visant à améliorer des instruments de politique, le processus de gestion des événements de cybersécurité, la formation ou l’architecture de sécurité de l’organisation

3. Gouvernance

Dans cette section

3.1 Intervenants

Plusieurs intervenants clés participent à la prise de mesures durant les événements de cybersécurité du GC (voir le tableau 3-1).

Tableau 3-1. Intervenants clés dans la gestion des événements de cybersécurité du GC
Catégorie Description Organisation

Principaux intervenants des PORS

Les intervenants qui sont les principaux responsables de la coordination de tous les événements qui répondent aux critères d’une intervention dans le cadre du PGEC GC de niveau 2 et plus. Cela comprend les menaces possibles, les vulnérabilités et les incidents confirmés.
  • SCT
    • BDPI
    • Division des CSAM
  • Centre pour la cybersécurité, qui fait partie du Centre de la sécurité des télécommunications Canada (CST)

Intervenants spécialisés des PORS

Intervenants qui participent au processus du PGEC GC en cas d’incidents de cybersécurité confirmés ou de cybermenaces qui relèvent de leur mandat particulierNote en bas de page 4.
  • Bureau du Conseil privé (BCP)
    • Sécurité et renseignement (S et R)
  • Gendarmerie royale du Canada (GRC)
    • Centre national de coordination en cybercriminalité (CNC3)
    • Police fédérale en matière de cybercriminalité
  • Service canadien du renseignement de sécurité (SCRS) – Cyber
  • Défense nationale et Forces armées canadiennes (MDN-FAC) – Opérations de gestion de l’information
  • SP – Direction générale de la cybersécurité nationale (DGCN)
  • Affaires mondiales Canada (AMC)

Autres intervenants

Intervenants qui participent au processus de gestion des événements de cybersécurité du GC et à qui on peut faire appel pour des cybermenaces ou des incidents confirmés.
  • Services partagés Canada (SPC)
  • SP – COG
  • BCP
    • Équipe des Communications stratégiques (CS)
  • Comité des directeurs généraux sur la gestion des urgences (CDGGU)
  • Ministères
    • Services juridiques
    • Équipe de gestion des événements
    • Équipe de l’AIPRP (gestion des atteintes à la vie privée)
    • Équipe de communications (comm.)
  • OSII (comme SPC)
  • Partenaires externes
  • Fournisseurs tiers

Les rôles et responsabilités détaillés de chaque intervenant se trouvent à l’Annexe C : Rôles et responsabilités détaillés.

3.2 Organes de gouvernance

Lors d’un événement de cybersécurité, la mobilisation des organes de gouvernance appropriés en temps opportun permettra à la direction et aux opérations de prévenir et de détecter les événements de cybersécurité, d’y réagir et de se rétablir en respectant un ordre de priorité. Le niveau d’intervention du PGEC GC détermine les organes de gouvernance qui doivent être établis. Ces organes servent à diriger et à faciliter les activités d’atténuation et de reprise.

La figure 3-1 présente les intervenants pertinents pour chaque niveau d’intervention et les organes de gouvernance correspondants, y compris :

  • les événements de niveau 2 et plus, pour lesquels une ECE est mise en place afin d’assurer le leadership (au niveau du directeur);
  • les événements de niveau 3 et plus, pour lesquels une EHD est mise en place afin d’assurer le leadership au niveau de la haute direction (directeurs généraux [DG]).

Les réunions ponctuelles de l’ECE ou de l’EHD peuvent être organisées de façon préventive et proactive avant tout renvoi à un niveau supérieur du PGEC GC et à des fins de connaissance de la situation. Le renvoi à un niveau supérieur peut ou non suivre, selon l’évolution d’un événement.

Advenant qu’un événement soit évalué au niveau 3 dès le départ, la gouvernance sera immédiatement mise en œuvre au niveau des DG auprès des équipes d’ECE et d’EHD ayant été mises en place simultanément.

Ces deux équipes, coprésidées par le BDPI du SCT et le Centre pour la cybersécurité, fournissent des conseils et des orientations au DPI du GC. Le DPI du GC est chargé d’exécuter les décisions relatives à la gestion des risques liés à la cybersécurité au nom du GC et d’ordonner aux administrateurs généraux de mettre en œuvre une ou des interventions propres aux événements de cybersécurité. Ce processus comprend de procéder à une évaluation pour déterminer s’il y a eu une atteinte à la vie privée, de mettre en œuvre des mesures de sécurité et de veiller à ce que les systèmes qui mettent le GC à risque soient déconnectés ou supprimés, lorsque cela est justifiéNote en bas de page 5. Le DPI du GC est appuyé par le dirigeant principal de la sécurité de l’information du gouvernement du Canada (DPSI GC) et le chef du Centre pour la cybersécurité.

Le ministre responsable de l’intervention sera déterminé au cas par cas, en fonction du contexte de l’événement, en s’appuyant sur les recommandations de l’ECE, de l’EHD et du DPI du GC.

Figure 3-1. Équipes de coordination du PGEC GC
Figure 3-1. Équipes de coordination du PGEC GC, version textuelle ci-dessous :
Figure 3-1 - version textuelle

La figure 3-1 indique les parties prenantes concernées pour chacun des niveaux d’intervention du GC, comme indiqué dans la figure 2-5. La figure 3-1 ne traite pas explicitement des parties prenantes au niveau 4 (intervention d’urgence ou de crise), car le niveau 4 invoque la gouvernance du PFIU qui ne s’inscrit pas dans le cadre de ce document. Cependant, pour les événements de niveau 4, l’ECE (de niveau 2) et l’EGE (de niveau 3) restent en jeu pour traiter tous les éléments liés aux événements de cybersécurité dans le GC.

  1. Niveau 1 – Intervention ministérielle
    1. Intervenants :
      1. DPI du ministère (ou personne désignée), soutenu par l’agent désigné pour la cybersécurité
      2. Ministères et organismes
      3. GRC
      4. Centre de la cybersécurité
      5. SCT/BDPI

  2. Niveau 2 (et supérieur) – Intervention limitée à l’échelle du GC

    L’équipe de coordination des événements (ECE) est établie; elle est composée des intervenants suivants :

    1. Principaux intervenants :
      1. DPI du GC (appuyé par le DPSI du GC, le chef adjoint du CCCS, d’autres intervenants du PGEC du GC, s’il y a lieu)
      2. SCT/BDPI (coprésident)
      3. Centre de la cybersécurité (coprésident)
      4. SCT/CSAM
    2. Intervenants spécialisés :
      1. BCP/Sécurité et
        renseignement
      2. SCRS
      3. MDN/FAC
      4. SP
      5. GRC
    3. Autres intervenants :
      1. SPC/DGSRS
      2. Ministère(s) concerné(s)

  3. Niveau 3 (et supérieur) – Intervention globale à l’échelle du GC

    L’équipe de la haute direction (EHD) est établie pour fournir un leadership au niveau de la direction (c.-à-d. au niveau du directeur général). L’EHD est composé des mêmes intervenants que l’ECE :

    1. Principaux intervenants :
      1. DPI du GC (appuyé par le DPSI du GC, le chef adjoint du CCCS, d’autres intervenants du PGEC du GC, s’il y a lieu)
      2. SCT/BDPI (coprésident)
      3. Centre de la cybersécurité (coprésident)
      4. SCT/CSAM
    2. Intervenants spécialisés :
      1. BCP/Sécurité et
        renseignement
      2. SCRS
      3. MDN/FAC
      4. SP
      5. GRC
    3. Autres intervenants :
      1. SPC/DGSRS
      2. Ministère(s) concerné(s)

En fonction de la taille et de la portée du cyberévénement, les ministères directement touchés par des menaces ou des vulnérabilités précises peuvent également être invités à participer à l’ECE ou à l’EHD. Les ministères concernés seront toujours invités à l’ECE ou à l’EHD s’ils sont confrontés à un incident. La participation sera déterminée par les coprésidents afin d’assurer un fonctionnement optimal des organes de gouvernance.

Les rôles et responsabilités détaillés de chaque intervenant, au sein de l’ECE et de l’EHD, sont résumés dans le Tableau 3-2 et le Tableau 3-3.

Tableau 3-2. Équipe de coordination des événements

Niveau 2 (et plus) – Équipe de coordination des événements (ECE)

Composition

Intervenants de niveau directeur (ou supérieur) des ministères suivants

Principaux intervenants des PORS

  • BDPI du SCT (directeur)
  • Centre pour la cybersécurité (directeur)
  • Division des CSAM du SCT (directeur)

Mobilisation (en fonction de l’événement)

  • Intervenants spécialisés des PORS
  • Autres intervenants
    • Direction générale des services de connectivité et de sécurité et Services de cybersécurité d’entreprise de SPC (directeur)
    • Ministères concernés (ADC)

Responsabilités
Menaces et vulnérabilités

Responsabilités
Incidents

Activées par les événements de niveau 2 ou plus du PGEC GC

  • Appuyer la coordination centrale quant à la gestion et à l’intervention pour l’ensemble des menaces et vulnérabilités.
  • Établir des cellules de crise cybernétiques et y participer pour cerner, évaluer et atténuer la menace ou la vulnérabilité (les coprésidents de l’ECE désignent l’intervenant chargé d’établir la cellule de crise cybernétique).
  • Collaborer avec les principaux intervenants pour recommander conjointement des plans d’atténuation.
  • Faire appel à des fournisseurs tiers, au besoin.
  • Au niveau 3 ou plus, veiller à ce que la connaissance de la situation soit maintenue au niveau des DG en informant activement les membres de l’EHD de l’évolution du PGEC GC.

Activées par les événements de niveau 2 ou plus du PGEC GC

  • Appuyer la coordination centrale et l’échange de renseignements quant à la gestion et à l’intervention pour l’ensemble des événements.
  • Établir des cellules de crise cybernétiques et y participer pour cerner, évaluer et atténuer l’incident (les coprésidents de l’ECE désignent l’intervenant chargé d’établir la cellule de crise cybernétique).
  • Collaborer avec les principaux intervenants pour recommander conjointement des plans d’atténuation.
  • Faire appel à des fournisseurs tiers, au besoin.
  • Au niveau 3 ou plus, veiller à ce que la connaissance de la situation soit maintenue au niveau des DG en informant activement les membres de l’EHD de l’évolution du PGEC GC.
Tableau 3-3. Équipe de la haute direction

Niveau 3 (et plus) – Équipe de la haute direction (EHD)

Composition

Intervenants de niveau DG (ou supérieur) des ministères suivants

Principaux intervenants des PORS

  • DPSI GC
  • Division des CSAM du SCT (directeur général)
  • Centre pour la cybersécurité (DG)

Mobilisation (en fonction de l’événement)

  • Intervenants spécialisés des PORS
  • Autres intervenants
    • Direction générale des services de connectivité et de sécurité et Services de cybersécurité d’entreprise de SPC (DG)
    • Ministères concernés (DPI, ADC ou délégué)

Responsabilités
Menaces et vulnérabilités

Responsabilités
Incidents

Activés par les événements de niveau 3 ou plus du PGEC GC

  • Informer les hauts fonctionnaires du GC (exposés de décision, RAPSIT et plans d’atténuation nécessitant l’approbation du sous-ministre adjoint [SMA]) de façon continue, selon les besoins.
  • Fournir une connaissance de la situation, une direction exécutive et des orientations à l’ECE.
  • Faire appel à des fournisseurs tiers, au besoin.

Activés par les événements de niveau 3 ou plus du PGEC GC

  • Informer les hauts fonctionnaires du GC (exposés de décision, RAPSIT et plans d’atténuation nécessitant l’approbation du SMA) de façon continue, selon les besoins.
  • Fournir une connaissance de la situation, une direction exécutive et des orientations à l’ECE.
  • Faire appel à des fournisseurs tiers, au besoin.
  • En tant que sous-comité de l’EHD, créer un centre de commandement des interventions au niveau des DG regroupant les principaux intervenants (y compris tout ministère touché), afin de permettre des décisions rapides liées à l’incident et d’assurer une approche coordonnée pour la reprise après une compromission et les mesures d’atténuation, en soutien à la reprise des activités.

3.3 Structure de commandement intégrée

Le PGEC GC est axé sur les responsabilités et les pouvoirs liés aux cyberévénements. Les cyberévénements peuvent évoluer en événements non cybernétiques qui dépassent la portée du PGEC GC, comme les atteintes confirmées à la vie privée ou les interruptions de service de TI non liées à la sécurité.

Lorsqu’une telle situation se produit, il est important de procéder au transfert entre les autorités guidées par le PGEC GC et les autorités guidées par le cadre ou processus reconnu approprié afin que le GC puisse réagir aux événements non cybernétiques qui évoluent rapidement et qui exigent un leadership continu par l’intermédiaire d’une approche pangouvernementale coordonnée.

Voir l’Annexe G : Structure de commandement intégrée pour un aperçu d’une structure de commandement intégrée théorique qui peut être établie selon la situation.

4. Établissement de rapports et communication

Dans cette section
Figure 4-1. Établissement de rapports et communication
Figure 4-1. Établissement de rapports et communication, version textuelle ci-dessous :
Figure 4-1 - version textuelle

Il s’agit d’une reproduction de la figure 2-1, avec toutes les flèches en gris, sauf celle qui représente la boîte « Connaissance situationnelle dans l’ensemble du GC » et « Établissement de rapports et communication ». Les boîtes « Connaissance situationnelle dans l’ensemble du GC » et « Établissement de rapports et communication » sont surlignées en bleu et cette image est une représentation visuelle de la phase décrite pour le lecteur dans cette section.

Afin de maintenir une connaissance de la situation à l’échelle du gouvernement, des rapports et une communication continue entre les intervenants doivent être maintenus tout au long du cycle de vie d’un événement afin que chaque intervenant dispose de la même information. Ce processus nécessite de mobiliser des participants supplémentaires des ministères et organismes pour l’EHD et l’ECE et d’établir des flux de communication bidirectionnels pour veiller à ce que les mesures d’atténuation soient coordonnées et consignées afin de minimiser le dédoublement des efforts et de rationaliser les activités d’intervention.

Tel qu’il est énoncé dans l’annexe I : Norme sur le signalement des incidents de sécuritéRéférence R20 de la Directive sur la gestion de la sécurité, il est impératif de mettre en place des pratiques de communication continue, depuis la détection jusqu’à la conclusion des activités post-événement, afin de garantir que les conseils en matière d’atténuation et les mises à jour de l’état d’avancement sont communiqués en temps opportun aux parties touchées et non touchées appropriées.

de plus, on s’attend à ce que les ministères et organismes évitent de faire toute déclaration publique concernant l’attribution sans avoir d’abord consulté les principaux intervenants du PGEC GC comme AMC ou la GRC, selon le cas.

4.1 Structure hiérarchique et communications

La Figure 4-2. Établissement de rapports et communication à l’échelle du gouvernement dans le cadre du PGEC GC résume la manière dont l’établissement des rapports et la communication seront traités à l’échelle du gouvernement.

Figure 4-2. Établissement de rapports et communication à l’échelle du gouvernement dans le cadre du PGEC GC
Figure 4-2. Établissement de rapports et communication à l’échelle du gouvernement dans le cadre du PGEC GC, version textuelle ci-dessous :
Figure 4-2 - version textuelle

La figure 4-2 indique les rapports et les communications à l’échelle du gouvernement du PGEC, séparés par les différents niveaux d’intervention du GC décrits dans la figure 2-5. La figure 4-2 ne décrit pas les rapports et les communications à l’échelle du gouvernement au niveau 4 (intervention d’urgence ou de crise) invoqué aux termes du PFIU.

  1. Niveau 1 – Intervention ministérielle
    1. Le centre de la cybersécurité est l’agent central de collecte d’information
    2. Le centre de la cybersécurité échangera de l’information avec les sources suivantes :
      1. SCT/BDPI
      2. Équipes ministérielles de la sécurité de la TI
      3. Autres sources d’information technique
    3. Le SCT-BDPI recevra de l’information du centre de la cybersécurité
  2. Niveau 2 – Intervention limitée à l’échelle du GC
    1. L’équipe de coordination des événements (ECE) est déterminée comme source centrale de rapports et de communication
    2. L’ECE est composée des agents suivants :
      1. SCT-BDPI
      2. SCT/CSAM
      3. Centre de la cybersécurité
      4. Intervenants spécialisés du POCS
      5. Autres intervenants du PGEC
    3. L’ECE échangera de l’information avec les intervenants suivants :
      1. Équipes ministérielles de la sécurité de la TI (par l’intermédiaire du centre de la cybersécurité)
      2. BCP-S et R (par l’intermédiaire du centre de la cybersécurité)
      3. Autres intervenants du PGEC
  3. Niveau 3 – Intervention globale à l’échelle du GC
    1. Deux organes de gouvernance sont déterminés comme sources centrales de rapports et de communication, L’ECE et L’équipe de la haute direction (EHD)
    2. L’équipe de la haute direction composée des agents suivants :
      1. SCT-BDPI
      2. SCT-CSAM
      3. Centre de la cybersécurité
      4. Intervenants spécialisés du POCS
      5. Autres intervenants du PGEC
    3. L’équipe de la haute direction (par l’intermédiaire du SCT-BDPI) fournira de l’information aux agents désignés pour la cybersécurité (ADCS)
    4. L’EHD (par l’intermédiaire du SCT-CSAM) échangera de l’information avec les communications ministérielles, le BCP/Communications et le CST/Communications
    5. L’EHD (par l’intermédiaire du SCT-BDPI)

À l’échelle du gouvernement, les rapports et la communication doivent respecter les lignes directrices qui suivent.

  • La division des CSAM du SCT coordonnera l’élaboration de produits de communication et de la voie à suivre conformément à son Cadre de communication en matière de cybersécuritéRéférence R19, en collaboration avec l’équipe de communications du Centre pour la cybersécurité et de l’équipe de CS du BCP (pour tous les événements nécessitant des communications externes ou des messages coordonnés, comme des événements de niveau 3 du PGEC GC ou lorsque cela est justifié par des événements de niveau 2 du PGEC GC).
  • Les ministères et organismes concernés élaboreront leurs propres produits de communication à l’intention des intervenants, des clients et du public, conformément au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT. En particulier, l’approbation de la division des CSAM du SCT et de l’équipe de CS du BCP est requise pour les produits de communication liés aux événements de niveau 2 et de niveau 3.
  • Le BDPI du SCT coordonnera les messages destinés aux collectivités de DPI, d’ADC et de dirigeants principaux de la sécurité (DPS), et diffusera les mises à jour de la haute direction au besoin.
  • Le Centre pour la cybersécurité coordonnera les messages destinés à la collectivité opérationnelle (sécurité des TI) et diffusera des produits d’information technique (bulletin cybernétique, avis, alertes, etc.), y compris des RAPSIT et des états sur le niveau d’intervention du PGEC GC à l’intention des intervenants concernés, au besoin, en collaboration avec le SCT et d’autres partenaires pertinents.
  • Le Centre pour la cybersécurité diffusera des RAPSIT auprès du COG et du service de S et R du BCP pendant ou au moment d’envisager le renvoi au niveau 4 du PGEC GC impliquant un PFIU.

Annexe A : Sigles et abréviations

SMA

Sous-ministre adjoint

AIPRP

Accès à l’information et protection des renseignements personnels

DPI

Dirigeant principal de l’information

DPSI

Dirigeant principal de la sécurité de l’information

Comm.

Communications

CST

Centre de la sécurité des télécommunications Canada

PGEC

Plan de gestion des événements de cybersécurité

SCRS

Service canadien du renseignement de sécurité

DPS

Dirigeant principal de la sécurité

FSI

Fournisseur de services infonuagiques

Centre pour la cybersécurité

Centre canadien pour la cybersécurité, qui fait partie du Centre de la sécurité des télécommunications

DG

Directeur général

CDGGU

Comité des directeurs généraux sur la gestion des urgences

MDN-FAC

Défense nationale et Forces armées canadiennes

ADC

Agent désigné pour la cybersécurité

ECE

Équipe de coordination des événements

EHD

Équipe de la haute direction

PFRC

Plan fédéral de réponse aux cyberincidents

PFIU

Plan fédéral d’intervention d’urgence

FIRST

Forum des équipes d’intervention et de sécurité en cas d’incident

AMC

Affaires mondiales Canada

GC

Gouvernement du Canada

COG

Centre des opérations du gouvernement

OSII

Organisation de services internes intégrés

IdC

Indicateurs de compromission

IP

Protocole Internet

TI

Technologies de l’information

PORS

Principal organisme responsable de la sécurité

FSG

Fournisseur de services gérés

CNC3

Centre national de coordination en cybercriminalité, qui fait partie de la GRC

DGCN

Direction générale de la cybersécurité nationale, qui fait partie de Sécurité publique Canada

SSN

Systèmes de sécurité nationale

BDPI

Bureau du dirigeant principal de l’information, qui fait partie du Secrétariat du Conseil du Trésor du Canada

BCP

Bureau du Conseil privé

SP

Sécurité publique Canada

GRC

Gendarmerie royale du Canada

DI

Demande d’intervention

S et R

Sécurité et renseignement

CS

Communications stratégiques

CSAM

Communications stratégiques et affaires ministérielles, qui fait partie du Secrétariat du Conseil du Trésor du Canada

PEIEM

Protocole d’échange d’information sur les événements marquants

RAPSIT

Rapport de situation

SPC

Services partagés Canada

DGSCS et SCE de SPC

Direction générale des services de connectivité et de sécurité et Services de cybersécurité d’entreprise de SPC

SCT

Secrétariat du Conseil du Trésor du Canada

TLP

Traffic Light Protocol, protocole dit des « feux de circulation »

TTP

Tactiques, techniques et procédures

Annexe B : Références

Annexe C : Rôles et responsabilités détaillés

Dans cette section

La présente annexe décrit les rôles et les responsabilités des intervenants du Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC). Les rôles et responsabilités varieront selon le type d’événement (comme une vulnérabilité, une menace, une compromission ou une atteinte entraînant un incident) et du niveau de priorité, à l’appui et dans le contexte du présent plan.

C-1. Rôles et responsabilités par organisation

Tableau C-1. Principaux intervenants dans le cadre du PGEC GC
Organisation Responsabilités

Secrétariat du Conseil du Trésor du Canada (SCT)

Le SCT assure la surveillance et l’orientation stratégiques du processus de gestion des événements de cybersécurité du GCNote en bas de page 6. Il veille à la bonne coordination des événements pour faciliter la prise de décisions et réduire au minimum l’incidence sur le gouvernement et les pertes pour le GC.

Dans le cadre du PGEC GC, le dirigeant principal de l’information du Canada (DPI du GC) défend les intérêts de l’ensemble du gouvernement durant les événements de cybersécurité qui touchent, ou peuvent toucher, l’exécution des programmes et la prestation des services. Il aborde des sujets qui comprennent la réponse globale du GC aux événements de cybersécurité et les mesures prises à l’échelle de l’organisation en vue de protéger les systèmes d’information du GC. Cela comprend les responsabilités suivantes :

  • donner suite aux décisions de gestion des risques de cybersécurité en émettant des directives obligatoires aux ministères en réponse aux événements de cybersécuritéNote en bas de page 7 (p. ex. appliquer des mesures de sécurité ou déconnecter des systèmes du réseau ayant mis le GC à risque, lorsque cela est justifié);
  • renseigner le bureau du sous-ministre délégué et les niveaux supérieurs, au besoin, en plus de conseiller les comités des sous-ministres adjoints sur les questions liées aux événements, comme la sécurité et les opérations des systèmes et réseaux de technologies de l’information (TI) du GC, la prestation des services et la confiance dans le gouvernement;
  • présider un comité composé des DPI des ministères, le Conseil des DPI; par l’entremise de ce dernier, le DPI du GC peut émettre des directives à l’intention des DPI des ministères en ce qui concerne les activités de gestion des événements de cybersécurité, en particulier les activités d’atténuation et de reprise.

Le Bureau du dirigeant principal de l’information (BDPI) du SCT appuie le DPI du GC et assume des responsabilités de surveillance stratégique, notamment celles qui suivent.

  • Établir, tenir à jour et mettre à l’essai le PGEC GC et les procédures connexes, conformément à la Politique sur la sécurité du gouvernementRéférence R10 et à la Politique sur les services et le numériqueRéférence R11.
  • Assurer la coordination stratégique des interventions du GC en réponse aux événements de cybersécurité prioritaires (habituellement les événements de niveau 3, ou lorsque cela est justifié par des événements de niveau 2), ce qui comprend :
    • le rôle de coprésidence et de secrétariat de toutes les équipes de gouvernance dans le cadre du PGEC GC aux côtés du Centre pour la cybersécurité (y compris les décisions de renvoi à un niveau supérieur ou inférieur en coordination avec celui-ci);
    • l’évaluation, en collaboration avec le Centre pour la cybersécurité et d’autres partenaires donnés, de l’incidence des cybermenaces, des vulnérabilités et des incidents de sécurité sur l’ensemble des programmes et services du GC, afin de faciliter l’établissement de rapports et des priorités à l’échelle du gouvernement;
    • la prestation de conseils aux ministères et organismes (par l’entremise du DPI du GC) sur l’adoption de mesures permettant de réduire au minimum l’incidence des événements de cybersécurité marquants sur l’ensemble du gouvernement;
    • la création d’un centre de commandement des interventions au niveau des directeurs généraux (DG) et d’un sous-comité de l’équipe de la haute direction (EHD), afin de permettre des décisions rapides en cas d’incident et d’assurer une approche coordonnée pour les mesures correctives et le rétablissement en cas de compromission, en vue de la reprise des activités.
  • Fournir des conseils au Comité des directeurs généraux sur la gestion des urgences (CDGGU) au cours des événements de cybersécurité de niveau 4.
  • Veiller à ce que la division des Communications stratégiques et affaires ministérielles (CSAM) du SCT reçoive en temps opportun les renseignements nécessaires pour élaborer des produits de communication et veiller à ce qu’une approche coordonnée et harmonisée soit en place pour les communications publiques entre les intervenants, conformément au Cadre de communication en matière de cybersécuritéRéférence R19 de la division des CSAM du SCT.
  • Analyser les rapports post-événement, et recenser les leçons retenues dans l’ensemble du gouvernement, s’il y a lieu, afin d’améliorer la Politique sur la sécurité, la Politique sur la protection de la vie privée ou l’architecture de sécurité de l’organisation.
  • Recevoir des rapports d’atteintes importantes à la vie privée de la part des institutions.
  • Fournir des conseils à l’échelle du gouvernement sur la gestion des atteintes à la vie privée.

De plus, les responsabilités du SCT en matière de communications stratégiques, au moyen de sa division des CSAM, comprennent ce qui suit :

  • agir comme porte-parole désigné au nom du GC pour tout événement de cybersécurité ayant une incidence sur la prestation des programmes et des services du gouvernement, généralement pour les événements de niveau 3 ou plus (ou lorsque cela est justifié par des événements d’autres niveaux);
  • pour les événements de niveau 4, la division des CSAM du SCT appuie l’équipe des Communications de Sécurité publique Canada (SP), qui assume les responsabilités de communication stratégique pour les événements qui relèvent de sa compétence (c’est-à-dire les événements de niveau 4) conformément au Plan fédéral d’intervention d’urgence (PFIU);
  • appuyer les organisations touchées en élaborant ou en transmettant, tant à l’interne (à l’échelle du GC) qu’à l’externe, du matériel de communication qui vise toutes les étapes de la gestion des événements de cybersécurité, en collaboration avec le Centre pour la cybersécurité et l’équipe de Communications stratégiques (CS) du Bureau du Conseil privé (BCP), et en consultation avec les équipes de communication des intervenants concernés dans le cadre du PGEC GC;
  • déterminer s’il est nécessaire de faire des déclarations publiques (proactives et réactives), et le cas échéant, choisir à quel moment les faire;
  • approuver tous les plans de communication (communication interne ou destinée aux clients, intervenants ou au grand public), en collaboration avec les organisations touchées et l’équipe des CS du BCP.

Centre canadien pour la cybersécurité (Centre pour la cybersécurité), qui fait partie du Centre de la sécurité des télécommunications Canada (CST)

Le Centre pour la cybersécurité fait partie du CST. Dans le cadre du PGEC GC, le Centre pour la cybersécurité est le centre national de coordination du Canada pour la prévention, l’atténuation, la préparation, l’intervention et la reprise en cas d’événement de cybersécuritéNote en bas de page 8 touchant le GC.

Dans le cadre du présent plan, le Centre pour la cybersécurité est chargé :

  • de collaborer avec le BDPI du SCT en tant qu’un des principaux intervenants parmi les principaux organismes responsables de la sécurité (PORS);
  • d’assurer la coordination opérationnelle, ce qui comprend l’envoi de conseils techniques et d’avis aux ministères et organismes qui préconisent l’adoption de mesures permettant d’atténuer ou de circonscrire l’incidence sur les ministères, et de faire le suivi de ces mesures et d’établir des rapports connexes (pour l’ensemble des événements);
  • de mobiliser au besoin les organisations homologues internationales, comme les équipes d’intervention internationales en cas d’incident lié à la sécurité des TI et les cybercentres nationaux dans le cadre des activités de coordination.
Tableau C-2. Intervenants spécialisés des PORS dans le cadre du PGEC GC
Organisation Responsabilités

Gendarmerie royale du Canada (GRC)

La GRC est le PORS chargé d’assumer les fonctions liées aux enquêtes criminelles à l’échelle du gouvernementNote en bas de page 9.

Le Centre national de coordination en cybercriminalité (CNC3) et la Police fédérale en matière de cybercriminalité sont les principaux intervenants au sein de la GRC qui sont responsables des fonctions d’application de la loi dans le cadre du présent plan, notamment :

  • diriger les enquêtes criminelles dans le cas d’incidents de cybersécurité liés à une activité criminelle, y compris les activités terroristes (Police fédérale en matière de cybercriminalité);
  • participer aux équipes de gouvernance du PGEC GC à titre de guides et de conseillers, lorsque cela est justifié par l’incident de cybersécurité ou la cybermenace (Police fédérale en matière de cybercriminalité et CNC3);
  • coordonner et appuyer les enquêtes intergouvernementales sur la cybercriminalité en collaboration avec les organismes d’application de la loi, le gouvernement fédéral et d’autres partenaires (Police fédérale en matière de cybercriminalité et CNC3).

Service canadien du renseignement de sécurité (SCRS)

Le SCRS a pour mandat d’enquêter sur les menaces à la sécurité nationaleNote en bas de page 10, y compris le cyberespionnage, le cybersabotage, le cyberterrorisme et les activités cybernétiques influencées par l’étranger, et de conseiller le GC en conséquence.

Dans le cadre du présent plan, le SCRS est responsable de ce qui suit.

  • Diriger les enquêtes sur les menaces à la cybersécurité pour la sécurité nationale du Canada, conformément à la Loi sur le Service canadien du renseignement de sécurité :
    • pour permettre ces mesures d’enquête, le SCRS exige que tous les renseignements liés aux événements de cybersécurité ayant une incidence sur les systèmes du GC soient fournis lorsqu’il est déterminé qu’il doit y avoir un lien avec les activités de menace à la sécurité nationale).
  • Au besoin, s’il y a des motifs raisonnables de croire qu’une cyberactivité particulière constitue une menace pour la sécurité du Canada ou des Canadiens, le SCRS est autorisé à prendre des mesures pour réduire la menace.
  • Participer aux équipes de gouvernance du PGEC GC à titre de guide et de conseiller, lorsque cela est justifié par l’incident de cybersécurité ou la cybermenace.

Défense nationale et Forces armées canadiennes (MDN-FAC)

Le MDN-FAC est chargé d’intervenir en cas de cybermenaces, de vulnérabilités ou d’incidents de sécurité visant les systèmes militairesNote en bas de page 11.

Dans le cadre du présent plan, le MDN-CAF est responsable de :

  • diriger les enquêtes dans le cas de tous les incidents de cybersécurité liés à des activités menaçant l’intégrité des systèmes militaires (soit les systèmes qui appuient directement les opérations, de même que les systèmes d’armes);
  • apporter un soutien et une aide supplémentaires à d’autres ministères, sur demande;
  • participer aux équipes de gouvernance du PGEC GC à titre de guide et de conseiller, lorsque cela est justifié par l’incident de cybersécurité ou la cybermenace.

Sécurité publique Canada (SP)

SP, par l’intermédiaire de sa Direction générale de la cybersécurité nationale (DGCN), qui relève du Secteur de la sécurité nationale et de la cybersécurité, dirige et coordonne la politique et la stratégie nationales de cybersécurité du Canada, et fournit des conseils au ministre sur les incidents et les événements de cybersécurité touchant les systèmes gouvernementaux et non gouvernementaux.

SP coordonne l’intervention globale en cas d’événements marquants qui pourraient avoir une incidence sur la sécurité et la sûreté des Canadiens et des Canadiennes. Le Centre des opérations du gouvernement (COG), présenté dans le tableau C-1.3, fait partie du Secteur de la gestion des urgences de SP.

Dans le cadre du présent plan, la Direction nationale de la cybersécurité de SP est chargée de participer aux équipes de gouvernance du PGEC GC à titre de guide et de conseillère.

Affaires mondiales Canada (AMC)

AMC est responsable de la conduite des relations internationales du Canada, y compris de la collaboration avec ses partenaires et ses alliés pour contrer les cybermenaces internationales.

Dans le cadre du présent plan, AMC est responsable :

  • de préparer des messages internationaux liés à la gestion des événements de cybersécurité, en collaboration avec la division des CSAM du SCT, le Centre pour la cybersécurité, et l’équipe des CS du BCP, et en consultation avec les équipes de communication des intervenants concernés dans le cadre du PGEC GC;
  • d’assurer la coordination avec les partenaires internationaux (d’État à État), les alliés et les autres homologues d’AMC et de communiquer avec eux dans le cadre d’un cyberévénement se déroulant au Canada, même s’il n’y a pas de coordination interterritoriale en cause;
  • de fournir des conseils en matière de politique étrangère et une coordination internationale dans le cadre d’un cyberévénement ayant des ramifications internationales;
  • de diriger les efforts de coordination du GC dans l’élaboration de déclarations publiques d’attribution de cyberactivités malveillantes à un acteur d’un État étranger ou à ses mandataires.
Tableau C-3. Autres intervenants
Organisation Responsabilités

Services partagés Canada (SPC)

SPC est responsable de la planification, de la conception, de la construction, de l’exploitation et de l’entretien d’une infrastructure de sécurité des TI d’entreprise efficace, réactive et capable de protéger les données et les systèmes du GC dont il est responsableNote en bas de page 12. Cela comprend la gestion d’outils à l’appui de la surveillance des réseaux et des appareils électroniques du ministèreNote en bas de page 13.

Dans le cadre du présent plan, SPC est responsable de ce qui suit.

  • Surveiller la santé des infrastructures de sécurité et des activités inhabituelles sur les réseaux gérés par SPC.
  • Bloquer et atténuer les cybermenaces visant les réseaux ou les renseignements gérés par SPC.
  • Signaler un événement de sécurité d’intérêt au Centre pour la cybersécurité et aux ministères clients par l’intermédiaire du Centre pour la cybersécurité, au besoin.
  • Répondre aux recommandations du Centre pour la cybersécurité et du SCT, et veiller à ce que les mises à jour et les mesures d’atténuation soient appliquées en temps opportun.
  • Participer à l’identification des événements de cybersécurité et à leur atténuation, à l’évaluation des risques, à la reprise des activités et aux analyses post-événement dans le GC.
  • Évaluer l’incidence des cybermenaces, des vulnérabilités et des incidents de sécurité sur l’ensemble des programmes et services du GC, afin de faciliter l’établissement de rapports à l’échelle du gouvernement devant être soumis au Centre pour la cybersécurité et au SCT.
  • Mettre en œuvre des mesures de prévention, d’atténuation et de reprise des activités, et fournir des mises à jour opportunes sur la connaissance de la situation aux principaux intervenants du PGEC GC.
  • En cas d’événement de cybersécurité, assurer la coordination avec les partenaires afin de déterminer si une infrastructure que SPC gère doit être fermée ou isolée du réseau en établissant et en mettant en œuvre un plan de gestion des correctifs, y compris un processus de correction d’urgence, pour la portée des services et des systèmes relevant de sa responsabilité.
  • Établir des rapports et concevoir d’autres produits d’information à l’intention des principaux intervenants du PGEC GC, y compris :
    • l’état de la vulnérabilité et de l’atténuation pour les organisations touchées;
    • les journaux de sécurité de l’infrastructure pour le Centre pour la cybersécurité;
    • les rapports post-événement, y compris la chronologie des événements et une analyse de la cause première, à soumettre au Centre pour la cybersécurité, au SCT et à d’autres organisations pertinentes, au besoin (p. ex. le BCP).

Sécurité publique Canada – Centre des opérations du gouvernement (COG)

Le COG dirige et appuie la coordination des interventions en réponse à tout type d’événement qui menace les intérêts nationaux. En tout temps, il assure la surveillance, établit des rapports, offre une connaissance de la situation à l’échelle nationale, élabore des évaluations intégrées du risque et de produits d’avertissement, effectue la planification à l’échelle nationale et coordonne une gestion pangouvernementale des interventions. Pendant les périodes d’intervention accrue, le COG bénéficie de l’appui du personnel d’autres organisations.

Dans le cadre du présent plan, le COG est responsable de ce qui suit.

  • Surveiller des événements de cybersécurité de niveau 3 et plus afin de déterminer si le renvoi à un niveau supérieur ou inférieur est requis, dont :
    • préparer, à l’intention des centres des opérations de l’ensemble du gouvernement, des produits d’avertissement et de sensibilisation;
    • établir des plans et procéder à des évaluations des risques;
    • informer les organes de gouvernance du PFIU.
  • Assurer le maintien d’un lien entre le PGEC GC et le Protocole d’échange d’information sur les événements marquants (PEIEM)Référence R3 (uniquement accessible sur le réseau du GC).
  • Recommander l’activation du PGEC GC si le COG a connaissance d’un incident marquant comportant un lien cybernétique.
  • Recommander le renvoi au PEIEM si un cyberincident soulève des préoccupations dans le cadre du PEIEM.
  • Coordonner l’intervention globale du GC aux événements qui relèvent du PFIU (niveau 4) et assurer la coordination entre les aspects cybernétiques et non cybernétiques.
  • Veiller à ce que l’équipe des communications de SP reçoive en temps opportun les renseignements nécessaires pour élaborer des produits de communication et veiller à ce qu’une approche coordonnée et harmonisée soit en place pour les communications publiques entre les intervenants concernés par le niveau 4.

Bureau du Conseil privé (BCP)

Le BCP, participe à la formulation et à la mise en œuvre du programme de politiques du GC et à la coordination de solutions opportunes aux problèmes d’importance nationale, internationale ou intergouvernementale auxquels le GC est confronté. À ce titre, l’équipe de Sécurité et renseignement (S et R) du BCP joue un rôle de premier plan dans la coordination des interventions pangouvernementales en réponse aux urgences sécuritaires nationales.

Dans le cadre du présent plan, l’équipe de S et R du BCP est chargée :

  • d’appuyer le processus décisionnel en veillant à ce que les hauts fonctionnaires soient rapidement informés des incidents de cybersécurité pouvant avoir une importance nationale ou des répercussions sur la sécurité nationale;
  • participer aux équipes de gouvernance du PGEC GC à titre de guide et de conseillère, lorsque cela est justifié par la menace ou l’incident national donné.

De plus, l’équipe des CS du BCP joue un rôle au cours d’incidents cybernétiques marquants, notamment :

  • fournir des conseils en matière de communication au Cabinet et aux hauts fonctionnaires du BCP;
  • coordonner les communications à l’échelle du gouvernement (en collaboration avec les équipes de communication de SP et du CST [Centre pour la cybersécurité]), y compris la gestion de crise, pendant un événement de cybersécurité.

Comité des directeurs généraux sur la gestion des urgences (CDGGU)

Le CDGGU est composé d’institutions fédérales dont les mandats statutaires sont essentiels pour faire progresser un Canada résilient aux catastrophes, ainsi que d’un large éventail d’institutions fédérales dont les mandats de gestion des urgences peuvent être pertinents. Le Comité est chargé de promouvoir une vision pansociétale des enjeux horizontaux en matière de gestion des urgences.

Dans le contexte du présent plan, le CDGGU est l’interface du PGEC GC au sein de la structure de gouvernance du PFIU durant les événements de niveau 4, assurant au besoin la liaison avec les comités des sous-ministres adjoints, des sous-ministres et du Cabinet.

Ministères et organismes

Les ministères et organismes jouent un rôle clé dans la gestion des événements de cybersécurité dans l’ensemble du gouvernement, qu’ils soient ou non directement touchés par l’événement. La gouvernance, les procédures et les plans ministériels doivent être élaborés de manière à appuyer les rôles et les responsabilités des ministères concernant la gestion des événements de sécurité et les plans de continuité des activités en place conformément à la Politique sur la sécurité du gouvernementRéférence R10 et aux directives et normes connexes.

Dans le cadre du présent plan, les ministères et organismes, sous la direction de l’agent désigné pour la cybersécurité (ADC) et en collaboration avec leur DPI et dirigeant principal de la sécurité (DPS), sont chargés de ce qui suit.

  • Veiller à ce que les exigences en matière de cybersécurité et les mesures appropriées fondées sur le risque soient appliquées en permanence selon une approche de détermination, de protection, de détection, d’intervention et de reprise, conformément à l’annexe B : Procédures obligatoires relatives aux mesures de sécurité de la technologie de l’information de la Directive sur la gestion de la sécuritéNote en bas de page 14.
  • Établir un plan ministériel de gestion des cyberévénements, y compris des rôles et des responsabilités clairs lorsqu’il peut y avoir divers intervenants jouant un rôle dans les interventions liées aux activités du PGEC GCNote en bas de page 15 (p. ex. équipe de gestion des incidents, équipe de l’accès à l’information et de la protection des renseignements personnels [pour la gestion des atteintes à la vie privée], représentants des communications ministérielles, et organisations de services internes intégrés [comme SPC]).
  • Veiller à ce que les exigences de la direction et les exigences relatives à l’établissement de rapports liées aux événements de cybersécurité soient clairement stipulées dans les contrats, les protocoles d’entente et les autres accords officiels conclus avec des partenaires externes (p. ex. des fournisseurs du secteur privé et d’autres ordres de gouvernements) et à ce que ces contrats, protocoles et accords tiennent compte des exigences établies dans les instruments de politique applicables du GC et des ministères, ainsi que dans le PGEC GC, entre autres instruments.
  • Tenir à jour un répertoire des services critiques et assurer une compréhension continue de l’ensemble des renseignements, afin de faciliter les interventions ou l’établissement des priorités.
  • Veiller à ce qu’un plan ministériel de gestion des correctifs comprenant une description claire des rôles et responsabilités et des procédures de gestion des correctifs en cas d’urgence, soit établi et tenu à jour.
  • Veiller à ce que la consignation des événements soit configurée dans les systèmes informatiques gérés par les ministères et que les registres soient transmis au système centralisé de consignation des événements et des renseignements de sécurité.
  • Assurer une surveillance continue de la sécurité de l’information pour les services et les systèmes relevant de la compétence du ministère (notamment les applications et services de TI gérés par le ministère, comme les postes de travail et les environnements d’informatique en nuage).
  • Assurer l’harmonisation des rôles, des responsabilités et des processus entre le ou les plans de continuité des activités ministériels et le plan ministériel de gestion des événements de cybersécurité.
  • Surveiller les produits d’information technique du Centre pour la cybersécurité et évaluer leur applicabilité aux systèmes d’information que les ministères gèrent et possèdent.
  • Tenir à jour des boîtes aux lettres génériques qui utilisent l’infrastructure à clés publiques (ICP) pour le DPI, l’ADC et les équipes de la sécurité des TI du ministère afin de permettre des communications sécurisées.
  • Évaluer les répercussions des cybermenaces, des vulnérabilités et des incidents de sécurité sur les programmes et les services ministériels.
  • Signaler les événements et les incidents de cybersécurité, conformément aux articles 2.3.1.2 à 2.3.1.4 du présent plan, notamment en :
    • suivant les protocoles appropriés en cas d’atteinte à la vie privée, y compris la communication de renseignements importants sur la vie privée au Commissariat à la protection de la vie privée du Canada et au SCT (conformément à la Directive sur les pratiques relatives à la protection de la vie privéeRéférence R16);
    • avisant le Centre pour la cybersécurité lorsque de l’aide supplémentaire est requise pour exécuter des activités d’intervention;
    • avisant l’organisme approprié chargé de la sécurité nationale ou de l’application de la loi lorsqu’un événement est de son ressort;
    • prenant des mesures immédiates au sein du ministère pour évaluer les répercussions, y compris s’il y a atteinte à la vie privée, et en mettant en œuvre des mesures d’atténuation en réponse à des événements de cybersécuritéNote en bas de page 16.
  • Répondre aux demandes d’intervention (DI) dans les délais impartis.
  • Mettre en œuvre des mesures d’atténuation et appuyer les activités de reprise selon les directives et l’orientation émises par les PORS ou les organismes centraux.
  • Participer aux équipes de gouvernance du PGEC GC sur demande (habituellement lorsqu’un événement de cybersécurité les concerne).
  • Élaborer et publier des produits de communication et de gestion pertinents destinés aux intervenants et aux clients (en consultation avec la division des CSAM du SCT et l’équipe des CS du BCP ou sous leur direction, au besoin).
  • Réaliser des analyses post-événement et préparer des rapports sur les leçons retenues (pour les événements donnés), et en présenter les résultats au Centre pour la cybersécurité.
  • Tenir à jour et améliorer continuellement leur capacité d’intervention, notamment la mise en application des leçons retenues (dans le ministère et dans l’ensemble du gouvernement), la mise en pratique périodique de leurs plans et procédures, la tenue à jour de listes de personnes-ressources internes, et la formation du personnel responsable d’intervenir en cas d’événement de cybersécurité.

Organisations de services internes intégrés (OSII)

Une OSII, comme définie dans la Politique sur la sécurité du gouvernementRéférence R10, est un ministère ou un organisme qui fournit des services intégrés internes à d’autres ministères du GC. Les OSII doivent établir des mécanismes afin d’informer leurs bénéficiaires des événements de cybersécurité qui ont une incidence sur leurs systèmes ou leurs données. Il s’agit notamment de fournir aux bénéficiaires les données dont ils ont besoin pour préparer, en temps opportun, des rapports d’incident et des réponses aux DI, ainsi que toute autre preuve numérique requise afin d’appuyer les activités d’atténuation, de reprise et post-événement des ministères.

Partenaires externes

Les ministères et organismes comptent souvent sur divers partenaires externes au GC pour appuyer la prestation des programmes et des services, y compris d’autres ordres de gouvernement et des partenaires universitaires ou scientifiques. Les partenaires externes sont tenus de gérer les événements de cybersécurité et d’en rendre compte conformément aux stipulations des accords respectifs des responsables des services des ministères.

Fournisseurs tiers

Les fournisseurs tiers comprennent des organismes du secteur privé comme les fournisseurs de services infonuagiques (FSI) et les fournisseurs de services gérés (FSG). Alors qu’un FSG est une entreprise qui gère à distance l’infrastructure informatique et les systèmes de l’utilisateur au nom d’un client, un FSI dicte à la fois la technologie et les procédures opérationnelles disponibles pour le consommateur (p. ex. les ministères et organismes). Les fournisseurs tiers sont tenus de gérer les événements de cybersécurité et d’en rendre compte conformément aux stipulations des accords contractuels respectifs prévus par les responsables des services du ministère, dans le cadre de l’approche ministérielle de gestion des risques liés à la chaîne d’approvisionnement.

Dans le cadre du présent plan, les fournisseurs tiers sont censés :

  • intervenir rapidement en cas d’incident ayant une incidence sur l’information et les biens du GC afin de minimiser les dommages qui en résultent. Le GC ou le fournisseur tiers peut repérer les cyberévénements (p. ex. problèmes d’utilisation d’un service);
  • gérer et rendre compte des cyberévénements conformément aux stipulations des accords contractuels respectifs fournis par les responsables des services ministériels;
  • travailler en collaboration avec le Centre pour la cybersécurité et les ministères touchés afin d’obtenir l’information nécessaire, y compris les journaux d’événements, dans le but de mener des enquêtes et d’appuyer les activités de confinement, d’éradication et de reprise.

C-2. Rôles et responsabilités par phase

La présente section décrit les rôles et les responsabilités des intervenants du PGEC GC par phase.

C-2.1. Préparation

Tableau C-4. Activités des intervenants au cours de la phase de préparation
Intervenant Activités

Tous les intervenants du PGEC GC (y compris les ministères et organismes)
  • Veillent à ce que les exigences en matière de cybersécurité et les mesures de protection et de prévention appropriées, fondées sur les risques, soient appliquées en permanence selon une approche d’identification, de protection, de détection, d’intervention et de reprise pour protéger les systèmes et services d’information sous leur responsabilité, conformément aux orientations et aux conseils émis par les PORS.
  • Fournissent une formation de sensibilisation à la sécurité à tous les employés ainsi qu’une formation spécialisée aux spécialistes fonctionnels de la sécurité, s’il y a lieu.
  • Élaborent des plans, des processus et des procédures ministériels pour répondre aux événements de cybersécurité et signaler les incidents aux autorités compétentes, conformément au PGEC GC, mettent à l’essai et en pratique leur réponse à un cyberévénement, participent à des exercices à l’échelle du GC au besoin et veillent à ce que les leçons retenues soient mises en œuvre au niveau ministériel.
  • Tiennent continuellement à jour un répertoire des actifs de leur système d’information, y compris une liste de leurs services critiques.
  • Surveillent en permanence les systèmes d’information et les actifs afin de repérer les événements de cybersécurité, de gérer les vulnérabilités et de mettre en œuvre des actions correctives, telles que l’application rapide de correctifs et de mises à jour liés à la sécurité.
  • Tiennent à jour les coordonnées de personnes-ressources, y compris les boîtes aux lettres génériques pour le DPI, l’ADC et les équipes de sécurité des TI de leur ministère.
  • Établissent un processus de surveillance des boîtes aux lettres génériques pendant les heures normales de travail et en dehors de celles-ci.
  • Veillent à ce que les menaces et les vulnérabilités de la chaîne d’approvisionnement pour les services de TI obtenus par l’intermédiaire de fournisseurs tiers soient atténuées et gérées au moyen d’ententes contractuelles définissant clairement les rôles et les responsabilités des organisations du GC, à ce que les fournisseurs tiers assurent leur cybersécurité par rapport aux mesures de cybersécurité de base approuvés par le GC et aux exigences de sécurité contractuelles, et à ce que les ententes contractuelles incluent l’exigence de collaborer avec les intervenants du PGEC GC en cas de cyberévénement touchant le fournisseur tiers.
  • Dans le cas des cyberévénements affectant les systèmes de sécurité nationale (SSN), veiller à ce que le DPI, l’ADC et les équipes de sécurité des TI des ministères disposent des outils appropriés, proportionnels à la catégorie de sécurité du système d’information concerné, afin de communiquer de façon sécuritaire avec le Centre pour la cybersécurité.

Dirigeant principal de l’information du Secrétariat du Conseil du Trésor du Canada
  • Élabore et tient à jour le PGEC GC, coordonne les exercices réguliers avec tous les intervenants concernés et veille à ce que les leçons retenues soient mises en œuvre.
  • Examine les rapports rétrospectifs et les leçons tirées des événements passés et apporte des changements aux instruments de politique du Conseil du Trésor, à l’orientation en matière de sécurité de l’organisation, aux architectures de référence et autres, selon les besoins.

Centre pour la cybersécurité
  • Tient à jour des listes de distribution opérationnelles à l’échelle du GC et veille à ce que les ministères et organismes reçoivent continuellement les conseils et l’orientation nécessaires pour atténuer les cybermenaces et les vulnérabilités pour éviter que des événements de cybersécurité surviennent.
  • Produit des évaluations stratégiques des cybermenaces aux fins de consommation et de sensibilisation au sein du gouvernement du Canada.

C-2.2. Détection et évaluation

Tableau C-5. Activités des intervenants au cours de la phase de détection
Intervenant Activités

Tous les intervenants du PGEC GC (y compris les ministères et organismes)
  • Contrôlent leurs sources d’information respectives afin de détecter des signes précurseurs de cybermenaces ou de vulnérabilité, ou des indicateurs d’incidents de cybersécurité confirmés ou éventuels, et informent immédiatement le Centre pour la cybersécurité de cyberévénements possibles pouvant compromettre l’intégrité des systèmes d’information du GC.

Centre pour la cybersécurité
  • Surveille les renseignements provenant de son programme de capteurs, de sources de renseignement, de sources opérationnelles, et de partenaires internationaux et de confiance.

Intervenants spécialisés des PORS
  • La GRC surveille l’information provenant de sources ouvertes, de sources de renseignements et de sources opérationnelles.
  • Le SCRS surveille l’information provenant de sources de renseignements, de sources opérationnelles, de la collecte autorisée par la loi, de partenaires canadiens et étrangers, et d’autres partenaires de confiance.
  • Le MDN-FAC contrôle tous les réseaux du MDN, de même que les réseaux des sources alliées (comme l’OTAN), déployés dans le cadre des activités, et fournit des renseignements et des indicateurs cernés par des partenaires militaires externes et par l’intermédiaire d’activités du MDN-FAC.

Ministères et organismes
  • Facilitent la détection par la configuration de la fonction de consignation des événements, conformément au Guide sur la consignation d’événementsRéférence R13 du GC, sur les actifs de TI afin que les registres soient transmis ultérieurement à un système centralisé de consignation des événements et des renseignements de sécurité.
  • Surveillent les avis et les notifications aux fournisseurs du Centre pour la cybersécurité.

OSII (comme SPC)
  • Les OSII, comme SPC, qui gèrent des services de partenaires signalent l’événement au nom du partenaire.
  • Veillent à ce que les fournisseurs tiers, au moyen d’accords contractuels, rendent compte des cyberévénements ayant une incidence sur le GC auprès des intervenants principaux du PORS, le cas échéant.
  • Repèrent les systèmes touchés ou vulnérables, ou les événements de sécurité d’intérêt, et en rendent compte au Centre pour la cybersécurité, au besoin.
Tableau C-6. Activités des intervenants au cours de la phase d’évaluation
Intervenant Activités

Centre pour la cybersécurité
  • Établit le niveau initial d’intervention cybernétique, en consultation avec le BDPI du SCT et d’autres partenaires concernés, en se fondant sur les renseignements disponibles, y compris les renseignements ministériels, et fait appel aux organismes de gouvernance du PGEC GC appropriés.
  • Collabore avec le BDPI du SCT afin de déterminer les attentes relatives aux DI.

Dirigeant principal de l’information du Secrétariat du Conseil du Trésor du Canada
  • Peut ordonner à un administrateur général de mettre en œuvre une intervention propre aux événements de cybersécuritéNote en bas de page 17, y compris une DI aux ministères et organismes en réponse à un avis du Centre pour la cybersécurité.
  • Détermine les détails de la demande et les mesures applicables, en consultation avec le Centre pour la cybersécurité.
  • Recueille les réponses ministérielles aux DI et les communique au Centre pour la cybersécurité.

OSII (comme SPC)
  • Aide à effectuer un test de préjudice (incident) ou une évaluation des risques (menace/vulnérabilité), au besoin.
  • Surveille la santé des infrastructures de sécurité et recherche des activités inhabituelles sur les réseaux du GC.
  • Fournit des mises à jour opportunes sur la connaissance de la situation aux principaux intervenants du PGEC GC.

Ministères et organismes

  • Effectuent une évaluation de l’incidence ministérielle, y compris pour évaluer les répercussions sur l’organisation, notamment les personnes, les entreprises et les tiers.
  • Utilisent toutes les sources d’information à leur disposition, y compris les outils automatisés, dans la mesure du possible, pour recueillir les renseignements requis à l’appui de l’évaluation de l’incidence.
  • Déterminent si une atteinte à la vie privée a eu lieu et si l’incident met potentiellement en cause des renseignements personnels, avisent les autorités compétentes comme le bureau ministériel de l’accès à l’information et de la protection des renseignements personnels pour déterminer si une atteinte à la vie privée a eu lieu et, le cas échéant, mettre en œuvre le protocole en cas d’atteinte à la vie privée de l’organisation.
  • Remplissent les exigences en matière d’établissement de rapports décrites à la section 2.3.1.2 du présent plan dès qu’un événement de cybersécurité est détecté, notamment en soumettant les résultats de l’évaluation ministérielle au Centre pour la cybersécurité dans le respect des délais et en collaborant avec les organismes appropriés chargés de la sécurité nationale et de l’application de la loi si l’événement constitue une infraction criminelle ou une menace à la sécurité nationale des Canadiens et Canadiennes.

C-2.3. Atténuation et reprise

Tableau C-7. Activités des intervenants au cours de la phase d’atténuation et de reprise
Intervenant Activités

Dirigeant principal de l’information du Secrétariat du Conseil du Trésor du Canada
  • Assure la coordination stratégique, ce qui peut comprendre l’envoi de notes d’information et d’orientations stratégiques aux ministères et organismes visant à réduire au minimum l’incidence des événements de cybersécurité sur l’ensemble du gouvernement (p. ex. mise hors service des systèmes d’information vulnérables accessibles au grand public, recours aux plans de continuité des activités dans le cas d’événements de niveau 3 du PGEC GC ou lorsque cela est justifié par des événements de niveau 2 du PGEC GC).
  • Pour les événements de niveau 3, ou lorsque cela est justifié par des événements de niveau 2, met en place un centre de commandement des interventions au niveau des DG et un sous-comité de l’EHD, afin de permettre des décisions rapides en cas d’incident et d’assurer une approche coordonnée pour les mesures correctives et le rétablissement en cas de compromission, en vue de la reprise des activités.

Centre pour la cybersécurité
  • Assure la coordination opérationnelle, ce qui comprend l’envoi de conseils et d’orientations techniques aux ministères et organismes qui préconisent l’adoption de mesures permettant d’atténuer ou de circonscrire l’incidence sur les systèmes des ministères (p. ex. installation de correctifs, blocage des adresses IP) et le suivi de ces mesures et l’établissement de rapports connexes (tous les événements).
  • Dirige les activités de coordination des interventions en cas d’incident, pour les événements de niveau 2 à 3 du PGEC GC.
  • Pour le niveau 4, travaille avec le COG, qui active le PFIU afin qu’une approche coordonnée soit établie entre les organisations gouvernementales et non gouvernementales.
  • Pour les incidents confirmés (tous les PGEC GC de niveau 3 et plus et PGEC GC de niveau 2 applicables), le Centre pour la cybersécurité :
    • dirige l’élaboration d’un plan de confinement dans l’ensemble du GC, en collaboration avec les intervenants du PGEC GC;
    • tire parti de ses capacités techniques pour faciliter une intervention ciblée;
    • aide à mettre en œuvre le plan de prévention ou de confinement dans son domaine de responsabilité;
    • dirige les activités d’examen et d’analyse judiciaires (y compris la collecte des preuves) sur les systèmes de TI.

Intervenants spécialisés des PORS
  • Fournissent des conseils et des orientations à la lumière des informations obtenues de leurs sources respectives.

Sécurité publique Canada – Centre des opérations du gouvernement
  • Dans le cas des événements toujours gérés au moyen du PFIU, assure la coordination stratégique, ce qui peut comprendre l’envoi (par l’intermédiaire du BDPI du SCT) d’une orientation aux ministères et organismes afin de réduire au minimum l’incidence sur l’ensemble du gouvernement (événements de niveau 4 du PGEC GC seulement).

Ministères et organismes
  • Prennent des mesures immédiatesNote en bas de page 18 au sein du ministère pour mettre en œuvre des mesures d’atténuation en réponse à des événements de cybersécurité, en se fondant sur l’orientation et les conseils fournis par le Centre pour la cybersécurité et le BDPI du SCT, ou selon les directives du DPI du GC, dans les délais établis (sur les appareils et l’infrastructure dont ils sont responsables).
  • Collaborent avec leur OSII, selon les besoins, pour mettre en œuvre le plan de prévention ou de confinement dans leur domaine de responsabilité respectif.
  • Veillent à ce qu’un processus de chaîne de possessionNote en bas de page 19 soit défini et mis en œuvre, au besoin.

OSII (comme SPC)
  • Prennent des mesures immédiates au sein du ministère, conformément aux directives du DPI du GC, y compris la mise en œuvre de mesures d’atténuation en réponse à des événements de cybersécurité, en se fondant sur l’orientation et les conseils fournis par le Centre pour la cybersécurité et le BDPI du SCT, dans les délais établis (sur les appareils et l’infrastructure dont ils sont responsables).
  • Repèrent les systèmes touchés ou vulnérables relevant de la responsabilité de l’OSII et en rendent compte.
  • Assurent la liaison avec leurs partenaires ou leurs ministères clients pour mettre en œuvre des mesures d’atténuation des cyberévénements, comme la coordination des correctifs d’infrastructure.
  • Fournissent des rapports aux principaux intervenants du PGEC GC sur l’état de la gestion de la vulnérabilité et des activités d’atténuation ou de reprise.

C-2.4. Activités post-événement

Tableau C-8. Activités des intervenants au cours de la phase d’activités post-événement
Intervenant Activités

Dirigeant principal de l’information du Secrétariat du Conseil du Trésor du Canada
  • Produit un rapport sur les leçons retenues et un plan d’action au nom du GC, axé sur les rapports post-événement élaborés à partir du Centre pour la cybersécurité (événements de niveau 3 ou lorsque cela est justifié par des événements de niveau 2).
  • Surveille la mise en œuvre des recommandations issues des rapports sur les leçons retenues et des plans d’action connexes.

Centre pour la cybersécurité
  • Recueille toutes les constatations ministérielles.
  • Établit un rapport post-événement, qui comprend la chronologie des événements et une analyse de la cause première.

OSII (comme SPC)
  • Effectuent des évaluations de la vulnérabilité et des tests de pénétration proactifs et à la demande.
  • Établissent des rapports post-événement, y compris la chronologie des événements et une analyse de la cause première, et les soumettent au Centre pour la cybersécurité, au SCT et à d’autres organisations concernées, au besoin.

Sécurité publique Canada – Centre des opérations du gouvernement
  • Produit un rapport sur les leçons retenues pour les événements de niveau 4.
  • Surveille la mise en œuvre des recommandations (événements de niveau 4 uniquement).

Ministères et organismes
  • Produisent leur propre plan d’action et rapport ministériel sur les leçons retenues lorsqu’ils sont touchés par un cyberévénement.
  • Contribuent aux activités post-événement à l’échelle du GC, au besoin.

Tous les autres intervenants du PGEC GC

  • Fournissent l’information nécessaire pour appuyer l’élaboration de rapports sur les leçons retenues à l’échelle du GC.
  • Contribuent à la mise en œuvre des mesures de suivi connexes relevant de leur domaine de responsabilité.

Annexe D : Procédures d’établissement de rapports

Dans cette section

L’annexe D décrit les procédures à suivre pour rendre compte au Centre pour la cybersécurité ou à la GRC. Exemples non exhaustifs de types d’événements qui devraient être signalés :

  • la compromission suspectée ou réelle de tout identifiant administratif;
  • les activités suspectes sur des appareils ayant été apportés dans des pays étrangers ou ayant été connectés à des réseaux ou à des appareils non fiables (comme une clé USB reçue en cadeau);
  • les courriels suspects ou ciblés contenant des liens ou des pièces jointes que les systèmes de contrôle en place n’ont pas détectés;
  • une activité du réseau suspecte ou non autorisée qui s’écarte de la norme;
  • la violation de données ou la compromission ou corruption de renseignements;
  • l’introduction intentionnelle ou accidentelle d’un logiciel malveillant dans un réseau;
  • les attaques par déni de service;
  • les tentatives réussies de rançongiciel;
  • la défiguration ou la compromission de pages Web ou d’une présence en ligne, y compris l’utilisation non autorisée de comptes de médias sociaux du GC;
  • les activités qui présentent un risque réel ou suspecté de menace interne.

Dans le cas des incidents de cybersécurité touchant les SSN, il ne faut donner que de l’information générale au moment de communiquer avec le Centre pour la cybersécurité ou le service de police compétent (y compris la GRC ou la police militaire), puis fournir les renseignements détaillés par l’intermédiaire des canaux sécurisés appropriés.

D-1. Renseignements sur les rapports d’incident

Le Tableau D-1 présente les renseignements qui doivent être fournis au moment de signaler un incident au Centre pour la cybersécurité et à la GRC.
Pour assurer l’établissement en temps opportun de rapports exhaustifs, les ministères doivent :

  • fournir un rapport initial contenant le plus d’information possible, dès que possible et au plus tard une heure après la détection initiale;
  • fournir un rapport détaillé plus complet dans les 24 heures suivant la détection contenant tout le reste de l’information décrite dans le tableau D-1 (dans la mesure du possible).

Lorsque cela est possible, on s’attend à ce que les ministères incluent l’évaluation de l’incidence ministérielle (voir l’annexe E) dans leur rapport détaillé.

Tableau D-1. Renseignements sur les rapports d’incident
ID Type Description

1

Coordonnées

Nom, numéro de téléphone, adresse courriel, organisation ou ministère, et rôle

2

Type de demande

Demande d’aide (urgente ou non) ou à titre informatif

3

Description/résumé de l’incident

Décrire le cyberincident en répondant à autant des questions ci-dessous que possible.

  • Quand l’activité a-t-elle eu lieu?
  • Quand l’activité a-t-elle été découverte?
  • L’activité malveillante est-elle toujours en cours?
  • Quels types d’actifs sont touchés (téléphone, site Web, ordinateur, compte, services, autre)?
  • Quelle est l’incidence de l’incident sur votre organisation ou vos services (étendue et gravité)?
  • La situation est-elle maîtrisée?
  • Des artefacts ont-ils été conservés (adresses courriel, adresses IP, fichiers suspects, notes de rançon, fichiers journaux, autres)?

4

Renseignements supplémentaires

Tout autre renseignement, y compris les références, les détails sur le périphérique, les indicateurs comme les adresses URL, les adresses IP, les mesures d’atténuation prises, et autres.

D-2. Communication avec le Centre pour la cybersécurité

Il faut utiliser les moyens de communication habituels (par courriel ou par téléphone en cas d’urgence) pour communiquer avec le Centre pour la cybersécurité en cas d’incident. En l’absence de moyens de communication habituels, les organisations du GC peuvent utiliser le portail de signalement d’incidents du Centre pour la cybersécurité. Dès réception du courriel, le Centre pour la cybersécurité examinera la demande et y répondra en temps opportun.

D-3. Communication avec la GRC

Pour signaler un incident de cybercriminalité à la GRC, les représentants ministériels doivent communiquer avec le CNC3 à l’adresse NC3Cyber-CyberGNC3@rcmp-grc.gc.ca, ou avec le Centre de coordination des opérations de la GRC (CCOG) par téléphone au 343-547-2730 ou par courriel à l’adresse rocc_ops_ccog@rcmp-grc.gc.ca, et demander à parler à quelqu’un du CNC3.

Dès réception du rapport sur l’incident, la GRC l’examinera et y répondra en temps opportun. Les réponses de la GRC peuvent comprendre un courriel avisant de la réception du rapport, une demande de renseignements supplémentaires ou une demande d’entrevue virtuelle ou en personne.

Annexe E : Évaluation de l’incidence sur le ministère

Dans cette section

Cette annexe décrit un processus général pour évaluer l’incidence d’un événement de cybersécurité. Ce processus en deux étapes peut être adopté et utilisé par les ministères besoin pour orienter leur plan d’intervention en cas d’incident.

Étape 1 : Test de préjudice

Quel que soit le type d’événements de cybersécurité (menaces, vulnérabilités ou incidents confirmés), l’évaluation de leur incidence commence par un test de préjudice permettant de mesurer le degré de préjudice qui pourrait vraisemblablement découler d’une compromission.

Étape 2 : Évaluation des risques

Dans le cas de cybermenaces ou de vulnérabilités, il faut déterminer la probabilité d’occurrence d’un préjudice afin d’obtenir une idée précise de l’éventuelle incidence sur un ministère.

E-1. Étape 1 : test de préjudice – pour tous les événements de cybersécurité

Le test de préjudice, qui s’effectue d’après le Tableau E-1, repose sur la gravité et l’étendue du préjudice qui pourrait vraisemblablement survenir.

Gravité

Les niveaux de gravité peuvent être caractérisés comme suit.

  • Limité : un événement qui, s’il survenait, causerait un préjudice limité.
  • Grave : un événement qui, s’il survenait, causerait un préjudice grave.
  • Considérable : un événement qui, s’il survenait, causerait un préjudice considérable.

La gravité du préjudice se rapporte au niveau de dommage ou de perte pour les types de préjudice suivants :

  • nuisible à la santé et à la sécurité des personnes;
  • pertes financières ou difficultés économiques;
  • répercussions sur les programmes et services publics;
  • menace pour l’ordre public ou pour la souveraineté nationale;
  • nuisible à la réputation ou aux relations;
  • portant préjudice à la nation ou à la sécurité nationale.

D’autres facteurs propres à un mandat ou à un contexte opérationnel d’un ministère ou d’un organisme peuvent également être pris en considération, ainsi que la catégorisation de sécurité du système d’information comme défini par l’annexe J : Norme sur la catégorisation de sécurité de la Directive sur la gestion de la sécuritéRéférence R21.

Étendue

L’étendue du préjudice réfère au nombre de personnes, d’organisations, d’installations ou de systèmes touchés, à la région géographique concernée (p. ex. préjudice localisé ou répandu) ou encore à la durée du préjudice (p. ex. court ou long terme). L’étendue peut être caractérisée comme suit.

  • Grande : le préjudice est répandu, est national ou international, s’étale à plusieurs pays ou juridictions, affecte d’importants programmes ou secteurs publics.
  • Moyenne : le préjudice concerne une administration, un secteur d’activité, un programme public, un groupe ou une collectivité.
  • Faible : le préjudice concerne un particulier, une petite entreprise.
Tableau E-1. Test de préjudice
  Étendue
Faible Moyenne Grande
Gravité Considérable Moyenne Élevée Très élevée
Grave Faible Moyenne Élevée
Limitée Faible Faible Moyenne
Résultat Niveau d’incidence sur le ministère

Le Tableau E-2 permet d’analyser les conséquences possibles d’une compromission et de valider les résultats du test de préjudice initial. Une fois confirmée, cette valeur peut être inscrite dans le rapport d’incident et soumise au Centre pour la cybersécurité.

Tableau E-2. Conséquences prévues d’une compromission
Incidence Conséquences d’une compromission

Très élevée
  • Nombreuses pertes de vie.
  • Lourde perte à long terme pour l’économie canadienne.
  • Atteinte majeure à la sécurité nationale (p. ex. compromet la capacité d’intervention des FAC ou les activités de renseignement nationales).
  • Préjudice grave aux relations diplomatiques ou internationales.
  • Perte de confiance à long terme de la population envers le GC, ce qui nuit à la stabilité du gouvernement.

Élevée
  • Blessés très graves ou décès parmi un groupe de personnes, ou nombreux blessés graves.
  • Perte financière grave qui nuit à l’économie canadienne, qui compromet la viabilité d’un programme public ou qui réduit la compétitivité à l’échelle internationale.
  • Entrave majeure à un ou plusieurs services critiques, ou entrave à la sécurité nationale.
  • Préjudice grave aux relations internationales qui pourrait entraîner une protestation ou une sanction officielle.
  • Perte de confiance à long terme de la population envers le GC, ce qui nuit à la réalisation d’un objectif prioritaire du gouvernement.

Moyenne
  • Menace pour la sécurité ou la vie d’une personne, ou blessés graves parmi un groupe de personnes.
  • Perte financière qui nuit au rendement de tout un secteur de l’économie, qui compromet la réalisation des objectifs d’un programme public ou qui nuit au bien-être d’un grand nombre de Canadiens et de Canadiennes.
  • Entrave majeure à la réalisation de programmes et de services accessibles au grand public, ou au bon fonctionnement d’un ministère, ce qui compromet la réalisation des objectifs.
  • Préjudice aux relations diplomatiques ou internationales.
  • Importante perte de confiance de la population dans le GC ou embarras pour le GC.

Faible
  • Dommage physique ou psychologique subi par une personne.
  • Pressions financières exercées sur une personne ou difficultés financières éprouvées par celle-ci.
  • Entrave au bon fonctionnement d’un ministère qui pourrait avoir une faible incidence sur l’efficacité d’un programme.
  • Nuisance à la réputation d’un particulier ou d’une entreprise.
  • Légère perte de confiance de la population dans le GC.

E-2. Étape 2 : évaluation des risques – seulement pour des cybermenaces ou vulnérabilités

À la différence des incidents de sécurité, dont le préjudice a été constaté, les autres cyberévénements que sont les cybermenaces et les vulnérabilités représentent un préjudice qui est encore à l’état de potentialité. Pour établir avec précision le niveau de l’incidence potentielle, il faut procéder à une évaluation du risque (à l’aide du Tableau E-3) afin de déterminer la probabilité que le préjudice se produise. En se fondant sur les résultats du test de préjudice réalisé à l’étape 1, on détermine le niveau de l’incidence sur le ministère, après correction du risque, en fonction de facteurs tels que des indicateurs (probabilité de compromission), l’exploitabilité, l’exposition des systèmes d’information touchés et la mise en œuvre de mesures compensatoires.

Tableau E-3. Évaluation des risques
  Exposition
Faible Moyenne Élevée Très élevée
  • Faible probabilité que la menace frappe le GC.
  • Vulnérabilité très difficile à exploiter.
  • Les systèmes vulnérables ne sont pas directement exposés (p. ex. systèmes autonomes).
  • Les mesures de sécurité en place offrent une protection efficace contre la menace ou la vulnérabilité.
  • Probabilité moyenne que la menace frappe le GC.
  • Vulnérabilité exploitable avec d’importantes ressources.
  • Les systèmes vulnérables sont accessibles par un seul ministère (p. ex. au moyen de son intranet).
  • Les mesures de sécurité en place offrent une protection partielle contre la menace ou la vulnérabilité.
  • Forte probabilité que la menace frappe le GC.
  • Vulnérabilité exploitable avec des ressources en quantité modérée.
  • Les systèmes vulnérables sont accessibles par de nombreux ministères (p. ex. extranet du GC).
  • Les mesures de sécurité en place offrent peu de protection contre la menace ou la vulnérabilité.
  • Menace ou compromission imminente
  • Vulnérabilité facilement exploitable avec peu de ressources.
  • Les systèmes vulnérables sont fortement exposés (p. ex. par Internet).
  • Les mesures de sécurité en place n’offrent aucune protection contre la menace ou la vulnérabilité.
Niveau d’incidence (selon le test de préjudice de l’étape 1) Très élevée Élevée Élevée Élevée Très élevée
Élevée Moyenne Moyenne Élevée Élevée
Moyenne Faible Moyenne Moyenne Moyenne
Faible Faible Faible Faible Faible
Résultat Niveau d’incidence sur le ministère, après correction du risque

Ce niveau d’incidence sur le ministère, après correction du risque, doit être signalé au Centre pour la cybersécurité (sur demande dans une DI) pour diffusion à l’échelle du GC.

Les cybermenaces ou les vulnérabilités doivent être considérées comme des incidents de cybersécurité dès la constatation du préjudice. Lorsqu’un préjudice passe de l’état de potentialité à celui de réalité, le test de préjudice évoqué précédemment devra faire l’objet d’une réévaluation, et ses résultats communiqués de nouveau au Centre pour la cybersécurité, qui devra déterminer s’il y a lieu d’intervenir autrement ou de s’en référer à l’autorité supérieure.

Annexe F : Procédures de renvoi à un niveau supérieur ou inférieur

Dans cette section

F-1. Procédures de renvoi à un niveau supérieur

Le tableau F-1 décrit les activités liées aux procédures de renvoi à un niveau supérieur du PGEC GC.

Tableau F-1. Procédures de renvoi à un niveau supérieur du PGEC GC
Procédures de renvoi à un niveau supérieur Activités

Événement passant du niveau 1 au niveau 2 du PGEC GC
  • La déclaration d’un événement de niveau 2 du PGEC GC est déterminée conjointement par les cadres supérieurs occupant un poste de direction du Centre pour la cybersécurité et du BDPI du SCT.
  • Une mise à jour est diffusée aux intervenants opérationnels par le Centre pour la cybersécurité.
  • Par la suite, le Centre pour la cybersécurité met sur pied une équipe de coordination des événements (ECE) en tant qu’organe central de coordination. L’ECE se réunit à une fréquence convenue pour faciliter l’échange de renseignements et la résolution, les représentants d’ECE fournissant les mises à jour opérationnelles de leur ministère respectif.
  • Les organisations participantes du PGEC GC sont responsables de désigner les chefs de l’opération (principaux et secondaires) et les experts qui doivent assister à chaque réunion.
  • Au cours de ces réunions, les ministères fournissent au Centre pour la cybersécurité des mises à jour approfondies sur tous les types d’intervention et de coordination en cas d’incident, aux fins de la création d’un rapport de situation (RAPSIT) officiel.
  • Un renvoi à un niveau supérieur peut se produire si des efforts accrus d’atténuation sont nécessaires, si l’incidence d’un événement est plus importante ou si la situation exige une intervention accrue du GC.
  • On fait également appel au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT.

Événement passant du niveau 2 au niveau 3 du PGEC GC
  • La déclaration d’un événement de niveau 3 du PGEC GC est déterminée conjointement par les cadres supérieurs occupant un poste de direction du Centre pour la cybersécurité et du BDPI du SCT (p. ex. dirigeant principal de la sécurité de l’information du gouvernement du Canada [DPSI GC]).
  • Une mise à jour est diffusée aux intervenants opérationnels par le Centre pour la cybersécurité.
  • Le Centre pour la cybersécurité met en place une EHD et peut inclure des ministères touchés, selon la taille et l’étendue de la compromission. En plus de l’ECE, l’EHD se réunit régulièrement.
  • En tant que sous-comité de l’EHD, le BDPI du SCT met en place un centre de commandement des interventions au niveau des DG comprenant les principaux intervenants (y compris les ministères touchés), afin de permettre des décisions rapides en cas d’incident et d’assurer une approche coordonnée pour les mesures correctives et le rétablissement en cas de compromission, en vue de la reprise des activités.
  • L’ECE continue de se réunir et de coordonner régulièrement les activités en cours. Le Centre pour la cybersécurité continue de publier les rapports centraux du RAPSIT. Des représentants des ministères touchés, de SPC (s’il y a lieu), du BDPI du SCT et des PORS participent aux réunions et fournissent le mémoire de leur ministère sur les importantes mises à jour opérationnelles.
  • On fait également appel au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT.

Événement passant du niveau 3 au niveau 4 du PGEC GC
  • Lorsqu’un événement du PFIU est déclaré par SP, les cadres au niveau des DG du Centre pour la cybersécurité, du BDPI du SCT (DPSI GC) et du COG, en consultation avec l’EHD, recommandent au DPI du GC si un événement de niveau 4 du PGEC GC doit être déclaré, conformément au cadre de coordination de l’intervention du PFIU.
  • Si le DPI du GC approuve le renvoi d’un événement au niveau 4 du PGEC GC, le COG active le PFIU.
  • Les intervenants du PGEC GC continuent de remplir leurs mandats respectifs au GC et continuent de coordonner les activités en cours aux côtés des équipes d’événements du PFIU.
  • L’ECE et l’EHD continuent de se réunir et de coordonner régulièrement les activités en cours. Le Centre pour la cybersécurité continue de publier les rapports centraux du RAPSIT. Des représentants des ministères touchés, de SPC (s’il y a lieu), du BDPI du SCT et des PORS participent aux réunions et fournissent le mémoire de leur ministère sur les importantes mises à jour opérationnelles.
  • On fait appel au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT, en coordination avec le PFIU.

F-2. Procédures de renvoi à un niveau inférieur

Les niveaux d’intervention du GC peuvent être réduits à mesure qu’un cyberévénement se déroule. Plusieurs facteurs de renvoi à un niveau inférieur doivent être pris en compte, par exemple, si un incident est jugé suffisamment contenu, moins grave qu’initialement déterminé, si la menace est réduite, ou si la vulnérabilité est atténuée. Le tableau F-2 décrit les activités liées aux procédures de renvoi à un niveau inférieur du PGEC GC.

Tableau F-2. Procédures de renvoi à un niveau inférieur du PGEC GC
Procédures de renvoi à un niveau inférieur Activités

Événement passant du niveau 4 au niveau 3 du PGEC GC
  • Lorsque SP abandonne un événement du PFIU qui a déclenché un événement de niveau 4 du PGEC GC, le niveau du PGEC GC passe automatiquement au niveau 3.
  • Une mise à jour est diffusée à tous les intervenants opérationnels, au besoin.
  • Les réunions de l’EHD et de l’ECE continuent d’avoir lieu, de même que l’établissement de rapports central et continu du RAPSIT du Centre pour la cybersécurité en lien avec l’événement de niveau 3 du PGEC GC.
  • On fait appel au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT.

Événement passant du niveau 3 au niveau 2 du PGEC GC
  • Le renvoi à un niveau inférieur est déterminé conjointement par les cadres au niveau des DG du Centre pour la cybersécurité et du BDPI du SCT (DPSI GC), qui organisent une conférence pour déterminer la gravité actuelle du cyberévénement.
  • Une mise à jour est diffusée à tous les intervenants opérationnels, au besoin.
  • Le Centre pour la cybersécurité met fin à l’EHD.
  • Les réunions de l’ECE continuent d’avoir lieu, de même que l’établissement de rapports central et continu du RAPSIT du Centre pour la cybersécurité.
  • On continue de faire appel au Cadre de communication en matière de cybersécurité de la division des CSAM du SCT.

Événement passant du niveau 2 au niveau 1 du PGEC GC
  • Le renvoi à un niveau inférieur est déterminé conjointement par les cadres au niveau des DG du Centre pour la cybersécurité et du BDPI du SCT, selon la gravité actuelle du cyberévénement.
  • Une mise à jour est diffusée à tous les intervenants opérationnels, au besoin.
  • Le Centre pour la cybersécurité met fin à l’ECE.
  • Des activités post-événement sont menées, conformément à la section 4.4.
  • La division des CSAM du SCT appuie les organisations dans la transition vers les communications de niveau 1.

Annexe G : Structure de commandement intégrée

Dans cette section

G-1. Aperçu

Pour tout type d’événement nécessitant une intervention organisationnelle, le leadership joue un rôle essentiel pour veiller à ce que les mesures d’intervention soient appropriées, efficaces, opportunes et communiquées aux intervenants concernés. Tel qu’il est indiqué dans la section 3.3, bien que le PGEC GC soit axé sur les pouvoirs et les responsabilités en matière de gestion des cyberévénements, ces derniers peuvent devenir des événements non cybernétiques qui dépassent la portée du PGEC GC, comme les atteintes confirmées à la vie privée ou les interruptions de service de TI non liées à la sécurité.

Comme l’illustre la figure G-1, pour assurer un leadership continu lorsque les événements sont considérés comme des événements non cybernétiques, une structure de commandement intégrée théorique est proposée. La mise en place d’une structure de commandement intégrée permettra au GC de définir le transfert à partir du PGEC GC vers le cadre ou le processus reconnu approprié, afin de réagir aux événements qui évoluent rapidement et qui exigent une coordination à l’échelle du GC.

La structure de commandement intégrée souligne le rôle de commandant de l’événement, qui est désigné en fonction de la nature de l’événement non cybernétique. Elle comprend également des rôles de soutien visant à faciliter la mise en place d’une approche globale de gestion des événements non cybernétiques ayant une incidence sur le GC.

Pour certains événements, il peut arriver que le commandement d’événement soit transféré de multiples fois, à mesure que la situation évolue.

Figure G-1. Structure de commandement intégrée théorique
Structure de commandement intégrée théorique, version textuelle ci-dessous :
Figure G-1 - Version textuelle

Le commandant de l’événement se trouve au sommet de la structure de commandement.

Le commandant de l’événement est déterminé en fonction de la catégorie d’événement.

La rotation des commandants de l’événement peut s’avérer nécessaire en fonction de l’évolution de l’événement en question.

Les artefacts de soutien sont les suivants :

  • Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC);
  • Plan fédéral de réponse aux cyberincidents (PFRC)
  • Plan fédéral d’intervention d’urgence (PFIU)
  • Communications
  • Plans logistiques
  • Documents administratifs et financiers
  • Plans ministériels

Les fonctions de soutien sont les suivantes :

  • Cybersécurité
  • Technologie de l’information
  • Protection de la vie privée
  • Sécurité intégrée
  • Services juridiques
  • Communications
  • Ressources humaines

G-2. Rôles et responsabilités

Le tableau suivant décrit les responsabilités du commandant de l’événement.

Tableau G-1. Responsabilités du commandant d’événement
Responsabilité Description

Leadership
  • Établir des objectifs d’intervention clairs et réalisables en cas d’événement.
  • Affecter et gérer efficacement les ressources.
  • Fournir une source unifiée de vérité lors de la communication d’information essentielle aux intervenants pertinents.

Coordination
  • Coordonner et diriger les intervenants appropriés dans l’intervention dans le cadre de l’événement qui se déroule.
  • Diriger les engagements avec des organisations externes (comme des fournisseurs tiers).
  • Présider les réunions de coordination des événements.
  • Animer les séances d’information à l’intention des hauts fonctionnaires.

Décisions d’ordre tactique
  • Renvoyer les événements à un niveau supérieur conformément au cadre pertinent ou d’autres plans applicables à l’événement non cybernétique en question.
  • Travailler avec les intervenants appropriés.
  • Prendre des décisions finales sur les plans d’action, en collaboration avec les intervenants appropriés et les fonctions de soutien.

Séances d’information
  • Animer d’importantes séances d’information à l’intention de comités de haute direction ou des membres, selon la nature de l’événement.
  • Fournir des rapports de situation aux comités exécutifs, au besoin, notamment :
    • des rapports d’incident initiaux;
    • des rapports d’incident détaillés.
  • Transmettre à un niveau supérieur les décisions nécessitant l’approbation d’un haut fonctionnaire ou ministre.

Sous la direction du commandant de l’événement, les fonctions de soutien appropriées seraient responsables des mesures qui suivent.

  • Enquêter sur les causes premières de tout incident.
  • Effectuer les analyses judiciaires ou toute autre analyse requise.
  • Recueillir l’information requise pour prendre des décisions.
  • Transmettre l’information essentielle au commandant d’événement.
  • Contribuer aux rapports d’incident initiaux et aux rapports d’événement détaillés en raison de leurs domaines d’expertise et de leur connaissance de la situation.Référence R22
  • Assister aux réunions de coordination des événements ou des comités à titre d’experts pour appuyer le commandant de l’événement au besoin.

Détails de la page

2026-05-20