Vérification interne de la planification de la reprise en cas de sinistre informatique

Direction générale de la vérification interne et de la responsabilisation
Janvier 2014

Table des matières

Sommaire

L'objectif de la vérification consistait à donner l'assurance que les données et les biens relatifs aux technologies de l'information (TI) sont tenus à jour et protégés, dans le cadre d'un plan de reprise en cas de sinistre informatique (PRSI), de façon à assurer un accès constant aux fonctions des TI à Citoyenneté et Immigration Canada (CIC).

Pourquoi est-ce important?

Le PRSI, qui fait partie intégrante de la planification de CIC en matière de gestion des urgences et de continuité du service, énumère les étapes nécessaires à la reprise des biens de TI après une interruption imprévue ou importante. Ce plan a pour objectif de veiller à la prestation ininterrompue des services de TI du Ministère afin de contribuer à la santé, à la sécurité, au bien-être économique et à la sûreté des Canadiens.

Principales constatations

La Norme sur le programme de planification de la continuité des activités de CIC expose les grandes lignes des rôles et responsabilités liés à la gouvernance des PRSI. L'exigence relative à l'approbation annuelle n'est pas respectée depuis 2008. Comme certaines parties des PRSI de l'administration centrale (AC) et des régions de CIC ont été mises à jour, un examen exhaustif devrait être effectué afin de s'assurer que ces plans sont conformes aux priorités actuelles et qu'ils tiennent compte des changements qui ont eu lieu au Ministère à la suite de la restructuration. Il existe des procédures annuelles pour prioriser les ressources nécessaires au rétablissement et des systèmes à rétablir, mais elles ne tiennent pas compte des exigences des tiers. L'AC a établi et diffusé un PRSI qui permet d'assurer la reprise des systèmes essentiels de CIC et qui comprend un plan des mesures d'urgence; toutefois, il ne définit pas les rôles et les responsabilités des principaux intervenants en cas d'urgence. Enfin, il n'existe aucun processus officiel pour maintenir et soutenir les PRSI à l'échelle de CIC : les plans de l'AC et des régions font l'objet de révisions qui en sont à diverses étapes.

Les objectifs concernant la reprise, qui font état des attentes de la direction à l'égard de la perte d'information et qui constituent le fondement des procédures de sauvegarde, n'ont pas été définis. La coordination des processus de sauvegarde avec Services partagés Canada (SPC) est informelle et lorsque ces processus ne sont pas menés à bien, SPC n'est pas tenu de présenter un rapport officiel à CIC.

La dernière mise à l'essai du PRSI à l'AC remonte à 2011, et a été effectuée dans le cadre d'une simulation sur table du Plan de continuité des activités (PCA). Dans les régions, aucune mise à l'essai régulière des PRSI n'est effectuée. Les résultats de la surveillance et des rapports établis concernant les PRSI ne sont pas transmis à la haute direction de CIC. À la suite de tout incident lié aux TI, un rapport d'incident est rédigé pour informer la gestion des TI de la cause de l'incident et des mesures de suivi appropriées à prendre; toutefois, aucun processus officiel n'a été établi pour assurer le suivi des recommandations formulées dans le rapport d'incident.

Aucun incident qui indiquerait que des tentatives de rétablissement au moyen du PRSI ont échoué n'a été signalé pendant la période visée par la vérification.

Conclusion

Nous avons constaté que le PRSI de CIC ne fait pas l'objet de suffisamment de révisions et de surveillance pour garantir la disponibilité continue des fonctions de TI de manière conforme aux attentes de la haute direction.

La direction a accepté les résultats de la vérification et a élaboré un plan d'action qui tient compte des recommandations qui en découlentNote de bas de page 1.

Énoncé de conformité

La vérification est conforme aux normes de vérification interne du gouvernement du Canada, comme en témoignent les résultats du programme d'assurance et d'amélioration de la qualité. Nous avons étudié suffisamment de données pertinentes pour étayer nos conclusions.

Gibby Armstrong
Directrice générale de la Vérification interne
Citoyenneté et Immigration Canada

Contexte

La technologie de l'information joue un rôle essentiel dans la capacité de CIC de fournir des services à ses clients partout dans le monde.

En établissant un PRSI mis à jour, on s'assure que les ressources et l'information nécessaires pour rétablir les biens de TI et les services en situation d'urgence seront en place lorsque le besoin se présentera. Au gouvernement du Canada, la planification de la reprise après sinistre est régie par la Politique sur la sécurité du gouvernement, la Norme de sécurité opérationnelle – Programme de planification de la continuité des activités (PCA) et la Loi sur la gestion des urgences.

La Norme de sécurité opérationnelle – Programme de planification de la continuité des activités (PCA) exige des ministères qu'ils mettent en place un programme de planification de la continuité des activités afin d'assurer l'accessibilité continue aux services. Dans le cadre de ce programme, la Norme exige des ministères qu'ils créent un plan de continuité des services de gestion de l'information (GI) et de TI, aussi appelé un PRSI. Ce plan devrait mettre en relief les priorités en matière de systèmes et de ressources, décrire les procédures de reprise et définir les exigences relatives à l'information, à l'équipement et au personnel, notamment les rôles et les responsabilités, pour le rétablissement des services essentiels au Ministère.

La gouvernance du Programme de planification de la continuité des activités de CIC a été établie dans le cadre d'une norme ministérielle approuvée par le sous-ministre. La planification de la continuité des activités – l'aspect humain, physique et matériel de la reprise à CIC – est gérée par Sécurité ministérielle, tandis que la planification de la reprise après sinistre informatique – l'aspect GI-TI de la reprise – est gérée par la Direction générale des solutions et de la gestion de l'information (DGSGI). La planification de continuité des activités doit tenir compte des besoins de tous les tiers, notamment les autres ministères qui dépendent de CIC pour la prestation des services, les autres ministères qui offrent des services à CIC et les fournisseurs de services externes liés par contrat avec CIC.

À l'été 2011, les services de réseaux, de courriel et de centre de données dont CIC avait auparavant la responsabilité ont été transférés à SPC. Les principaux postes et processus indiqués dans le PRSI qui relevaient auparavant d'employés de CIC ont également été transférés à SPC.

La majorité des applications et de l'infrastructure de TI de CIC se trouvent dans la région de la capitale nationale. L'AC est responsable des éléments les plus cruciaux de la planification de la reprise après sinistre informatique du Ministère. Cependant, les bureaux régionaux de CIC assurent aussi le bon fonctionnement de certaines applications et d'une partie de l'infrastructure, et sont tenus de créer et de mettre à jour leur propre PRSI.

Objectif et portée de la vérification

L'objectif de la vérification consistait à donner l'assurance que les données et les biens relatifs aux TI sont tenus à jour et protégés, dans le cadre d'un PRSI, de façon à assurer un accès constant aux fonctions des TI à CIC.

La portée de la vérification comprenait les processus applicables à l'intégrité des systèmes de TI et à la planification de la reprise en cas de sinistre informatique pour l'exercice 2012-2013. Les critères détaillés de la vérification utilisés dans le cadre de cet engagement se trouvent à l'annexe A. La vérification couvrait les activités du Ministère qui contribuent à la planification de la reprise après sinistre, notamment la coordination avec la Planification de la continuité opérationnelle et les tiers fournisseurs de services en GI-TI.

Recommandations et conclusions détaillées

Première constatation : Governance

Il est nécessaire de procéder à une mise à jour complète et à un examen exhaustif des PRSI.

Nous avons évalué la mesure dans laquelle la gouvernance de la planification de reprise en cas de sinistre informatique a été établie. Nous avons examiné les processus existants pour établir l'ordre de priorité des ressources essentielles à la reprise des TI et coordonner les exigences liées à la reprise. Nous avons examiné la façon dont les PRSI ont été élaborés et diffusés, ainsi que la manière dont les situations imprévues et les activités nécessaires ont été établies. Enfin, nous avons examiné la manière dont les PRSI sont maintenus et dont leur mise en œuvre est soutenue.

Le but de la structure de gouvernance est de veiller à ce que les plans soient appropriés, complets et à jour. Des processus devraient être en place pour aligner les ressources et les efforts de reprise prévus dans le plan sur les priorités de gestion et les exigences opérationnelles essentielles. Le PRSI doit établir clairement les rôles et les responsabilités. Les procédures établies dans le plan devraient mettre en relief les principales étapes du processus de reprise afin d'en garantir l'exécution correcte. Normalement, les préavis sont courts lorsque survient une situation d'urgence; les PRSI, dans le cadre de la planification d'urgence, doivent être tenus à jour si l'on veut qu'ils soient efficaces.

Le cadre de gouvernance en place n'est pas respecté.

CIC a mis sur pied un Programme de planification de la continuité des activités qui définit la gouvernance, les rôles, les responsabilités, les exigences et les obligations de rendre compte à des fins de poursuite des activités et de gestion des urgences à CIC. Deux des principaux éléments de ce programme à CIC sont le Plan de continuité des activités (PCA) et le PRSI. La majorité des activités de planification liées au PCA et au PRSI ont lieu à l'AC; toutefois, les bureaux régionaux sont tenus d'élaborer et de maintenir leurs propres plans.

Conformément au Programme de continuité des activités de CIC, le PCA de l'AC doit être approuvé chaque année par l'agent de sécurité ministériel (ASM) et le sous-ministre. Même si le PRSI de l'AC est une annexe au PCA, il doit également être approuvé annuellement par le dirigeant principal de l'information. Bien que des parties du PCA et du PRSI soient mises à jour chaque année, aucun des deux plans n'a été officiellement approuvé depuis 2008. Il faut noter qu'une mise à jour complète du PCA a été amorcée au cours de l'exercice 2013–2014 dans le but de tenir compte des changements et de la réorganisation majeure qu'a connus le Ministère. Comme le PRSI dépend de l'information qui se trouve dans le PCA pour ce qui est des priorités en matière de reprise des systèmes, cette mise à jour complète aura également une importante incidence sur les PRSI de CIC. En l'absence d'un PRSI en vigueur à l'AC, CIC ne peut garantir le rétablissement des systèmes de TI nécessaires à la prestation de services en respectant le bon ordre des priorités à la suite d'une urgence ou d'une crise.

Dans les bureaux régionaux de CIC, il n'existe aucun processus d'approbation des PRSI. La majorité des PRSI régionaux sont désuets. La plupart des régions ne possèdent pas de PRSI adéquat pour garantir la reprise rapide des services de TI et ainsi permettre la poursuite des activités dans les centres régionaux.

Il existe un processus pour établir la priorité des efforts, des ressources et des systèmes, mais il ne tient pas compte des besoins des tiers.

Chaque année, Sécurité ministérielle à CIC s'assure que tous les directeurs généraux du Ministère remplissent les Fiches descriptives d'une fonction essentielle (FDFE). Ces documents sont utilisés pour désigner les systèmes, les ressources et les fonctions essentiels aux activités de CIC et pour établir la liste des ressources opérationnelles cruciales. Après consultation de divers intervenants, y compris des intervenants du domaine des TI, la liste est convertie dans le cadre du PCA par l'établissement des priorités en matière de systèmes et d'activités pour la reprise en cas de sinistre. Cette liste des systèmes et activités prioritaires est nécessaire pour harmoniser les ressources et les efforts de reprise dans le PRSI.

Le processus actuel de reconnaissance des systèmes, ressources et fonctions essentiels à CIC tient compte uniquement des besoins de CIC. Les intervenants tiers, qui pourraient avoir une incidence sur la reprise des activités de CIC s'ils étaient également aux prises avec un sinistre, ne sont pas pris en considération dans la planification d'urgence. Les tiers qui pourraient subir des répercussions si les systèmes et les activités de CIC n'étaient pas disponibles n'ont pas non plus été consultés dans le cadre du processus d'établissement des priorités en matière de systèmes et de ressources. Étant donné l'objectif que poursuit le gouvernement fédéral de regrouper les services et les systèmes, et d'établir des fournisseurs de services communs comme SPC, de telles approches ministérielles uniques ne seront plus utiles. Les priorités des tiers doivent être prises en compte dans l'analyse de CIC. De même, CIC doit veiller à ce que ses priorités soient prises en considération dans les plans des fournisseurs.

CIC a élaboré et diffusé un PRSI qui prévoit la planification d'urgence, mais ne définit pas les rôles et responsabilités.

Le PRSI fait état des ressources et des procédures nécessaires au rétablissement des systèmes à un fonctionnement « à peu près normal » en cas de sinistre ou de perturbation. À l'AC, il existe un processus semestriel pour la mise à jour des annexes et la diffusion du PRSI aux membres de l'équipe de reprise d'urgence. Des plans de contingence, comme les solutions de circuit électrique de secours, ont également été mis en place pour appuyer les PRSI. Un modèle pour l'élaboration de PRSI a également été conçu et diffusé dans les bureaux régionaux.

Le PRSI de l'AC précise les personnes-ressources en cas de sinistre. Les rôles et les responsabilités dans l'exécution des procédures de rétablissement ne sont pas étayés dans le plan. Ce dernier devrait être conçu de manière à ce que toute personne pouvant être interpellée aider en cas de sinistre puisse le mettre en œuvre. On ne sait pas vraiment si les procédures nécessaires seront exécutées et de quelle manière elles le seront advenant que les personnes identifiées dans le plan ne sont pas disponibles. Certaines personnes figurant dans le PRSI ne travaillent plus à CIC, puisque leur poste et leurs responsabilités ont été transférés à SPC. De plus, il pourrait y avoir un écart dans les attentes en ce qui concer les rôles et responsabilités auxquels CIC s'attend de SPC et ceux que SPC s'attend à assumer, puisqu'ils ne sont pas étayés. Enfin, étant donné l'absence de rôles et de responsabilités clairement étayés, il est difficile de s'assurer que le PRSI a été communiqué à toutes les parties concernées et que les rôles et responsabilités sont compris.

Il n'existe aucun processus officiel de soutien et de maintien des PRSI à l'échelle de CIC.

Des spécialistes techniques ont la responsabilité de mettre à jour leurs parties du PRSI, et les mises à jour sont coordonnées par la Direction des services de TI. À l'AC, les éléments du PRSI se trouvent tous à diverses étapes de la mise à jour, et aucun examen complet du PRSI, qui tiendrait compte de SPC, n'a été effectué. Si les listes de personnes-ressources à l'AC sont régulièrement mises à jour, les listes des régions n'ont fait l'objet d'aucune mise à jour depuis 2011, ce qui remonte à avant la restructuration des régions. Des procédures de sauvegarde sont prévues dans le PRSI; cependant, elles ne tiennent pas compte des changements récemment apportés aux serveurs et aux appareils. Un maintien et un soutien constants sont nécessaires pour assurer l'utilité continue du PRSI.

La plupart des PRSI des régions n'ont fait l'objet d'aucune mise à jour en tenant compte des changements liés à la restructuration, à la révision des systèmes, aux processus et aux exigences en matière de service des tiers. De plus, aucun point de contact n'est clairement établi pour le soutien et le maintien des PRSI dans les régions.

Il faut procéder à une mise à jour et à un examen approfondis des PRSI de l'AC et des régions afin de garantir l'actualité de tous les renseignements nécessaires.

Recommandation 1 (risque modéré) :

CIC devrait approuver ses PRSI chaque année dans le cadre de son Programme de planification de la continuité des activités.

Recommandation 2 (risque modéré) :

CIC devrait tenir compte des exigences des tiers lors de l'élaboration de systèmes et de priorités en matière de reprise et demander à des tiers de reconnaître officiellement leurs rôles et responsabilités en ce qui concerne la planification de reprise après sinistre informatique de CIC.

Recommandation 3 (risque modéré) :

CIC devrait réaliser des mises à jour et des examens approfondis de ses PRSI chaque année, tout en définissant clairement les rôles et responsabilités en matière de reprise inhérents.

Deuxième constatation : Mesures de contrôle

Il existe des processus informels pour la coordination des efforts de reprise.

Nous avons cherché à savoir si des processus étaient en place pour veiller à ce que la reprise informatique satisfasse aux objectifs convenus de la direction. Nous nous attendions à constater que les processus de sauvegarde et de reprise étaient clairement liés aux objectifs de reprise établis par la direction. Nous avons également vérifié l'efficacité et le caractère opportun des processus de sauvegarde.

La direction doit établir des objectifs clairs pour le rétablissement des systèmes, et des mesures de contrôles devraient exister pour y satisfaire. Les objectifs de récupération des données détermineront la quantité maximale de données ou d'information que la direction est prête à perdre à partir du moment où un incident survient. Les sauvegardes des systèmes créent des copies de l'information pouvant être utilisée pour rétablir les pertes de données en cas d'incident ou de perturbation.

Les objectifs concernant la reprise n'ont pas été définis.

La reprise informatique devrait être conçue pour satisfaire des objectifs convenus. Les objectifs concernant la reprise informatique comprennent la quantité de données que CIC est prêt à perdre en cas de sinistre. Par exemple, si l'objectif de reprise établi est de 48 heures, la direction est prête à perdre jusqu'à deux jours de données à partir du moment où se produit l'incident. Des processus appropriés de sauvegarde des systèmes devraient alors être établis pour satisfaire ces objectifs.

Il n'existe aucun objectif concernant le rétablissement des applications de TI de CIC. Des objectifs concernant la récupération des données pour chacun des secteurs d'activité doivent être établis et mis en lien avec les processus de sauvegarde des systèmes. Jusqu'à maintenant, la définition des objectifs concernant la récupération des données n'a pas fait partie des processus d'élaboration des systèmes ou de planification de la continuité des activités à CIC. Il est essentiel d'étayer les attentes de la direction en matière de reprise de manière à réduire au minimum la perte d'information cruciale lorsque les services sont de nouveau offerts. Il est également important de tenir compte des objectifs des utilisateurs des systèmes et des fournisseurs tiers qui conservent des données dans les systèmes de CIC et qui pourraient perdre des renseignements essentiels en cas de perturbation des services. De plus, les objectifs concernant la reprise devraient être étayés et acceptés des fournisseurs de services tiers afin de garantir le caractère approprié des processus de sauvegarde des systèmes.

Bien que CIC ait conclu des accords sur les niveaux de service avec la plupart de ses fournisseurs de services tiers, les objectifs concernant la reprise de CIC n'y sont pas étayés. CIC doit coordonner ses objectifs avec ceux de partenaires afin de veiller à ce que ses exigences opérationnelles soient prises en considération dans les processus de sauvegarde et à ce que les données cruciales ne soient pas perdues en cas de panne. Bien que ces éléments sortent du cadre de la présente vérification, la gouvernance, la gestion du risque et les mesures de contrôle exercées à l'égard des accords de service sont considérées comme des problèmes systémiques qui feront l'objet d'un examen dans le cadre d'une future vérification.

La coordination des processus de sauvegarde avec SPC est informelle.

Depuis 2011, SPC effectue régulièrement des sauvegardes des systèmes de TI complètes ou incrémentielles pour CIC. Les contrôles effectués dans le cadre de la vérification ont révélé que l'une des deux sauvegardes mensuelles n'avait pas été stockée hors site tel qu'exigé. Aucun rapport officiel n'est présenté à CIC lorsque la sauvegarde n'a pu être effectuée avec succès. À la suite d'un sinistre, si les sauvegardes des systèmes n'ont pas été effectuées correctement, des données et des documents pourraient être perdus ou irrécupérables.

Recommandation 4 (risque élevé) :

CIC devrait déterminer et rédiger ses objectifs concernant la reprise des systèmes, y compris ceux touchés par ses utilisateurs et fournisseurs de système tiers.

Recommandation 5 (risque faible) :

CIC devrait demander à Services partagés Canada d'aviser officiellement le Ministère lorsque les sauvegardes des systèmes n'ont pas été effectuées avec succès.

Troisième constatation : Suivi et rapports

Aucune mise à l'essai régulière du PRSI n'est effectuée.

Nous nous attendions à constater qu'une mise à l'essai régulière du PRSI, comprenant une évaluation de sa pertinence, est effectuée et étayée. Nous avons évalué si des modifications étaient apportées au PRSI en temps opportun à la suite d'une mise à l'essai ou d'une mise en œuvre afin de résoudre tout problème constaté. Enfin, nous nous attendions à ce que les résultats de la surveillance du PRSI soient présentés à la haute direction.

Une mise à l'essai régulière du PRSI doit être effectuée afin de s'assurer qu'il pourra être mis en œuvre efficacement en cas d'incident ou d'urgence. Un processus d'examen et de mise à jour du PRSI après incident doit être en place afin de veiller à ce que toute leçon tirée d'une mise à l'essai ou d'une mise en œuvre obligatoire du PRSI soit intégrée dans le plan. Les résultats des mises à l'essai devraient être présentés à la haute direction qui s'assurera de donner suite convenablement à toute procédure nécessitant un suivi et à toute mesure de suivi. La haute direction doit être tenue au courant des activités de surveillance continue visant à garantir la mise en ouvre de plans, de procédures et de ressources appropriés pour la reprise.

Aucune mise à l'essai du PRSI n'a été effectuée en 2012 à l'AC ou dans les régions.

Il est nécessaire de procéder à une mise à l'essai annuelle du PRSI conformément à la Norme du programme de planification de la continuité des activités de CIC; cependant, aucune mise à l'essai régulière n'est effectuée pour vérifier que les procédures de reprise et les systèmes de secours peuvent rétablir les exigences opérationnelles. La dernière mise à l'essai du PRSI à l'AC a été réalisée en 2011 dans le cadre d'une simulation sur table du PCA. Pareillement, aucune mise à l'essai régulière des PRSI n'est effectuée dans les régions. Même s'il comportait des éléments de TI, l'exercice d'établissement du PCA avait pour objet les ressources humaines et matérielles nécessaires à la reprise, et ne s'intéressait pas aux exigences techniques pour la reprise informatique. De plus, il n'existe à l'heure actuelle aucune obligation d'informer la direction de la tenue de mises à l'essai. Sans mise à l'essai régulière du PRSI, CIC n'est pas en mesure de garantir l'intégralité du PRSI et l'efficacité des procédures de rétablissement des services.

Il convient également de noter que toutes les mises à l'essai du PRSI, que ce soit à l'AC ou dans les régions, doivent être coordonnées avec SPC, du moment où ses rôles et responsabilités sont précisés dans le plan.

Des rapports après action sont rédigés à la suite d'incidents touchant les TI.

Étant donné qu'aucune mise à l'essai du PRSI n'a été réalisée en 2012, nous n'avons pas été en mesure d'évaluer s'il existe un processus efficace pour la mise à jour des plans. Néanmoins, un processus régulier est en place pour le signalement des incidents liés aux TI, peu importe si le PRSI a été mis en œuvre ou non. À la suite d'un incident informatique, un rapport d'incident est rédigé à l'intention des dirigeants de la DGSGI pour leur en indiquer la cause et les mesures de suivi appropriées. Par contre, il n'existe aucun processus officiel de suivi des recommandations formulées dans les rapports après action liés aux TI.

Aucun suivi régulier des mises à l'essai du PRSI n'est effectué, ou rapports à cet égard transmis à la haute direction.

En 2012, le PRSI n'a fait l'objet d'aucune surveillance, et aucun rapport n'a été présenté à la haute direction à cet égard. Il n'existe aucun processus officiel de présentation de rapports à la haute direction sur la mise à l'essai et la surveillance du PRSI à CIC. Aucun rapport n'est présenté non plus à la haute direction au sujet des résultats de la mise à l'essai du PRSI, et il n'existe aucun processus pour garantir la mise en place des ressources, des mesures de contrôles et des redondances appropriées et ainsi protéger la continuité de l'information et des systèmes à CIC.

Recommandation 6 (risque modéré) :

CIC devrait veiller à ce que les mises à l'essai annuelles soient coordonnées avec Services partagés Canada et qu'elles soient réalisées conformément à la Norme sur le programme de planification de la continuité des activités.

Recommandation 7 (risque faible) :

CIC devrait s'assurer que les résultats des mises à l'essai et les mesures de suivi sont communiqués au Comité exécutif et utilisés pour mettre à jour les PRSI.

Annexe A – Critères détaillés de la vérification

L'objectif consistait à veiller à ce que les renseignements et les biens des TI soient maintenus et sauvegardés au moyen d'un PRSI afin de garantir la disponibilité constante des fonctions de technologie de l'information de CIC.

Secteur d'intérêt Critère de la vérificationNote de bas de page 2

Gouvernance

La planification de la reprise après sinistre informatique est alignée sur les priorités de CIC, et les rôles et responsabilités sont clairs.

1. La gouvernance du PRSI a été établie.
2. Il existe un processus visant à établir l'ordre de priorité des ressources informatiques essentielles dans le but de rétablir et de coordonner les exigences en matière de reprise.
3. Un PRSI a été élaboré et diffusé, et les éventualités et les activités nécessaires sont claires.
4. Le PRSI est maintenu et soutenu en vue de toute mise en œuvre nécessaire.

Mesures de contrôle

Des mesures de contrôle sont en place pour ramener les systèmes de TI à un niveau minimal acceptable de service dans un délai convenu.

5. Des processus sont en place pour garantir une miseen oeuvre de la reprise informatique qui satisfait les objectifs convenus.
6. Les processus de sauvegarde sont efficaces et exécutés en temps opportun.

Surveillance et rapports

Des processus de surveillance et d'établissement de rapports sont en place et garantissent l'efficacité des procédures de reprise.

7. La mise à l'essai du PRSI, ainsi que l'examen de sa pertinence, est effectuée et étayée.
8. Les processus après reprise mènent à la mise à jour en temps opportun du PRSI.
9. Les résultats de la surveillance du PRSI sont communiqués à la haute direction.

Annexe B – Plan d'action de la direction

Recommandation Cote de risque Plan d'action Responsabilité Échéance
1. CIC devrait approuver ses PRSI chaque année dans le cadre de son Programme de planification de la continuité des activités. Modéré

Réponse de la direction :

Depuis 1999, le directeur des Services de technologie de l'information examine et approuve le PRSI. Le processus d'approbation officiel n'a pas été étayé. Le PRSI est un document évolutif, et les changements qui y sont apportés sont énumérés dans le Journal de contrôle des modifications. Les nouvelles versions sont transmises à l'équipe de rétablissement de la technologie. L'absence d'approbation officielle n'a pas empêché le Ministère de recourir au PRSI en cas de besoin.

Plan d'action :

CIC obtiendra l'approbation du DPI pour le PRSI actuel et annuellement par la suite.

  • CIC a mis le plan à jour en y précisant les activités de CIC et les activités de SPC dans le cadre du PRSI actuel à la suite du transfert de responsabilités à SPC. (juillet 2013)
  • Le PRSI à jour a été examiné et approuvé par le directeur, Services de l'infrastructure TI, et le responsable ministériel de SPC. (7 août 2013)
  • L'approbation du DPI a été obtenue. (9 août 2013)
  • L'agent de sécurité ministériel documentera le cycle du Plan de continuité des activités (PCA) et précisera la place du PRSI dans ce cycle. (T3 2013–2014)
  • Au deuxième trimestre (T2) de chaque exercice, le PRSI sera approuvé par le DPI et annexé au PCA en vue de son approbation par le BSM et le Cabinet du ministre. (T2 2014–2015)
L'efficacité du PRSI est testée à la recommandation 7.
DGSGI (et BSM) T2 2014–2015
2. CIC devrait tenir compte des exigences des tiers lors de l'élaboration de systèmes et de priorités en matière de reprise et demander à des tiers de reconnaître officiellement leurs rôles et responsabilités en ce qui concerne la planification de reprise après sinistre informatique de CIC. Modéré

Réponse de la direction :

CIC a conclu des protocoles d'entente, des accords sur les niveaux de service, des ententes opérationnelles et des contrats avec des tiers, dans lesquels sont décrits les rôles et les responsabilités de chacun; toutefois, ces documents ne traitent précisément que de la coordination des activités de reprise après sinistre.

À l'heure actuelle, CIC respecte en totalité les exigences du contrat conclu avec l'entrepôt de données qui s'occupe de ses rôles et responsabilités liés aux activités de reprise après sinistre, ce qui figure dans le PRSI.

Plan d'action :

  • Le coordonnateur du PCA à CIC communiquera avec les bénéficiaires de services afin de connaître leurs priorités en matière de systèmes et de reprise, et pour remplir une fiche descriptive des fonctions essentielles pour chacune de ces priorités. Ces renseignements seront utilisés pour établir les priorités en matière de systèmes et de reprise. (T1 2014–2015)
  • CIC (DGSGI et ASI) rencontrera SPC et obtiendra la confirmation officielle de ses rôles et responsabilités à titre de fournisseur de services liés au plan de reprise après sinistre de CIC. (T1 2014–2015)
  • La DGSGI demandera à ce que CIC fasse partie du plan de reprise après sinistre de SPC. CIC fournira à SPC les exigences à insérer dans son PRSI. (T3 2013–2014, pour avancer, cela sera fait au T2)
  • La DGSGI établira le comité de gouvernance qui convient et mettra à jour son mandat dans le but de s'assurer que le PRSI continue de faire l'objet d'un examen annuel. (T3 2013–2014).
DGSGI (et ASI) T1 2014–2015
3. CIC devrait réaliser des mises à jour et des examens approfondis de ses PRSI chaque année, tout en définissant clairement les rôles et responsabilités en matière de reprise inhérents. Modéré

Réponse de la direction :

La DGSGI/CIC procède chaque année à un examen approfondi du PRSI de l'AC. Un journal de contrôle des modifications rend compte officiellement des modifications/mises à jour effectuées, ce qui se produit plusieurs fois dans l'année. Un examen approfondi du PRSI de l'AC a eu lieu chaque année depuis 1999 à l'exception de 2012 en raison des répercussions du PARD, de la restructuration de la DGSGI et du transfert des responsabilités à SPC. Le dernier examen approfondi du PRSI de l'AC a été réalisé en juillet 2013. Jusqu'à la restructuration de la DGSGI et du transfert des responsabilités à SPC, les régions étaient responsables de leur propre PRSI. Les ressources responsables du maintien des PRSI régionaux ont été transferées à SPC et, conséquemment, le plan sera désormais centralisé et assorti d'une composante régionale.

Plan d'action :

  • Allant de l'avant, CIC procédera annuellement à un examen approfondi à compter du T1 2014–2015, en tenant compte des PRSI régionaux.

Réponse de la direction :

Les membres de l'équipe du rétablissement technologique (ERT) exécutent les activités prévues dans le PRSI. Les ressources se trouvent à CIC et à SPC. L'ERT existe depuis 1999, et ses membres sont au courant de leurs responsabilités en cas de sinistre. Les rôles et les responsabilités de l'ERT figuraient dans les anciennes versions du PRSI; ils ont finalement été retirés dans le but de rendre le plan le plus court et le plus concis possible. Des exemplaires à jour du PRSI sont remis à chacun des membres de l'ERT à mesure que des changements sont apportés. De plus, les membres de l'ERT ont sur eux, en tout temps, une carte plastifiée comportant les numéros de téléphone utiles en cas d'urgence. Les années où le PRSI n'était pas mis en œuvre dans le cadre d'événements réels, ou si des modifications majeures étaient apportées au document, une activité organisée avait lieu pour s'assurer que les membres de l'ERT étaient au courant de leurs responsabilités dans le cadre du Plan. Le processus actuel prévoit une évaluation après incident et des activités de suivi une fois l'événement terminé.

Exemples d'événements réels nécessitant la mise en œuvre du PRSI :

  • Séisme en Haïti, 12 janvier 2010
  • Évacuation à Damas, en Syrie, 15 décembre 2011
  • Panne du réseau de CIC, 29 mars 2013
  • Inondations en Alberta, 20 juin 2013
Plan d'action :
  • Un nouvel appendice dans lequel seront décrits en détail les rôles et responsabilités de l'ERT en matière de rétablissement sera joint au PRSI. (T3 2013–2014) 
  • CIC continuera d'effectuer des mises à jour périodiques au besoin. (continu)
  • La DGSGI mettra en place le comité de gouvernance qui convient et mettra à jour son mandat dans le but de s'assurer que le PRSI continue de faire l'objet d'un examen annuel. (T3 2013–2014)
DGSGI (BSTI) T1 2014–2015
4. CIC devrait déterminer et rédiger ses objectifs concernant la reprise des systèmes, y compris ceux touchés par ses utilisateurs et fournisseurs de système tiers. Élevé

Réponse de la direction :

La hiérarchisation de tous les systèmes de CIC a été établie. Le rang de chacun des systèmes est fondé sur le temps d'inactivité maximal permis, et a été défini, documenté et confirmé. Cette tâche a été accomplie dans le cadre de l'exercice relatif aux fiches descriptives des fonctions essentielles réalisé chaque année par ASI.

Les objectifs concernant la reprise propres à un système constituent le point chronologique au-delà duquel la perte de documents cruciaux, de travaux en cours ou de données provenant d'applications informatiques risque de nuire à la viabilité des activités opérationnelles courantes ou, à tout le moins, de causer une perte matérielle pour le Ministère. Ces objectifs n'ont pas encore été définis.

Plan d'action :

  • Dans le cadre de son PCA, CIC définira les objectifs concernant la reprise des systèmes et les intégrera à son exercice annuel de fiches descriptives des fonctions essentielles prévu au PRSI afin d'établir ce seuil. Il tiendra compte de ses bénéficiaires de services. (T4 2013–2014 et au-delà)
  • CIC veillera à ce que les fournisseurs de services soient informés des objectifs concernant la reprise des systèmes de CIC, et à ce qu'ils en tiennent compte dans leur plan. (T1 2014–2015)
  • CIC veillera à ce que les processus de sauvegarde de SPC soient conformes aux objectifs concernant la reprise indiqués dans son PCA. (T1 2014–2015)
  • CIC présentera à la haute direction un rapport provisoire sur les objectifs concernant la reprise des systèmes. (T1 2014–2015)
DGSGI (et ASI) T1 2014–2015
5. CIC devrait demander à Services partagés Canada d'aviser officiellement le Ministère lorsque les sauvegardes des systèmes n'ont pas été effectuées avec succès. Faible

Réponse de la direction :

SPC a confirmé que lorsqu'une sauvegarde n'est pas effectuée avec succès, d'autres tentatives sont faites jusqu'à ce que la sauvegarde fonctionne. 

Si CIC est actuellement avisé de toute sauvegarde ayant échoué, aucun processus officiel n'a été mis en place pour fournir cet avis.

Plan d'action :

  • CIC (DGSGI et Partenariats) a demandé à SPC de l'aviser quotidiennement de toute sauvegarde n'ayant pas été effectuée avec succès. (Terminé T2 2013–2014)
DGSGI (Partenariats) Terminé
6. CIC devrait veiller à ce que les mises à l'essai annuelles soient coordonnées avec Services partagés Canada et qu'elles soient réalisées conformément à la Norme sur le programme de planification de la continuité des activités. Modéré

Réponse de la direction :

Le PRSI a été mis à l'essai chaque année, à l'exception de 2012 en raison des répercussions du PARD, de la restructuration de la DGSGI et du transfert de responsabilités à SPC. Malgré l'absence de mise à l'essai en 2012, CIC a réussi à assurer la reprise à la suite de défaillances informatiques en 2012 et 2013 à l'aide du PRSI actuel (p. ex. inondations à Calgary en juin 2013).

Plan d'action :

  • CIC coordonnera la mise à l'essai annuelle de ses PRSI avec SPC au T3 2013–2014 conformément à la Norme du programme de planification de la continuité des activités.
  • La DGSGI mettra en place le comité de gouvernance qui convient et mettra à jour son mandat dans le but de s'assurer que le PRSI continue de faire l'objet d'une mise à l'essai annuelle. (T3 2013–2014)
DGSGI (BSTI) À partir de
T3 2013–2014
7. CIC devrait s'assurer que les résultats des mises à l'essai et les mesures de suivi sont communiqués au Comité exécutif et utilisés pour mettre à jour les PRSI. Faible

Réponse de la direction :

Auparavant, les résultats des mises à l'essai et les mesures de suivi étaient communiqués au coordonnateur du PCA.

Plan d'action :

  • CIC communiquera les résultats des mises à l'essai du PRSI et les mesures de suivi au COMEX au quatrième trimestre de chaque année dans le cadre du processus de présentation de rapports du PCA.
  • CIC se servira de ces résultats pour mettre les PRSI à jour. (T4 2013–2014)
  • CIC informera SPC des résultats et entreprendra l'examen conjoint et la résolution des problèmes. (T4 2013–2014)
DGSGI (BSTI et Partenariats) T4 2013–2014

Annexe C – Liens vers les lois, les politiques, les normes et les directives applicables

Détails de la page

Date de modification :