Directive de sécurité du MDN et des FAC concernant le télétravail pendant la réponse à la COVID-19

Le 20 mars 2020 - Nouvelles de la Défense

L’utilisation d’autres moyens que l’Infrastructure du réseau privé virtuel de la Défense – Transparente (IRPVD-T) pour communiquer pendant la réponse à la COVID-19 nous permettra de maximiser notre bande passante limitée et de réserver l’accès au réseau du ministère de la Défense nationale (MDN) et des Forces armées canadiennes (FAC) pour les activités critiques. De fait, les méthodes présentées ci-dessous permettent de conserver le niveau de sécurité requis, même en travaillant à distance.

Plateformes de collaboration publiques pour le partage de renseignements non classifiés

Les plateformes de collaboration sur Internet peuvent vous aider à partager des renseignements et à rester en contact avec vos collègues et vos clients. Voici quelques considérations importantes relatives à la sécurité avant d’utiliser ces services publics infonuagiques pour communiquer à partir de vos appareils personnels :

1. Choisissez un service réputé, comme :
   • Microsoft (Teams) (voir la section sur la solution Défense O365)
   • Apple (Facetime)
   • Google (Hangouts)
   • Slack
2. n’échangez que des données non classifiées*. L’information de nature sensible (Protégé A, B, C ou avec classification) ne peut être divulguée;
3. respectez la vie privée de vos collègues. Demandez leur autorisation avant de créer un compte en leur nom ou de les inviter à rejoindre un groupe par l’entremise de leur adresse courriel personnelle;
4. soyez inclusif. Certaines personnes n’ont pas accès à Internet, alors que d’autres se heurtent à des problèmes d’accessibilité ou éprouvent des inquiétudes face à certains services infonuagiques publics. Veillez à ce que tout le monde puisse participer;
5. soyez à l’affût. Ayez à l’œil votre communauté virtuelle pour garantir qu’aucune information de nature sensible ne circule en ligne. Signalez tout incident de sécurité à un officier de la sécurité des systèmes d’information (OSSI) de niveau local ou au surveillant de la sécurité de l’unité (SSU);
6. conservez et transférerez l’information. Vous devez conserver toutes les ressources documentaires à valeur opérationnelle (RDVO) et les transférez dès que possible vers un système d’information du MDN ou des FAC.

Défense O365

L’organisation du sous-ministre adjoint (Gestion de l’information) procède au déploiement de la solution Défense O365, une plateforme Microsoft Office 365 offrant, entre autres, l’outil de collaboration Microsoft Teams. Se voulant la principale solution collaborative de l’équipe de la Défense, la plateforme complète l’IRPVD-T existante pour améliorer l’expérience de travail à distance des membres de l’équipe et leur permettre de traitre des données classifiées jusqu’au niveau Protégé A.

Les représentants de niveau 1 transmettront aux membres du personnel n’ayant pas encore accès à la solution des instructions sur la manière de se créer un compte, ainsi qu’une liste de coordonnées pour obtenir de l’aide auprès de collègues expérimentés.

Restez aux aguets! Ne vous laissez pas tromper par des courriels d’hameçonnage envoyés prétendument par un membre du MDN ou des FAC, peu importe le sujet. Toutes les communications en lien avec l’adoption de la solution proviennent d’une source digne de confiance, par exemple d’un superviseur.

• Veuillez signaler tout incident de sécurité à un OSSI, au SSU ou à l’adresse cloudsecuritymonitoring@jdcp.forces.gc.ca.

Autres moyens de communication

Chaîne téléphonique : Chaque unité dispose d’une chaîne téléphonique et d’une liste de coordonnées personnelles. Il s’agit de la façon la plus efficace pour communiquer avec les membres du personnel. En Amérique du Nord, vous pouvez échanger de l’information classifiée jusqu’au niveau Protégé B sur les systèmes de téléphone et de téléphones portables.

BBM Enterprise (BBME) : Certains utilisateurs du MDN ont accès à BBME sur leurs appareils portables. Cette application est approuvée pour traiter des données classifiées jusqu’au niveau Protégé B lorsqu’on l’utilise avec des comptes GC Enterprise.

GCCollab : Le Secrétariat du Conseil du Trésor (SCT) héberge la plateforme GCCollab, qui comprend une application de messagerie, un forum et un wiki pour l’information non classifié.

*Qu’entend-on par renseignements non classifiés ?

Les renseignements non classifiés sont des données ne portant pas atteinte à l’intérêt national ni à un individu, une organisation ou un gouvernement. Le chapitre 6 des Ordonnances et directives de sécurité de la Défense nationale explique d’ailleurs comment classifier l’information. Les exemples ci-dessous correspondent à des renseignements protégés de nature sensible qui ne doivent en aucun cas être conservés dans un environnement infonuagique public.

• Les renseignements opérationnels de tiers fournis à titre confidentiel (Loi sur l’accès à l’information – art. 12).
• Les renseignements non classifiés fournis à titre confidentiel par un autre gouvernement ou une organisation internationale (Loi sur l’accès à l’information – art. 13 et 15).
• Les renseignements relatifs à la défense et à la sécurité, comme les directives sur les marchandises contrôlées (Loi sur la production de défense), les documents de propriété intellectuelle en matière de recherche pour la défense non publiés (Loi sur l’accès à l’information – art. 18) ou les vulnérabilités des systèmes de défense (Loi sur l’accès à l’information – art. 16), à l’exception des éléments prévus dans la Loi sur la production de défense et la Loi sur l’accès à l’information.
• Les renseignements d’une personne (date de naissance, race, origine ethnique, couleur de peau, religion, âge, état civil, résultats scolaires ou d’examens, information financière ou médicale, etc.). Ces données ne peuvent être divulguées sans son consentement.
• Tout numéro d’identification (code d’identification de dossier personnel [CDIP], numéro matricule [NM], etc.), symbole ou autre particularité propre à une personne, comme son adresse, ses empreintes digitales ou son groupe sanguin.

Pour plus de détails, voir :

• Loi sur l’accès à l’information (PDF, 764 Ko)
• Lignes directrices sur l'accès à l'information - Exceptions particulières (page Web archivée)

Rappelez-vous que la rentabilité des services gratuits est assurée par l’accès au contenu des utilisateurs et que l’information publiée au moyen de ces services relève du domaine public. Les fournisseurs de services fiables offrent toutefois un certain niveau de protection lorsqu’ils se conforment à des réglementations comme le Règlement général sur la protection des données, ou que leurs services sont hébergés au Canada ou aux États-Unis et qu’ils sont assujettis à des lois semblables en matière de protection des renseignements privés.

Utilisation du matériel du MDN à domicile

Vous devez faire preuve de diligence dans l’entretien du matériel fourni par le MDN. Les blocs-notes et les téléphones portables doivent être rangés en lieu sûr, à l’abri des regards. Votre carte d’infrastructure à clé publique (ICP) doit également être rangée dans un endroit sécuritaire, puisqu’elle constitue un article de sécurité de nature sensible dont vous avez besoin pour accéder à l’IRPVD-T.

La sécurité sur Internet

À l’heure actuelle, les cybercriminels exploitent la pandémie pour envoyer des courriels d’hameçonnage et mettre sur pied des sites Web frauduleux. Par exemple, une supercherie bien connue invite les utilisateurs à consulter une fausse carte répertoriant les cas de COVID-19 en vue d’infecter les ordinateurs vulnérables. Soyez vigilants.

• Évitez de cliquer sur un lien dans un courriel ou un message texte non sollicité et méfiez-vous des pièces jointes.
• Consultez des sources fiables, par exemple les sites Web légitimes du gouvernement, pour obtenir de l’information factuelle et à jour.
• Ne divulguez aucun renseignement personnel ou bancaire dans un courriel et ne répondez pas aux courriels vous demandant ce type d’information.

Consultez le site sur les pratiques exemplaires en cybersécurité pour obtenir des précisions sur la manière de protéger vos appareils informatiques.