6003-4 Gestion des comptes des systèmes d’information

Ordonnance de Groupe des cadets et des Rangers juniors canadiens (Ordonnance de Gp CRJC)

1. Identification

Date d'émission : 2022-10-17

Date de la vérification : S.O.

Application : Il s'agit d'un ordre qui s'applique aux membres des Forces armées canadiennes qui fournissent un soutien aux Organisations de cadets du Canada. Il s’agit par ailleurs d’une directive à l’attention des instructeurs civils, des employés du ministère de la Défense nationale œuvrant au sein des Cadets et des Rangers juniors canadiens ainsi qu’aux cadets dûment inscrits dans l’une ou l’autre des Organisations des Cadets du Canada.

Remplacement : S.O.

Autorité d'approbation : Le présent ordre est émise avec l’autorisation du commandant des cadets et des Rangers juniors canadiens.

Bureau de première responsabilité (BPR) : SCEM GI/TI Cadets et Rangers juniors canadiens

Demandes de renseignements : CRJC J6 du QG

2. Abréviations

Abréviation	Mot ou expression en toutes lettres
AO	Autorité opérationnelle
AS	Autorité de la sécurité
AT	Autorité technique
CdC	Chaine de commandement
CEC	Centre d’entrainement de cadets
CF	Cote de fiabilité
CFD	Catalogue de formulaire de la défense
D365	Défense 365
ENA	Effectifs en non activité
IV	Intention de voyager
OSSI	Officier de sécurité de système d’information
RE	Rayé de l’effectif
RÉD	Réseau étendu de la défense
SMA(GI)	Sous-Ministre Adjoint (Gestion de l’information)
SSU	Surveillant de la sécurité de l’unité

3. Définitions

Cadet365

Est l’instance Office 365 pour le CRJC spécifiquement, ce qui permet à tous les cadets, membres des FAC et instructeurs civils de collaborer et de communiquer ensemble, tout en donnant accès à des systèmes d'information spécifiques, tels que SharePoint en ligne, le courrier électronique RÉOCC, etc.

RÉOCC

Est le réseau principal du CRJC et contient des applications et des systèmes d'information spécifiques au CRJC, tels que Forteresse.

Comptes nuage

Identité d'utilisateur permettant d'accéder aux ressources matérielles et logicielles qu'une organisation propose à ses employés ou clients sous la forme de services à distance à la demande. (ex. comptes D365 et Cadet365)

Systèmes collaboratifs

Applications/plates-formes qui aident à gérer une entreprise au quotidien en utilisant des données en temps réel afin que deux ou plusieurs personnes ou organisations travaillent ensemble en collaboration afin de réaliser ou d'atteindre un objectif. (ex. ÉQUIPES/Canaux/Chats à l'intérieur d'une instance Office 365)

Défense365

Une plateforme Microsoft Office 365, pour l'Équipe de la Défense.

Systèmes d'information

L'ensemble des moyens techniques intégrés qui assurent la collecte, la manipulation, le stockage, la récupération, l'affichage et la diffusion organisés d'informations pour répondre aux exigences des décideurs à tous les niveaux.

Événement de sécurité informatique

Un événement de sécurité informatique est une atteinte potentielle à la confidentialité, à l'intégrité ou à la disponibilité d'un actif ou d'une information de l'entreprise.

Comptes réseau

Un utilisateur s'identifie pour accéder aux technologies de l'information et des communications interconnectées et, en particulier, au logiciel, aux appareils et à l'infrastructure pour prendre en charge les interconnexions.

Autorité opérationnelle

Autorité attribuée à une personne pour définir les exigences et les principes de fonctionnement, établir les normes et accepter les risques dans son domaine de responsabilité.

Autorité de sécurité

Autorité attribuée à une personne pour identifier les risques, fournir des conseils et des normes pour approbation par l'autorité opérationnelle et l'autorité technique, et pour surveiller la conformité dans leur domaine de responsabilité.

Autorité technique

La personne qui a le pouvoir d'établir des spécifications techniques et des normes, de gérer des configurations, de fournir des conseils techniques et de surveiller la conformité dans son domaine de responsabilité.

4. Politique

Contexte

• 4.1 L'accès aux comptes réseau et nuage, ainsi qu'aux divers systèmes d'information et de collaboration, est un élément clé d'un travail efficace. Accorder et supprimer l'accès aux comptes réseau et cloud est essentiel pour assurer la sécurité des informations et les confier au personnel autorisé.
• 4.2 Le personnel du CRJC peut se voir accorder l'accès à divers réseaux et comptes nuage en fonction de leurs rôles et responsabilités au sein du CRJC. Ceci comprend :
  1. Cadet365;
  2. RÉOCC;
  3. RÉD; et
  4. D365.
• 4.3 Cette Ordonnance de Gp doit être lue conjointement avec l'Ordonnance de Gp 3004-1, Acquisition de biens et services relatifs aux technologies de l’information.

Autorité

• 4.4 Le SMA(GI) est l'autorité technique sur le RÉD et l’AS sur tous les réseaux et ressources informatiques du MDN/FAC, y compris le RÉD et le D365.
• 4.5 Le cmdt CRJC, en tant qu'AO, est responsable de l'utilisation acceptable de tous les réseaux utilisés par le personnel du CJCR ainsi que de l'application des politiques et des directives de sécurité des TI du MDN et des FAC.
• 4.6 SCEM GI/TI est l'AT pour le RÉOCC et Cadet365.

Politique

• 4.7 Les utilisateurs ne doivent avoir accès qu'aux réseaux du système et aux plates-formes nuage nécessaires à l'exercice de leurs fonctions. Les utilisateurs ne se verront pas accorder l'accès ou conserveront l'accès aux réseaux système et aux plates-formes nuage lorsqu'ils ne sont pas nécessaires. L'accès et les autorisations sont basés sur le poste, l'emploi et l'unité, et doivent être ajustés en cas de changement de personnel.
• 4.8 Afin d'accéder à tout système ou réseau décrit ci-dessus, les utilisateurs doivent détenir au minimum une CF.
• 4.9 Le non-respect des politiques, directives et directives peut entraîner la suspension du compte ou la perte de l'accès au compte.
• 4.10 Les utilisateurs impliqués dans un événement de sécurité informatique peuvent voir leur compte suspendu, sans préavis, jusqu'à ce qu'une enquête soit terminée.
• 4.11 Les utilisateurs qui font l'objet d'une action administrative peuvent voir leur accès à leur compte suspendu.

5. Conditions d’utilisation

RÉOCC et Cadet365

• 5.1 Cadet365 est disponible au Canada. L'accès peut être accordé à l'extérieur du Canada sous certaines conditions s'il est soutenu par la CdC de la personne.

Cadets

• 5.2 Les cadets ne se verront pas accorder un compte RÉOCC, sauf lorsqu'ils doivent occuper un poste de cadet-cadre en personne dans un CEC. Dans de telles circonstances, le cadet-cadre peut obtenir un compte RÉOCC afin d'accéder à des ressources spécifiques, telles que Forteresse, dans le cadre des tâches qui lui sont assignées.
• 5.3 Conformément aux règlements de sécurité RÉOCC, les comptes RÉOCC des cadets-cadres seront supprimés à la fin de la période des CEC.
• 5.4 Les cadets n'ont pas besoin d'une CF pour accéder ou obtenir un compte RÉOCC ou Cadet365.
• 5.5 Les cadets recevront un compte Cadet365 lors de leur inscription à Forteresse. Le personnel du corps/escadron est responsable de fournir à chaque cadet ses informations d'identification, y compris son nom d'utilisateur et son mot de passe une fois les comptes créés.
• 5.6 Les comptes Cadet365 seront immédiatement désactivés une fois qu'un cadet est marqué RE dans Forteresse. De plus, le personnel du corps/escadron doit supprimer l'accès Cadet365 pour tous les cadets inactifs.

Membres des FAC et employés du MDN

• 5.7 Les membres du SAIOC sont éligibles pour obtenir l'accès au RÉOCC et Cadet365 après avoir terminé une CF et s'être enrôlé dans les FAC ou lors du transfert de composante du SAIOC.
• 5.8 Un formulaire de contrôle d'accès doit être rempli et soumis au CGS TI afin d'obtenir les informations d'identification du compte.
• 5.9 Conformément aux règlements de sécurité du RÉOCC, l'accès aux comptes RÉOCC et Cadet365 sera supprimé lorsqu'un membre du SAIOC est déclaré ENA ou lors de la soumission d'un avis d'intention de libération.
• 5.10 Tous les membres de la Force régulière et de la Première réserve et les employés du MDN employés au sein du CRJC sont éligibles à un compte RÉOCC et Cadet365 lorsqu'ils se joignent au QG de l'URSC/CRJC.
• 5.11 Conformément aux règlements de sécurité RÉOCC, l'accès aux comptes RÉOCC et Cadet365 sera supprimé au départ d'un membre ou d'un employé de l'unité.

Instructeurs civils

• 5.12 Les instructeurs civils sont éligibles pour obtenir un compte RÉOCC et Cadet365 pour la période couverte par leur accord d'emploi régional ou leur accord d'emploi du centre d'entraînement des cadets.
• 5.13 Conformément aux règlements de sécurité du RÉOCC, l'accès au RÉOCC et Cadet365 sera supprimé à l'expiration du contrat de travail applicable.

Bénévoles du CRJC

• 5.14 Les membres de la Force régulière et de la Première réserve qui sont des bénévoles du CRJC peuvent avoir accès au RÉOCC et à Cadet365, au besoin.
• 5.15 Les bénévoles du CRJC, qui n'ont pas de CF, peuvent se voir accorder un accès limité aux RÉOCC et Cadet365 afin d'effectuer des tâches spécifiques au corps/escadron.
• 5.16 Afin d'accorder un accès limité, l'AO et l'AS doivent être convaincus que les conditions appropriées ont été mises en place par l'AT, afin de gérer et de surveiller l'accès du bénévole CRJC au RÉOCC et Cadet365.
• 5.17 Conformément aux règlements de sécurité RÉOCC, l'accès aux comptes RÉOCC et Cadet365 sera supprimé lorsqu'un bénévole du CRJC cesse de faire du bénévolat avec le corps/escadron.

RÉD et D365

• 5.18 L'accès aux comptes RÉD et D365 est limité au personnel de classe « B » du QG des URSC/CRJC. Dans des circonstances particulières, les comptes RÉD et D365 peuvent être approuvés pour le personnel de classe « A », tel que requis par les URSC/QG CRJC, et conformément à l'Ordonnance de groupe, 6002-1 Affectation des ressources de TI.
• 5.19 L'accès au RÉD et au D365 est accordé au début d'une période de service de réserve de classe « B » de 90 jours consécutifs ou plus avec un QG URSC/CRJC, et sera retiré ou transféré au départ du QG URSC/CRJC.

6. Rôles et responsabilités

• 6.1 Le tableau suivant décrit les rôles et responsabilités des différents intervenants impliqués dans la gestion des accès aux systèmes d'information :

Rôles	Responsable pour…
Utilisateur	Lire et comprendre les politiques, ordonnances et directives applicables. Informer leur CdC d'un changement de statut de service. Informer leur CdC de tout incident de sécurité ou s'ils sont en possession d'un compte autre que le leur. Informez la CdC de votre intention de voyager s'il est nécessaire d'accéder à des comptes nuage.
Superviseur	Informer les autorités compétentes de tout changement de personnel et de statut de service. Vérifiez que tout le personnel répond aux exigences pour obtenir et maintenir l'accès aux réseaux et aux comptes nuage.
SSU	Valider la cote de sécurité du candidat si nécessaire.
OSSI	Vérifiez que les utilisateurs satisfont à toutes les exigences avant d'obtenir des comptes réseau ou nuage.
CGS TI	Créer des comptes d'utilisateurs. Transmettre, de manière sécurisée, les informations d'identification du compte à l'utilisateur. Gérer la liste des accès autorisés à Cadet365 pour les utilisateurs voyageant à l'extérieur du Canada et des pays autorisés.
(HR/Admin/Cmdt Corps/Esc) d'unité	Informer les autorités compétentes de tout changement de statut du personnel. Responsable de contacter de la CdC pour la création/suspension/suppression des comptes concernés.
Administrateur local de système d'information (ex. Administrateur Forteresse)	Examinez les rôles et les permissions des utilisateurs pour le personnel actuel, entrant et sortant, en fonction des demandes spécifiques de la CdC.
Administrateur local de système de collaboration (ex.  Propriétaire d’ÉQUIPE)	Examinez les rôles et les permissions des utilisateurs pour le personnel actuel, entrant et sortant, en fonction des demandes spécifiques du CoC.

7. Publication

Fréquence de publication

• 7.1 Examen et mises à jour annuels ou plus fréquents, au besoin.

Erreurs/omissions ou suggestions

• 7.2 Les utilisateurs des ordonnances de Gp CRJC sont invités à signaler toute erreur, omission ou ordre suggéré à l’attention du J1 QG CRJC.

8. Références

Source References

• DOAD 6000-0, Gestion de l’information et technologie de l’information
• DOAD 6001-0, Gestion de l’information
• Directive sur les Services et le numérique
• Politique sur les Services et le numérique

Référence source

• Ordonnance de Gp CRJC 3004-1, Acquisition de biens et services relatifs aux technologies de l’information.