Audit interne horizontal de la sécurité des technologies de l'information dans les grands et les petits ministères (Étape 1) : Sommaire de l'audit

Objectifs et étendue de l'audit

Les objectifs de l'audit consistaient à déterminer si :

• des cadres de gouvernance liés à la sécurité des technologies de l'information (TI) étaient en place au sein des ministères, ainsi qu'à l'échelle du gouvernement;
• les ministères avaient mis en place des cadres de contrôle sélectionnés pour atténuer les risques en matière de sécurité des TI.

L'étendue de cet audit visait notamment la gouvernance et les cadres de contrôle liés à la sécurité des TI pour les réseaux du gouvernement non classifiés au 31 mars 2014. Les réseaux classifiés ont été exclus de l'étendue de cet audit compte tenu de leur nature, de leurs niveaux de complexité et des risques qui leur sont propres.

Pourquoi est-ce important?

Le gouvernement fédéral est chargé de protéger une grande quantité de renseignements personnels et de nature délicate dans le cadre de la prestation de ses programmes, et les services qu'il offre aux Canadiens reposent largement sur les TI. Les systèmes du gouvernement fédéral font partie de l'infrastructure essentielle du Canada et représentent donc une cible attrayante pour les services militaires et de renseignement étrangers, les criminels et les réseaux terroristes.

L'utilisation répandue des TI et le fait qu'on y a sans cesse recours, jumelés à l'accroissement rapide des interconnexions entre les systèmes de TI et à l'évolution constante des TI exposent les organisations d'aujourd'hui à un vaste éventail de risques associés à la sécurité. À la suite de plusieurs cyberattaques ^{Voir la note de bas de page 1} récentes et très médiatisées tant dans le secteur public que dans le secteur privé partout dans le monde, le Forum économique mondial a indiqué que la cybersécurité est l'un des risques les plus menaçants de 2015. La récente cyberattaque massive de l'United States Office of Personnel Management, qui a compromis les renseignements personnels de millions de fonctionnaires (anciens, actuels et éventuels) et de leurs familles, a démontré l'importance de ce risque pour le gouvernement.

Pendant que le gouvernement fédéral procède à la normalisation, au regroupement et à la modernisation de son infrastructure de TI actuelle vieillissante, il devra s'assurer de pouvoir compter sur des cadres robustes de contrôle et de gouvernance afin d'atténuer l'évolution rapide des risques liés à la sécurité des TI.

Sommaire des principales constatations

Conclusion

Dans l'ensemble, l'audit a constaté que des améliorations sont requises dans les ministères ainsi qu'à l'échelle du gouvernement et ce, au niveau des cadres de gouvernance ainsi qu'aux contrôles afférent à la sécurité des TI. Ces améliorations contribueraient à atténuer les risques en constante évolution et à sécuriser convenablement les systèmes gouvernementaux.

Recommandations et réponse de l'équipe de gestion

Les constatations et les recommandations de l'audit ont été présentées à l'équipe de gestion des grands ministères, aux principaux organismes de sécurité, au Secrétariat du Conseil du Trésor du Canada, à Services partagés Canada et aux petits ministères visés par l'audit.

L'équipe de gestion de tous les ministères a accepté les constatations du présent rapport et prendra les mesures qui s'imposent pour donner suite à toutes les recommandations applicables.