Une architecture à vérification systématique pour les scientifiques

Les scientifiques du GC traitent de très grandes quantités de données de recherche extrêmement importantes, parfois contenues dans des formats de fichiers particulièrement volumineux ou uniques. Ils communiquent et échangent également ces informations, lesquelles peuvent être protégées. Si certains de leurs collaborateurs sont des fonctionnaires travaillant au Canada, d’autres appartiennent au secteur privé ou à des établissements universitaires et peuvent être établis dans d’autres pays. C’est pourquoi les scientifiques ont besoin de solutions techniques innovantes pour mener à bien leurs travaux. Par ailleurs, les travaux des scientifiques canadiens peuvent constituer une cible de grande valeur pour les auteurs de menaces dans le monde entier. La cybersécurité revêt une importance primordiale lorsque des solutions de TI sont envisagées dans le secteur des sciences. C’est pourquoi l’environnement scientifique canadien s’est avéré être idéal pour commencer à mettre à l’essai les concepts de l’architecture à vérification systématique (AVS).

Quels sont les projets en cours qui concernent l'approche à vérification systématique et le secteur des sciences à l'échelle fédérale?

Services partagés Canada (SPC) a travaillé avec la communauté scientifique fédérale pour déployer des validations de principe en matière d’architecture à vérification systématique. Ces validations de principe visent à accroître les connaissances sur la manière dont les capacités de vérification systématique pourraient être mises en œuvre et intégrées. Elles peuvent modifier la façon dont SPC gère et fournit des services de gestion de l’information et de technologies de l’information pour le gouvernement fédéral, ainsi que la façon dont ces services sont gérés par les organisations partenaires et clientes, en vue de soutenir la transition de SPC vers une cybersécurité moderne.

La première validation de principe, en partenariat avec le Conseil national de recherches Canada, a comparé deux outils, Agilicus, un participant au programme Solutions innovatrices Canada, et une application de source ouverte appelée Pritunl. Ces solutions permettent de centraliser l’authentification des utilisateurs dans toute une panoplie d’applications et de services protégés. Cette validation de principe a également permis de mettre en évidence les lacunes et les domaines clés requérant une attention particulière, comme la nécessité d’une gestion plus rigoureuse de l’identité par le GC.

La deuxième validation de principe a étudié la possibilité d’offrir aux collaborateurs externes un accès sécurisé aux systèmes du GC. Cela permettra de bénéficier de certains des avantages escomptés de la mise en œuvre d’un modèle à vérification systématique pour les scientifiques, tout en éclairant la Feuille de route des services de cybersécurité. Les prochaines validations de principe étudieront la possibilité d’exploiter les données comportementales ou biométriques pour permettre une authentification continue des utilisateurs.

Quels sont les avantages d'une AVS pour le secteur des sciences?

Les solutions destinées au secteur des sciences doivent faciliter la mise en commun des connaissances, tout en protégeant les données sensibles et les travaux de recherche. Ces deux besoins peuvent parfois être contradictoires, mais ils sont tout aussi importants l’un que l’autre.

Une approche à vérification systématique est le moyen idéal de répondre simultanément à ces deux préoccupations. Par exemple, en limitant l’accès des utilisateurs au seul contenu dont ils ont besoin (on parle dans ce cas « d’accès selon le principe de moindre privilège »), une AVS limiterait également la quantité de données sensibles auxquelles un auteur de menaces potentiel pourrait avoir accès. Les scientifiques pourraient contrôler et restreindre l’accès à des données sensibles et des actifs selon le principe d’accès sélectif, lorsque ces données ou ces actifs sont partagés avec d’autres chercheurs.

L’AVS propose une surveillance continue, un système d’alerte et une vérification de l’identité de l’utilisateur. Les organisations et les communautés scientifiques peuvent ainsi interagir, communiquer et échanger de l’information avec des collaborateurs autorisés, ce qui réduit le risque de violation des données et d’autres incidents de sécurité.

Cette approche pourrait également permettre aux scientifiques de consulter des ressources spéciales en toute sécurité s’ils en ont besoin et s’ils sont autorisés à le faire. Les scientifiques pourraient être autorisés à accéder directement aux équipements scientifiques dans les laboratoires et sur le terrain. Ils pourraient également communiquer avec la communauté scientifique internationale par l’entremise du National Research and Education Network. Sans la protection supplémentaire offerte par un modèle à vérification systématique, ces activités présenteraient un risque potentiel plus important pour l’ensemble de la communauté scientifique.

Qu’est-ce que tout cela signifie pour les ministères du GC qui n’appartiennent pas à la communauté scientifique? Les enseignements tirés des validations de principe sont utilisés pour planifier l’intégration de solutions futures visant à renforcer les services de cybersécurité fournis par SPC.