Sélection de la langue

Gouvernement du Canada / Government of Canada

Recherche

Manuel de la sécurité des contrats version entrée en vigueur le 13  août 2020

Le manuel de la sécurité des contrats (MSC) s’adresse aux organisations du secteur privé ayant obtenu un contrat du gouvernement comprenant des exigences de sécurité et décrit les exigences qu’elles doivent respecter en vue de protéger les renseignements et les biens qu’elles ont créés ou qui leur ont été fournis par le gouvernement. Ces exigences visent les organisations inscrites au Programme de sécurité des contrats (PSC) de Services publics et Approvisionnement Canada (SPAC) et tous les contrats canadiens ou étrangers dont SPAC est responsable.

Version actuelle du manuel version entrée en vigueur le 13 août 2020

En réponse aux commentaires de l’industrie et des institutions fédérales participantes, le manuel a été revu afin d’expliquer clairement les exigences actuelles en matière de sécurité dans le cadre du PSC, que doivent respecter les organisations du secteur privé qui présentent des soumissions en vue d’obtenir des contrats de nature délicate du gouvernement du Canada et qui exécutent de tels contrats.

Pour les contrats conclus avant 12 août 2020. L’ancienne version du manuel s’applique toujours. Consultez le Manuel de la sécurité industrielle (pour les contrats conclus avant 12 août 2020).

Sur cette page

Chapitre 1 : Introduction générale

1.1 Aperçu

Le présent manuel est fourni à titre de référence pour que les organisations puissent comprendre les normes de sécurité, les procédures et les engagements internationaux du gouvernement du Canada en ce qui concerne les contrats, les projets et les exigences de sécurité.

On y décrit en détail les exigences que les organisations doivent respecter pour protéger les renseignements et les biens gouvernementaux fournis aux organisations inscrites au PSC ou produits par celles-ci, ainsi que les exigences applicables à tous les contrats, canadiens ou autres, dont SPAC est responsable. Des procédures sont également prévues pour ces activités pour les gouvernements alliés qui passent des contrats par l'entremise de SPAC, comme des entreprises multinationales dont le Canada est partenaire.

Les organisations qui se voient attribuer un contrat gouvernemental comportant des exigences de sécurité ou qui ont légitimement besoin d'accéder à des renseignements protégés ou classifiés doivent être inscrites et se soumettre à une enquête de sécurité du niveau approprié du PSC. Une fois inscrites, les organisations doivent se conformer aux exigences de sécurité définies dans le présent manuel et à toutes les autres politiques, normes et directives de sécurité applicables, dont les suivantes :

1.2 Administration de la sécurité des contrats

SPAC est autorisé à administrer des services de sécurité des contrats en vertu de la Loi sur le ministère des Travaux publics et des Services gouvernementaux et de la Politique sur la sécurité du gouvernement (PSG) du Conseil du Trésor, qui comprend la norme sur le filtrage de sécurité ainsi que la Politique sur le PSC. Ces services aident à protéger les renseignements et les biens protégés et classifiés et autres renseignements et biens sensibles du gouvernement du Canada et de gouvernements étrangers. La PSG comprend la directive sur la gestion de la sécurité, dans laquelle on décrit en détail les contrôles de sécurité obligatoires, ainsi que la directive sur la gestion de l'identité, dans laquelle on explique en détail ce qu'il faut faire pour gérer l'identité de manière à atténuer les risques pour la sécurité personnelle, organisationnelle et nationale. Conformément à la politique de l'Organisation du traité de l'Atlantique (OTAN) et aux instruments de sécurité bilatéraux, le PSC est également chargé de superviser la protection des renseignements classifiés étrangers dans le cadre des contrats.

1.3 Autres éléments de sécurité

L'octroi d'une cote de fiabilité ou une autorisation de sécurité (ci-après « cote de sécurité » et « autorisation de sécurité ») à une organisation ou à une personne confirme que ces dernières ont accès à un niveau d'information ou de biens si elles ont un besoin de connaître (le bénéficiaire doit avoir accès à exercer ses fonctions officielles), et qu'elles doivent les protéger. Cela signifie que les organisations doivent se conformer aux exigences de la Loi sur la protection de l'information, ainsi qu'aux dispositions de la Loi sur la protection des renseignements personnels et les documents électroniques.

1.4 Publicité des renseignements relatifs à la sécurité

Les critères de sécurité suivants s'appliquent aux organisations inscrites au PSC et à tous les contrats, projets et programmes gouvernementaux, canadiens ou étrangers, dont SPAC est responsable.

Bien que le fait de détenir une cote ou une autorisation de sécurité ne soit pas un secret en soi, on s'attend à ce que les personnes fassent preuve de jugement en ce qui a trait à la diffusion de renseignements connexes. Les renseignements relatifs aux cotes et aux autorisations de sécurité doivent être protégés de manière adéquate afin de réduire les risques que les organisations ayant reçu une attestation de sécurité ne deviennent la cible d'infiltration ou d'activité terroriste.

  • Les organisations ne doivent pas rendre publics des renseignements relatifs à leurs cotes et autorisations de sécurité dans le cadre d'activités publicitaires ou promotionnelles (par exemple, site web de l'organisation, vidéos, médias sociaux et photos)
  • Les employés des organisations ne doivent pas rendre public le niveau de leur cote ou de leur autorisation de sécurité sur leurs cartes professionnelles, dans leurs curriculums vitæ ou sur Internet, ce qui comprend les médias sociaux, car cela pourrait attirer l'attention sur la cote de fiabilité de l'organisation pour laquelle ils travaillent
  • Toute demande de renseignements reçue par les organisations concernant leur cote de sécurité doit être adressée à communiquer avec le centre de service à la clientèle du Programme de sécurité des contrats

Il est permis de diffuser des renseignements généraux concernant un contrat, puisqu'ils sont déjà du domaine public. Les organisations doivent toutefois :

  • obtenir des précisions et/ou l'approbation écrite de l'autorité contractante avant de diffuser des renseignements relatifs à un contrat
  • veiller à ne pas rendre publique toute information précise concernant les exigences relatives à la sécurité d'un contrat gouvernemental

Les renseignements classifiés ou protégés ne peuvent être rendus publics ou annoncés de quelque manière que ce soit.

1.5. Coût

SPAC ne facture pas de frais aux requérants pour le traitement des demandes d'enquête de sécurité d'organisation et de personnel. Par conséquent, il est interdit aux organisations inscrites au PSC de facturer des frais à leurs sous-traitants et employés pour l'obtention d'autorisation de sécurité.

1.6 Renseignements supplémentaires

Les organisations peuvent savoir comment satisfaire aux exigences du présent manuel en consultant le site web des Exigences de sécurité des contrats du gouvernement du Canada de SPAC.

Chapitre 2 : Contrats comportant des exigences de sécurité

2.1 Aperçu

Un contrat contient des exigences de sécurité si l'accès à l'un des éléments suivants est nécessaire :

  • des renseignements, des biens ou des sites protégés ou classifiés canadiens
  • des renseignements, des biens ou des sites protégés ou classifiés de l'OTAN ou étrangers

Les exigences peuvent également s'appliquer à la promotion du contrat, aux demandes de renseignements préalables et aux négociations. Des clauses contenant les exigences de sécurité sont inscrites dans les contrats du gouvernement fédéral. Toute modification ou prolongation apportée à un contrat de SPAC comportant des exigences de sécurité doit être communiquée au PSC par courriel au tpsgc.ssicontrats-isscontracts.pwgsc@tpsgc-pwgsc.gc.ca.

Le PSC doit également recevoir les éléments suivants par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca :

  • toute attribution de contrat ou contrat de sous-traitance comportant des exigences de sécurité de la part de l'OTAN ou d'entités étrangères
  • toute modification ou prolongation d'un contrat comportant des exigences de sécurité engageant l'OTAN ou des entités étrangères

2.2 Liste de vérification des exigences de sécurité

Au début du processus d'approvisionnement, le chargé de projet complète un formulaire de la Liste de vérification des exigences relatives à la sécurité (SCT/TBS 350-103) dans laquelle sont décrites les exigences de sécurité du contrat. Cela fait partie des documents de demande de soumissions. L'autorité contractante veille à ce que les exigences, clauses relatives à la sécurité ayant été autorisées et remarques supplémentaires soient incluses dans les documents contractuels. Ceux-ci sont juridiquement contraignants.

Les organisations ne devraient pas signer de contrat avant d'avoir compris les implications et le coût potentiels des exigences de sécurité. Une fois le contrat signé, l'organisation doit remettre une copie des exigences de sécurité du contrat et du formulaire de la liste de vérification des exigences relatives à la sécurité (LVERS) à l'agent de sécurité d'entreprise (ASE). Veuillez consulter la section 3.2 Attestation de sécurité d'organisation. L'ASE doit veiller à ce que toutes les exigences de sécurité soient respectées tout au long du cycle de vie du contrat et avant l'accès à des renseignements classifiés ou protégés.

2.3 Préalable à l'attribution d'un contrat

Le PSC commencera le processus d'enquête de sécurité sur l'organisation dès qu'il recevra une demande complète et valide de l'autorité contractante. Avant l'attribution du contrat, certaines étapes du processus d'enquête doivent être franchies, comme la vérification d'organisation désignée et l'attestation de sécurité d'installation. Autres exigences, comme la sécurité des technologies de l'information, l'attestation de production et la sécurité des communications (COMSEC) sont habituellement remplies après l'attribution du contrat mais avant le début des travaux.

Si le contrat exige une autorisation de détenir des renseignements (ADR), il faut d'abord que le processus d'inspection soit dûment terminé avant d'entamer l'exécution du contrat sur le site du fournisseur. Veuillez consulter la section 3.4 Inspections des lieux.

2.4 Sous-traitance

L'entrepreneur principal est l'organisation qui, dans le cadre d'une demande de soumissions, se voit attribuer un contrat afin de travailler pour le gouvernement du Canada ou un gouvernement étranger ou une organisation internationale. L'entrepreneur principal embauche le sous-traitant pour travailler sur une partie donnée du contrat. Le sous-traitant n'est pas un employé de l'organisation de l'entrepreneur principal et doit faire l'objet d'une enquête de sécurité du PSC. L'entrepreneur principal doit communiquez avec le Programme de sécurité des contrats pour obtenir l'approbation avant d'attribuer un contrat de sous-traitance avec des exigences de sécurité à un sous-traitant et l'approbation du PSC est requise à chaque niveau subalterne de sous-traitance.

Pour demander l'approbation, l'entrepreneur principal doit soumettre une LVERS dûment remplie pour obtenir les clauses de sécurité pour le contrat de sous-traitance. Si le sous-traitant n'a pas d'attestation de sécurité, l'entrepreneur principal doit également soumettre le formulaire de Demande d'enquête de sécurité sur une organisation du secteur privé au PSC afin de parrainer l'organisation. Le PSC et l'entrepreneur principal vont s'assurer que le sous-traitant satisfait aux exigences de sécurité du contrat de sous-traitance prévu et/ou est soumis à l'enquête enquête de sécurité approprié. Le contrat de sous-traitance peut être attribué dès que le PSC fourni à l'entrepreneur principal :

  • la lettre d'approbation
  • une copie signée de la LVERS
  • les clauses de sécurité qui doivent être insérées dans le contrat de sous-traitance

L'entrepreneur principal doit fournir une copie du contrat de sous-traitance au PSC une fois celui-ci attribué. Le sous-traitant ne peut pas commencer tant que le contrat de sous-traitance n'a pas été attribué et que son organisation n'a pas obtenu la cote de fiabilité ou l'autorisation de sécurité requise.

En savoir plus sur les exigences de sécurité des sous-contrats.

2.4.1 Options de simplification de la sous-traitance

Les entrepreneurs peuvent utiliser les options qui suivent afin de demander une enquête de sécurité sur leurs sous-traitants respectifs :

Option 1

L'entrepreneur principal demande et détient une enquête de sécurité sur les employés de ses sous-traitants. Cette option peut être utilisée par les organisations :

  • qui sous-traitent des travaux à une entreprise à propriétaire unique ou à une petite entreprise
  • quand un petit nombre de travailleurs, résidant au Canada, est requis

Les renseignements et biens protégés ou classifiés ne peuvent être reçus ou stockés sur le site de l'organisation sous-traitante. Le travail lié au contrat de sous-traitance ne peut être effectué que sur le chantier du gouvernement ou sur le site de l'entrepreneur principal s'il est autorisé pour l'ADR.

Option 2

L'entrepreneur principal collecte les formulaires d'enquête de sécurité sur une organisation auprès de ses sous-traitants, les examine pour en assurer la qualité et les soumet au PSC pour traitement. Cette option peut être utilisée auprès des sous-traitants qui :

  • ne détiennent pas d'attestation de sécurité d'organisation auprès du PSC
  • consentent par écrit à ce que l'entrepreneur principal collecte leurs formulaires et les transmette au PSC

Ce consentement peut être envoyé par courriel à l'ASE de l'entrepreneur principal. Si l'entrepreneur principal choisit cette option, il doit toujours obtenir l'approbation et les clauses de sécurité du PSC avant d'attribuer un contrat de sous-traitance.

En savoir plus sur les options de simplification de sous-traitance.

2.4.2 Contrats de sous-traitance attribués à des organisations établies à l'étranger

Les entrepreneurs doivent obtenir l'approbation écrite préalable du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca et de l'autorité contractante avant d'attribuer un contrat de sous-traitance à des organisations à l'étranger. Le PSC doit :

  • vérifier l'attestation de sécurité d'une organisation étrangère et de son personnel
  • s'assurer qu'elle est conforme à l'instrument de sécurité bilatéral entre le Canada et le pays concerné
  • autoriser la communication et le transfert de renseignements canadiens classifiés et sensibles à l'organisation étrangère et par cette dernière

Les entrepreneurs doivent communiquer avec le PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca lorsqu'elles transfèrent des renseignements et des biens sensibles vers ou depuis le Canada. Ils doivent aussi fournir une copie du contrat de sous-traitance au PSC dès son attribution.

En savoir plus sur les exigences de sécurité des contrats internationaux.

Chapitre 3 : Enquête sur l'organisation

3.1 Aperçu

Pour faire l'objet d'une enquête de sécurité par le PSC, une organisation canadienne doit soit :

Cette source doit être l'un des éléments suivants :

  • un agent d'approvisionnement, de sécurité ou de projet du gouvernement fédéral
  • une organisation admissible qui :
    • a déjà fait l'objet d'une enquête auprès du PSC
    • travaille sur un contrat actif
    • doit recourir à la sous-traitance
  • une administration étrangère nationale ou désignée en matière de sécurité

En obtenant une attestation de sécurité du PSC, l'organisation s'engage auprès du gouvernement du Canada à :

  • respecter les exigences de sécurité du présent manuel et toute autre exigence de sécurité dans le cadre d'un contrat du gouvernement fédéral qui lui est attribué
  • permettre à SPAC, ou à toute autre autorité gouvernementale désignée par SPAC d'effectuer des inspections de sécurité à tout moment
  • assumer tous les coûts liés à la sécurité

Les négociations préalables à l'attribution du contrat qui nécessitent des renseignements et des biens protégés ou classifiés ne peuvent entamer avant que l'organisation ait fait l'objet d'une enquête de sécurité du PSC, sauf indication contraire de l'autorité contractante. Cela s'applique également lorsqu'une organisation ayant une attestation de sécurité souhaite attribuer un contrat de sous-traitance qui comporte des exigences de sécurité à une autre organisation.

3.2 Attestation de sécurité d'organisation

Il existe 3 types d'attestations de sécurité d'organisation :

  • attestation de sécurité provisoire
  • vérification d'organisation désignée (VOD)
  • attestation de sécurité d'installation (ASI)

Une attestation de sécurité provisoire est une attestation temporaire approuvée pour un processus de demande de soumissions particulier pour les organisations nécessitant un accès à des informations de nature délicate avant de répondre à un appel d'offres comportant des exigences de sécurité. Elle permet à une organisation d'obtenir une enquête de sécurité sur le personnel pour les personnes qui font partie de son équipe de préparation des soumissions.

Pour ce qui est d'une VOD ou d'une ASI, elle n'est pas accordée à perpétuité; elle est accordée aux organisations pour un contrat ou un contrat de sous-traitance particuliers, et aux organisations qui répondent aux appels d'offres du gouvernement fédéral qui comportent des exigences de sécurité en soumettant un formulaire de Demande d'inscription (DI) complet. Une VOD ou une ASI permet à une organisation d'obtenir une enquête de sécurité sur le personnel pour ses employés au niveau requis, comme il est prévu au contrat ou au contrat de sous-traitance attribué.

Si une organisation doit posséder ou conserver des renseignements et des biens protégés ou classifiés, il lui faut une autorisation supplémentaire de détenir des renseignements. Veuillez consulter la sous-section 3.2.2 Mesures de sécurité.

Au cours du processus d'enquête sur l'organisation, certaines personnes au sein de l'organisation doivent faire l'objet d'une enquête de sécurité. Veuillez consulter le chapitre 4 : Enquête sur le personnel. Ces personnes s'agissent notamment de :

  • cadres supérieurs clés (CSC)
    • un propriétaire individuel ainsi que tout autre dirigeant, administrateur (du conseil d'administration), cadre et/ou partenaire
    • un poste de contrôle ou d'influence sur une organisation
  • agent de sécurité d'entreprise (ASE)
    • nommé par le chef de la direction ou le CSC désigné
    • rend compte aux CSC sur les questions de sécurité
  • agent de sécurité d'entreprise remplaçant (ASER)
    • nommé par l'ASE pour être le remplaçant
    • assume toute tâche particulière requise par l'ASE
  • agent général de sécurité d'entreprise (AGSE)
    • nommé par le chef de la direction ou le CSC désigné lorsqu'une organisation possède une ou plusieurs filiales soumises à une évaluation de sécurité au Canada
    • doit superviser les questions de sécurité des contrats gouvernementaux pour l'ensemble de l'entreprise
    • ne remplace pas l'obligation d'avoir un ASE dans chaque filiale soumise à une évaluation de sécurité

Les agents de sécurité doivent être employés par l'organisation ou un CSC, être physiquement situés au Canada et être de nationalité canadienneNote de bas de page 1.

L'ASE et l'AGSE doivent être soumis à une enquête de sécurité au moins au niveau de sécurité de l'organisation. L'ASER peut faire l'objet d'une enquête de sécurité au niveau de l'organisation ou à un niveau inférieur, en fonction de son emplacement et de ses rôles et responsabilités particuliers en ce qui concerne les autres agents de sécurité.

L'AGSE, l'ASE et l'ASER doivent signer le formulaire de nomination de sécurité, d'accusé de réception et d'engagement dans lequel leurs responsabilités sont décrites. Vous trouverez également des renseignements sur ces responsabilités à l'Annexe A : Lignes directrices sur les responsabilités des agents de sécurité d'entreprise et des agents de sécurité d'entreprise remplaçants.

3.2.1 Types d'attestations de l'organisation

La demande d'enquête de sécurité sur une organisation indiquera le type d'attestation de l'organisation de sécurité requis pour la phase préalable à la demande de soumissions, le contrat ou le contrat de sous-traitance.

Une attestation de sécurité provisoire est temporaire. Elle est nécessaire pour accéder à des renseignements ou à des biens protégés ou classifiés pendant les phases de préqualification et/ou de préparation de la soumission d'un processus de demande de soumissions. Au minimum, l'ASE et les employés identifiés qui doivent avoir accès aux renseignements doivent subir une enquête de sécurité sur le personnel au niveau de l'attestation provisoire.

Une VOD est nécessaire pour accéder aux renseignements et aux biens Protégés A ou Protégés B. Une VOD est également nécessaire pour obtenir une cote d'accès aux sites. Veuillez consulter la section 4.3 Cote d'accès aux sites. Au minimum, l'ASE nécessitera une cote de fiabilité. Dans certains cas, les CSC sélectionnés peuvent également nécessiter une cote de fiabilité

Une ASI est nécessaire pour accéder à des renseignements ou des biens classifiés : Confidentiel, Secret ou Très secret, OTAN Confidentiel, OTAN Secret, et COSMIC Très secretNote de bas de page 2 ou autres informations de niveaux classifiées équivalentes à l'étranger. Une ASI est également nécessaire pour obtenir une autorisation d'accès aux sites. Avant qu'une ASI soit accordée, l'ASE et les CSC identifiés par le PSC doivent au moins faire l'objet d'une enquête de sécurité.

Une filiale est considérée comme une entité juridique distincte qui nécessite une VOD ou une ASI distincte. Une évaluation plus approfondie de la propriété de l'organisation peut aussi être requise. Veuillez consulter la section 3.3 Participation, contrôle et influence étrangers.

Le PSC peut nécessiter des enquêtes de sécurité sur tous les propriétaires, administrateurs, partenaires et dirigeants en position d'influence d'organisations ayant fait l'objet d'une enquête de sécurité auprès du PSC, quel que soit le niveau de sécurité requis.

Une attestation de sécurité provisoire est valide pour la durée du processus de demande de soumissions seulement. Au cours de la phase d'évaluation des offres, les soumissionnaires confirmés sont invités à suivre le processus d'enquête de sécurité pour obtenir une VOD ou une ASI.

Une fois que l'attestation est accordée, une VOD peut être valide jusqu'à 2 ans et une ASI peut être valide jusqu'à 1 an tant que l'organisation se conforme aux exigences du PSC. À la fin de cette période, la VOD ou l'ASI sera soit résiliée administrativement, si elle n'est plus nécessaire, ou si elle sera maintenue et renouvelée par le PSC. Une VOD ou une ASI est valide si l'organisation :

  • exécutera un contrat ou un contrat de sous-traitance en cours comportant des exigences de sécurité
  • participera à un programme international comportant des exigences de sécurité
  • détiendra une offre à commandes ou un arrangement en matière d'approvisionnement émis par SPAC comportant des exigences de sécurité
  • soumissionnera à des appels d'offres du gouvernement fédéral ou étranger ou d'organisations internationales comportant des exigences de sécurité avec un formulaire de DI complet

Il incombe à l'organisation de tenir le PSC informé de tout changement à la suite du processus d'enquête de sécurité. SPAC se réserve également le droit de demander une mise à jour ou un renouvellement à tout moment après le processus d'enquête de sécurité.

Remarque

L'accès aux renseignements et aux biens Protégés C exige une enquête approfondie. Veuillez communiquer avec le Programme de sécurité des contrats pour obtenir des renseignements si vous avez besoin d'accéder à des renseignements et à des biens Protégés C.

Le PSC suspendra ou, selon le cas, révoquera une VOD ou une ASI si l'organisation ne parvient pas à maintenir les normes de sécurité requises par le PSC, conformément aux exigences de l'accord de sécurité et du présent manuel. La suspension ou la révocation d'une VOD ou d'une ASI par le PSC pourrait conduire à une décision de l'autorité contractante d'annuler les contrats existants.

3.2.2 Mesures de sécurité

Il existe différents types de mesures de sécurité accordés dans le cadre d'une VOD ou d'une ASI.

L'ADR permet à une organisation de visualiser, de posséder et de conserver des renseignements et des biens protégés et/ou classifiés dans ses installations dans le cadre d'un contrat ou d'un contrat de sous-traitance particulier. Dans des cas exceptionnels uniquement, elle peut être gardée pour un processus d'appel d'offres.

Le PSC inspecte et évalue la sécurité physique des installations de l'organisation. Tous les sites soumis à une exigence relative à la détention des documents doivent être enquêtés.

Les mesures de sécurité supplémentaires énoncées ci-dessous peuvent être requises en fonction des exigences du contrat ou du contrat de sous-traitance. Celles-ci ne sont autorisées qu'après qu'une organisation ait reçu une ADR. Il s'agit notamment :

  • une autorisation de production permet à une organisation de construire, fabriquer, réparer ou modifier des produits de nature délicate, ou travailler sur de tels produits, sur un lieu de travail dans un même temps que l'ADR
  • une autorisation de déchiquetage permet à une organisation de détruire des renseignements et des biens de nature délicate
  • une autorisation de stockage de masse permet à une organisation de stocker de grandes quantités de renseignements ou de biens sur son lieu de travail, au niveau autorisé
  • une autorisation de traiter les technologies de l'information (TI) permet à une organisation de stocker, de traiter ou de transmettre des renseignements de nature délicate par voie électronique
  • COMSEC est l'ensemble des mesures visant à prévenir tout accès non autorisé à l'information de télécommunications sous forme lisible et à garantir la transmission de l'information aux destinataires prévus.
    • COMSEC se divise en divers domaines de spécialité, notamment la sécurité cryptographique, la sécurité des émissions (EMSEC) et la sécurité des transmissions (TRANSEC), et la sécurité physique

Une ADR ne sera accordée qu'aux soumissionnaires retenus qu'après que les installations d'une organisation aient satisfait aux exigences de sécurité physique et administrative énoncées dans le contrat et aient été inspectées et approuvées par le PSC.

Dans le cas d'une ADR pour des renseignements et des biens classifiés, une organisation-satellite doit également posséder une ASI du même niveau sans quoi l'accès aux renseignements et aux biens classifiés détenus par la filiale doit leur être refusé. L'exclusion d'organisations-satellites peut être recommandée dans certains cas avec l'accord du PSC.

3.2.3 Attestations de sécurité d'installation réciproques

Aux termes d'un certain nombre d'instruments de sécurité bilatéraux internationaux (comme entre le Canada et les États-Unis (É.U.)), le PSC peut demander à un gouvernement étranger d'accorder une ASI réciproque à une organisation étrangère établie dans un autre pays pour un accès à de l'information classifiée du Canada, de l'OTAN et/ou d'un autre pays. Cela est utile si l'organisation devient un sous-traitant dans le cadre d'un contrat canadien classifié. Veuillez envoyer un courriel au PSC à tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour toute information relative à la sous-traitance à des entreprises étrangères.

3.3 Participation, contrôle et influence étrangers

Le processus d'évaluation de la participation, du contrôle et de l'influence étrangers (PCIE) vise à évaluer le degré d'autorité, la participation, le contrôle et l'influence que pourraient avoir des intérêts étrangers sur une organisation canadienne. Ceci permet de déterminer et d'atténuer le risque que des tiers non autorisés exercent une influence indue sur une organisation canadienne dans le but d'accéder à des renseignements et à des biens gouvernementaux classifiés.

L'ASI n'exempte pas une organisation de faire l'objet d'autres évaluations. En outre, le fait d'avoir une autorisation de niveau « Confidentiel », « Secret » ou « Très secret » n‘exempte pas une organisation d'une évaluation de la PCIE au besoin. Le déclenchement de l'évaluation de la PCIE généralement dépend du type de renseignements auxquels on a accès. Une évaluation de la PCIE doit être effectuée pour les contrats qui prévoient un accès à des renseignements ou à des biens classifiés de l'OTAN, à des renseignements ou à des biens classifiés étrangers ou à des renseignements ou à des biens classifiés pour des questions de COMSEC, ou à la demande du PSC.

La seule présence d'une participation, d'un contrôle ou d'une influence étrangers n'exclut pas la possibilité d'obtenir une ASI. Chaque cas est évalué individuellement en fonction du profil de risque particulier, associé aux biens ou aux services fournis au gouvernement ou au gouvernement étranger client. En cas d'évaluation négative, le PSC discutera avec l'organisation et le ministère client si certaines mesures peuvent ramener le risque à un niveau jugé acceptable par le PSC et le ministère client.

Une évaluation de la PCIE doit généralement être effectuée avant l'accès à des renseignements, à des biens ou à des sites sensibles. L'établissement des risques relatifs à la PCIE dépend du contrat et demeure valide durant le contrat, dans la mesure où le degré de contrôle ou d'influence potentiels de l'étranger exercés sur l'organisation ne change pas. Des réévaluations sont effectuées lorsqu'une nouvelle exigence de la PCIE est établie ou lorsque les facteurs au moment de l'évaluation, un changement (par exemple, une nouvelle propriété ou restructuration organisationnelle).

3.4 Inspections des lieux

Les inspections des lieux sont un élément clé du processus d'enquête de sécurité. Une organisation doit permettre à l'agent local de la sécurité industrielle (ALSI) du PSC d'inspecter tous les sites et les installations concernés pour s'assurer que les mesures de sécurité adéquates protègent les renseignements et les biens.

L'accès programmé et non programmé des inspecteurs de sécurité du PSC est une condition normale d'un contrat comportant des exigences de sécurité.

Au cours de l'inspection, l'ALSI évaluera aussi :

  • les cibles et risques potentiels pour ce qui est des attaques physiques
  • les systèmes de détection des intrusions
  • les zones de sécurité physique
  • le traitement de l'information et des biens

L'organisation ne peut détenir ou stocker des renseignements protégés ou classifiés qui sont associés au contrat tant que le processus d'inspection n'est pas terminé et que le PSC ne l'a pas informée par écrit que l'ADR a été accordée.

Les inspections peuvent être effectuées à tout moment pendant que l'organisation détient une attestation de sécurité du PSC. Les délais d'inspection varient en fonction :

  • des contrats
  • des niveaux de sécurité
  • du temps dont l'organisation a besoin pour se conformer aux exigences de sécurité de PSC
  • de l'historique de conformité de l'organisation au PSC

En savoir plus sur les inspections sur place.

3.5 Accord de sécurité avec le gouvernement du Canada

Avant qu'une organisation reçoive une attestation de sécurité provisoire, une VOD ou une ASI, un CSC doit conclure et signer un accord de sécurité avec le gouvernement du Canada. L'accord de sécurité décrit les conditions générales de l'attestation de sécurité d'organisation ainsi que les motifs de suspension ou de révocation de l'attestation de sécurité d'organisation. En signant l'accord, l'organisation s'engage à respecter toutes les exigences de sécurité du PSC. L'accord est signé dans le cadre du processus d'enquête de sécurité.

3.6 Conformité et application de la loi pour les organisations du secteur privé disposant d'une attestation de sécurité

Les organisations du secteur privé ont l'obligation de maintenir la conformité aux exigences du PSC tout au long de l'exécution des mécanismes d'approvisionnementNote de bas de page 3 qui renferment des exigences en matière de sécurité.

3.6.1 Conformité avec les exigences du Programme de sécurité des contrats

Les organisations doivent se conformer aux politiques et aux directives indiquées dans le MSC, à l'accord de sécurité, et à toute autre politique du gouvernement du Canada relative au PSC. Le PSC abordera les pratiques commerciales contraires à l'éthiqueNote de bas de page 4 ainsi que le non-respect des exigences en matière de sécurité prévues pour les contrats du gouvernement du Canada.

Le PSC adoptera une approche systématique pour gérer les problèmes de non-conformité concernant les mécanismes d'approvisionnement, en plus des pratiques commerciales contraires à l'éthique, afin d'assurer une application équitable et uniforme à cet égard.

Une évaluation de la conformité peut notamment entraîner des résultats comme la suspension ou la révocation d'une attestation de sécurité d'une organisation. Les autorités contractantes (AC) et les ministères clients seront tenus au courant de tout changement apporté à l'état de l'autorisation de sécurité d'une organisation. Ces changements peuvent entraîner la cessation ou la modification d'un mécanisme d'approvisionnement existant par l'AC ou les ministères clients. De plus, chacune des enquêtes de sécurité sur le personnel dépend de l'état de l'organisation à laquelle ils appartiennent. Si l'attestation de sécurité d'une organisation est révoquée, toutes les enquêtes de sécurité sur le personnel associées à cette organisation devront être résiliées.

3.6.2 Processus du Programme de sécurité des contrats pour les organisations non conformes

Le PSC adoptera une approche en deux étapes dès qu'il détermine qu'une organisation :

  • a entrepris des pratiques opérationnelles contraires à l'éthique
  • n'a pas respecté les politiques et les directives indiquées dans le MSC, l'accord de sécurité ou toute autre politique du gouvernement du Canada relative au PSC, ou n'a pas mis en œuvre les mesures correctives recommandées par le PSC
  • Le CSC et l'ASE de l'organisation, et toute autre personne pouvant disposer de renseignements en lien avec la non-conformité peuvent être interrogés par les représentants du PSC
Étape 1 : Lettre de suspension – Envoyée par le directeur, Direction des services de sécurité industrielle des organisations

Dans les cas où la non-conformité ou une infraction est confirmée, le PSC envoie une lettre de suspension à l'ASE de l'organisation par courriel décrivant les raisons de la suspension de leur l'attestation de sécurité. À moins d'avis contraire du PSC, l'organisation aura 30 jours pour soumettre sa réponse, par courriel, à la lettre de suspension afin d'indiquer les mesures correctives qu'elle mettra en place, ou répondre aux préoccupations qui ont mené à la suspension, pour respecter les exigences en matière de détention d'une attestation de sécurité valide. Si le PSC juge que l'organisation a clairement démontré qu'elle respecte ces exigences, et qu'il n'y a aucun problème de sécurité, l'attestation sera rétablie.

Si la réponse de l'organisation ne traite pas ou n'atténue pas les raisons de la suspension, et qu'aucune mesure d'atténuation sont fournies pour remédier à la situation, y compris une non-réponse à la lettre de suspension, le PSC enverra une lettre de révocation.

Il est à noter que lorsque le PSC suspend l'attestation de sécurité d'une organisation, cette organisation peut conserver sa capacité à travailler dans le cadre des mécanismes d'approvisionnement existants qui lui ont été confiés avant la suspension. Cette décision est à la discrétion des AC et du ministère client, et non du PSC. L'autorisation de sécurité des employés des organisations reste active en attendant le résultat de l'évaluation, sauf avis contraire du PSC. Toutefois, la suspension de l'organisation peut entraîner des conséquences sur leur capacité à continuer de travailler sur les mécanismes d'approvisionnement existants, à obtenir de nouveaux mécanismes d'approvisionnement, ou à être pris en considération pour de nouvelles possibilités d'approvisionnement. Les organisations doivent valider leur état et leur capacité à travailler sur un contrat de nature délicate lorsqu'elles sont suspendues par le PSC.

Étape 2 : Lettre de révocation – Envoyée par le directeur général, Direction des services de sécurité industrielle des organisations

Si l'organisation ne traite pas ou n'atténue pas les raisons de la suspension, ou si aucune mesure d'atténuation n'est prévue pour remédier à la situation, le PSC enverra à l'organisation une lettre de révocation dans les situations où le PSC :

  • na pas reçu de réponse de la part de l'organisation en 30 jours, ou
  • détermine que l'organisation n'a pas mis en place les mesures correctives nécessaires, ou
  • détermine que l'organisation n'a pas fourni les preuves nécessaires pour justifier la réintégration de son attestation de sécurité

Le PSC fera part à l'organisation la décision finale par écrit, et lui indiquera la justification et l'option pour les recoursNote de bas de page 5.

L'organisation peut décider d'adopter une méthode officielle pour examiner la décision du directeur général, Direction des services de sécurité industrielle des organisations, de révoquer son attestation de sécurité. Elle doit soumettre une demande par écrit à la boîte de réception de conformité PSCNote de bas de page 6, afin que la décision soit examinée par le sous-ministre adjoint de la Direction générale de la surveillance ministérielle de SPAC. La demande doit être présentée dans les 30 jours suivant la date de réception de la lettre de révocation. Une fois que le PSC reçoit une demande de réintégration, le dossier de l'organisation sera examiné. Le PSC se réserve le droit de vérifier, par le biais de processus d'évaluation, si les exigences minimales et toute condition supplémentaire sont respectées par l'organisation.

Lorsque l'attestation de sécurité d'une organisation est révoquée, le PSC recommande (aux AC et aux ministères clients) que tous les mécanismes d'approvisionnement attribués précédemment à l'organisation soient résiliés. De plus, toutes les enquêtes de sécurité sur le personnel détenues par l'organisation seront résiliés.

Avis aux autres parties

Tout changement apporté à l'état de l'organisation sera immédiatement partagé par courriel à l'ensemble des AC, des ministères clients et des intervenants concernés. Si l'organisation non conforme est un sous-traitant, les parties susmentionnées et l'entrepreneur principal seront avisés.

3.6.3 Suspension ou révocations d'une attestation de sécurité d'organisation

Les circonstances suivantes, non exhaustives, constituent des motifs qui peuvent conduire le PSC à la suspension ou à la révocation d'une attestation de sécurité organisation :

  1. L'incapacité de l'organisation à obtenir et à confirmer l'autorisation de sécurité ou la cote de fiabilité des ASE, ASER et des CSC
  2. L'incapacité du PSC à joindre l'organisation par courriel, par téléphone ou par le biais d'un site Web, car l'organisation n'a pas informé le PSC de la mise à jour de ses coordonnées
  3. L'accès donné aux membres du personnel de l'organisation à des renseignements, à des biens ou à des sites de niveau protégé ou classifié qui n'ont pas le niveau approprié de cote de fiabilité ou d'autorisation de sécurité, ou le besoin de savoir
  4. L'accès donné aux CSC de l'organisation, qui ont signé une attestation d'exclusion de CSC, à des renseignements, à des biens ou à des sites de niveau protégé ou classifié
  5. Les renseignements découverts par le PSC qui remettent en question l'intégrité et l'honnêteté de l'organisation
  6. L'incapacité du PSC à atténuer adéquatement les risques associés à la propriété, au contrôle et à l'influence de l'étranger sur l'organisation canadienne
  7. L'incapacité ou le refus de l'organisation de fournir au PSC de véritables renseignements concernant la participation, le contrôle et l'influence de l'étranger à des fins d'évaluation, alors que les exigences relatives à la sécurité du contrat requièrent ces renseignements
  8. L'incapacité ou le refus de l'organisation de fournir une preuve valide d'un emplacement physique permanent et un lieu d'affaires principal au Canada où le travail est exécuté et où l'entreprise fonctionne
  9. Le refus de l'organisation de donner au représentant autorisé du PSC un accès à son emplacement physique ou de lui permettre d'interroger le personnel clé identifié de l'organisation
  10. Le refus de l'organisation de divulguer les mécanismes d'approvisionnement qui lui ont été attribués par des gouvernements étrangers ou des organisations étrangères et qui impliquent des renseignements étrangers ou canadiens de niveau classifié
  11. Le refus de l'organisation de fournir les exigences relatives à la sécurité indiquées dans les mécanismes d'approvisionnement qui lui ont été attribués par des gouvernements étrangers ou des organisations étrangères
  12. Le non-respect des exigences relatives à la sécurité physique par l'organisation ou les changements non autorisés apportés aux zones de sécurité approuvées par le PSC
  13. Tout acte criminel commis par les ASE, les ASER ou les CSC en tant que représentants de l'organisation, tout en commettant l'acte au profit de l'organisation ou de leur statut au sein de l'organisation
  14. Tout acte d'agression ou de harcèlement à l'encontre de l'État, par les ASE, les ASER ou les CSC, qui pourrait être considéré comme une violation des dispositions anti-harcèlement figurant dans le Code de conduite pour l'approvisionnement
  15. Tout acte contre l'État, tout acte donnant lieu à une condamnation au criminel commis par l'organisation, ou tout acte mettant en cause la crédibilité ou la fiabilité de l'organisation ou de ses mécanismes d'approvisionnement
  16. Tout changement important concernant l'organisation mettant en cause la crédibilité ou la fiabilité de l'organisation ou de ses mécanismes d'approvisionnement, y compris notamment les changements concernant le lieu d'enregistrement, la propriété, les associés, la faillite, la dissolution ou les condamnations criminelles de l'organisation ou de ses CSC
  17. Toute suspension, résiliation ou révocation d'une cote de fiabilité/autorisation de sécurité d'un ASE, d'un ASER ou d'un CSC, qui peut influencer l'attestation de sécurité de l'organisation
  18. Toute tentative de fournir des renseignements faux ou trompeurs, y compris par omission, au PSC, à tout ministère du gouvernement du Canada ou à l'un de ses agents autorisés
  19. L'incapacité du PSC à interroger un ASE, un ASER ou un CSC de l'organisation dans le délai accordé

Pour plus de renseignements sur conformité et d'application de la loi, veuillez consulter l'Annexe A : VIII. Guide de conformité et d'application de la loi du Programme de sécurité des contrats.

Chapitre 4 : Enquête sur le personnel

4.1 Aperçu

Pour obtenir une attestation de sécurité auprès du PSC, une organisation doit faire soumettre son personnel. Cela commence par :

  • ses cadres supérieurs clés (s'il y a lieu)
  • ses agents général de sécurité d'entreprise (s'il y a lieu)
  • ses agents de sécurité d'entreprise (ASE)
  • ses agents de sécurité d'entreprise remplaçant (ASER), à une enquête de sécurité

Une fois que l'enquête de sécurité sur l'organisation est terminée, l'attestation de sécurité provisoire, la vérification d'organisation désignée ou l'attestation de sécurité d'installation est accordée. Veuillez consulter la sous-section 3.2.1 Types d'attestations de l'organisation. Les ASE et les ASER peuvent soumettre des demandes d'enquête sur les membres du personnel de leur organisation qui ont un besoin légitime d'accéder à des renseignements, à des biens et des lieux de travail protégés ou classifiés dans le cadre d'un processus d'appel d'offres, d'un contrat, d'un contrat de sous-traitance ou d'un bail en vigueur.

En savoir plus sur qui est admissible à une enquête de sécurité sur le personnel.

Un employé est une personne employée par l'entreprise, qui lui paye un salaire. Toutefois, sous certaines conditions, un employé peut être une ressource de sous-traitance. Ces ressources sont assujetties à la première option de sous-traitance. Veuillez consulter la sous-section 2.4.1 Options de simplification de la sous-traitance. On doit effectuer l'enquête de sécurité avant d'accorder l'accès à des renseignements, à des biens ou à des lieux de travail protégés ou classifiés.

4.2 Enquête de sécurité sur le personnel

Il existe différents niveaux d'enquête de sécurité sur le personnel. Ceux-ci dépendent des exigences de sécurité prévues dans un contrat ou sous-contrat. Les organisations doivent veiller à ce que les membres de leur personnel qui ont besoin d'un accès à des renseignements, à des biens ou à des lieux de travail protégés ou classifiés fassent l'objet d'une enquête de sécurité. Une personne ne peut pas accéder à des renseignements ou à des biens protégés ou classifiés tant qu'elle n'a pas obtenu la cote de fiabilité requise ou une autorisation de sécurité de niveau « Secret » ou « Très secret ».

Cote de fiabilité

L'enquête de sécurité aux fins d'obtention d'une cote de fiabilité consiste à évaluer l'honnêteté et la fiabilité d'une personne. Elle donne accès aux renseignements et aux biens Protégé A et Protégé B. Pour l'obtenir, le requérant doit fournir des renseignements vérifiables sur les 5 dernières années de sa vie. La cote de sécurité est habituellement valide pendant 10 ans à compter de la date de délivrance, à moins qu'elle ne soit révoquée pour des motifs valables ou résiliée.

Cote de fiabilité approfondie

La cote de fiabilité approfondie donne accès aux renseignements et aux biens Protégé C. Pour l'obtenir, le requérant doit fournir des renseignements vérifiables sur les 5 dernières années de sa vie. La cote de sécurité est habituellement valide pendant 10 ans à compter de la date de délivrance, à moins qu'elle ne soit révoquée pour des motifs valables ou résiliée.

Autorisation de sécurité sur le personnel

Une autorisation de sécurité sur le personnel consiste à évaluer la loyauté de la personne envers le Canada et sa fiabilité en ce qui a trait à cette loyauté. Elle permet d'accéder à des renseignements, à des biens et à des sites classifiés. Le requérant doit fournir des renseignements vérifiables sur les 10 dernières années de sa vie. Selon le type, elle est valide 5 ou 10 ans à compter de la date de délivrance, à moins qu'elle ne soit révoquée ou résiliée. Les autorisations de niveaux « Secret » et OTAN Secret sont valides pendant 10 ans. Les autorisations de niveaux « Très secret » et Control of Secret Material in an International Command (COSMIC) Très secretNote de bas de page 7 sont valides pendant 5 ans.

Problèmes de sécurité

Si des problèmes de sécurité sont révélés au cours du processus d'enquête, le PSC peut réaliser une entrevue de filtrage de sécurité avec le demandeur pour des renseignements supplémentaires. Cette entrevue permet le PSC à déterminer les circonstances ou l'activité qui ont soulevé des problèmes de sécurité. Cela permet également au demandeur de répondre au ces problèmes de sécurité. Tous les renseignements fournis par le demandeur sont protégés et ne seront pas communiqués à l'ASE, sauf si le PSC l'exige, et conformément aux exigences contractuelles, de sécurité et de protection des renseignements personnels.

L'ASE ou l'ASER doit démontrer que le demandeur est employé et est admissible à une enquête de sécurité sur le personnel. Si le demandeur est la ressource d'un sous-traitant, l'ASE et/ou l'ASER doit s'assurer que le requérant rencontre les conditions figurant sous la première option de sous-traitance. La soumission d'une demande d'enquête de sécurité sur le personnel sans une exigence valide compromet la cote de fiabilité ou l'autorisation de sécurité du personnel de l'ASE ou de l'ASER. Elle compromet aussi la conformité de l'organisation avec le PSC. Pour plus de détails, consultez l'Annexe A : Lignes directrices sur les responsabilités des agents de sécurité d'entreprise et des agents de sécurité d'entreprise remplaçants.

Pour en savoir plus sur la manière d'obtenir une enquête de sécurité pour votre organisation et votre personnel, consultez :

4.3 Cote d'accès aux sites

La cote d'accès aux sites est un autre type d'enquête. Elle peut être effectuée à l'égard des personnes de l'extérieur du gouvernement qui n'ont pas accès à des renseignements de nature délicate, mais à des installations du gouvernement à accès réglementé ou contrôlé d'une partie de ces installations.

Il existe 2 types de cotes d'accès aux sites :

  • l'enquête aux fins d'attribution d'une cote d'accès aux sites consiste à évaluer l'honnêteté et la fiabilité d'une personne, elle nécessite la vérification de
    • l'identité de la personne
    • la réalisation d'une enquête par un organisme d'application de la loi
  • l'enquête de sécurité aux fins d'obtention d'une autorisation d'accès aux sites consiste à évaluer la loyauté d'une personne envers le Canada et sa fiabilité en ce qui a trait à cette loyauté, elle nécessite la vérification de
    • l'identité de la personne
    • la réalisation d'une enquête par un organisme d'application de la loi
    • une évaluation de sécurité

Les personnes ne peuvent pas accéder aux sites ou aux installations de nature délicate sans la cote ou une autorisation d'accès aux sites.

Chapitre 5 : Protection des installations

5.1 Aperçu

Pour protéger adéquatement une installation, il faut disposer d'un système de sécurité physique capable de détecter un accès ou une tentative d'accès non autorisé au moyen de barrières physiques, procédurales et psychologiques.

Au fil du temps, presque toutes les mesures de sécurité physique peuvent être compromises. Par conséquent, les mesures de protection doivent être fondées sur le temps dont une unité d'intervention ou une personne a besoin pour accourir sur les lieux. Le PSC peut aider à l'élaboration d'un plan de protection des installations qui fera partie d'un programme efficace de sécurité globale.

Une organisation qui dispose d'une VOD ou d'une l'ASI, et d'une autorisation supplémentaire, comme une autorisation de détenir des renseignements (sous-section 3.2.2 Mesures de sécurité), doit protéger ses installations contre la compromission et l'accès non autorisé.

Les organisations doivent utiliser efficacement les zones à accès réglementé en mettant en œuvre des procédures de sécurité appropriées comme :

  • le stockage et le traitement des renseignements et des biens dans les zones de sécurité appropriées
  • le contrôle de l'accès aux renseignements classifiés dans un registre de documents
  • des mesures permettant de s'assurer que toutes les personnes qui travaillent dans les zones de sécurité seront soumises à une évaluation de sécurité au niveau approprié
  • la séparation suffisante des renseignements de manière à ce que seules les personnes qui ont besoin de savoir puissent y accéder
  • l'accompagnement des visiteurs
  • la protection des renseignements et des biens lorsqu'on quitte le lieu de travail
  • la prise de précautions lorsqu'on discute de renseignements classifiés ou protégés
  • l'installation de l'équipement comme des conteneurs et des déchiqueteuses là où l'on pourra s'en servir sans laisser sans surveillance des renseignements et des biens protégés et classifiés
  • la préparation et l'utilisation des renseignements et des biens Protégé C dans une zone de sécurité ou, s'il y a lieu, dans une zone de haute sécurité
  • l'établissement des zones de sécurité physique conformément à la directive fédérale sur la gestion de la sécurité

5.2 Sécurité physique

Les organisations devraient rapidement consulter les représentants du PSC lorsqu'elles construisent, achètent, louent ou rénovent des installations pour lesquelles une attestation d'accès sera nécessaire. Les systèmes de sécurité physique doivent être conformes aux règlements et aux codes provinciaux et municipaux, notamment en ce qui concerne les incendies, la construction et l'électricité.

Zones d'accès réservé

Les organisations qui possèdent une ADR doivent disposer d'un nombre adéquat de zones d'accès à restriction progressive pour contrôler l'accès aux renseignements et aux biens protégés et classifiés. Les zones en question comprennent :

  • une zone d'accès public
  • une zone d'accueil
  • une zone de travail
  • une zone de sécurité
  • une zone de haute sécurité

Vous trouverez des renseignements supplémentaires sur les types de zones d'accès réservé à l'annexe B : II. Types de zone d'accès réservé.

Les zones doivent avoir un périmètre reconnaissable qui définit leurs limites, lesquelles seront établies en consultation avec ALSI.

Les mesures de sécurité physique sont plus efficaces si elles sont adaptées autant que possible aux opérations normales. Le choix d'un emplacement adéquat et la délimitation des zones d'accès réservé facilitent leur utilisation fonctionnelle ainsi que le contrôle de l'accès à celles-ci.

5.3 Zones et périmètres extérieurs

Les représentants du PSC aideront également à répondre aux exigences relatives aux zones et aux périmètres extérieurs, ce qui comprend :

  • les clôtures et les murs autoportants
  • l'aménagement paysager et les stationnements
  • l'éclairage de sécurité extérieur
  • les portes d'accès, les fenêtres et autres ouvertures du périmètre
  • les sorties de secours

Les organisations qui possèdent une autorisation de détenir des renseignements peuvent avoir besoin d'un centre de surveillance à chaque site pour surveiller et contrôler les équipements et les systèmes de sécurité. Le centre peut être administré par l'installation, une entreprise sous-traitante ou une combinaison des deux pour assurer une surveillance continuelle. Le système de surveillance de la sécurité doit pouvoir fonctionner indépendamment des autres systèmes de surveillance de l'installation.

5.4 Contrôle de l'accès aux zones d'accès réservé

Les organisations doivent utiliser des points d'entrée établis pour acheminer les employés et les visiteurs, vérifier l'identité des gens et empêcher les visiteurs d'entrer tant qu'ils ne sont pas correctement enregistrés et escortés par un employé. Un certain nombre de mesures doivent être prises pour contrôler l'accès aux zones d'accès réservé, ce qui comprend :

  • l'identification du personnel
  • des gardiens
  • le contrôle électronique de l'accès
  • la détection électronique des intrusions
  • la télévision en circuit fermé
  • des contrôles exercés sur l'accès à l'intérieur des locaux
  • des locaux de service

L'organisation ne peut pas accéder à des renseignements classifiés ou protégés, ou encore en posséder, manipuler ou en stocker au site jusqu'à les représentants du PSC a avisé par écrit que le niveau de sécurité requis lui a été accordé.

Vous trouverez de plus amples renseignements sur ces exigences et sur ce que l'ALSI examinera dans le cadre de l'inspection du site à l'annexe B : Lignes directrices pour la protection des installations.

Chapitre 6 : Manipulation et protection de renseignements et de biens

6.1 Aperçu

Lorsqu'une organisation est autorisée aux termes du PSC à posséder et à stocker des renseignements et des biens protégés ou classifiés (sous-section 3.2.2 Mesures de sécurité), elle doit disposer d'un système de sécurité des biens qui va :

  • définir les responsabilités de la direction et du personnel
  • déterminer les biens nécessitant des mesures de protection
  • établir un registre de documents, qui comprend la tenue d'un inventaire, la notification et le traitement des incidents de sécurité, ainsi que la tenue d'une évaluation des menaces et des risques
  • préciser les mesures adéquates pour la sécurité du personnel et des biens matériels

L'accès aux renseignements et aux biens protégés et classifiés doit être limité aux personnes disposant du niveau de sécurité approprié et qui ont besoin de savoir.

Ces exigences s'appliquent également à toute information étrangère classifiée et classifiée de l'OTAN, en plus des autres exigences de l'OTAN (chapitre 10.2 : Organisation du Traité de l'Atlantique Nord). Les principes de protection des renseignements classifiés énoncés dans ce chapitre s'appliquent aux renseignements gouvernementaux étrangers ou nationaux, ainsi qu'aux renseignements classifiés de l'OTAN, de l'Union européenne et de l'Agence spatiale européenne.

La manipulation et la protection inappropriées de renseignements et de biens protégés et classifiés pourraient entraîner la suspension ou la révocation de la VOD ou d'une l'attestation de sécurité d'installation (ASI) d'une organisation, ou de la cote de fiabilité ou de l'autorisation de sécurité d'un employé, selon la situation. La révocation ou la suspension d'une VOD ou d'une ASI peut entraîner la perte de tout contrat gouvernemental exigeant que l'organisation détienne un statut de contrôle de sécurité.

Les sections suivantes donnent un aperçu de chaque exigence relative à la protection des renseignements et des biens protégés et classifiés. L'annexe C : Lignes directrices sur la protection des renseignements et des biens fournit des détails supplémentaires sur ces exigences et doit être lue conjointement avec le présent chapitre. Ces mesures s'appliquent à toute information qui est copiée ou traduite, qui conserve le niveau de catégorisation de sécurité de l'information originale. Des instructions précises sur la possibilité de copier ou de traduire les renseignements peuvent être fournies dans le contrat ou dans les instruments de sécurité bilatéraux.

6.2 Environnement sécurisé

Dans un environnement de bureau, les organisations doivent utiliser des zones restreintes pour protéger les renseignements et les biens. Des procédures de sécurité appropriées garantissent que les renseignements et les biens ne sont accessibles qu'aux personnes autorisées au niveau de sécurité approprié et ayant besoin de savoir, qu'ils ne sont pas laissés sans surveillance et qu'ils sont enregistrés, conservés et éliminés de manière appropriée. (Annexe C : I. Environnement sécurisé)

6.2.1 Exigences relatives au niveau de sécurité

Le niveau de sécurité détermine les exigences en matière de manipulation, de conservation, de marquage et d'élimination des renseignements et des biens protégés et classifiés. Des enseignements sur les types de zones de sécurité sont disponibles dans l'annexe B : Lignes directrices pour la protection des installations.

  1. Les renseignements et biens de niveau Secret et Très secret doivent être traités, conservés et détruits dans une zone de sécurité, à moins qu'une analyse des menaces et des risques ne recommande un niveau de sécurité plus élevé
  2. Les renseignements et les biens au niveau Protégé C doivent être traités, conservés et détruits dans une zone de sécurité, à moins qu'une analyse des menaces et des risques ne recommande une zone de sécurité plus élevée
  3. Les renseignements et les biens confidentiels doivent être traités, conservés et détruits dans une zone de travail ou une zone de sécurité plus élevée
  4. Les renseignements et biens aux niveaux Protégé A et Protégé B doivent être traités, conservés et détruits dans une zone de travail ou une zone de sécurité plus élevée

6.3 Gestion des documents

Les organisations doivent disposer d'un lieu approprié, appelé registre, pour recevoir, distribuer et conserver des renseignements et des biens protégés et classifiés.

Les organisations doivent tenir des registres des dates, des noms et des transactions de tous les renseignements et biens classifiés indiquant la réception, la distribution, la création, la reproduction et la destruction au sein de l'installation.

Tous les dossiers de renseignements et de biens protégés/classifiés et tous les renseignements et biens protégés/classifiés doivent être disponibles pour inspection par les ALSI du PSC.

L'utilisation de registres sécurisés et la mise en œuvre de procédures appropriées permettent de protéger tous les renseignements et tous les biens. Ces procédures comprennent le traitement du registre comme une zone de sécurité, la mise en œuvre de mesures qui empêchent l'accès non autorisé, et l'ouverture, la divulgation et le marquage des dossiers avec le niveau de sécurité approprié. (Annexe C : II. Gestion des dossiers)

Les organisations doivent tenir des registres des renseignements et des biens étrangers, sauf disposition contraire dans les clauses du contrat.

6.3.1 Conservation des dossiers

Lorsqu'une offre n'est pas acceptée, ou lorsque le contrat est terminé ou résilié, le matériel et les biens protégés et classifiés doivent être retournés au ministère client, détruits en faisant appel à une entreprise de destruction tierce agréée, ou être détruits sur place si l'organisation dispose d'une déchiqueteuse approuvée, comme le précise le PSC (chapitre 6.10 : Destruction des documents) ou comme le demandent les représentants du PSC. Les organisations peuvent être autorisées à conserver certains documents, sur approbation de l'auteur, par l'entremise du PSC.

Les demandes d'autorisation de conservation doivent définir le matériel, la période et la justification.

Si l'organisation a été autorisée à conserver des renseignements protégés et classifiés pendant une période donnée après l'achèvement du contrat, la demande de conservation doit comprendre les détails de cette autorisation.

À moins que l'autorité de conservation ne soit reçue par écrit, les renseignements protégés et classifiés doivent être éliminés conformément au chapitre 6.10 : Destruction des documents et aux instructions relatives au PSC.

6.4 Marquages de sécurité

Les renseignements protégés et classifiés doivent être marqués de manière appropriée au moyen de procédures et de marquages précis en fonction du niveau de sensibilité et du type de support, y compris les microformes et le matériel de stockage électronique.

Le marquage des documents internationaux est régi par des protocoles d'entente, des accords ou d'autres normes et directives internationales en matière de sécurité internationale (annexe C : III. Mentions de sécurité). Veuillez communiquer avec les représentants du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour obtenir des conseils et une assistance.

6.5 Conservation

Au minimum, lorsqu'ils se trouvent dans une zone de travail approuvée, les renseignements et les biens protégés et restreints doivent être rangés dans des conteneurs fermés à clé, comme des armoires, des coffres-forts, des chambres fortes et des salles sécurisées, sauf disposition contraire dans les clauses contractuelles. Les renseignements et biens aux niveaux Protégé C, Secret et Très secret doivent être conservés dans un conteneur de sécurité approuvé dans une zone de sécurité (Chapitre 5.2 : Sécurité physique), conformément au Guide d'équipement de sécurité de la Gendarmerie royale du Canada (GRC). Les renseignements classifiés au niveau Confidentiel doivent être conservés dans un conteneur de la GRC, lorsqu'ils se trouvent dans une zone de travail approuvée. Lorsqu'ils sont élaborés selon les spécifications définies dans le Guide des salles d'entreposage sécurisées de la GRC et situés dans les zones appropriées, les renseignements et les biens protégés ou classifiés peuvent être rangés sur des étagères ouvertes dans une salle sécurisée. Les ALSI fourniront des conseils et devront inspecter et approuver les pièces avant leur utilisation.

Les renseignements classifiés étrangers doivent être conservés séparément de toutes les autres formes de renseignements classifiés et protégés étrangers ou nationaux. Les renseignements et les biens protégés et classifiés ne doivent pas être conservés dans la même armoire que les effets négociables ou des biens attrayants.

Les organisations sont autorisées à acheter des équipements de sécurité approuvés par l'intermédiaire de PSC. L'ASE ou l'ASER doit consulter l'ALSI par courriel au tpsgc.ssidie-issiid.pwgsc@tpsgc-pwgsc.gc.ca pour déterminer l'équipement nécessaire. Une fois la demande approuvée par l'ALSI, le PSC traitera la demande. Toutefois, la facturation et la livraison du matériel incombent à l'acheteur (l'Agence spatiale européenne) et au fournisseur. Des exemples d'équipements disponibles par l'intermédiaire de cette procédure sont énumérés à l'annexe C : IV. Conservation.

6.6 Utilisation des ordinateurs

Un ordinateur, y compris les ordinateurs portables, utilisé pour des renseignements protégés ou classifiés ne doit pas être retiré de l'organisation sans l'autorisation écrite de l'Agence spatiale européenne ou de l'ASER. Les ordinateurs utilisés pour les renseignements protégés ou classifiés doivent suivre les procédures de sécurité pour l'entreposage établies par l'organisation, ainsi que les normes de transport et de transmission si elles sont retirées de l'organisation. De plus amples renseignements sur la sécurité des technologies de l'information sont disponibles au chapitre 7 : Sécurité des technologies de l'information.

6.7 Emballage et transmission

Lors de la transmission de renseignements et de biens classifiés et protégés, les organisations doivent en protéger la sécurité par un emballage approprié, tenir un registre pendant le transit et la livraison. Communiquez avec les représentants du PSC par courriel au tpsgc.ssidie-issiid.pwgsc@tpsgc-pwgsc.gc.ca pour obtenir des renseignements.

Les registres de distribution, de diffusion et de retour dans l'installation doivent comprendre la signature des représentants qui en accusent réception. Les personnes qui ont accès aux renseignements et aux biens classifiés doivent être informées de leurs responsabilités quant à la protection de ces renseignements et biens, ainsi que des restrictions particulières concernant leur utilisation ou leur diffusion.

Les renseignements et les biens protégés et classifiés doivent être emballés et transmis conformément aux normes de la GRC sur le transport et la transmission de renseignements protégés et classifiés et approuvés par les représentants du PSC pour la transmission internationale. Le transport en mains propres et l'expédition en vrac de renseignements et de biens protégés et classifiés précis doivent suivre des procédures précises; l'ALSI fournira des conseils et une assistance.

Les organisations peuvent soumettre leurs formulaires de sélection aux représentants du PSC par courriel puisqu'il s'agit de renseignements protégés de l'organisation, mais si les renseignements sont protégés en relation avec des contrats, les renseignements protégés doivent être chiffrés avant d'être envoyés par courriel.

Les organisations doivent obtenir l'approbation préalable de l'administration canadienne désignée en matière de sécurité avant de transmettre à l'étranger des renseignements ou des biens protégés ou classifiés. Pour plus de renseignements, communiquez avec les représentants du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca.

6.8 Transfert de renseignements et de biens

Si une organisation prévoit de transférer des renseignements ou des biens protégés et/ou classifiés d'un site à un autre, l'organisation doit s'assurer que les sites sont dotés de l'ADR et de la technologie de l'information (le cas échéant) pour ce contrat précis avant le transfert. Il convient de noter que ce transfert ne peut avoir lieu qu'au Canada et qu'il ne concerne pas les documents Très secret, Protégé C, le COMSEC ni les renseignements/biens classifiés de l'OTAN ou d'un autre pays. L'Agence spatiale européenne et les ASER de l'organisation doivent utiliser une méthode de transport approuvée par le PSC pour l'échange, ainsi que rendre compte du changement et le consigner dans le registre des documents.

Les représentants du PSC doivent approuver le retrait et le transport de renseignements et de biens aux niveaux Protégé C et COMSEC, ainsi que de tous les renseignements classifiés de l'OTAN, étrangers et canadiens au niveau Confidentiel ou supérieur. Pour plus de renseignements, communiquez avec les représentants du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca.

6.9 Communication verbale et par messages

Les téléphones ou télécopieurs non protégés ne peuvent pas être utilisés pour communiquer des renseignements classifiés au-dessus de la catégorie Restreint ou Protégé A. Le Centre de la sécurité des télécommunications (CST) fournira une assistance pour coordonner les téléphones ou télécopieurs sécurisés.

6.10 Destruction des documents

Comme il est indiqué dans les clauses du contrat, les renseignements et les biens protégés et classifiés peuvent être soit retournés au ministère client, soit détruits en faisant appel à une entreprise de destruction tierce agréée, soit l'organisation peut procéder au déchiquetage sur place si elle dispose d'une déchiqueteuse approuvée. La déchiqueteuse d'une organisation sera inspectée par l'ALSI lors de l'inspection liée à l'ADR si une entreprise indique qu'elle effectuera le déchiquetage sur place. Un certificat de destruction est requis pour les renseignements classifiés.

Normalement, les renseignements protégés ou classifiés ne sont pas récupérés dans le cadre du PSC, sauf si cela est stipulé dans le contrat, si on le lui demande ou dans certains cas où l'ADR est révoquée.

Tous les renseignements classifiés étrangers doivent être détruits conformément aux clauses contractuelles. Il faut toujours valider avec les représentants du PSC avant de détruire des renseignements classifiés étrangers. Les renseignements et les biens étrangers au niveau Restreint doivent également être détruits conformément aux exigences établies dans les clauses contractuelles.

Les renseignements et les biens protégés et classifiés dont la destruction a été autorisée doivent être éliminés conformément aux exigences suivantes :

  • destruction par de l'équipement de destruction agréé, ou dans une installation avec une ADR autorisée dans le cadre du PSC
  • protection en fonction du niveau le plus élevé des biens concernés en attendant leur destruction ou en transit vers celle-ci
  • séparation des autres renseignements et des biens en attente de destruction
  • contrôle par un employé ayant une cote de fiabilité ou une autorisation de sécurité appropriée, selon le cas
  • les copies excédentaires et les déchets qui pourraient comprendre des renseignements protégés ou classifiés doivent être protégés selon le niveau adéquat et être détruits rapidement

Remarque

La destruction des renseignements et des biens classifiés doit être consignée dans un certificat de destruction, dont une copie doit être transmise au PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca.

Chapitre 7 : Sécurité des technologies de l'information

7.1 Aperçu

Lorsque des organisations se voient attribuer des contrats du gouvernement du Canada (contrats principaux et contrats de sous-traitance) qui les obligent à utiliser leurs propres systèmes informatiques pour conserver/traiter/créer des renseignements protégés ou classifiés comme indiqué dans la liste de vérification des exigences relatives à la sécurité des contrats (LVERS) (section C.11.D et section C.11.E), elles doivent d'abord obtenir l'autorisation dans le cadre du PSC.

L'organisation ne peut pas utiliser son système informatique pour conserver/traiter/créer des renseignements protégés ou classifiés tant que le processus d'inspection de la sécurité informatique, mené par un inspecteur de la sécurité informatique du PSC, n'est pas terminé et officialisé dans une lettre d'approbation écrite de la technologie de la TI du PSC.

Les organisations ne doivent pas utiliser un système informatique à l'appui d'un contrat pour conserver/traiter/créer des renseignements protégés ou classifiés avant d'avoir reçu l'autorisation dans le cadre du PSC; cela constituera une violation d'une ou de plusieurs des clauses contractuelles.

7.2 Planification

Un plan de sécurité informatique est une étape importante pour la protection et le contrôle du système d'information d'une organisation.

7.2.1 Sécurité physique

Les renseignements protégés et classifiés en format électronique, ainsi que les biens technologiques protégés et classifiés, doivent être physiquement protégés d'une manière équivalente aux renseignements sur papier, comme il est indiqué au chapitre 5 : Protection des installations, et chapitre 6 : Manipulation et protection de renseignements et de biens.

7.2.2 Sécurité des renseignements électroniques

Les organisations doivent planifier la sécurité informatique pour le cycle de vie complet des renseignements protégés ou classifiés qui sont conservés/traités/créés et du matériel informatique utilisé à l'appui d'un contrat

Les organisations doivent maintenir une posture de sécurité informatique qui respecte et maintient la confidentialité, l'intégrité et la disponibilité des renseignements électroniques protégés ou classifiés pendant toute la durée de leur détention.

Les inspections de sécurité informatique du PSC sont basées sur les politiques et les lignes directrices de la Politique sur la sécurité du gouvernement, la Politique sur les services et le numérique, la Directive sur les services et le numérique, la Politique de sécurité de l'Organisation du traité de l'Atlantique Nord (PDF) (en anglais seulement), le cas échéant, et d'autres lignes directrices publiées par le gouvernement du Canada, ainsi que sur les concepts de meilleures pratiques commerciales.

7.3 Inspections

Les inspections de sécurité informatique du PSC ont lieu après l'attribution d'un contrat comportant une exigence informatique. L'organisation doit d'abord répondre aux exigences de sécurité physique (chapitre 5 : Protection des installations) et avoir reçu une ADR des renseignements au niveau du contrat ou à un niveau supérieur.

Les organisations ne doivent pas conserver, traiter ni créer des renseignements protégés ou classifiés sur leurs systèmes informatiques avant que les représentants du PSC n'aient délivré une lettre d'approbation écrite de la TI.

Les inspections de sécurité informatique du PSC sont effectuées pour s'assurer que le risque résiduel pour les renseignements protégés ou classifiés du gouvernement du Canada est faible. Les ministères et organisations gouvernementaux ont autorisé les représentants du PSC, par des protocoles d'entente et d'autres moyens, à approuver des systèmes informatiques pour la conservation, le traitement et la création de renseignements protégés ou classifiés lorsque le risque résiduel, tel qu'évalué par l'inspecteur de la sécurité informatique, est faible.

Les inspections de sécurité informatique sont propres à un contrat particulier, et uniquement pour les niveaux définis dans la LVERS du contrat. La lettre d'approbation écrite de la TI n'est valable que pour le ou les contrats inspectés et uniquement pour la durée du ou des contrats en question.

Dans le cadre du processus d'inspection, les organisations peuvent recevoir des recommandations et des suggestions pour améliorer leur attitude globale en matière de sécurité informatique qui, une fois mises en œuvre, donneront aux inspecteurs de la sécurité informatique un niveau de confiance dans le fait que le risque résiduel est faible.

Pour plus de renseignements sur la manière dont une inspection de sécurité informatique est effectuée, consultez l'annexe D : Processus d'inspection de sécurité des technologies de l'information.

De plus amples renseignements sur la sécurité de la technologie de l'information sont disponibles sur la page web consacrée aux Exigences de sécurité relatives à la technologie de l'information.

Chapitre 8 : Visites de lieux sécurisés

8.1 Aperçu

Aux fins d'un appel d'offres, ou pendant la durée d'un contrat, les personnes ayant une autorisation de sécurité peuvent être tenues de se rendre dans une organisation gouvernementale ou privée au Canada ou à l'étranger, ou une organisation peut être tenue d'accueillir des visiteurs dans ses installations. Dans ces cas, une demande de visite (DV) doit être soumise et approuvée dans le cadre du PSC.

Au Canada, les représentants du PSC vérifient que l'organisation qui demande la visite a le niveau requis d'une ASI; que chacun des visiteurs proposés possède le niveau requis d'habilitation de sécurité; et que les éventuelles restrictions de divulgation à l'étranger (chapitre 9.3 : Divulgation à l'étranger) sont définies et strictement respectées conformément aux instruments internationaux de sécurité.

Une DV approuvée n'autorise l'accès aux renseignements classifiés que sur une base orale et visuelle; elle n'autorise pas le retrait de matériel classifié du site. Les organisations et les personnes doivent respecter strictement les limites d'accès ou de divulgation prescrites dans l'autorisation de visite.

Le niveau d'autorisation de sécurité sur le personnel des visiteurs et son besoin de savoir doivent être vérifiés par l'entremise d'un protocole de visite officiel avant que l'organisation d'accueil autorise l'accès à des renseignements classifiés ou l'accès à un site contrôlé.

Les représentants de SPAC détenant le niveau approprié d'autorisation de sécurité sur le personnel peuvent rendre visite à des organisations à titre officiel sans en avertir l'organisation. L'organisation doit vérifier les qualifications et le niveau d'autorisation sur le personnel de SPAC en communiquant avec le centre de service à la clientèle du Programme de sécurité des contrats avant de lui accorder l'accès à des renseignements classifiés. Le personnel du CST se verra également accorder le même accès afin de procéder à une inspection des systèmes de technologie de l'information.

Les procédures de traitement des DV sont disponibles sur la page web de SPAC d'Approbation des visites de lieux sécurisés.

8.2 Types de demandes de visite

Il existe différents types de DV:

  • une visite unique est effectuée pour une période déterminée et continue pouvant aller jusqu'à un an, et elle n'est pas renouvelable. Si le besoin d'accès est permanent, une nouvelle demande doit être soumise à la fin de l'année pour approbation
  • une visite répétitive est une série de visites qui se déroulent pendant une durée prolongée pouvant atteindre un an, en temps normal. Il est renouvelable chaque année, sauf autorisation contraire des représentants du PSC, c'est-à-dire pour un contrat pluriannuel ou un grand projet de l'État
  • une visite d'urgence est réservée aux événements de nature urgente
  • une visite propre aux instructions de sécurité d'un projet/programme. Ces visites sont déterminées au cas par cas

8.3 Conditions préalables obligatoires

Toutes les organisations qui soumettent une demande d'accès à des renseignements classifiés doivent être titulaires d'une ASI valide d'un niveau égal ou supérieur à celui du niveau de catégorisation de la visite demandée. De plus, chaque personne impliquée doit détenir une autorisation de sécurité sur le personnel d'un niveau égal ou supérieur au niveau de catégorisation de la visite demandée.

Les ressortissants étrangers, résidant au Canada et employés par une organisation canadienne habilitée, doivent détenir autorisation de sécurité sur le personnel canadien avant que le PSC n'approuve une visite dans d'autres pays ou dans d'autres organisations canadiennes en tant que représentant ou en tant qu'expert-conseil d'une organisation canadienne.

Les ressortissants étrangers qui visitent une organisation canadienne dans le cadre d'une DV internationale approuvée ne peuvent pas être inclus dans une DV canadienne dans une autre organisation canadienne.

Les lignes directrices pour le traitement des visites et les responsabilités des organisations en visite et d'accueil sont disponibles dans l'annexe E : Lignes directrices sur les demandes de visites.

8.4 Visites internationales

Toutes les visites internationales doivent être autorisées par l'administration canadienne désignée en matière de sécurité (chapitre 9.1.1 : Administration canadienne désignée en matière de sécurité) au moyen du formulaire de DV du Groupe de travail multinational en matière de sécurité industrielle. De même, l'autorité de sécurité désignée (ASD) canadienne traitera les DV d'organisations canadiennes auprès des commandements et agences de l'OTAN en utilisant les procédures de contrôle des visites internationales de l'OTAN.

Les exigences relatives au traitement des visites internationales varient en fonction de l'instrument de sécurité bilatéral précis. Les représentants du PSC font connaître aux organisations canadiennes les procédures à appliquer, le cas échéant.

8.5 Registres des visites

Les organisations doivent tenir un registre de tous les visiteurs de leurs installations qui ont accès à des renseignements classifiés. Un registre des visiteurs distinct doit être tenu à jour pour les visites de l'OTAN; il devra indiquer le nom complet du visiteur et de son organisation, la personne à qui l'on rend visite, ainsi que les dates d'arrivée et de départ. Les représentants du PSC ne sont pas considérés comme des visiteurs et ne sont pas tenus d'inscrire leur nom dans le registre des visites.

Les registres des visites autorisées qui ont eu lieu doivent être conservés par l'organisation d'accueil pendant une période minimale de deux ans et peuvent être inspectés au hasard par les représentants du PSC pendant cette période.

8.6 Demandes urgentes

Il existe des procédures spéciales pour le traitement des DV urgentes par l'entremise des voies officielles de SPAC, sur invitation d'une organisation d'accueil. L'ASE ou l'ASER de l'organisation requérante doit justifier de manière adéquate le besoin urgent et fournir tous les détails (par exemple, besoin urgent de réparer un équipement dont la panne empêche la poursuite des essais, et affecte ainsi le déroulement global d'un programme ou d'un contrat).

Communiquez avec les représentants du programme de sécurité des contrats par courriel au ssi-iss@tpsgc-pwgsc.gc.ca pour obtenir des renseignements sur la soumission d'une demande urgente.

8.7 Modifications

Lorsqu'elle soumet des ajouts ou des suppressions de visiteurs aux DV approuvées, l'organisation doit inclure le numéro d'identification de la visite approuvé à l'origine par le PSC.

En général, on ne peut modifier l'objet ou la durée d'une visite en présentant une demande de modification. Il pourrait donc falloir présenter une nouvelle demande de visite. L'ASE ou l'ASER doit communiquer avec les représentants de PSC avant de soumettre ces types de modifications.

8.8 Visites non classifiées

Pour les visites non classifiées dans les installations du ministère américain de la Défense (DOD), une autorisation de visite utilisant le processus de visite arrangée directement (VAD) dans le cadre du Programme mixte d'agrément (PMA) États-Unis (É.U.)/Canada peut être exigée par les organisations canadiennes pour l'accès à certains établissements (chapitre 11 : Programme mixte d'agrément).

De plus amples renseignements sur les DV sont disponibles sur la page web d'Approbation des visites de lieux sécurisés

8.9 Visites nécessitant l'accès à des renseignements étrangers au niveau Restreint

Les demandes de visites impliquant l'accès à des renseignements ou à des biens étrangers au niveau Restreint doivent être faites conformément aux procédures établies dans les clauses contractuelles. Communiquez avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour en savoir plus au sujet de ces types de visites.

Chapitre 9 : Sécurité internationale

9.1 Aperçu

Le gouvernement du Canada doit parfois faire appel à des entrepreneurs étrangers et à des chaînes d'approvisionnement de plus en plus complexes pour accéder à des compétences et à des technologies spécialisées. De même, les entrepreneurs canadiens peuvent être des fournisseurs d'un gouvernement étranger allié ou d'une organisation internationale. Le gouvernement du Canada, les gouvernements alliés et les organisations internationales doivent veiller à ce que leurs renseignements respectifs de nature délicate soient traités et protégés de manière adéquate en utilisant des normes internationales communes lorsqu'ils les échangent entre eux.

9.1.1 Administration canadienne désignée en matière de sécurité

Conformément aux engagements internationaux du Canada, une ASD doit être définie pour fournir des directives et une assistance au gouvernement et à l'industrie sur les questions de sécurité industrielle liées à l'échange de renseignements classifiés avec des entités étrangères. Au Canada, l'ASD fait partie du PSC. Dans certains pays, l'administration nationale de la sécurité (ANS) peut faire office d'ASD.

9.2 Instruments de sécurité bilatéraux

L'ASD canadienne négocie un certain nombre d'instruments de sécurité bilatéraux (arrangements, protocoles d'entente, accords) pour faciliter l'échange et la protection des renseignements et des biens protégés et classifiés qui ont été fournis aux entrepreneurs. Par conséquent, l'ASD canadienne définit les exigences de sécurité pour protéger les renseignements protégés et classifiés qu'une organisation canadienne ou étrangère doit respecter lorsqu'elle intervient à n'importe quelle étape d'un contrat couvert par un instrument de sécurité bilatéral.

Au Canada, l'ASD est chargée de négocier des instruments de sécurité bilatéraux qui :

  • permettent à l'industrie canadienne d'accéder à des contrats classifiés avec des gouvernements étrangers et des organisations internationales
  • permettent à l'industrie canadienne d'être concurrentielle à l'échelle internationale et d'encourager les investissements étrangers
  • administrent les mesures de protection pour toutes les phases précédant la passation de marchés, ainsi que les projets, programmes, contrats et contrats de sous-traitance avec des pays étrangers et des organisations internationales liés à l'échange de renseignements protégés ou classifiés
  • comprennent des dispositions visant à définir le champ d'application; à désigner la ou les administrations de la sécurité chargées de gérer et de mettre en œuvre l'instrument; à définir les équivalences des niveaux de classification de sécurité des renseignements classifiés et protégés; à définir la protection et le traitement des renseignements classifiés et protégés; à définir le processus d'échange des assurances de sécurité; à définir la manière dont les exigences de sécurité des contrats sont transmises; à définir le processus de visite du personnel et de transport des documents et du fret; à définir la perte ou la compromission de renseignements classifiés et protégés; et à définir des stratégies d'atténuation supplémentaires

9.3 Divulgation à l'étranger

Les organisations doivent obtenir l'approbation de l'ASD canadienne pour échanger ou transférer des renseignements et des biens protégés et classifiés avec une entité étrangère ou pour recevoir des renseignements classifiés d'un gouvernement étranger ou d'une organisation internationale. Une garantie de sécurité étrangère est la confirmation qu'une organisation étrangère et son personnel respectent les exigences de sécurité d'un appel d'offres, d'un contrat ou d'un contrat de sous-traitance. Pour obtenir une garantie de sécurité étrangère, les organisations doivent communiquer avec l'ASD canadienne, qui déterminera si les renseignements peuvent être communiqués à l'organisation ou au gouvernement étranger et protégés par ce dernier. Veuillez noter que les examens des divulgations à l'étranger peuvent prendre plusieurs mois en fonction des renseignements à divulguer.

L'industrie canadienne qui transfère des renseignements et des biens nationaux ou internationaux à une entité étrangère (gouvernement ou secteur privé) doit passer par l'ASD canadienne, sauf approbation contraire. La plupart des échanges de renseignements et de biens de gouvernement à gouvernement utilisent des services de messagerie agréés. Par conséquent, les organisations qui ont des expéditions doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour l'approbation de l'expédition. Lorsque ces méthodes de transport entraîneraient des retards inacceptables pour un contrat, un programme ou un projet, l'ASE ou l'ASER peut demander à l'ASD canadienne d'utiliser une autre méthode de transmission, comme le transport en mains propres par un employé de l'organisation.

Les renseignements appartenant à une tierce nation ne peuvent être communiqués à des personnes détenant des autorisations étrangères sans l'approbation écrite préalable de la nation d'origine par l'entremise de l'ASD canadienne. Par conséquent, la divulgation de renseignements nationaux ou internationaux à une personne étrangère employée par une organisation canadienne doit être préalablement approuvée par l'ASD canadienne et strictement contrôlée par l'ASE ou l'ASER.

La divulgation de renseignements aux visiteurs étrangers est interdite, sauf si l'autorisation de divulgation a été obtenue auprès du PSC par l'entremise d'un permis de visite approuvé (chapitre 8 : Visites de lieux sécurisés) ou d'un autre document d'autorisation.

La communication de renseignements ou de biens protégés et classifiés à des pays étrangers et à des organisations internationales doit être conforme aux instruments internationaux bilatéraux de sécurité du Canada et à la législation étrangère, et doit être approuvée par l'ASD canadienne.

Pour demander l'approbation de l'un des échanges de renseignements ci-dessus ou pour plus de renseignements, veuillez communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca.

9.4 Renseignements protégés

Les organisations doivent obtenir une autorisation écrite de l'ASD canadienne avant de communiquer à d'autres pays des renseignements et des biens canadiens protégés. L'ASD canadienne assurera le niveau de protection requis pour les renseignements et les biens protégés par l'entremise de clauses de sécurité contractuelles ou d'instructions écrites.

9.5 Solutions de rechange à l'échelle internationale

Dans certains cas, lorsqu'il n'existe pas d'instrument de sécurité bilatéral couvrant les renseignements protégés, des solutions de rechange internationales personnalisées peuvent être utilisées pour aider à protéger les renseignements protégés canadiens traités à l'étranger lors de contrats du gouvernement du Canada.

Avec les solutions de rechange à l'échelle internationale, le gouvernement du Canada peut attribuer des contrats et des contrats de sous-traitance de niveau Protégé A ou Protégé B à des fournisseurs situés dans un nombre limité de pays ayant une législation et un cadre appropriés en matière de sécurité et de protection des renseignements personnels; de même, les organisations canadiennes peuvent tenir compte de certains fournisseurs étrangers dans leurs soumissions et leurs contrats de sous-traitance. La pertinence d'une approche de solutions de rechange est toujours examinée au cas par cas et est à la discrétion exclusive des représentants du PSC.

Pour savoir si des solutions de rechange internationales sont possibles, consultez la page web Solutions de rechange à l'échelle internationale.

9.6 Renseignements et biens étrangers classifiés

Les renseignements ou biens classifiés d'un gouvernement étranger ou d'une organisation internationale qui sont de niveau Confidentiel, Secret ou Très secret doivent être protégés de la même manière que les renseignements et biens classifiés canadiens de niveau équivalent tels que définis dans l'instrument de sécurité bilatéral respectif, sauf avis contraire de l'ASD canadienne (chapitre 6 : Manipulation et protection de renseignements et de biens). Les mesures de sécurité pour traiter et protéger les renseignements classifiés étrangers sont stipulées dans les clauses contractuelles.

9.7 Renseignements étrangers au niveau Restreint

La classification Restreinte n'existe plus au Canada, mais de nombreux gouvernements alliés et organisations internationales utilisent toujours cette classification, et le Canada est tenu de la protéger conformément aux instruments de sécurité bilatéraux. Les industries qui se voient attribuer un contrat gouvernemental étranger avec la classification Restreinte doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour obtenir des conseils supplémentaires, car les mesures de sécurité seront normalement incluses dans les clauses contractuelles de l'ASD étrangère. Les organisations doivent également se conformer aux procédures de protection supplémentaires suivantes :

  • l'ASD canadienne doit approuver la divulgation de renseignements étrangers de niveau Restreint à tout gouvernement, personne ou institution d'un autre pays
  • l'accès aux renseignements de niveau Restreint ne doit être accordé qu'aux personnes qui en ont besoin dans le cadre d'un programme/projet/contrat gouvernemental ou multinational
  • l'ASE ou l'ASER doit informer tous les destinataires de renseignements et de biens étrangers de niveau Restreint de leur responsabilité en matière de protection de ces renseignements et biens
  • pour éviter la confusion, les organisations doivent indiquer le pays d'origine des renseignements et des biens étrangers de niveau Restreint, ainsi que la classification, par exemple, Restreint (Italie)

9.8 Exigences de sécurité pour les contrats attribués à des organisations étrangères

En plus des exigences précisées au chapitre 2 : Contrats comportant des exigences de sécurité, les organisations sont tenues, lorsqu'elles attribuent des contrats, y compris des contrats de sous-traitance, à des organisations situées à l'étranger et détenant une ASI valide dans leur pays (entrepreneur étranger), de respecter les exigences suivantes :

  • obtenir l'approbation de l'ASD canadienne pour le contrat ou le contrat de sous-traitance
  • inclure des clauses relatives aux exigences de sécurité dans le contrat et des indications sur la classification de sécurité des renseignements canadiens, fournies par le PSC

9.9 Instructions de sécurité d'un programme ou d'un projet

Pour permettre l'échange de renseignements et de biens requis par les gouvernements et l'industrie dans le cadre de programmes de coopération multinationaux, les nations participant au programme ou au projet peuvent convenir d'utiliser des pratiques et des procédures qui diffèrent des exigences du présent manuel et des instruments de sécurité bilatéraux. Dans ce cas, ces exigences, pratiques et procédures seront détaillées dans une instruction de sécurité du programme/projet approuvée par tous les participants. Pour le Canada, c'est l'ASD canadienne qui l'approuvera.

Chapitre 10 : Organisations internationales

10.1 Aperçu

Les organisations canadiennes travaillant sur des contrats nécessitant l'accès à des renseignements et des biens classifiés appartenant à des organisations internationales doivent protéger ces renseignements au niveau de sécurité canadien équivalent précisé dans l'instrument de sécurité bilatéral respectif, y compris les exigences supplémentaires inscrites dans le contrat.

L'ASD canadienne aidera une organisation canadienne sous contrat avec un gouvernement étranger ou une organisation internationale en définissant les exigences détaillées qui doivent être respectées.

10.2 Organisation du Traité de l'Atlantique Nord

Le Canada est membre de l'OTAN, qui est une alliance de 31 pays membres.

En tant que membre de l'OTAN, le Canada suit les règlements de sécurité relatifs aux renseignements classifiés de l'OTAN, qui sont diffusés au sein de l'OTAN et par l'OTAN. Cela comprend les renseignements publiés par les pays membres de l'alliance de l'OTAN, ainsi que les renseignements provenant de l'organisation elle-même.

Remarque

Les renseignements classifiés fournis par un pays membre restent la propriété de ce pays, même s'ils sont diffusés dans un document appartenant à l'OTAN.

10.2.1 Programme de coopération de l'Organisation du Traité de l'Atlantique Nord avec les alliés non membres de l'Organisation du Traité de l'Atlantique Nord

Les entrepreneurs qui participent à un programme multinational de coopération impliquant des pays membres de l'OTAN et des pays non membres de l'OTAN, ou qui sont tenus de faire part de renseignements classifiés de l'OTAN avec un pays non membre de l'OTAN pendant un contrat doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour de plus amples renseignements. Les organisations doivent également communiquer avec l'ASD canadienne si elles ont des préoccupations liées à la sécurité dans le cadre de programmes coopératifs multinationaux.

10.2.2 Autorisation de sécurité sur personnel de l'Organisation du Traité de l'Atlantique Nord

Un employé ayant obtenu une attestation de sécurité canadienne n'est pas automatiquement autorisé à accéder aux renseignements classifiés de l'OTAN. Des consignes de sécurité et un besoin de savoir sont nécessaires pour obtenir une autorisation de sécurité de l'OTAN de niveau Control of Secret Material in an International Command (COSMIC) Très SecretNote de bas de page 8, OTAN Secret ou OTAN Confidentiel. L'accès aux renseignements restreints de l'OTAN exigera également des consignes de sécurité officielles et le besoin de savoir, mais sera autrement régi par les clauses contractuelles en matière de sécurité. L'accès aux renseignements non classifiés de l'OTAN sera régi par les clauses contractuelles en matière de sécurité.

Au Canada, une personne ayant une autorisation de sécurité de l'OTAN qui a besoin d'accéder à d'autres types de renseignements classifiés doit faire confirmer son droit d'accès. L'ASE doit communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour obtenir des conseils supplémentaires.

Pour un résident non permanent du Canada, l'autorisation de sécurité de l'OTAN ne peut être accordée que par la nation mère, à moins que les deux ASD n'en décident autrement.

Les organisations doivent tenir un registre distinct de tous les employés de l'installation qui sont autorisés à accéder aux renseignements classifiés de l'OTAN. Seules les personnes qui ont besoin de savoir, qui détiennent une autorisation de sécurité au niveau approprié et qui ont été informées de leurs responsabilités en matière de protection des renseignements classifiés de l'OTAN, et qui ont reconnu ces responsabilités par écrit, peuvent être autorisées à accéder aux renseignements classifiés de l'OTAN. L'Agence spatiale européenne doit être informé par l'ASD canadienne et reconnaître par écrit qu'il comprend les modalités de traitement des renseignements classifiés de l'OTAN. Une fois que les Agence spatiale européenne acceptent leurs responsabilités, ils peuvent informer l'employé en utilisant le formulaire approuvé par l'ASD canadienne sur les exigences de l'OTAN, notamment :

  • la signification du terme « renseignements de l'OTAN »
  • les marquages de sécurité sur un document l'identifiant comme étant la propriété de l'OTAN. Ce marquage sera apposé sur toutes les copies de documents classifiés Restreint, Confidentiel ou Secret qui sont diffusés au sein de l'OTAN. Le marquage « COSMIC Très Secret » signifie également que le document est la propriété de l'OTAN et qu'il est utilisé exclusivement sur toutes les copies de documents Très Secret diffusés au sein de l'OTAN
  • la protection des documents classifiés de l'OTAN conformément aux exigences (chapitre 6 : Manipulation et protection de renseignements et de biens) relatives au traitement des documents de niveau Confidentiel, Secret et Très secret, et leur séparation des autres types de renseignements protégés/classifiés/non classifiés. Les documents OTAN de niveau Restreint et OTAN non classifiés doivent être traités et protégés conformément aux clauses contractuelles en matière de sécurité incluses dans le contrat

L'Agence spatiale européenne et tous les accusés de réception signés par les employés doivent être retournés à l'ASD canadienne.

L'accès aux renseignements confidentiels de l'OTAN et aux renseignements de ce type ne peut être accordé qu'aux ressortissants des 31 pays membres, à moins qu'une autorisation particulière ne soit obtenue par l'OTAN par l'entremise de l'ASD par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca. Au Canada, le terme « ressortissants » comprend à la fois les citoyens et les résidents permanents du Canada.

10.2.3 Attestations de sécurité d'installations

Si une organisation doit protéger des renseignements classifiés de l'OTAN, elle doit obtenir une ASI de niveau OTAN Confidentiel, OTAN Secret ou COSMIC Très Secret. Consultez le section 3.2 Attestation de sécurité d'organisation pour voir les exigences liées à l'obtention d'une ASI.

10.2.4 Traitement des renseignements classifiés de l'Organisation du Traité de l'Atlantique Nord

Tous les renseignements classifiés de l'OTAN reçus doivent être traités conformément au chapitre 6 : Manipulation et protection de renseignements et de biens et aux exigences supplémentaires suivantes :

  • les renseignements de niveau OTAN Secret et au-delà doivent être enregistrés dans un registre de l'OTAN situé dans les locaux de l'organisation
  • lorsque l'organisation reçoit du matériel classifié de l'OTAN, l'Agence spatiale européenne ou l'ASER doit informer l'ASD canadienne de sa réception
  • les renseignements classifiés de l'OTAN doivent toujours porter les marquages de classification appropriés de l'OTAN
  • les renseignements classifiés de l'OTAN doivent toujours être renvoyés à l'ASD canadienne pour être détruits, à moins que l'ASD canadienne n'en décide autrement
  • lorsqu'elles transmettent des renseignements classifiés de l'OTAN à un autre pays ou à une organisation internationale, les organisations doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca pour obtenir des conseils et une approbation, sauf autorisation contraire de l'ASD canadienne

10.2.5 Contracts

Les exigences de sécurité pour les contrats classifiés de l'OTAN sont documentées dans une lettre sur les aspects de sécurité de l'OTAN jointe au contrat.

Les organisations doivent avoir l'autorisation du pouvoir de passation des contrats de l'ASD canadienne avant d'attribuer un contrat de sous-traitance classifié de l'OTAN à un entrepreneur canadien ou étranger.

Lorsque les entrepreneurs négocient directement avec des organisations ou des gouvernements étrangers, tout matériel classifié devant être transmis à l'extérieur du Canada doit être acheminé par l'intermédiaire de l'ASD canadienne (chapitre 6.7 : Emballage et transmission).

En outre, toutes les exigences relatives aux autorisation de sécurité sur le personnel (chapitre 4.2 : Enquête de sécurité sur le personnel), aux attestations de sécurité des visites (chapitre 8 : Visites de lieux sécurisés) et à la communication de renseignements à des entités étrangères (chapitre 9.3 : Divulgation à l'étranger) s'appliquent également aux contrats de l'OTAN.

10.2.6 Communication de renseignements classifiés de l'Organisation du Traité de l'Atlantique Nord à des entrepreneurs de pays non membres de l'Organisation du Traité de l'Atlantique Nord

Dans certains cas, les renseignements classifiés de l'OTAN peuvent être transmis à des entrepreneurs étrangers d'un pays non membre de l'OTAN, soit par l'entremise d'un contrat de sous-traitance, soit par l'embauche d'un ressortissant non membre de l'OTAN. Toutefois, cela ne peut se faire sans le consentement écrit de l'auteur des renseignements classifiés de l'OTAN et de l'ASD canadienne. Par conséquent, avant de transmettre la classification OTAN à un entrepreneur étranger, les entrepreneurs canadiens doivent recevoir une autorisation écrite de l'ASD canadienne.

10.3 Union européenne

Conformément à l'instrument de sécurité bilatéral entre le Canada et l'Union européenne (UE), les entrepreneurs canadiens peuvent avoir accès aux renseignements classifiés de l'UE, par l'entremise de contrats attribués par les États membres de l'UE ou la Commission de l'UE. Les entrepreneurs canadiens doivent informer l'ASD canadienne s'ils reçoivent un contrat portant sur des renseignements et des biens classifiés de l'UE. L'ASD canadienne est chargée de superviser la conformité de l'organisation aux exigences de sécurité pour tous les renseignements classifiés de l'UE relevés dans le contrat. Pour obtenir des conseils sur la protection des renseignements classifiés de l'UE, les entrepreneurs doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca.

10.4 Agence spatiale européenne

Conformément à l'instrument de sécurité bilatéral entre le Canada et l'Agence spatiale européenne, les entrepreneurs canadiens peuvent avoir accès aux renseignements classifiés de l'Agence spatiale européenne, par l'entremise de contrats attribués par les États membres de celle-ci ou par l'Agence spatiale européenne. Les entrepreneurs canadiens doivent informer l'ASD canadienne s'ils reçoivent un contrat portant sur des renseignements et des biens classifiés de l'Agence spatiale européenne. L'ASD canadienne est chargée de superviser la conformité de l'organisation aux exigences de sécurité pour tous les renseignements classifiés de l'Agence spatiale européenne relevés dans le contrat. Les contrats comprenant des renseignements restreints par l'Agence spatiale européenne contiendront des clauses détaillées pour la protection appropriée de ces renseignements. Pour obtenir des conseils sur la protection des renseignements classifiés de l'Agence spatiale européenne, les entrepreneurs doivent communiquer avec l'ASD canadienne par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca.

Chapitre 11 : Programme mixte d'agrément

11.1 Aperçu

Le PMA É.U./Canada a été établi en 1985 pour permettre aux entrepreneurs de chaque pays de demander l'accès aux données techniques militaires critiques non classifiées du DOD/ministère de la Défense nationale (MDN), sur une base également favorable, conformément à la directive 5320.25 du DOD des É.U., intitulée « Withholding of Unclassified Technical Data and Technology from Public Disclosure » (rétention de données techniques et de technologies non classifiées de la divulgation publique), et au Règlement sur le contrôle des données techniques (RCDT) du Canada en vertu de la Loi sur la production de défense.

Pour avoir le droit de soumissionner ou d'obtenir un contrat comprenant l'accès à des données techniques critiques sur le plan militaire non classifiées sous le contrôle du MDN ou du DOD, un entrepreneur doit être agréé aux termes du PMA É.U./Canada. La participation au PMA est limitée aux entrepreneurs dont l'entreprise est située aux É.U. ou au Canada.

Le PMA est géré par le Bureau du programme mixte d'agrément (BPMA) É.U./Canada situé à Battle Creek (Michigan), sous l'administration de la Defense Logistics Agency (disponible en anglais seulement). L'agrément du PMA atteste l'admissibilité des entrepreneurs canadiens et américains à ce qui suit :

  • recevoir des données techniques critiques sur le plan militaire non classifiées sous le contrôle du DOD ou du MDN
  • soumissionner des offres de contrats liées à la défense dont les particularités concernent des données techniques critiques sur le plan militaire ne pouvant être divulguées qu'à des organisations agréées
  • participer à des rassemblements réservés aux entrepreneurs agréés par le PMA, notamment des :
    • symposiums
    • séances d'information sur des programmes
    • réunions visant à annoncer les exigences préalables d'organisations contractantes
    • conférences et des ateliers préalables à des demandes de soumissions, à des présentations de soumissions, à des présentations de propositions et à l'attribution de contrats
  • organiser des visites non classifiées directement avec :
    • d'autres entrepreneurs canadiens et américains agréés par le PMA
    • les installations militaires du DOD et MDN

11.2 Processus d'agrément commun

Pour devenir un entrepreneur agréé, une organisation doit accepter de respecter les conditions énumérées dans l'entente concernant les données techniques critiques sur le plan militaire « militarily critical technical data agreement – DD form 2345 (PDF, disponible en anglais seulement) », remplir et soumettre le formulaire DD 2345 ainsi que toutes les pièces justificatives au BPMA É.U./Canada pour vérification.

Une fois accepté par le BPMA, le formulaire DD 2345 constitue un accord avec l'organisation et le PMA selon lequel les données techniques critiques sur le plan militaire non classifiées ne seront plus distribuées à des personnes non autorisées. Si un entrepreneur enfreint les dispositions de cette entente, son agrément lui permettant d'avoir accès aux données techniques critiques sur le plan militaire non classifiées pourrait être révoqué.

11.3 Visites non classifiées

Une fois agréés par l'entremise du PMA, les entrepreneurs canadiens peuvent demander des visites non classifiées directement organisées avec d'autres entrepreneurs du secteur de la défense ou installations militaires agréés au Canada et aux É.U. Ils doivent prendre des dispositions directement avec le point de contact de l'installation industrielle ou de l'installation militaire en cours d'agrément. Le responsable de la sécurité ou le commandant de l'installation conserve le pouvoir final d'approuver toute visite et peut refuser la permission pour des raisons de sécurité ou opérationnelles.

De plus amples renseignements sur la manière de demander une visite directement organisée sont disponibles sur le site web du Programme mixte d'agrément.

Vous trouverez de plus amples renseignements soit sur le site web du Programme mixte d'agrément du Gouvernement du Canada ou en communiquant avec le U.S./Canada Programme mixte d'agrément.

Annexe A : Lignes directrices sur les responsabilités des agents de sécurité d'entreprise et des agents de sécurité d'entreprise remplaçants

I. Responsabilités générales des agents de sécurité d'entreprise et des agents de sécurité d'entreprise remplaçants

Lorsque l'organisation est titulaire d'une VOD ou d'une ASI, les ASE et les ASER signent un formulaire d'accusé de réception et d'engagement qui dresse la liste de leurs obligations. Sauf indication contraire, voici les responsabilités des ASE et des ASER :

  1. nommer tous les ASER, leur donner des instructions et les former (responsabilité des ASE)
  2. désigner un ASER nommé qui assumera le rôle d'ASE en leur absence (responsabilité des ASE)
  3. réviser les exigences relatives à la sécurité de la LVERS ou des clauses de sécurité des contrats, puis s'assurer qu'elles sont toutes respectées
  4. obtenir l'approbation des représentants du PSC avant d'octroyer un contrat de sous-traitance comportant des exigences relatives à la sécurité
  5. transmettre les demandes d'enquête de sécurité sur le personnel de tous les ASER et les CSC au plus haut niveau d'accès requis
  6. transmettre les demandes d'enquête de sécurité sur le personnel des employés de leur organisation qui ont besoin d'accéder à des renseignements, à des biens ou à des lieux de travail protégés et classifiés
  7. vérifier l'identité des employés au moyen de preuves d'identité et valider les renseignements relatifs à la date de naissance, à l'adresse, aux études, aux qualifications professionnelles, aux antécédents professionnels, aux voyages et aux références personnelles
  8. coordonner les entrevues individuelles avec les employés, au besoin
  9. transmettre des demandes de mise à jour et de mise à niveau des d'enquête de sécurité sur le personnel, au besoin
  10. mener Séances d'information sur la sécurité aux employés après la réception de leur autorisation de sécurité ou cote de fiabilité, puis remplir le formulaire Certificat d'enquête de sécurité et profil de sécurité
  11. informer les employés sur leur responsabilité à l'égard de la protection des renseignements classifiés de l'OTAN, leur faire signer le formulaire d'accusé de réception fourni par les représentants du PSC et retourner le formulaire signé par courriel
  12. conserver les formulaires d'information signés dans le dossier des employés
  13. Limiter l'accès aux informations, aux biens ou aux lieux de travail protégés et classifiés seulement au personnel qui dispose de l'enquête de sécurité approprié et qui a un besoin de savoir
  14. tenir à jour une liste des ASE, des ASER, des CSC et des employés détenant une enquête de sécurité
  15. garder en lieu sûr les dossiers d'enquête de sécurité sur le personnel
  16. transmettre un formulaire Certificat d'enquête de sécurité et profil de sécurité pour révoquer la cote de fiabilité ou d'enquête de sécurité des employés qui n'ont plus besoin d'accéder à des renseignements, à des biens ou à des lieux de travail protégés et classifiés
  17. assurer la coordination avec le représentant de la sécurité du client pour informer les employés travaillant sur les sites du client de toute exigence relative à la sécurité applicable
  18. remplir les formulaires de demande de visite
  19. informer les représentants PSC de tout changement concernant la situation juridique de l'organisation, sa structure organisationnelle, la propriété et la liste des CSC
  20. aviser rapidement les représentants du PSC avant tout déménagement ou toute nouvelle construction
  21. documenter tous les changements de la situation ou du comportement des employés détenant une d'enquête de sécurité et des ASER (Chapitre 4 : Enquête sur le personnel) et les signaler au PSC
  22. documenter les contacts persistants ou inhabituels et les tentatives par une autre personne d'accéder à des renseignements, à des biens ou à une installation de nature délicate, sans qu'elle ait reçu l'autorisation appropriée, puis les signaler au PSC
  23. veiller à ce que les visites approuvées soient bien notées dans le registre
  24. informer rapidement les représentants du PSC de tous les contrats et contrats de sous-traitance classifiés octroyés à des entités étrangères ou par celles-ci
  25. informer rapidement les représentants du PSC suite à des dommages à des renseignements et à des biens classifiés
  26. compléter la formation essentielle offerte par le PSC, ce qui comprend la formation en salle de classe virtuelles, des vidéos en ligne et des webinaires pré-enregistrée

II. Responsabilités liées à l'autorisation de détenir des renseignements

Si l'organisation dispose d'une ADR, voici d'autres responsabilités des ASE et des ASER :

  1. préparer les directives sur la sécurité et informer tout le personnel ayant accès à des renseignements et à des biens protégés et classifiés de ses responsabilités à l'égard de la sécurité en mettant en place un programme efficace de sensibilisation à la sécurité
  2. nommer, au besoin, un coordonnateur de la sécurité informatique d'entreprise
  3. assurer la coordination avec le CST pour nommer, au besoin, les gardiens et gardiens remplaçants de la COMSEC
  4. veiller à ce que tous les renseignements et biens protégés et classifiés soient sauvegardés et gérés conformément aux dispositions du MSC (chapitre 6 : Manipulation et protection de renseignements et de biens de ce manuel) et aux clauses propres aux contrats
  5. mettre à jour le répertoire des renseignements et des biens protégés et classifiés chaque année
  6. informer les représentants du PSC de toutes les infractions à la sécurité pour obtenir ses directives avant d'enquêter
  7. informer immédiatement les représentants du PSC de tout incident ou de toute compromission d'importance et remettre un rapport écrit. Les enquêtes sur les violations ou les compromissions seront coordonnées par les représentants du PSC
  8. mettre sur pied un registre pour consigner et contrôler l'accès aux renseignements classifiés
  9. donner des directives aux messagers selon les certificats de services de messagerie fournis par les représentants du PSC

III. Contact officiel avec Services publics et Approvisionnement Canada

Le ASE est le contact officiel avec les représentants du PSC pour traiter et coordonner les questions de sécurité. Les communications avec les représentants du PSC, qu'elles soient écrites ou orales, ne devraient être faites que par l'entremise des ASE, des ASER ou du chef de la direction de l'organisation.

IV. Séances d'information sur la sécurité

Pour veiller à une bonne sécurité dans l'organisation, les ASE travaillent en étroite collaboration avec la direction, du haut vers le bas, pour mettre en œuvre un programme de formation sur la sécurité et de suivi. Une sécurité insuffisante peut entraîner la perte de la VOD ou de l'ASI de l'organisation et l'annulation de contrats mettant en cause des renseignements et des biens protégés ou classifiés.

Les ASE et le personnel de la sécurité ne sont pas les seuls responsables de la sécurité d'une organisation. Les gestionnaires et superviseurs, à tous les échelons, et les CSC sont responsables de leurs propres mesures de sécurité, en plus de s'assurer que les procédures de sécurité applicables sont suivies par tous les employés de l'organisation. Le PSC recommande que les évaluations des performances comprennent une mesure de l'efficacité des employé en matière de sécurité, au même titre que d'autres évaluations organisationnelles.

Pour maintenir l'efficacité du programme de sécurité, il est indispensable de tenir une première séance d'information sur la sécurité, renforcée par un programme continu de formation et de sensibilisation à la sécurité. Au bout du compte, l'efficacité d'un programme de sécurité dépend des employés de l'organisation. Les procédures, règlements et mesures de protection matérielles sont plus efficaces si les employés sont pleinement conscients de leurs responsabilités individuelles, de l'importance des exigences relatives à la sécurité, ainsi que de la nécessité de ces exigences.

En lisant et en signant le formulaire Certificat d'enquête de sécurité et profil de sécurité à la réception de sa cote de fiabilité ou de son autorisation de sécurité, chaque personne prend connaissance de ses responsabilités. La signature du formulaire doit être suivie d'une séance d'information d'un ASE détaillant les responsabilités et devoirs propres à la personne relatifs la sécurité dans l'établissement visé par une VOD ou une ASI. Le formulaire rempli et signé doit être conservé dans le dossier personnel de l'employé.

Les nouveaux employés, même s'ils ne détiennent pas d'enquête de sécurité et qu'il leur est donc interdit de connaître ou d'accéder à des renseignements, à des biens et à des sites protégés et classifiés, doivent assister à une séance d'information sur la sécurité adaptée à leurs fonctions. La sécurité dans le secteur privé comprend les exigences relatives à la sécurité d'entreprise, ainsi que la protection des renseignements et des biens protégés et classifiés du gouvernement.

Formation continue sur la sécurité

La formation et la sensibilisation continues concernant la sécurité peuvent se présenter sous différentes formes d'enseignement, y compris, sans toutefois s'y limiter :

  • des séances d'information générales à l'intention de tous les employés
  • des séances d'information en petits groupes
  • des films et des vidéos
  • des articles dans les bulletins d'information d'une organisation
  • des bulletins sur la sécurité
  • des affiches
  • une formation propre aux superviseurs d'employés concernant le suivi de tous les employés ayant une autorisation de sécurité

Les représentants du PSC peuvent prêter assistance concernant les séances de formation disponible par courriel au tpsgc.ssidsicsensibilisation-isscisdoutreach.pwgsc@tpsgc-pwgsc.gc.ca.

V. Contenu de la sensibilisation à la sécurité

Le programme de formation et de sensibilisation concernant la sécurité de chaque organisation doit être adapté à la situation et aux besoins de l'installation en question visée par une VOD ou une ASI avec une ADR. L'organisation est tenue de préparer un document qui guide et oriente les employés sur les mesures de sécurité à appliquer dans l'organisation. Elle doit s'appuyer sur le MSC, sans le reprendre dans son intégralité. Des ordres de sécurité doivent être élaborés pour l'installation spécifique qui détient la VOD ou l'ASI.

Suggestions de sujets à aborder dans les directives sur la sécurité
  • le PSC et ses exigences
  • les références en matière de sécurité
  • l'organisation de la sécurité
  • le niveau des VOD ou des ASI
  • le traitement et la protection des biens et des renseignements
  • enquête de sécurité sur le personnel
  • la procédure pour les personnes qui quittent leur emploi
  • la formation et la sensibilisation concernant la sécurité
  • la sécurité des lieux
  • les contrôles de l'accès
  • les alarmes anti-effraction
  • les cas d'urgence
  • les exigences internationales particulières, y compris celles de l'OTAN
  • les incidents liés à la sécurité
  • les procédures pour les visites non classifiées et classifiées
  • les exigences relatives à la sécurité dans les contrats
  • les exigences relatives à la sécurité dans les contrats étrangers
  • la sécurité des technologies de l'information
  • le Programme mixte d'agrément É.U./Canada
  • les endroits où s'informer sur la sécurité
  • la liste d'abréviations et d'acronymes
  • la liste des définitions

VI. Manquements, atteintes et compromissions touchant la sécurité

Les organisations doivent établir une procédure pour détecter les incidents de sécurité, atteintes à la sécurité et compromissions soupçonnés ou confirmés et enquêter sur eux. Tout incident doit être consigné dans un le formulaire Rapport d'incident de sécurité pour les agents de sécurité dûment rempli, en veillant à ce qu'aucun renseignement classifié ne soit inclus et envoyé par courriel au PSC : ssidsicdieenquetes-isscisdiidinvestigations@tpsgc-pwgsc.gc.ca.

Les ASE sont également responsables de consigner tout changement de comportement ou de situation concernant les employés individuellement et tout contact suspect par une autre personne. Ces cas doivent être bien consignés et signalés aux représentants du PSC. Tout changement de comportement chez votre personnel ayant une enquête de sécurité doit être rapidement signalé par courriel : spac.dgsssidessn-dobissnssid.pspc@tpsgc-pwgsc.gc.ca. Pour en savoir plus, consulter le signalement des incidents de sécurité et des changements de la situation personnelle et du comportement.

  • rappeler aux employés leurs responsabilités sur le plan de la sécurité et de les rendre au courant des préoccupations, des menaces et des risques liés à la sécurité
  • effectuant des vérifications régulières pour veiller à ce que les employés respectent les procédures et les pratiques de sécurité
  • accroissant la sensibilisation des employés grâce à des séances d'orientation et de formation sur la sécurité
  • communiquant de l'information sur les procédures relatives à la sécurité de votre organisation et sur les pratiques exemplaires en ce sens

Incidents de sécurité

Un incident de sécurité constitue une alerte indiquant qu'une atteinte à la sécurité pourrait être en cours ou avoir eu lieu. Il s'agit d'un acte, d'un événement ou d'une omission pouvant entraîner la compromission de renseignements, de biens ou de services. En voici quelques exemples :

  • un fichier protégé laissé sur un bureau sans surveillance
  • un ordinateur portable égaré contenant des renseignements protégés
  • un contact suspect de la part d'une personne qui pourrait essayer d'obtenir des renseignements de nature délicate de votre part

Atteintes à la sécurité

Un incident de sécurité qui entraîne une compromission confirmée de la confidentialité, de l'intégrité ou de la disponibilité des renseignements et des biens est réputé être une atteinte à la sécurité.

Une atteinte à la sécurité est un acte, un événement ou une omission qui entraîne la compromission de biens ou de renseignements de nature délicate. Cela signifie qu'il y a eu un accès, une divulgation, une destruction, une suppression, une modification, une utilisation ou une interruption non autorisés de renseignements et de biens protégés et classifiés.

Changements de comportement

Les comportements inhabituels des personnes détenant une enquête de sécurité qui peuvent être source de préoccupations au chapitre de la sécurité doivent être signalés aux ASE ou aux ASER. En voici quelques exemples :

  • abus de drogue ou d'alcool
  • expressions de soutien à des opinions, des actions ou des incidents extrémistes, en particulier lorsque la violence est encouragée
  • comportement ou communication hostile inexpliqué
  • absences fréquentes et inexpliquées
  • indices d'une activité frauduleuse
  • indifférence à l'égard de la protection de renseignements ou de biens de nature délicate (comme des infractions ou des atteintes à la sécurité répétées)
  • aisance financière inexpliquée ou détresse financière extrême
  • intérêt persistent ou inhabituel à l'égard de renseignements de nature délicate ou de biens ou d'installations qui ne sont pas requises par le particulier dans l'exécution de son travail, ou tentative d'y avoir accès

Tout ASE qui prend connaissance d'un changement de comportement ou de situation personnelle chez un employé pouvant être un motif de préoccupation au chapitre de la sécurité ou qui a des soupçons raisonnables et probables doit transmettre un rapport complet sur le changement au PSC. Le ASE peut également refuser à cette personne l'accès à des renseignements et à des biens protégés et/ou classifiés jusqu'à ce que la situation soit réglée.

Changement dans la situation personnelle

Chaque employé doit déclarer tout changement à sa situation personnelle qui pourrait avoir une incidence sur sa cote de fiabilité ou son autorisation de sécurité. Les employés doivent déclarer, à tout le moins :

  • les modifications de casier judiciaire (condamnation au criminel, suspension d'un casier judiciaire ou autres interdictions judiciaires)
  • l'implication dans des activités d'application de la loi (comme être l'objet d'une enquête criminelle, d'accusations ou d'une arrestation)
  • l'association avec des criminels
  • les changements légaux de nom en raison d'un mariage ou d'un divorce
  • les changements importants de la situation financière (comme la faillite, une fortune inattendue)

Contacts suspects et incidents de sécurité

Tout contact persistant ou inhabituel d'une autre personne pour avoir accès à des renseignements, à des biens ou à des installations protégés ou classifiés, sans qu'elle ait reçu l'autorisation appropriée, doit être documenté, puis faire l'objet d'une enquête et d'un rapport. Les ASE doivent veiller à ce que l'accès aux renseignements et aux biens soit accordé uniquement aux employés qui :

  • détiennent une enquête de sécurité, ont été informés de leurs responsabilités relatives à la sécurité et ont attesté par écrit avoir pris connaissance de ces responsabilités
  • ont besoin d'accéder à des renseignements et de les connaître pour exercer leurs fonctions, ce qu'on appelle le besoin de savoir (le destinataire visé doit y avoir accès pour s'acquitter des fonctions dont son poste est assorti)

Si une organisation dispose de renseignements ou de biens gouvernementaux de nature délicate sur l'un de ses lieux de travail, les ASE ou ASER doivent être encore plus attentifs aux comportements suspects et être prêts à les signaler aux représentants du PSC.

Changements organisationnels

Tout ASE ou ASER qui prend connaissance de changements dans le statut juridique de l'organisation, sa structure organisationnelle, sa propriété ou la liste des CSC doit rapidement en informer les représentants du PSC de ces changements afin qu'un examen de l'enregistrement et qu'une vérification de l'organisation soient entrepris.

Contrats classifiés d'entités étrangères

Tout ASE ou ASER qui prend connaissance de l'existence de contrats ou de contrats de sous-traitance classifiés octroyés à l'organisation par un gouvernement étranger, une industrie étrangère ou une organisation internationale doit en informer rapidement les représentants du PSC afin de s'assurer que ces contrats ne posent pas de risque supplémentaire pour les contrats octroyés par le gouvernement du Canada et de garantir que les renseignements classifiés étrangers sont protégés conformément aux instruments de sécurité bilatéraux administrés dans le cadre du PSC.

VII. Production de rapports

Tous les titulaires d'une enquête de sécurité doivent signaler à leur ASE les incidents de sécurité confirmés ou soupçonnés. Si l'ASE estime qu'une infraction à la sécurité est survenue, il doit :

  • la signaler au programme
  • rédiger un rapport écrit sur la préoccupation au chapitre de la sécurité, en veillant à ce qu'aucun renseignement classifié ne soit inclus
  • suspendre l'accès aux renseignements et aux biens de nature délicate jusqu'à ce que le programme ait terminé l'enquête

Dès réception d'un rapport d'incident, l'ASE doit immédiatement mener une enquête préliminaire pour déterminer toutes les circonstances et signaler l'incident aux représentants du PSC dans un délai 24 heures. Si les résultats de l'enquête préliminaire confirment ou laissent croire qu'il y a eu atteinte à la sécurité des renseignements et des biens, l'ASE doit immédiatement en informer les représentants du PSC. Les représentants du PSC mèneront une enquête sur l'incident afin d'en déterminer la cause et de recommander des correctifs et des mesures de contrôle à mettre en place par l'ASE pour prévenir ou minimiser le risque de futurs incidents similaires.

L'organisation devrait conserver les dossiers pendant deux ans suivant les incidents; ces dossiers pourraient être examinés par ALSI du PSC.

En savoir plus sur les Signalement des incidents de sécurité et des changements de la situation personnelle et du comportement.

Remarque

La plupart des tentatives afin de recueillir des renseignements de nature délicate ou des renseignements de sécurité sont subtiles et paraissent souvent inoffensives. Elles peuvent avoir lieu lors d'événements sociaux, sur Internet ou lors de réunions officielles organisées au pays ou à l'étranger.

Les ASE et ASER doivent, à tout le moins, signaler les situations suivantes au PSC :

  • contact persistent ou inhabituel d'une personne que l'on connaît peu afin d'avoir accès à des renseignements, à des biens ou à des installations
  • contact prévu ou imprévu avec des représentants d'une ambassade ou de gouvernements étrangers, des dignitaires étrangers ou des ressortissants étrangers, au Canada ou à l'extérieur du Canada, lorsqu'un tel contact se produit à l'extérieur du cadre des fonctions habituelles
  • préoccupations ou atteintes réelles ou potentielles liées à la sécurité

VIII. Guide de conformité et d'application de la loi du Programme de sécurité des contrat

Les représentants du PSC mèneront des évaluations sur les organisations en cas de non-conformité et sur les infractions de sécurité ou atteintes à la sécurité comme indiqué ci-dessus.

Procédures
  1. Lorsqu'un incident de sécurité ou une infraction à la sécurité se produit, les ASE doivent en informer les représentants du PSC dans les 24 heures et, au besoin, informer le ministère client de l'organisation avant de mener une enquête interne. Les ASE doivent ensuite transmettre un Rapport d'incident de sécurité aux représentants du PSC en indiquant le type d'incident et les détails de l'incident ou de la violation de la sécurité, en veillant à ce qu'aucun renseignement classifié ne soit inclus.
  2. Une fois que l'évaluation est terminée, les représentants du PSC peut suspendre l'organisation immédiatement. Les représentants du PSC informeront l'ASE de toute mesure corrective et mesure d'atténuation à prendre. En cas de suspension immédiate, le PSC donnera à l'organisation la possibilité de démontrer qu'elle répond toujours aux exigences minimales pour conserver une attestation de sécurité d'organisation valide.
  3. Le fait de ne pas prendre les mesures correctives pourrait entraîner la suspension. Si l'entreprise est suspendue, le fait de ne pas démontrer qu'elle répond toujours aux exigences du PSC pourrait entraîner la révocation des attestations de sécurité d'une organisation. Lorsque l'attestation de sécurité de l'organisation de l'entreprise est révoquée, le PSC va également administrativement fermer toutes les enquêtes de sécurité sur le personnel actives. Toutes les demandes d'enquête de sécurité sur le personnel qui étaient en attente auraient été fermées par le PSC à la phase de suspension.

Pour de plus amples renseignements consulter :

La liste suivante aide à déterminer les raisons d'une suspension et la durée d'une révocation dans les cas où les attestations de sécurité d'une organisation sont révoquées.

Tableau 1: Motifs de suspension selon la durée des révocations
Durée des révocations Motifs de suspension Description Mesures disciplinaires Remarques
30 jours de suspension et de révocation en cas de non-résolution Personnes clés de l'organisation ne disposent pas des enquête de sécurité sur le personnel nécessaires L'incapacité du PSC à obtenir et à confirmer l' enquête de sécurité des ASE, des ASER et CSC. Suspension de 30 jours. Révocation en cas de non-résolution. L'organisation est suspendue et doit soumettre les renseignements requis dans un délai de 30 jours, sinon elle sera révoquée. L'organisation sera réintégrée seulement une fois que toutes les enquêtes de sécurité sont confirmées pour les ASE, les ASER et les CSC.
Aucun emplacement physique au Canada L'incapacité de l'organisation de fournir une preuve valide de l'existence d'un emplacement physique permanent ou d'un lieu d'affaires principal au Canada où le travail est exécuté et où l'entreprise opère. Suspension de 30 jours. Révocation en cas de non-résolution. L'entreprise peut être réintégrée si elle fournit une preuve indiquant qu'elle dispose d'un emplacement physique au Canada, jugé satisfaisant par le PSC. Une boîte postale n'est pas un lieu d'affaires.
Refus de donner accès à un représentant du PSC L'organisation refuse de donner au représentant autorisé du programme un accès à son emplacement physique ou de lui permettre d'interroger le personnel clé identifié de l'organisation. Suspension de 30 jours. Révocation en cas de non-résolution. L'entreprise peut être réintégrée ou révoquée, selon si elle respecte (ou non) les exigences du PSC.
Résiliation, suspension ou révocation de l'enquête de sécurité d'une personne clé Toute résiliation, suspension ou révocation d'une enquête de sécurité d'une personnel clé (par exemple, d'un CSC ou d'un ASE), susceptible d'avoir une incidence sur le statut de sécurité de l'organisation. Suspension de 30 jours. Révocation en cas de non-résolution. L'organisation sera suspendue et disposera de 30 jours pour fournir les informations requises. L'organisation peut être réintégrée lorsque les enquêtes de sécurité du personnel sont confirmées pour les ASE et les CSC.
30 jours de suspension et de révocation (< 2 ans) Atteinte à la sécurité L'accès donné aux membres du personnel de l'organisation à des renseignements ou à des biens de niveau protégé ou classifié qui n'ont pas le niveau approprié d'enquête de sécurité, ou le « besoin de savoir ». Suspension de 30 jours. Révocation pouvant aller jusqu'à 2 ans en cas de non-résolution. Le type de renseignements consultés et les dommages causés au gouvernement du Canada détermineront la durée de la révocation.
Consultation de renseignements par des CSC non autorisés L'accès donné aux CSC de l'organisation, qui ont signé une exclusion de CSC, à des renseignements, à des biens ou à des sites de niveau protégé ou classifié. Suspension de 30 jours. Révocation pouvant aller jusqu'à 2 ans en cas de non-résolution. Le type de renseignements consultés et les dommages causés au gouvernement du Canada détermineront la durée de la révocation.
30 jours de suspension + révocation (< 3 ans) Fournir des renseignements faux ou trompeurs L'organisation n'a pas fourni de véritables renseignements au programme ou à tout ministère du gouvernement du Canada, soit par acte délibéré ou par omission en raison d'une négligence de la part de l'organisation, ce qui met en cause la crédibilité ou la fiabilité de l'organisation. Suspension de 30 jours. Révocation pouvant aller jusqu'à 3 ans. La durée de la période de révocation dépend des circonstances atténuantes et peut être plus longue pour les organisations ayant déjà commis des infractions consignés par le PSC.
Actes criminels ou condamnations des personnes clés Tout acte criminel commis par les ASE, les ASER ou les CSC en tant que représentants de l'organisation, tout en commettant l'acte au profit de l'organisation ou de leur statut au sein de l'organisation. Suspension de 30 jours. Révocation pouvant aller jusqu'à 3 ans. La durée de la période de révocation dépend du type d'acte criminel commis et de la condamnation.
Actes d'agression Tout comportement agressif des CSC, des ASE ou des ASER, comme crier, utiliser un langage irrespectueux ou commettre un acte de harcèlement à l'encontre de l'État, qui pourrait être considéré comme une violation des dispositions anti-harcèlement figurant dans le Code de conduite pour l'approvisionnement.note 1 du tableau 1 Suspension de 30 jours. Révocation pouvant aller jusqu'à 3 ans. La durée de la période de révocation dépend des circonstances atténuantes et peut être plus longue pour les organisations ayant déjà commis des infractions similaires consignés par le PSC.
Omission de signaler les changements apportés à l'organisation Omission de signaler tout changement apporté à l'organisation, ce qui met en cause la crédibilité ou la fiabilité de l'organisation ou de ses contrats, y compris notamment les changements concernant le lieu d'enregistrement, la propriété, les associés, la faillite, la dissolution ou les condamnations criminelles de l'organisation ou de ses propriétaires, associés ou dirigeants. Suspension de 30 jours. Révocation pouvant aller jusqu'à 3 ans. La durée de la période de révocation dépend des circonstances atténuantes et peut être plus longue pour les récidivistes.
30 jours de suspension + révocation (< 10 ans) Actes criminels commis par l'organisation, accusations et condamnations Les accusations ou les condamnations pour les actes criminels comme les complots, les accords ou les arrangements entre concurrents, le truquage d'offres, la corruption, l'extorsion, la contrefaçon ou d'autres actes criminels relatifs à la contrefaçon, la manutention frauduleuse d'opérations boursières, le délit d'initié, la falsification des livres et des documents, la violation criminelle de contrat, les commissions secrètes, la surfacturation, le recyclage des produits de la criminalité, la participation aux activités d'une organisation criminelle, les directives étrangères, l'information fausse ou trompeuse, avis trompeur de gain d'un prix, les déclarations fausses ou trompeuses de la taxe d'accise et d'autres actes criminels figurant dans le Code criminel, y compris la Loi sur la concurrence, la Loi de l'impôt sur le revenu, la Loi sur la corruption d'agents publics étrangers, la Loi réglementant certaines drogues et autres substances et la Loi sur le lobbying. Suspension de 30 jours. Révocation pouvant aller jusqu'à 10 ans. La durée de la période de révocation dépend des circonstances atténuantes et peut être plus longue pour les récidivistes.
Révocation Grand niveau de participation, de contrôle et d'influence de l'étranger (PCIE) non atténué. L'incapacité du PSC à atténuer adéquatement les risques associés à la PCIE sur l'organisation canadienne. PCIE désigne une situation où une entreprise opérant sur le territoire d'un pays est grandement assujettie à l'influence, au contrôle ou à la propriété des entités étrangères. Un grand niveau de PCIE peut poser des risques pour les intérêts de la sécurité nationale, puisque cela peut mener des personnes non autorisées à accéder à des renseignements de nature délicate ou influencer les décisions importantes. Révocation. La révocation sera définitive, à moins que le PSC puisse adéquatement atténuer les risques associés à PCIE.

Dans le cas où le PSC détermine que l'organisation ne se conforme pas au PSC (y compris notamment les circonstances énumérées ci-dessus), il peut suspendre l'attestation de sécurité de l'organisation et soumettre une lettre à l'organisation l'informant des résultats de l'évaluation. Si l'organisation n'apporte pas de modifications satisfaisantesFootnote 9 afin d'être en conformité avec le PSC dans les 30 jours civils suivants sa suspension, l'attestation de sécurité de l'organisation peut être révoquée.

Annexe B : Lignes directrices pour la protection des installations

I. Sécurité matérielle

Les organisations qui possèdent une ADR doivent établir un nombre adéquat de zones d'accès à restriction progressive pour contrôler l'accès aux renseignements et aux biens protégés et classifiés.

II. Types de zones d'accès réservé

On ne considère pas que les zones des deux premiers types ci-après (zone d'accès public et zone d'accueil) sont sécuritaires pour la conservation des renseignements et des biens protégés et classifiés. L'objectif consiste essentiellement à établir un point de départ, à partir duquel on pourra élaborer d'autres zones d'accès réservé.

A. Zone d'accès public

Une zone où l'accès est libre pour le public et qui entoure habituellement un immeuble gouvernemental ou en fait partie. Exemples : les terrains entourant un immeuble et les corridors publics, ainsi que les vestibules d'ascenseur dans des immeubles à plusieurs occupants. On peut également utiliser des indicateurs de limites tels les panneaux et la surveillance directe ou à distance afin de dissuader les activités non autorisées.

B. Zone d'accueil

Une zone d'accueil se trouve à l'entrée de l'installation où :

  • se fait le premier contact entre le public et l'organisation
  • les services sont fournis
  • l'information est communiquée
  • l'accès aux zones réglementées est contrôlé

À divers degrés, les activités ayant lieu dans la zone d'accueil sont surveillées par le personnel qui y travaille, par d'autres employés ou par les responsables de la sécurité. L'accès du public peut être limité à certaines heures de la journée ou à des raisons précises. L'entrée au-delà de la zone d'accueil est indiquée par un périmètre reconnaissable tel qu'une porte ou, dans un environnement à aires ouvertes, un agencement de meubles et de cloisons.

C. Zone de travail

Une zone de travail limite l'accès aux employés qui détiennent une autorisation de sécurité au niveau approprié, et aux visiteurs dûment accompagnés. Elle devrait être surveillée au moins de temps en temps, selon une évaluation de la menace et des risques et devrait, de préférence, être accessible à partir d'une zone d'accueil.

D. Zone de sécurité

Une zone de sécurité limite l'accès aux employés autorisés qui détiennent une autorisation de sécurité au niveau approprié. Les zones de sécurité doivent être accessibles à partir d'une zone de travail et par un point d'entrée et doivent être séparées d'une zone de travail par un périmètre sécurisé. Une zone de sécurité doit être surveillée en permanence par du personnel détenant une autorisation de sécurité ou par des dispositifs électroniques.

E. Zone de haute sécurité

Une zone de haute sécurité contrôle l'accès par un point d'entrée et limite l'accès au personnel autorisé qui détient une cote de sécurité valide et de niveau approprié, ainsi qu'aux visiteurs autorisés et dûment accompagnés. Elle ne devrait être accessible qu'à partir d'une zone de sécurité et doit être séparée d'une zone de sécurité et d'une zone de travail par une aire de sécurité conforme aux normes recommandées dans l'évaluation de la menace et des risques. Les zones de haute sécurité sont surveillées en permanence par le personnel de sécurité, les employés ou des dispositifs électroniques.

III. Éléments des zones d'accès réservé

  • Des panneaux peuvent être utilisés pour définir les zones de sécurité et doivent inclure le terme de zone de travail, zone de sécurité ou zone de haute sécurité. Dans certains cas, il faut veiller à ce que la signalisation n'attire pas une attention non désirée sur une zone ou un endroit précis
  • Les éléments matériels d'une zone d'accès réservé peuvent varier. Une zone de sécurité pourrait également être un bureau fermé pour empêcher la consultation ou l'écoute de renseignements non autorisés
  • La définition des zones d'accès réservé peut varier en fonction de la période d'utilisation au cours de la journée ou de la semaine. Par exemple, une zone d'accueil pendant les heures d'accès au public peut être définie comme une zone de travail pendant les heures d'accès restreint, comme les fins de semaine et la nuit
  • La sécurité matérielle est plus efficace si les mesures, telles que les barrières, sont adaptées autant que possible aux activités normales. Le choix d'un emplacement adéquat et la délimitation des zones d'accès réservé facilitent leur utilisation fonctionnelle ainsi que le contrôle de l'accès à celles-ci
  • L'accès aux zones d'accès réservé doit être limité aux employés qui détiennent une autorisation de sécurité au niveau approprié, et aux visiteurs dûment accompagnés

IV. Zones et périmètres extérieurs

A. Périmètre extérieur

Des clôtures et des murs autoportants définissent et contrôlent les périmètres extérieurs. Ils sont généralement utilisés lorsqu'une installation contient des biens de valeur. Certains types de clôtures et de murs peuvent également empêcher l'observation non autorisée. Ils peuvent compenser les failles de sécurité au niveau de la conception de l'immeuble, comme les fenêtres au rez-de-chaussée entraînant l'exposition des renseignements ou des zones.

B. Aménagement paysager

L'aménagement paysager autour d'une installation d'accès réservé devrait :

  • Protéger – en définissant et en sécurisant les périmètres et en définissant les voies de circulation du personnel et du public
  • Détecter – en prévoyant des zones contrôlées facilement identifiables, en réduisant les possibilités de dissimulation et en développant des voies de circulation permettant la surveillance de l'installation par les employés
  • Réagir – en permettant au personnel et à l'équipement d'intervention d'urgence d'accéder librement à l'installation

C. Terrains de stationnement

Le terrain de stationnement devrait être aménagé pour réduire les menaces contre les installations, les employés et les visiteurs :

  • en définissant les voies de circulation piétonnière
  • en permettant de surveiller sans difficulté les zones très risquées
  • en décourageant l'utilisation occasionnelle des portes de sortie et des zones d'expédition ou de réception
  • en interdisant de stationner à proximité des immeubles

D. Éclairage de sécurité

Un éclairage de sécurité externe est normalement requis pour faciliter la surveillance et peut comprendre une intensité accrue, un spectre chromatique précis, ou les deux, à des fins d'identification, ou des systèmes de télévision en circuit fermé. En raison de la complexité technique et pour des raisons de conformité aux codes de sécurité et autres, l'éclairage de sécurité doit être organisé par du personnel qualifié. Les représentants du PSC donneront des conseils sur les exigences particulières.

E. Portes, fenêtres et autres ouvertures

Les portes d'accès doivent être limitées au plus petit nombre possible. Il est préférable que les fenêtres ne s'ouvrent pas. Toutes les fenêtres doivent être de construction robuste et installées de façon sécurisée. Les autres ouvertures du périmètre, comme les égouts ou les tunnels des services publics, doivent être sécurisées. Les représentants du PSC donneront des conseils sur les exigences et les normes particulières.

F. Sorties de secours

Les renseignements et les biens contrôlés par une organisation sont les plus vulnérables en cas d'urgence. Des mesures doivent être mises en œuvre pour garantir que les voies de sortie de secours sont correctement protégées en cas d'urgence et ne permettent pas un accès non contrôlé aux zones d'accès réservé.

V. Centres de contrôle de la sécurité

Les organisations qui disposent VOD ou d'une ASI, et d'une ADR peuvent avoir besoin d'un centre de contrôle de la sécurité à chaque site autorisé pour surveiller et contrôler l'état de l'équipement et des systèmes de sécurité, comme :

  • les contrôles électroniques de l'accès
  • les systèmes de détection des intrusions
  • les avertisseurs de contrainte
  • les systèmes de télévision en circuit fermé
  • les systèmes de communication d'urgence
  • les systèmes d'alarme incendie
  • les ascenseurs

Un centre de contrôle de la sécurité peut être administré par l'installation, une entreprise sous-traitante ou une combinaison des deux pour assurer une surveillance continue. Le système de surveillance de la sécurité doit pouvoir fonctionner indépendamment des autres systèmes de surveillance de l'installation.

VI. Contrôle de l'accès aux zones d'accès réservé

A. Réception

Des points d'entrée doivent être établis pour définir des voies pour les employés et les visiteurs, vérifier l'identité des employés et interdire l'entrée aux visiteurs jusqu'à ce qu'ils soient dûment enregistrés et accompagnés par un employé.

B. Identification du personnel

Lorsque les organisations sont suffisamment grandes pour que l'identification du personnel entre les employés devienne incertaine, les employés sont tenus de porter des cartes qui identifient le porteur et/ou des badges d'accès qui permettent l'entrée dans des zones ou des installations particulières.

Une carte d'identité doit contenir la photographie de la personne, son nom et sa signature, le nom de l'organisation émettrice et un numéro de carte avec une date d'expiration. Elle ne permet pas l'accès, mais simplement d'identifier le porteur. L'accès requiert un contrôle supplémentaire comme une liste d'accès, la connaissance d'une combinaison, une carte d'accès électronique ou un badge d'accès. Une liste d'accès ou un badge d'accès indique uniquement l'autorisation. Par conséquent, des procédures de contrôle supplémentaires peuvent être nécessaires pour vérifier l'identité et réglementer l'entrée ou la sortie.

Les cartes d'identité et les badges d'accès doivent être codés par couleur ou marqués de manière à indiquer rapidement le niveau d'autorisation et/ou l'autorisation d'accès.

C. Les organismes doivent :

  • établir des procédures pour vérifier les cartes ou les badges détenus par le personnel et pour retirer les cartes ou les badges pour un motif valable
  • prévoir le remplacement des cartes ou des badges chaque fois qu'une évaluation de la menace et des risques indique que cela est nécessaire
  • mettre en place une procédure de signalement de la détérioration, de la perte ou du vol des cartes d'identité ou des badges d'accès du personnel
  • tenir des inventaires de toutes les cartes ou badges
  • remplacer les cartes d'identité ou les badges d'accès du personnel lorsque l'apparence personnelle change de manière significative par rapport à la photographie figurant sur la carte ou le badge

D. Gardiens

Les gardiens peuvent être tenus de contrôler l'accès aux zones d'accès réservé lorsqu'une interaction et un jugement personnels sont nécessaires, ou de patrouiller en dehors des heures de travail et de réagir rapidement à une entrée non autorisée réelle ou tentée ou à toute autre urgence. L'intervention des gardiens en cas d'alarmes ou de signaux d'urgence doit être mise à l'essai et se produire dans un délai évalué comme permettant d'empêcher l'accès d'un intrus aux renseignements classifiés protégés. Les gardiens doivent détenir les autorisations de sécurité appropriées au niveau d'accès possible aux renseignements et aux biens protégés et classifiés. Cela ne comprend pas une autorisation d'accès à la suite de la découverte d'une infraction à la sécurité.

Les représentants du PSC peuvent recommander des exceptions, au cas par cas, sur la base d'une inspection sur place et d'une évaluation de la menace et des risques.

E. Contrôle électronique de l'accès

Les dispositifs de contrôle électronique de l'accès peuvent être utilisés pour enregistrer les entrées autorisées et pour dissuader les entrées non autorisées. L'établissement d'un périmètre de sécurité est une condition préalable essentielle à l'installation de dispositifs de contrôle électronique de l'accès. D'autres mesures doivent également être disponibles lorsque les contrôles cessent de fonctionner. Les systèmes installés doivent être conformes aux règlements du code du bâtiment et de prévention des incendies.

F. Détection électronique d'intrusion

Les dispositifs de détection électronique d'intrusion émettent une alerte en cas de tentative d'accès non autorisé. Ils peuvent être utilisés, dans certaines circonstances, comme solution de rechange aux gardiens ou pour augmenter l'efficacité des gardiens. Ils doivent être soutenus par une capacité d'intervention liée à l'évaluation de la menace et des risques. Les dispositifs de détection électronique d'intrusion doivent faire l'objet de vérifications régulières pour garantir un fonctionnement fiable et d'autres mesures doivent être disponibles. Pour être efficace, un dispositif de détection électronique d'intrusion doit disposer d'une force d'intervention qui réagira dans un délai raisonnable en cas d'alerte. Le PSC peut fournir des conseils aux organisations sur l'obtention et l'installation de dispositifs de détection électronique d'intrusion.

G. Télévision en circuit fermé

Les systèmes de télévision en circuit fermé (TVCF) retransmettent à des récepteurs choisis aux fins de surveillance et d'évaluation. Les systèmes de TVCF peuvent aussi servir d'élément dissuasif psychologique et, lorsqu'ils sont liés à un magnétoscope, servir d'aide aux enquêtes sur les incidents d'accès non autorisé. Les systèmes de TVCF peuvent être utilisés pour améliorer l'efficacité des gardiens en étendant leur champ de vision et pour évaluer la nécessité d'une intervention immédiate en cas d'alarme. D'autres mesures doivent être disponibles lorsque les systèmes de TVCF cessent de fonctionner.

H. Contrôles exercés sur l'accès à l'intérieur des locaux

Dans certaines circonstances, les organisations peuvent avoir besoin d'établir des contrôles d'accès et des procédures au sein d'une installation pour contrôler et enregistrer l'entrée dans certaines zones de sécurité ou de haute sécurité.

I. Locaux de service

Les installations de service à usage commun telles que les photocopieurs à usage général ne doivent pas être situées dans des zones de sécurité ou de haute sécurité. Les voies de circulation doivent être situées de manière à empêcher la consultation ou l'écoute non autorisée de renseignements protégés ou classifiés. Les locaux de service d'accès public, comme les toilettes et les vestiaires, doivent être situés en dehors des locaux sécurisés.

Annexe C : Lignes directrices sur la protection des renseignements et des biens

I. Environnement sécurisé

Les organisations doivent faire une utilisation efficace des zones restreintes dans un environnement de bureau, pour protéger les renseignements et les biens. Des renseignements sur les types de zones sécurisées figurent à l'Annexe B : Lignes directrices pour la protection des installations. Les procédures de sécurité appropriées comprennent les suivantes :

  • respecter le principe du besoin de savoir, disposer de mécanismes permettant de s'assurer que les autorisations de sécurité appropriées sont en place pour le personnel et respecter les périmètres des zones
  • accompagner les visiteurs
  • sécuriser les renseignements et les biens lorsqu'on quitte le lieu de travail
  • ne discuter des renseignements que lorsqu'on se trouve dans la zone adéquate et avec des personnes qui ont besoin de savoir et ont la cote de sécurité requise
  • repérer l'emplacement du matériel, comme les broyeurs, qui peut être utilisé sans laisser les renseignements et les biens sans surveillance
  • effectuer des vérifications de la sécurité régulièrement
  • préparer et manipuler les renseignements et les biens Protégé C dans une zone de sécurité ou, si une analyse des menaces et des risques le recommande, dans une zone de sécurité plus élevée
  • conserver les documents relatifs aux cotes de sécurité du personnel contenant des renseignements personnels dans un dossier de sécurité distinct en tant que renseignements protégés, et non dans les dossiers généraux du personnel de l'organisation
  • protéger les questionnaires associés aux enquête de sécurité sur le personnel Protégé B qui sont remplis en attendant leur transmission aux responsables du Programme de sécurité des contrats (PSC) de Services publics et Approvisionnement Canada (SPAC) et tout renseignement défavorable concernant une personne

Les contrats concernant des études statistiques ou des enquêtes requérant la confidentialité, ou les contrats visant la collecte de renseignements personnels, contiendront des dispositions supplémentaires en matière de protection.

II. Gestion des dossiers

Les organisations doivent disposer d'un lieu adéquat, comme un registre, pour recevoir, distribuer, archiver et conserver les renseignements et les biens protégés et classifiés.

Les organisations doivent tenir des registres des dates, des noms et des transactions associés à tous les renseignements et biens classifiés, indiquant la réception, la distribution, la création, la reproduction et la destruction au sein de l'installation. Les organisations peuvent tenir des registres de tous les renseignements et biens d'origine étrangère soumis à des restrictions si ce genre d'exigence est énoncée dans les clauses du contrat.

Tous les dossiers de renseignements et de biens classifiés et tous les renseignements et biens classifiés doivent être disponibles à des fins d'inspection par les ALSI du PSC.

A. Sécurité du bureau d'archivage

Pour les renseignements et les biens protégés et classifiés, les registres, ou des parties de ceux-ci, les procédures ci-dessous doivent être appliquées :

  • les gérer selon la catégorie de sécurité la plus élevée des renseignements conservés
  • s'assurer que les employés qui s'occupent des documents possèdent la cote ou l'autorisation de sécurité appropriée
  • classer et faire circuler les renseignements dans des chemises qui indiquent le contenu et portent la mention correspondant à la catégorie de sécurité la plus élevée des renseignements qui s'y trouvent
  • gérer les zones où le courrier est ouvert comme des zones de sécurité ou des zones de haute sécurité
  • limiter la distribution des dossiers aux employés possédant la cote ou l'autorisation de sécurité appropriée et ayant besoin de savoir
  • identifier le personnel ayant un accès autorisé sur une liste d'accès approuvée par le gestionnaire responsable (comme le chef de projet)
  • livrer le courrier portant la mention « ne peut être ouvert que par le destinataire » directement au destinataire prévu
  • veiller à ce que le courrier classifié ne soit ouvert que par le responsable désigné pour l'enregistrement de ce courrier dans l'installation
  • protéger les renseignements classifiés d'origine étrangère de la même manière que les renseignements canadiens de classification équivalente et les conserver dans un contenant distinct. Veuillez s'adresser au personnel du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour des conseils et une assistance complémentaires
  • mettre en œuvre des mesures de précaution spéciales pour empêcher la divulgation ou l'accès non autorisé à des ressortissants non canadiens. Les renseignements classifiés d'origine étrangère et les renseignements portant des mentions restrictives comme « réservés aux Canadiens » ne peuvent être communiqués aux personnes n'ayant pas l'approbation des responsables du PSC de SPAC
  • s'adresser au personnel du PSC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour obtenir de l'aide sur toute autre restriction concernant les contrats, programmes ou projets internationaux et multinationaux

III. Mentions de sécurité

Les renseignements protégés et classifiés doivent porter la mention appropriée conformément aux lignes directrices suivantes :

  • les lettres utilisées dans la mention doivent être plus grosses que celles qui sont utilisées dans le texte du document
  • tous les documents (renseignements de base) utilisés pour la préparation des documents doivent indiquer la catégorie
  • les lettres d'accompagnement ou de transmission, les formulaires ou les bordereaux d'acheminement doivent indiquer le niveau de la catégorie ou de la désignation le plus élevé des pièces jointes
  • la mention doit figurer sur chacune des pages, mais aussi les documents doivent porter la mention appropriée sur la première et la dernière page de couverture
  • les documents en feuilles détachées doivent porter une mention sur chaque feuille
  • les images comme les graphiques, les cartes, les dessins doivent porter une mention évidente près de la marge ou du titre; on doit pouvoir lire clairement cette mention lorsque le document est plié
  • les mentions de sécurité devraient comprendre la désignation applicable et la date à laquelle la déclassification ou le déclassement doit avoir lieu, dans la mesure où c'est déterminé au moment où les renseignements sont créés ou recueillis

A. Renseignements protégés et classifiés

Les documents originaux et les copies doivent porter les mentions suivantes :

  • la mention Protégé A, B ou C doit figurer dans le coin supérieur droit de la page couverture du document
  • la mention Confidentiel doit figurer dans le coin supérieur droit de la page couverture du document. Numéroter chaque exemplaire, inscrire le numéro de l'exemplaire sur la couverture de chaque exemplaire et tenir une liste des destinataires
  • la mention Secret doit figurer dans le coin supérieur droit de chaque page du document. Numéroter chaque exemplaire, inscrire le numéro de l'exemplaire sur la couverture de chaque exemplaire et tenir une liste des destinataires
  • la mention Très secret doit figurer dans le coin supérieur droit de chaque page et le nombre total de pages doit être indiqué sur toutes les pages (par exemple, page 2 de 10). Assigner un nombre entier unique à chaque exemplaire, inscrire le numéro de l'exemplaire sur chaque page et tenir une liste de distribution
  • Les renseignements classifiés d'un gouvernement étranger, de l'UE, de l'Agence spatiale européenne ou de l'OTAN doivent porter à la fois la mention de classification étrangère et l'annotation concernant leur traitement selon l'équivalent canadien. Pour obtenir de plus amples renseignements, on peut consulter le chapitre 9 : Sécurité internationale de ce manuel et s'adresser au personnel responsable du PSC par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca

B. Microformes

Microforme est un terme générique désignant tout support de stockage qui contient des micro-images. Les organisations doivent appliquer les procédures suivantes :

  • attribuer la désignation ou la catégorie la plus élevée des renseignements contenus dans le microforme
  • inscrire la mention « protégé ou classifié » sur les microformes contenant des renseignements protégés ou classifiés sous une forme lisible, ainsi que le numéro du microforme et le nombre total de microforme

C. Support de stockage électronique

Le support de stockage électronique peut être un CD, une clé USB, un disque dur amovible, une carte SD, une carte microSD, un téléphone, une tablette, un ordinateur portable.

Les organisations doivent appliquer les procédures suivantes :

  • attribuer la désignation ou la catégorie la plus élevée des renseignements contenus sur le support de stockage électronique
  • dans la mesure du possible, la mention de sécurité doit être lisible à l'œil nu et par machine. Si ce n'est pas possible, la mention de sécurité doit être lisible par machine
  • le support de stockage amovible doit porter des étiquettes standards. S'il est permis de ne pas procéder à l'étiquetage, des procédures s'imposent pour garantir que l'information appropriée est enregistrée dans l'ordinateur
  • conserver le support de la même manière que les documents papier, lorsqu'il n'est pas utilisé

Pour de plus amples renseignements, consulter le chapitre 7 : Sécurité des technologies de l'information de ce manuel.

Le personnel du PSC peut fournir des conseils précis sur la façon d'inscrire la mention sur les divers supports de stockage électronique par courriel au ssi-iss@tpsgc-pwgsc.gc.ca.

IV. Conservation

Les renseignements et les biens protégés A et B doivent être conservés, à tout le moins, dans un contenant verrouillé tel qu'un classeur, un coffre-fort, une chambre forte et/ou une salle sécurisée lorsqu'ils sont situés dans une zone d'opérations approuvée. Les renseignements et les biens protégés C et tous les renseignements classifiés doivent être conservés dans un contenant de sécurité approuvé, conforme au Guide d'équipement de sécurité de la GRC, lorsqu'ils sont situés dans une zone appropriée approuvée (zone de sécurité minimale secret, très secret, protégé C). Les renseignements et les biens protégés et classifiés peuvent être conservés sur des étagères libres dans une salle sécurisée, uniquement après une inspection et avec l'approbation des responsables du PSC.

Les renseignements classifiés d'origine étrangère doivent être conservés séparément des autres formes de renseignements classifiés et protégés d'origine étrangère ou nationale. Les renseignements et les biens protégés et classifiés ne doivent pas être conservés dans la même armoire que les effets négociables ou des biens attrayants.

A. Clés pour les armoires

Les clés (et les dispositifs comme les cartes, les combinaisons et les numéros de code utilisés pour ouvrir ou fermer les armoires) doivent être protégées selon le niveau supérieur de confidentialité des renseignements ou des biens auxquels elles donnent accès. Ces modalités s'appliquent également aux renseignements enregistrés qui permettraient de produire des clés. L'ASE doit contrôler l'accès aux clés, combinaisons et numéros de code, et tenir des registres de distribution.

Les clés attribuées doivent être changées au moins une fois tous les 12 mois et lorsque les employés ayant accès à l'armoire sont mutés, congédiés ou n'ont plus à y avoir accès. Le bureau de la sécurité de l'organisation doit tenir un registre des dates de changement de clé et des motifs expliquant ces changements.

Remarque

On doit changer immédiatement les clés lorsqu'on a tenté ou qu'on a pu essayer d'ouvrir une armoire.

B. Précautions

Lorsque des renseignements et des biens protégés et classifiés sont retirés de contenants de stockage approuvés, les organisations doivent s'assurer qu'ils ne sont pas laissés sans surveillance et qu'ils ne peuvent pas être vus, ou qu'une discussion à leur sujet ne peut pas être entendue par des personnes ne possédant pas le niveau d'autorisation de sécurité approprié ou qui n'ont pas besoin de savoir.

Pour des conseils et une assistance complémentaires, s'adresser au personnel du PSC par courriel au tpsgc.ssidie-issiid.pwgsc@tpsgc-pwgsc.gc.ca.

C. Matériel

Les organisations devant conserver des renseignements et des biens protégés et classifiés peuvent se procurer le matériel de sécurité approuvé par l'entremise de SPAC. De concert avec les responsables du PSC, l'ASE, ou l'ASER doit déterminer le matériel requis et soumettre le formulaire d'achat. Une fois que les responsables du PSC ont approuvé la demande, celle-ci est traitée, mais la facturation et la livraison du matériel se font entre l'acheteur (l'ASE) et le fournisseur. Voici quelques exemples du matériel le plus fréquemment demandé dans le cadre de cette procédure :

1. Classeur de sécurité avec serrure à combinaison intégrée – latéral (2 tiroirs)

En acier, classeur de sécurité avec serrure à combinaison intégrée, latéral (2 tiroirs)

Modèle
modèle global FG36-2FCL
Dimensions
36 pouces de large, 18 pouces de profondeur, 26,625 pouces de hauteur
Numéro de nomenclature OTAN
7110-20-002-8735
2. Classeur de sécurité avec serrure à combinaison intégrée – latéral (4 tiroirs)

En acier, classeur de sécurité avec serrure à combinaison intégrée, latéral (4 tiroirs)

Modèle
modèle global FG36-4FCL
Dimensions
36 pouces de large, 18 pouces de profondeur, 26,625 pouces de hauteur
Numéro de nomenclature OTAN
7110-20-002-8736
3. Classeur de sécurité (2 tiroirs)
Dimensions
19 pouces de large, 28 pouces de profondeur, 27,375 pouces de hauteur
Poids
250 livres
Numéro de nomenclature OTAN
7110-21-852-6693
4. Classeur de sécurité (4 tiroirs)
Dimensions
19 pouces de large, 28 pouces de profondeur, 51,375 pouces de hauteur
Poids
450 livres
Numéro de nomenclature OTAN
7110-21-852-6695
5. Armoires de sécurité
Dimensions
23,125 pouces de large, 32,5 pouces de profondeur, 51,625 pouces de hauteur
Poids
400 livres (sans le classeur)
Numéro de nomenclature OTAN
7110-21-108-0743
Remarque

Un classeur à 4 tiroirs pour une armoire de sécurité est aussi disponible.

V. Emballage et transmission

Lors de la transmission de renseignements et de biens protégés et classifiés, les organisations doivent en assurer la sécurité par un emballage approprié et tenir un registre de leur transport et de leur livraison. Communiquer avec les responsables du PSC par courriel au tpsgc.ssidie-issiid.pwgsc@tpsgc-pwgsc.gc.ca pour obtenir des renseignements.

Les registres de distribution, de diffusion et de retour dans l'installation doivent comprendre la signature des responsables qui en accusent réception. Les personnes qui ont accès aux renseignements et aux biens classifiés doivent être informées de leurs responsabilités quant à la protection de ces renseignements et biens, ainsi que des restrictions particulières concernant leur utilisation ou leur diffusion.

Les renseignements et les biens protégés et classifiés doivent être emballés et transmis conformément aux normes de transport et de transmission des renseignements protégés et classifiés de la GRC. Cela inclut le transport en mains propres et/ou l'expédition en vrac de certains renseignements et biens protégés et classifiés. Les ALSI du PSC peuvent fournir des instructions précises.

Pour tout transfert international de documents, y compris le transport manuel, vous devez vous adresser au personnel du PSC par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca à des fins d'orientation et d'approbation.

Annexe D : Processus d'inspection de la sécurité de la technologie de l'information

I. Lancement

Lors de la phase de lancement d'une inspection de la sécurité de la TI, l'inspecteur de la sécurité de la TI du PSC communiquera avec ASE de l'organisation pour discuter de l'inspection à venir.

Dans le cadre de la phase de lancement, l'organisation devra remplir une liste de vérification de l'inspection de la sécurité de la TI qui décrit les systèmes de TI qu'elle a l'intention d'utiliser pour stocker, traiter et créer les renseignements protégés et/ou classifiés associés aux contrats. Cette liste de vérification n'est pas un exercice de réussite ou d'échec; elle sert plutôt d'outil de discussion essentiel pour la partie de l'inspection qui se déroule sur place. Ce document est d'une portée qui doit se limiter à une description des systèmes de TI à utiliser pour stocker, traiter ou créer des renseignements protégés ou classifiés associés aux contrats. L'ASE est censé fournir la liste de vérification de la sécurité de la TI remplie et toute pièce justificative à l'inspecteur de la sécurité de la TI dans les 30 jours suivant sa réception.

En outre, si pendant la phase de lancement de l'inspection, une inspection sur place doit avoir lieu, l'inspecteur de la sécurité de la TI en fixera la date et l'heure avec l'ASE.

II. L'inspection sur place

Pendant la partie de l'inspection qui se déroule sur place, l'inspecteur de la sécurité de la TI aura un entretien avec l'organisation et évaluera la situation de celle-ci en matière de sécurité de la TI pour le stockage, le traitement et la création de renseignements protégés ou classifiés à l'appui des contrats visés par une inspection.

L'ASE ou l'ASER doit assister à l'inspection de la sécurité de la TI sur place. Si l'ASE ou l'ASER n'est pas l'administrateur de TI pour les systèmes de TI inspectés, les responsables du PSC recommandent vivement à l'organisation de faire en sorte qu'un administrateur de TI qui connaît bien le ou les systèmes assiste à l'inspection. En outre, il peut être bénéfique tant pour l'organisation que pour l'inspecteur de pouvoir compter sur un spécialiste des processus opérationnels qui connaît les fonctions exercées à l'appui du contrat, pour répondre aux questions.

Lors de l'inspection sur place, l'inspecteur de la sécurité de la TI :

  • examinera les questions et les réponses fournies sur la liste de vérification de la sécurité de la TI et tout document justificatif
  • certifiera que toutes les exigences du contrat décrites dans un document faisant état des exigences techniques en matière de TI (le cas échéant) ont été respectées
  • passera en revue les systèmes de TI en place pour stocker, traiter ou créer des renseignements protégés ou classifiés
  • demandera à parler au personnel associé aux activités contractuelles s'il y a lieu

Au cours de cette inspection, l'inspecteur de la sécurité de la TI prend note de toute constatation de la non-conformité possible de l'organisation aux exigences du contrat, au PSC ou aux meilleures pratiques opérationnelles. Pour chaque constatation, l'inspecteur formulera une ou plusieurs recommandations visant à améliorer la situation en matière de sécurité de la TI. Ces recommandations sont faites à l'ASE pendant l'inspection et énoncées dans une lettre de recommandation à la suite de l'inspection (Section IV. A : Lettre de recommandation).

III. Inspections hors site

Lorsque l'historique des inspections et les exigences contractuelles le permettent, les inspecteurs de la sécurité de la TI du PSC peuvent effectuer des inspections hors site. Ces inspections se déroulent de deux façons :

  • par téléphone, avec un suivi sur place obligatoire
  • au moyen d'un processus d'attestation

A. Inspections par téléphone

Les inspections par téléphone fonctionnent de la même manière qu'une inspection sur place, la différence étant que l'inspecteur de la sécurité de la TI ne passe pas lui-même les systèmes de TI en revue, mais s'appuie sur des preuves.

B. Processus d'attestation

Si une organisation a été inspectée au niveau de sécurité du contrat en cours durant les deux années précédentes et a l'intention d'utiliser les mêmes systèmes de TI, ou des systèmes configurés de manière identique aux systèmes inspectés précédemment, il sera demandé à l'ASE de confirmer ce qui suit :

  • l'organisation utilisera des systèmes de TI qui ont été préalablement inspectés et approuvés par les responsables du PSC
  • l'organisation n'a pas apporté de changements majeurs aux systèmes de TI depuis la dernière inspection
  • il n'y a pas eu d'atteintes à la sécurité liées à l'utilisation des systèmes de TI pour le stockage, le traitement et la création de renseignements protégés ou classifiés
  • si le contrat s'accompagne d'un document technique sur la sécurité de la TI, l'organisation a connaissance de ce document et se conforme à ses exigences

L'organisation doit également fournir à l'inspecteur de la sécurité de la TI une liste de vérification de la sécurité de la TI dûment remplie pour l'inspection en cours.

IV. Après l'inspection

Une inspection de la sécurité de la TI peut mener à deux conclusions :

  • l'organisation est pleinement conforme aux exigences du contrat et du PSC, ce qui donne lieu à une lettre d'approbation (Section V. Approbation)
  • l'organisation n'est pas entièrement conforme et des recommandations sont formulées. Les recommandations sont faites verbalement à l'ASE pendant l'inspection et sont suivies d'une lettre de recommandation

A. Lettre de recommandation

La lettre de recommandation contient les recommandations et/ou suggestions faites par l'inspecteur de la sécurité de la TI à l'ASE. Dès qu'il reçoit la lettre de recommandation, l'ASE dispose de 30 jours pour y répondre.

La réponse de l'ASE doit décrire les mesures prises (ou à prendre) par l'organisation pour donner suite à chacune des recommandations ou suggestions énoncées dans la lettre. Ce document doit être signé par l'ASE et remis à l'inspecteur de la sécurité de la TI.

V. Approbation

Lorsqu'une inspection ne donne lieu à aucune constatation et donc à aucune recommandation, ou lorsqu'une organisation répond à la lettre de recommandation en indiquant que sa situation en matière de sécurité de la TI a été mise à niveau en fonction des exigences du contrat en matière de sécurité, le PSC adresse une lettre d'approbation de la TI à l'organisation et au ministère/organisation client. La lettre d'approbation de la TI n'est valable que pour le ou les contrats inspectés et uniquement pour la durée du ou des contrats en question.

La lettre d'approbation de la TI n'autorise pas l'organisation à utiliser ses systèmes de TI pour stocker, traiter ou créer des renseignements protégés ou classifiés pour tout autre contrat.

Une organisation ne doit pas utiliser un système de TI pour stocker, traiter ou créer des renseignements protégés ou classifiés avant d'avoir reçu l'autorisation des responsables du PSC, sous peine d'enfreindre une ou plusieurs clauses du contrat.

VI. Modifications des systèmes de technologie de l'information après une inspection de la sécurité de la technologie de l'information

Comme il est indiqué dans la lettre d'approbation des systèmes de TI, si une organisation apporte des modifications importantes aux systèmes de TI inspectés, les responsables du PSC peuvent suspendre l'approbation de ces systèmes jusqu'à leur prochaine inspection.

Les organisations doivent aviser les responsables du PSC si elles ont l'intention d'apporter d'importantes modifications aux systèmes de TI inspectés au cours d'un contrat. Les responsables du PSC évalueront les modifications et détermineront s'il y a lieu de procéder à une inspection du ou des systèmes modifiés.

Annexe E : Lignes directrices sur les demandes de visites

I. Exigences associées aux demandes de visites

Différentes exigences se rattachent à l'obtention d'une approbation de demande de visite (DV) selon la catégorie.

A. Visites au Canada

1. Visites d'une organisation du secteur privé auprès d'une autre organisation du secteur privé au Canada
  • a) Les ASE d'organisations canadiennes du secteur privé inscrites sont habilités à transmettre les DV directement à d'autres organisations canadiennes du secteur privé pour leurs employés qui sont titulaires d'une autorisation de sécurité sur le personnel canadienne au niveau voulu. Cependant, les DV impliquant ce qui suit doivent être traitées par le PSC :
    • les ressortissants étrangers, même s'ils sont titulaires d'une autorisation de sécurité sur le personnel canadienne
    • les visites donnant accès à des renseignements classifiés nécessitant une autorisation spéciale d'accès ou à la divulgation de ces renseignements, par exemple :
      • la COMSEC
      • les renseignements classifiés d'origine étrangère
      • l'OTAN
      • d'autres programmes d'accès spécial ou limité
  • b) Procédures à appliquer dans le traitement de ces DV :
    • les organisations doivent remplir le Formulaire de demande de visite et confirmer avec l'ASE qui a fait la demande que l'organisation est titulaire d'une ASI en bonne et due forme. L'ASE devrait s'assurer que chaque visite porte un numéro de désignation ou de série qui lui est propre
    • l'organisation d'accueil doit recevoir la DV au moins 15 jours avant la date prévue pour la visite
      • dans les cas exceptionnels ou d'urgence, on peut prendre les dispositions nécessaires par téléphone, à la condition de confirmer tous les détails par écrit
      • les employés ne peuvent jamais présenter en mains propres leur propre DV à l'établissement à visiter
    • si l'ASE de l'organisation visiteuse ou d'accueil a des doutes sur la nature de la visite ou ASI de l'autre organisation, il doit communiquer avec le Centre de service à la clientèle du Programme de sécurité des contrats à vérifier cette information
    • il faut signaler immédiatement à l'ASE de l'autre organisation la perte ou le déclassement de l'ASI de l'organisation
    • l'ASE qui lance la demande doit faire connaître immédiatement à l'organisation d'accueil tout changement de statut du visiteur qui exige la révocation de l'autorisation de visite
    • l'ASE de l'organisation d'accueil est autorisé à approuver les demandes, pourvu que toutes les conditions nécessaires soient respectées, et à aviser l'ASE qui a fait la demande, de vive voix ou par écrit. Si la visite n'est pas approuvée, l'ASE doit le faire savoir dans les plus brefs délais à son homologue qui a fait la demande
2. Visites d'organisations canadiennes du secteur privé auprès du gouvernement canadien

Il faut remplir et soumettre aux responsables du PSC le Formulaire de demande de visite. Les instructions pour Soumettre des formulaires de demande sont affichées sur le site web du PSC.

3. Visites de personnel du gouvernement du Canada auprès d'organisations canadiennes du secteur privé
  • a) Les ASE d'organisations canadiennes enregistrées sont autorisés à traiter les demandes des dirigeants principaux de la sécurité ministérielle de ministères et d'organismes gouvernementaux qui présentent une DV au nom de leurs employés. Ces derniers doivent posséder une autorisation de sécurité du personnel canadienne de niveau approprié et avoir réellement besoin de discuter des contrats classifiés dont ils sont chargés
  • b) Procédures à appliquer dans le traitement de ces demandes de visites :
    • les demandes doivent être soumises au moyen du Formulaire de demande de visite. Les ASE doivent demander aux dirigeants principaux de la sécurité d'utiliser le formulaire de demande et s'assurer que chaque visite a un numéro de désignation ou de série qui lui est propre
    • le formulaire de DV peut être transmis par courriel, par la poste, par télécopieur ou par messager. Les instructions pour Soumettre des formulaires de demandes sont affichées sur le site web du PSC
    • la DV doit parvenir à l'organisation d'accueil du secteur privé au moins 15 jours avant la date prévue pour la visite :
      les employés ne peuvent jamais présenter en mains propres leur propre DV à l'établissement à visiter
    • si l'ASE de l'organisation d'accueil du secteur privé a des doutes sur la nature de la visite ou les autorisations de sécurité sur le personnel des visiteurs proposés, il doit vérifier cette information en communiquant avec le Centre de service à la clientèle du Programme de sécurité des contrats
    • le dirigeant principal de la sécurité doit aviser immédiatement l'ASE de l'organisation d'accueil de tout changement de statut du visiteur qui exige la révocation de l'autorisation de visite
    • l'ASE de l'organisation d'accueil est autorisé à approuver les demandes, pourvu que toutes les conditions nécessaires soient respectées, et à aviser le dirigeant principal de la sécurité qui a fait la demande, de vive voix ou par écrit. Si la demande n'est pas approuvée, l'ASE doit également le faire savoir dans les plus brefs délais au dirigeant principal de la sécurité qui a fait la demande et en informer les responsables du PSC

B. Visites internationales

Il s'agit des visites de représentants canadiens à l'étranger et de représentants étrangers au Canada. Les organisations visiteuses doivent obtenir l'approbation de l'autorité désignée de leur pays pour la sécurité en remplissant et soumettant le Formulaire de demande de visite.

Les instructions pour Soumettre des formulaires de demandes de visite internationales sont affichées sur le site web du PSC.

II. Types de visites

Visites uniques, répétitives et urgentes

Une visite unique est effectuée pour une période déterminée et continue pouvant aller jusqu'à un an. Une visite répétitive est une série de visites qui se déroulent pendant une durée prolongée pouvant atteindre un an, en temps normal. Une visite urgente est réservée aux événements de nature urgente.

Visites propres aux instructions de sécurité d'un projet/programme

Les exigences pour cette catégorie de visites sont déterminées au cas par cas. Les responsables du PSC font connaître aux organisations canadiennes du secteur privé les procédures à appliquer, le cas échéant.

III. Responsabilités

A. Responsabilités de l'organisation d'accueil

Les organisations qui sont les accueils de visites classifiées doivent s'assurer qu'on ne divulgue pas de renseignements sans autorisation pendant ces visites. Ces organisations ne doivent pas donner accès à des renseignements classifiés de niveau supérieur au niveau de classification de la visite, sans égard au niveau de l'autorisation de sécurité sur le personnel des visiteurs. Les ASE doivent s'assurer que l'on respecte les procédures.

Identification et contrôle des visiteurs

Les organisations à visiter doivent s'assurer qu'elles ont en leur possession la DV approuvée, soit par le PSC ou par l'ASE de l'organisation d'accueil, dans le cas des visites d'organisations canadiennes auprès d'autres organisations canadiennes. L'ASE de l'organisation d'accueil doit s'assurer que l'organisation qui a demandé la visite possède une ASI au niveau voulu. Cette vérification peut être fondée sur une relation contractuelle existante, lorsque le contrat porte sur des renseignements classifiés au même niveau ou à un niveau supérieur, ou la confirmation du PSC. Lorsqu'on a déterminé le statut de l'ASI de l'organisation qui a fait la demande, la confirmation de l'ASE de cette organisation en ce qui concerne l'autorisation de sécurité sur le personnel de chaque visiteur proposé peut être acceptée.

L'identité du visiteur doit être positivement vérifiée à l'aide d'une pièce d'identité avec photo avant que des renseignements classifiés soient divulgués. En cas de doute quant à la validité de la DV ou à l'identité du visiteur, on doit demander une confirmation aux responsables en communiquant avec le Centre de service à la clientèle du Programme de sécurité des contrats.

Les organisations d'accueils doivent s'assurer que les visiteurs n'ont accès qu'aux renseignements classifiés correspondant à l'objectif autorisé de la visite. Les visiteurs étrangers, qu'ils viennent d'organisations étrangères ou canadiennes, ne doivent pas avoir accès aux renseignements, sauf dans les cas prévus par les conditions de l'autorisation de la visite. Les ressortissants étrangers doivent être accompagnés lorsqu'ils ont accès aux renseignements classifiés, conformément aux conditions de l'autorisation de leur visite, et dans les zones où ils pourraient avoir accès à des renseignements classifiés. L'accompagnateur doit être un employé compétent possédant l'autorisation de sécurité voulue, auquel on a donné des instructions en ce qui concerne les limites imposées aux droits d'accès du visiteur ou les restrictions quant à ses déplacements.

On ne doit pas remettre de documents classifiés aux visiteurs pour qu'ils puissent les emporter à l'extérieur de l'organisation d'accueil, sauf dans les cas prévus au chapitre 6.8 : Transfert de renseignements et de biens de ce manuel.

Registre des visiteurs

Les organisations doivent tenir un registre de toutes les personnes qui visitent leur installation pour avoir accès à des renseignements classifiés. Ce registre doit être distinct du registre des visites non classifiées.

L'organisation d'accueil doit conserver les registres des visites autorisées qui ont effectivement eu lieu pendant une période minimale de deux ans et le PSC pourra inspecter ces registres au hasard pendant cette période.

On doit conserver, pour les visites de l'OTAN, un ensemble distinct de registres de visiteurs (chapitre 10 : Organisations internationales de ce manuel).

B. Responsabilités de l'organisation visiteuse

Les organisations visiteuses doivent s'assurer :

  • qu'on donne à l'organisation d'accueil un préavis suffisant et que cette organisation a approuvé la visite
  • que la recommandation d'un préavis minimum de 30 jours pour les visites dans les pays étrangers est respectée
  • que l'organisation d'accueil est au courant de l'objet et du niveau de classification de la visite
  • que les deux organisations s'entendent sur les modalités administratives de la visite
  • que les visiteurs ont reçu des instructions complètes sur les renseignements classifiés visés et le niveau de classification autorisé pour la divulgation des renseignements pendant la visite; ce principe est particulièrement important à l'occasion des visites d'organisations étrangères
  • que les visiteurs ne divulguent les renseignements classifiés qu'aux organisations d'accueils possédant le niveau d'attestation applicable et ayant un besoin de savoir
  • que les visiteurs transportant du matériel classifié possèdent l'approbation préalable des responsables du PSC, observent les procédures appropriées et veillent à ce que le matériel classifié ne soit pas laissé à l'organisation d'accueil, sauf dans les cas expressément autorisés (chapitre 6 : Manipulation et protection de renseignements et de biens de ce manuel)
  • que les modalités des visites sont confirmées avant le départ

De : Services publics et Approvisionnement Canada

Détails de la page

Date de modification :