Gestion de l'identité et de l'accès - Phase 2

Résumé de l'Évaluation des facteurs relatifs à la vie privée (ÉFVP) - Direction de l'administration, Direction générale des finances et de l'administration

Aperçu et amorce d’une ÉFVP

Institution fédérale

Agence du revenu du Canada

Fonctionnaire responsable de l’ÉFVP

Mark Perlman
Sous‑commissaire intérimaire, Direction générale des finances et de l’administration

Responsable de l’institution fédérale ou délégué aux fins de l’article 10 de la Loi sur la protection des renseignements personnels

Marie‑Claude Juneau
Coordonnatrice de l’AIPRP

Nom du programme ou de l’activité de l’institution fédérale

Services de voyages et autres services administratifs :

• Les Services de voyage et autres services administratifs comprennent les services de voyages du gouvernement du Canada (GC), ainsi que les autres services internes qui ne correspondent à aucune autre catégorie de services internes.

Les services internes de l'AAP de l’Agence du revenu du Canada (ARC) comprennent l'activité de sous‑sous‑programme 7.6.9.2 – Sécurité et affaires internes.

Description de la catégorie de document et du fichier de renseignements personnels

Catégories de documents spécifiques à l'institution ou ordinaire :
Sécurité (site Web d’Info Source)

Proposition pour un nouveau fichier de renseignements personnels standard :
Gestion de l’identité et de l’accès

Autorisation légale pour le programme ou l’activité

Les renseignements personnels sont recueillis en vertu de l’alinéa 30(1)a) de la Loi sur l’Agence du revenu du Canada, qui accorde à l’ARC la responsabilité de « ses grandes orientations administratives ».

La Loi sur l’Agence du revenu du Canada est complétée par la Politique sur la sécurité du gouvernement et la Directive sur la gestion de l'identité du Secrétariat du Conseil du Trésor ainsi que par la Politique sur la responsabilisation et l’authentification de l’accès aux systèmes des technologies de l’information de l’Agence et le Cadre de la sécurité de l'information et de la sécurité des technologies de l'information de l’ARC.

Résumé du projet, de l'initiative, des modifications

La Direction de la sécurité et des affaires internes de l’ARC établit actuellement un programme de Gestion de l’identité et de l’accès (GIA) et gère simultanément un projet pluriannuel, comportant plusieurs étapes, afin d’optimiser les processus opérationnels de la GIA.

La Gestion de l'identité et de l'accès normalisera et automatisera l'exécution des règles et des processus opérationnels utilisés dans la gestion de l'accès interne aux données de l'ARC. Cela permettra d'améliorer les activités de surveillance, de vérification et d'établissement de rapports relatives à l’identité et à l’attribution des accès pour garantir l'observation des lois pertinentes, des politiques, des normes et des pratiques exemplaires en matière de sécurité. La solution de GIA aidera l'Agence à traiter les risques d’entreprise liés à la protection des renseignements et à satisfaire plus facilement aux exigences en matière de vérification et d'observation et aux exigences prévues par la loi relativement à la gestion des données.

À présent, le projet de GIA a quatre étapes prévues : (1) Ressources de renseignements : terminé; (2) Synchronisation des identités : en cours; (3) Gestion des mots de passe : planification détaillée; et (4) Gestion de l’accès : non définie. Puisque certains aspects du programme n’ont toujours pas été définis, la portée de l’ÉFVP sera limitée à l'étape 2. Toutefois, lorsque les autres étapes seront déterminées, l’ÉFVP sera mise à jour, au besoin.

L’étape 2, Synchronisation de l’identité, vise l’intégration et la synchronisation des identités des utilisateurs (Mémoire officielle des identités) dans toute l’infrastructure informatique et toutes les applications de l’ARC afin de jeter les bases pour l’amélioration de la sécurité et de l’intégrité de l’accès aux systèmes. L’étape 2 traite de ce qui suit :

• la façon de relier tous les comptes d’identité des utilisateurs pour la même personne au moyen d’un nouvel Identifiant unique universel (UUID) généré par l’outil de GIA;
• la façon de suspendre les comptes d’exception qui ne peuvent être reliés à un utilisateur authentifié;
• la capacité de produire des rapports sur des utilisateurs, des groupes d'utilisateurs et des comptes d'exception;
• le moyen de signaler les comptes qui répondent aux critères de la Politique de sécurité ainsi que ceux qui n’y répondent pas.

Détermination et classement du risque

A) Type de programme ou d’activité

Administration des programmes, des activités et des services

La Mémoire officielle des identités (MOI) remplira un dossier d’identité pour chaque utilisateur des systèmes de l’ARC en fonction des renseignements disponibles dans les environnements informatiques actuels. La MOI et les outils connexes lieront les comptes d’utilisateur au dossier d’identité en fonction des identificateurs uniques de chaque environnement informatique. La MOI tiendra un registre de chaque utilisateur des systèmes de l’Agence et de ses comptes connexes. La décision de lier les comptes sera principalement effectuée au moyen d'une technologie automatisée, mais seulement lorsque les identificateurs uniques peuvent être mis en correspondance. Toutes les autres décisions et le lien entre les comptes seront effectués manuellement en identifiant et confirmant un responsable.

Niveau de risque pour la vie privée : 2

B) Type de renseignements personnels en jeu et contexte

Uniquement des renseignements personnels fournis par l'intéressé – au moment de leur collecte – concernant un programme autorisé et recueillis auprès de l'individu même ou avec son consentement quant à leur communication, en l'absence d'éléments contextuels sensibles.

Les renseignements qui seront utilisés ont été fournis directement par l’individu à l’ARC et sont décrits dans le fichier de renseignements personnels standard Dossier personnel d'un employé – POE 901. L’utilisation des renseignements personnels pour confirmer l’identité des individus pour l’accès aux bases de données du gouvernement est désignée comme une utilisation uniforme des renseignements. Les renseignements personnels ne sont pas de nature délicate dans le contexte.

Niveau de risque pour la vie privée : 1

C) Partenaires de programme ou d’activité et participation du secteur privé

Avec d’autres institutions fédérales

Services partagés Canada (SPC) appuiera l’infrastructure de l’ARC; toutefois, les employés de SPC n’auront pas accès à la base de données de la MOI.

Niveau de risque pour la vie privée : 2

D) Durée du programme ou de l’activité

Programme à long terme

L’ARC établit actuellement un programme de Gestion de l'identité et de l'accès à long terme afin de réaliser des efficiences et d'uniformiser la gestion générale des identités et de l’accès aux systèmes de l’ARC. Des projets sont en cours afin d'améliorer les processus et la technologie actuels en vue de permettre au programme d’atteindre ses objectifs.

Niveau de risque pour la vie privée : 3

E) Population du programme

Le programme touche tous les employés à des fins administratives internes.

L’étape 2, Synchronisation de l’identité, a pour but de déterminer positivement tous les ID utilisateur électroniques avec une identité civile. Tous les employés, y compris les entrepreneurs, les partenaires externes et autres, qui ont un ID utilisateur pour les systèmes de l’ARC doivent se trouver dans la MOI (Mémoire officielle des identités). Par exemple, tous les partenaires externes reçoivent un ID utilisateur des SAE et un nom d’organisation partenaire dans la table temporaire des SAE qui fait partie du fichier d’extraits des SAE qui est versé dans la MOI.

Niveau de risque pour la vie privée : 2

F) Technologie et vie privée

L'activité ou le programme (nouveau ou modifié) comporte-t-il l'implantation d'un nouveau système électronique, logiciel ou programme d'application, y compris un collecticiel (ou logiciel de groupe) qui est implanté pour soutenir le programme ou l'activité?

Risque pour la vie privée : Oui

Le programme, nouveau ou modifié, ou l’activité est-il une modification des anciens systèmes et services de la TI?

Risque pour la vie privée : Oui

Le programme, nouveau ou modifié, ou l’activité comprend la mise en œuvre d’une ou de plusieurs des technologies suivantes :

Méthode d’identification améliorée – L’architecture du système de la MOI comprend un serveur de journaux. Le journal historique de la MOI enregistrera les renseignements comme l’ID utilisateur pour l’ouverture de session, la date et l’heure de l’ouverture et de la fermeture de session, l’emplacement de l’utilisateur, l’identité du terminal, le nom et l’ID des dossiers clients examinés, y compris les modifications apportées durant la session de chaque utilisateur, entre autres. Les renseignements sont utilisés afin de vérifier que l'ID utilisateur ou le compte d’utilisateur est bien lié à une personne. La surveillance des pistes de vérification est limitée à des vérifications au hasard afin de garantir l’observation des politiques et des normes et au cas par cas pour donner suite à une plainte d’une personne, à l’appui d'une enquête concernant des allégations ou des soupçons d'accès non autorisé ou en réponse à une demande d'AIPRP. Les rapports de piste de vérification sont considérés comme des renseignements « Protégé B », comme ils sont définis par la Politique d'identification des renseignements et des biens de catégories Protégé et Classifié. Par conséquent, la communication de la demande, du rapport de piste de vérification et des résultats de son analyse doivent être limités aux personnes qui ont un « besoin de savoir ».

Utilisation de la surveillance – La MOI et les outils connexes lieront les comptes d’utilisateur au dossier d’identité en fonction des identificateurs uniques de chaque environnement informatique. La MOI tiendra un registre de chaque utilisateur des systèmes de l’ARC et de ses comptes connexes. La décision de lier les comptes sera principalement effectuée au moyen d'une technologie automatisée, mais seulement lorsque les identificateurs uniques peuvent être mis en correspondance. Toutes les autres décisions et le lien entre les comptes seront effectués manuellement en identifiant et confirmant un responsable.

Utilisation de l’analyse automatisée des renseignements personnels, du rapprochement des renseignements personnels et des techniques de découverte des connaissances – La MOI et les outils connexes lieront les comptes d'utilisateur au dossier d'identité en fonction des identificateurs uniques de chaque environnement informatique. La MOI tiendra un registre de chaque utilisateur des systèmes de l’ARC et de ses comptes connexes. La décision de lier les comptes sera principalement effectuée au moyen d'une technologie automatisée, mais seulement lorsque les identificateurs uniques peuvent être mis en correspondance. Toutes les autres décisions et le lien entre les comptes seront effectués manuellement en identifiant et confirmant un responsable.

G) Transmission des renseignements personnels

Les renseignements personnels sont transférés à des appareils portables ou sont imprimés.

Des employés désignés de la Division de la sécurité de l’information (DSI) seront en mesure d’imprimer les rapports de la base de données de la MOI. La circulation de ces rapports sera limitée aux employés de la DSI qui ont un besoin de savoir.

Il n’existe aucune exigence de transférer ces rapports à un support amovible en ce moment.

Niveau de risque pour la vie privée : 3

H) Risque possible pour le particulier ou l’employé

Atteinte à la réputation, embarras.

Les données d’employés stockées à l’étape 2 de la GIA sont désignées « Protégé A ». Une grande partie des renseignements échangés entre les utilisateurs de la GIA et les applications connexes sont désignés « Protégé B », et cela a une incidence directe sur la confidentialité des renseignements. Par conséquent, un niveau de sensibilité MOYEN est attribué à la « Confidentialité » des biens de la GIA.

I) Risque possible pour l’institution

Atteinte à la réputation, embarras et perte de crédibilité

Une compromission de la confidentialité des données traitées sur la plate‑forme de la GIA pourrait entraîner d’importantes répercussions en raison des données désignées « Protégé » stockées sur les serveurs.