Profil des mesures de sécurité pour les services du GC fondés sur l’informatique en nuage

1.1 Contexte

Le gouvernement du Canada (GC) élabore et tient à jour des profils des mesures de sécurité pour la mise en place de services du GC fondés sur l’informatique en nuage appuyant la Stratégie d’adoption de l’informatique en nuage du GC ^{Note de bas de page 1}. Un service du GC fondé sur l’informatique en nuage est un système d’information du GC déployé sur un service d’informatique en nuage. Un profil des mesures de sécurité est un ensemble des mesures de sécurité de la TI qu’une organisation met en place comme exigences obligatoires minimales pour ses systèmes d’information.

Les profils des mesures de sécurité de l’informatique en nuage satisfont les mesures de sécurité de base établies par le Secrétariat du Conseil du Trésor du Canada (SCT), ceux-ci applicables à un ensemble générique de besoins de sécurité ministériels, en tenant dûment compte d’un contexte technique du GC et d’un contexte de menace.

1.2 Portée et applicabilité

Le présent document décrit le profil des mesures de sécurité pour les services du GC fondés sur l’informatique en nuage et les renseignements connexes avec une catégorie de sécurité de Protégé B, intégrité moyenne et disponibilité moyenne (PBMM). Il précise les mesures de sécurité qui doivent être mises en place dans ces systèmes d’information et résume le contexte dans lequel elles s’appliquent.

Le profil PBMM de l’informatique en nuage du GC s’applique de manière générale aux services du GC fondés sur l’informatique en nuage appuyant une gamme de programmes et services du GC d’intérêts non nationaux (p. ex., programmes ou services à l’appui des opérations gouvernementales délicates sans compter les affaires internationales et la défense ou les affaires fédéro-provinciales). Il ne devrait être réutilisé que dans un contexte semblable et seulement après avoir effectué une analyse appropriée.

1.3 But

Le présent document doit être utilisé comme source d’orientation principale des ministères et organismes du GC et des fournisseurs de services d’informatique en nuage (FSI) pour déployer, autoriser, exploiter et surveiller les services du GC fondés sur l’informatique en nuage.

1.4 Auditoire

Le présent document doit être utilisé par :

• les FSI pour créer des services d’informatique en nuage qui peuvent être utilisés par le GC;
• les gestionnaires de programmes et de services du GC, les propriétaires fonctionnels, les gestionnaires de projets de la TI, et les praticiens de la TI et de la sécurité de la TI pour acquérir des services d’informatique en nuage adéquats et mettre en place les services du GC sur ces services d’informatique en nuage;
• les responsables de la sécurité de la TI des ministères et du GC pour évaluer, autoriser et surveiller les services du GC fondés sur l’informatique en nuage.

2.1 Contexte opérationnel

Le profil PBMM de l'informatique en nuage du GC convient aux services de la TI du GC fondés sur l'informatique en nuage appuyant une vaste gamme d'activités opérationnelles de moyenne sensibilité et criticité du GC qui traitent de l'information cotée Protégé B, c'est-à-dire de l'information particulièrement sensible tel que décrit dans la Norme de sécurité relative à l'organisation et l'administration ^{Note de bas de page 4}. Ces activités peuvent inclure, sans s'y limiter, les activités liées à la prestation de services sociaux, à la fiscalité, aux fonctions du receveur général, aux services financiers et administratifs ministériels, aux ressources humaines, à la rémunération et aux avantages sociaux et à l'offre de services communs et partagés à une vaste clientèle.

Les ministères qui optent pour ce profil PBMM de l'informatique en nuage du GC mènent des activités opérationnelles qui traitent des données cotées Protégé B exigeant une disponibilité et une intégrité de niveau moyen, comme il est défini dans le guide ITSG-33, annexe 1, section 6 ^{Note de bas de page 2}. Ces activités possèdent les caractéristiques générales suivantes :

Confidentialité

On peut raisonnablement s'attendre à ce que toute compromission de la confidentialité de cette information Protégé B cause un préjudice de niveau moyen aux intérêts non nationaux.

Intégrité

On peut raisonnablement s'attendre à ce que toute compromission de l'intégrité des actifs de la TI connexes cause un préjudice de niveau moyen aux intérêts non nationaux.

Disponibilité

On peut raisonnablement s'attendre à ce que toute compromission de la disponibilité des actifs de la TI connexes cause un préjudice de niveau moyen aux intérêts non nationaux.

Risques résiduels acceptables

Les activités opérationnelles requièrent le soutien d’un système d’information présentant le plus bas réalisable un niveau faible de risque résiduel relativement aux objectifs de sécurité liés à la confidentialité, à l’intégrité et à la disponibilité dans un contexte de menace tel que décrit dans la section 2.3 ci-dessous.

Le tableau 2-1 caractérise, de manière plus détaillée, les contextes opérationnels convenables au moyen des objectifs de confidentialité, d’intégrité et de disponibilité. Il comprend également des exemples de conséquences de compromission, de processus opérationnels et d’information connexe.

Le tableau 2 2 énumère les besoins opérationnels pour la sécurité qui ont été tenues en compte dans l’élaboration du profil PBMM en nuage du GC. Les besoins opérationnels en matière de sécurité constituent un élément fondamental du processus de gestion du risque de la sécurité de la TI. Les déclarations de besoins opérationnels en matière de sécurité permettent d’influencer la sélection et l’élaboration des mesures de sécurité, et d’établir l’assurance que les systèmes d’information mettent en œuvre ces mesures de sécurité d’une façon qui satisfait entièrement les exigences législatives et réglementaires.

En raison de sa généricité, on peut utiliser le profil PBMM en nuage du GC pour appuyer toute activité opérationnelle du GC ayant une catégorie de sécurité de PBMM ou inférieure, qui pourrait être réglementée par n’importe laquelle des milliers d’exigences législatives et réglementaires actuellement en vigueur au GC. Pour limiter la portée tout en maintenant la généricité du profil, la déclaration des besoins opérationnels en matière de sécurité est limitée aux instruments suivants :

• Politique sur la gestion de l’information ^{Note de bas de page 5}
• Directive sur les rôles et responsabilités en matière de gestion de l’information ^{Note de bas de page 6}
• Directive sur la tenue de documents ^{Note de bas de page 7}
• Loi sur l’accès à l’information ^{Note de bas de page 8}
• Loi sur la protection des renseignements personnels ^{Note de bas de page 9}
• Loi sur la Bibliothèques et les Archives du Canada ^{Note de bas de page 10}

2.2 Contexte technique

Le contexte technique du profil PBMM de l’informatique en nuage du GC est défini par les services d’informatique en nuage et les services du GC qui utilisent ces services d’informatique en nuage.

En ce qui a trait aux services d’informatique en nuage, le profil PBMM de l’informatique en nuage du GC s’applique à :

• toutes les offres de FSI existantes;
• tous les modèles de déploiement dans le nuage (nuage public, infrastructure informatique en nuage communautaire, nuage privé, nuage hybride) comme il est défini par NIST ^{Note de bas de page 12};
• tous les modèles de service d'informatique en nuage (infrastructure comme service, plateforme comme service, logiciel comme service) comme il est défini par NIST ^{Note de bas de page 12}.

Pour les services du GC, le contexte technique est déterminé en grande partie par les offres de service d’informatique en nuage et il n’y a pas de limite à ce que ce contexte pourrait représenter. Le profil PBMM de l’informatique en nuage du GC ne prescrit ni ne proscrit des technologies particulières et il devrait être habituellement convenable pour tout contexte fourni par les FSI dans leurs offres de service d’informatique en nuage.

2.3 Contexte de menace

Le profil PBMM de l’informatique en nuage du GC a été élaboré pour protéger les activités opérationnelles du ministère contre les menaces liées à la sécurité de la TI qui touchent les contextes tant opérationnels que techniques. En plus d’assurer la protection des activités opérationnelles du GC, le profil vise à protéger les services du GC fondés sur l’informatique en nuage. Cette approche est essentielle puisque les menaces peuvent cibler les actifs de la TI aux seules fins de compromettre les composants techniques et de tirer avantage de leurs ressources, quel que soit le type d’activité opérationnelle prise en charge.

Par exemple, plusieurs attaquants ne sont intéressés ni par les renseignements du GC, ni par la capacité de perturber les activités opérationnelles du GC. Au contraire, ils ne visent qu’à compromettre les systèmes d’information de l’informatique en nuage et hors nuage afin de commettre un acte criminel, notamment stocker des données illégales (comme des images ou des films) et les échanger clandestinement avec d’autres criminels, de mener des attaques par déni de service contre des sites Web commerciaux, d’extorquer de l’argent, de distribuer des pourriels et d’infecter les systèmes d’information du GC avec des programmes malveillants.

L’information sur les menaces qui a été analysée provient de plusieurs sources, y compris les rapports d’incidents et de menaces des ministères et du SCT, et s’ajoute aux analyses du CST. Par conséquent, le profil PBMM de l’informatique en nuage du GC, lorsqu’il est appliqué correctement, permet d’atténuer à un niveau résiduel faible, les risques d’exposition aux agents de menaces délibérées des catégories Md1 à Md4, ainsi qu’aux menaces accidentelles et aux risques naturels des catégories Ma1 à Ma3, tels qu’ils sont définis dans le tableau 2-2. Ce profil sera mis à jour au fil de l’évolution des capacités des agents de menace afin d’ajuster de manière appropriée la sélection des mesures de sécurité pour atténuer l’incidence de ces nouvelles capacités.

Bien que ce profil ait été élaboré par les organismes chargés de la sécurité au GC en considérant les exigences ministérielles génériques comme point de départ, les ministères devront veiller à ce que le contexte de menace corresponde à leur environnement. Lorsque le contexte de menace est différent, il est possible qu’une adaptation du profil des mesures soit nécessaire ou que le ministère doive accepter des niveaux plus élevés de risque résiduel. Si les différences sont importantes, un profil des mesures de sécurité différent peut devoir être sélectionné, le cas échéant. Il est possible d’obtenir d’autres conseils à ce sujet auprès des responsables de la sécurité de la TI du ministère, le cas échéant.

3.1 Harmonisation avec d’autres profils des mesures de sécurité de l’informatique en nuage

Il fait partie intégrante de la Stratégie d’adoption de l’informatique en nuage du GC ^{Note de bas de page 1} d’harmoniser les profils de l’informatique en nuage du GC avec ceux de la Federal Risk and Authorization Management Program (FedRAMP) et d’autres initiatives liées au nuage, en particulier la Cloud Security Alliance (CSA), la Defense Information System Agency (DISA) des États-Unis ^{Note de bas de page 13}, et l’Organisation internationale de normalisation (ISO) ^{Note de bas de page 14}. Cette harmonisation stratégique aidera à assurer l’interopérabilité entre les offres de service d’informatique en nuage et la réutilisabilité des preuves de sécurité de la TI utilisée par d’autres programmes pour attester ou autoriser les services d’informatique en nuage.

3.2 Approche holistique à la sécurité de la TI

Contrairement à d’autres profils des mesures de sécurité de l’informatique en nuage, le profil PBMM de l’informatique en nuage du GC couvre non seulement l’infrastructure du service d’informatique en nuage des FSI, mais aussi tous les composants de l’infrastructure des FSI et du GC qui sont utilisés pour offrir et consommer des services fondés sur l’informatique en nuage. Cette approche holistique à la sécurité de la TI fournit un fondement plus solide pour déterminer et atténuer les risques aux services du GC fondés sur l’informatique en nuage et les renseignements connexes d’un point de vue d’hébergement de service ou d’information et d’un point de vue de consommation de services ou d’utilisation d’information.

Comme illustré à la figure 3-1 ^{Note de bas de page 22}, la couverture du profil PBMM de l’informatique en nuage du GC comprend l’infrastructure des services d’informatique en nuage des FSI (composé de personnes, de processus et de technologie), le service du GC ou des renseignements qui sont hébergés sur des services d’informatique en nuage des FSI, les périphériques et réseaux utilisateur du GC qui sont utilisés pour consommer le service du GC fondé sur l’informatique en nuage ou pour accéder à l’information du GC, et tous les autres composants de l’infrastructure dans lequel l’information du GC pourraient se trouver.

Figure 3-1 Champ d'application du profil PBMM de l'informatique en nuage du GC - Version textuelle

Représentation de l'attribution des contrôles de sécurité du profil PBMM de l'informatique en nuage du GC entre l'infrastructure des services d'informatique en nuage des FSI (composé de personnes, de processus et de technologie), le service de la TI du GC ou des renseignements qui sont hébergés sur des services d'informatique en nuage des FSI, les périphériques et réseaux utilisateur du GC qui sont utilisés pour consommer le service de la TI du GC ou pour accéder à l'information du GC, et tous les autres composants de l'infrastructure dans lequel l'information du GC pourraient se trouver (qui incluent systèmes externes, usagers externes, citoyens, sites alternatifs, et autres dispositifs d'utilisateur final. Plus de détails sont fournis dans le texte ci-dessous.

Le champ d'application du profil PBMM de l'informatique en nuage du GC peut être démontré à l'aide des cas d'utilisation suivants :

1. Un utilisateur du GC accède un service du GC fondé sur l’informatique en nuage à partir d’un réseau local du GC.
2. Un utilisateur du GC accède un service du GC fondé sur l’informatique en nuage à partir d’un réseau local sans fil du GC.
3. Un utilisateur du GC accède un service fondé sur l’informatique en nuage du GC à partir d’Internet.
4. Un utilisateur FSI accède à l’environnement du service d’informatique en nuage à partir du réseau local du FSI.
5. Un utilisateur FSI accède à l’environnement du service d’informatique en nuage à partir du réseau sans fil du FSI.
6. Un utilisateur FSI accède à l’environnement du service d’informatique en nuage à partir d’Internet.
7. Un utilisateur du GC entrepose des renseignements hébergés dans le nuage sur un support de stockage portable.
8. Un utilisateur FSI entrepose des renseignements du GC ou du FSI sur un support de stockage portable.
9. Un administrateur système du GC crée une sauvegarde des renseignements hébergés dans le nuage et envoie le support de sauvegarde à une installation de rechange.
10. Le FSI utilise une installation de rechange pour prendre en charge son plan d’urgence dans le cadre de son service d’informatique en nuage.

Dans cette approche holistique à la sécurité de l’informatique en nuage, la plupart des mesures de sécurité dans le profil PBMM de l’informatique en nuage du GC doivent être mis en place par le FSI et les ministères et organismes du GC, tandis que certaines mesures de sécurité doivent être mises en place seulement par l’un ou par l’autre. La présence de ces mesures de sécurité propres à des parties est un résultat direct de la Stratégie d’adoption de l’informatique en nuage du GC section 3.1). Elle tient compte du delta entre les profils des mesures de sécurité de l’informatique en nuage et le profil PBMM générique ITSG-33 dont on recommande aux les ministères et organismes du GC de mettre en place (dans l’orientation actuelle relative à la gestion des risques à la sécurité de la TI du GC) pour tous les systèmes d’information prenant en charge leurs programmes et services du GC.

3.3 Principes d'ingénierie de la sécurité de la TI

En plus du contexte opérationnel, technique et de menace documenté aux sections précédentes, la sélection des mesures de sécurité pour le profil PBMM de l’informatique en nuage du GC a été également influencée par le choix de pratiques exemplaires d’ingénierie de sécurité utilisées pour la mise en œuvre de systèmes d’information fiables. Ce profil vise à répondre aux besoins en matière de sécurité de la TI d’une vaste gamme d’activités opérationnelles, du travail de bureau quotidien en passant par les applications de prestation de services aux citoyens jusqu’au soutien de l’infrastructure des services communs. Pour protéger les activités opérationnelles, il faut adopter des approches de sécurité qui, à tout le moins, appliquent les pratiques exemplaires principales suivantes en matière de technique de sécurité :

• Défense en profondeur : Utilisation collaborative des mesures de sécurité techniques, opérationnels (incluant la sécurité du personnel et la sécurité physique) et de gestion pour atténuer les risques (p. ex., contrôles d’accès techniques pour protéger les bases de données sensibles et sécurité physique supplémentaire pour empêcher le personnel non autorisé d’accéder physiquement aux serveurs de base de données).
• Droit d'accès minimal : Attribution aux utilisateurs du droit d'accès minimal nécessaire à l'exécution de leurs tâches (p. ex., exécution des tâches quotidiennes avec des comptes d'utilisateur à usage restreint et non avec des comptes administratifs);
• Prévention, détection, analyse, réaction et reprise (PDARR) : Cette approche permet d'empêcher, dans la mesure du possible, puis permet de veiller à la détection et au confinement des attaques réussies, à la restauration des actifs de la TI à un état sûr et authentique, ainsi qu'à la documentation et à l'utilisation des leçons apprises pour améliorer la posture de sécurité des systèmes d'information.
• Sécurité par couches : Permet de veiller à ce que les différentes couches d’un système d’information (applications, bases de données, plateformes, interlogiciels et communications) soient protégées de manière adéquate. Cette approche réduit le risque qu’une faiblesse d’une partie du système soit exploitée pour contourner les mesures de protection des autres parties (p. ex., attaques par injection SQL de la couche application pour contourner les mécanismes de protection de frontières de la couche réseau).

Le vaste champ d’application de ce profil ne se prête pas facilement à l’utilisation d’un ensemble d’approches de sécurité de la TI dont les principales mesures de protection s’appuient sur un contrôle strict des frontières, une forte sécurité du personnel et une forte sécurité physique (cette approche pourrait éventuellement utiliser des mesures de sécurité internes moins strictes). Le profil propose toutefois un ensemble équilibré de mesures pour réduire le risque que des éléments internes compromis d’un système soient utilisés pour compromettre facilement d’autres éléments. Le profil propose également des mesures qui permettent la détection, l’intervention et la reprise en douceur des activités à la suite d’incidents de sécurité. Plusieurs de ces mesures sont des mesures opérationnelles que tout FSI expérimenté devrait instaurer, non seulement aux fins de sécurité, mais également pour assurer l’efficacité et la rentabilité de la gestion quotidienne des systèmes d’information.

Nota : Bien que la sélection des mesures soit plutôt subjective, nous avons fait le maximum pour inclure des mesures qui atténuent les menaces réelles et qui peuvent être mises en œuvre au moyen de produits commerciaux standards facilement accessibles. De plus, la sélection de mesures de sécurité a été harmonisée aux pratiques exemplaires en matière de sécurité de l’informatique en nuage et de certifications de sécurité de l’informatique en nuage existantes. Les mesures de sécurité qui offrent des capacités spécialisées ou évoluées non requises par l’ensemble des systèmes d’information ont été exclues de ce profil de sécurité. Nous avons en plus tout mis en œuvre pour établir un juste équilibre entre la convivialité et la sécurité.

3.4 Séparation de multiples locataires

Il existe des menaces propres à l’informatique en nuage qui pourraient ne pas être suffisamment atténuées en se conformant à un ensemble standard de mesures de sécurité élaborées pour des environnements de la TI hors nuage. En l’absence de mesures de sécurité supplémentaires pour atténuer ces menaces propres au nuage, il est raisonnable de s’attendre qu’un service d’informatique en nuage conforme soit fonctionnel à des niveaux plus élevés de risque résiduel auquel on s’attendrait normalement dans un environnement de la TI plus traditionnel.

L’augmentation du risque la plus importante provient de la présence dans les environnements de l’informatique en nuage de nombreux locataires, qui pourraient fonctionner selon des exigences de sécurité très différentes. Un locataire qui fonctionne selon un ensemble de mesures de sécurité moins astreignantes pourrait exposer un autre locataire à des niveaux de risque inacceptables, parce que leurs services respectifs axés sur nuage fonctionnent dans un environnement logique commun sur une plateforme physique commune. Une façon de réduire l’exposition est de séparer les locataires, de façon à ce que les locataires ayant des exigences de sécurité semblables sont regroupés et que l’on fournisse à chaque groupe des environnements logiques distincts sur une plateforme physique commune, ou des environnements physiques complètement distincts. La séparation physique réduit l’exposition plus que la séparation logique. Cependant, l’inconvénient de la séparation physique est une diminution du taux de consolidation du matériel et une augmentation correspondante des coûts aux FSI et, en fin de compte, à leurs consommateurs.

Le CST fournit des recommandations de zonage de sécurité des réseaux dans ITSG-22 ^{Note de bas de page 15} et ITSG-38 ^{Note de bas de page 16}, et si elles sont correctement mises en œuvre dans un environnement de l'informatique en nuage, entraîneraient une séparation de multiples locataires relativement forte ^{Note de bas de page 23}. Les ministères et agences du GC devront déterminer si et comment des FSI autorisés ont mis en place une séparation de multiples locataires et doivent veiller à ce que les menaces et les risques connexes soient pris en considération lors de l’approvisionnement de services de l’informatique en nuage pour leurs initiatives de mise en œuvre de services du GC fondés sur l’informatique en nuage.

3.5 Adaptation des mesures de sécurité

Le profil PBMM de l’informatique en nuage du GC précise le recours à une base de référence de mesures de sécurité appropriée pour protéger les processus opérationnels et les renseignements tel que décrits dans la section 2.1. Le profil vise à atténuer de manière appropriée les menaces susceptibles de compromettre au moyen des services du GC fondés sur l’informatique en nuage la confidentialité, l’intégrité et la disponibilité des actifs de la TI utilisés pour appuyer les programmes, les services et les activités opérationnelles du GC.

D’autres adaptations du profil pourraient être requises pour répondre à des besoins précis en matière de sécurité. Cependant, les organisations du GC pourraient devoir limiter l’adaptation des mesures de sécurité relevant de leurs responsabilités, puisque leur capacité d’influencer le changement des offres de services d’informatique en nuage publics sera probablement limitée. Cela serait possible dans une moindre mesure pour les offres de services d’informatique en nuage privés, où la capacité de négocier des changements aux mesures de sécurité est plus grande. Cette analyse est importante, car elle permet de déterminer le modèle de déploiement qui répond le mieux aux besoins d’un ministère. Si elles s’avèrent nécessaires, les autres adaptations du profil pour répondre à des besoins ministériels précis en matière de sécurité devront tenir compte des relations subtiles et complexes entre les utilisateurs de services d’informatique en nuage et les fournisseurs de ces services, ainsi que du niveau de responsabilité au sein de l’infrastructure des services.

Afin d’appuyer l’adaptation et la mise en œuvre, le profil PBMM de l’informatique en nuage du GC comprend une attribution suggérée des mesures de sécurité et des améliorations des mesures sécurité aux organisations de consommateur et fournisseur et les couches d’architecture de l’informatique en nuage définies dans l’architecture de référence du NIST en matière d’informatique en nuage ^{Note de bas de page 17}.

3.6 Considérations relatives à l'approvisionnement

Des offres de service d’informatique en nuage sont acquises en suivant le processus d’approvisionnement standard du GC. Cela signifie que les FSI sont assujettis au Programme de sécurité industrielle de Services publics et Approvisionnement Canada. Au moyen de ce programme, le GC inclura un ensemble approprié de clauses de sécurité dans les demandes de proposition à ajouter aux contrats de service d’informatique en nuage, tandis que les FSI mettent en place une fondation de sécurité personnelle et physique robuste pour la mise en œuvre adéquate des mesures de sécurité de la TI dans le profil PBMM de l’informatique en nuage du GC.