Stratégie intégrée de cybersécurité du gouvernement du Canada

Progrès à ce jour

La mise en place et le maintien de cyberdéfenses gouvernementales sont donc essentiels à la protection des fonctions et des services dont dépend la société canadienne. Au cours de la dernière décennie, des progrès ont été réalisés dans l’amélioration de la position du gouvernement en matière de cybersécurité, des capacités de sécurité centralisées ayant été mises en œuvre dans une certaine mesure au sein du GC. En voici des exemples :

• la création du ministère Services partagés Canada (SPC) dans le cadre des efforts déployés afin de normaliser l’infrastructure de la TI du GC, notamment l’intégration des services de cyberdéfense au périmètre intégrée du GC;
• la création du Centre canadien pour la cybersécurité (Cybercentre), dans le cadre du Centre de la sécurité des télécommunications (CST), afin de consolider l’expertise opérationnelle en matière de cybersécurité au sein du gouvernement fédéral et d’offrir une source unique et unifiée en matière de conseils, d’orientation, de services et de soutien quant aux questions opérationnelles liées à la cybersécurité;
• la mise en place de mécanismes de gouvernance clairs afin d’appuyer l’élaboration d’une politique stratégique de cyberdéfense, la gestion efficace des initiatives en matière de sécurité de la technologie de l’information ayant une incidence sur les opérations à l’échelle du gouvernement, et la réaction du gouvernement aux cyberincidents;
• le plus de conseils, d’orientations et d’autres outils et mise en œuvre d’exigences minimales en matière de configuration en 2022 dans le cadre de la Politique sur les services et le numérique, qui a été initialement publiée en 2020, ainsi que le renouvellement de la Politique sur la sécurité du gouvernement en 2019.

Lacunes persistantes

Malgré ces progrès, il reste des lacunes quant à l’état actuel de la cyberrésilience du gouvernement, et de l’état dans lequel il doit se trouver.

• Niveaux variables de cybermaturité
  • L’outil d’autoévaluation de la cybermaturité (AECM) du SCT a été lancé à l’automne de 2021 afin d’aider les ministères et organismes à évaluer leur niveau de cybermaturité à l’aide de pratiques exemplaires reconnues, et il est basé sur la méthodologie ayant été dérivée du cadre de cybersécurité de la National Institute of Standards and Technology (NIST) des États-Unis.
  • La comparaison des résultats pour 2021-2022 avec ceux de 2022-2023 a permis de démontrer que les ministères et organismes ont réalisé peu de progrès en matière d’amélioration de leur cybersécurité, et qu’ils demeurent, dans la moyenne, en deçà de la cible fixée dans le cas des organisations ayant des processus récurrents pour ce qui est de déceler et d’atténuer les risques de façon à se défendre adéquatement contre les menaces nouvelles et émergentes.
• Manque de sensibilisation à l’environnement des risques liés à la cybersécurité
  • Le niveau de maturité, de capacité, d’investissement et de compréhension de la sécurité dans les ministères et organismes fédéraux n’est toujours pas homogène. De plus, la taille et la complexité du patrimoine du gouvernement fédéral en matière de numérique, notamment la présence d’applications et de technologies anciennes, compliquent considérablement le défi à relever.
  • Le recours accru aux services de tiers a fait naître le besoin d’approches et de solutions plus efficaces en matière de gestion des risques liés aux tiers en raison de la gravité potentielle des faiblesses de la chaîne d’approvisionnement pour le GC.
  • La capacité à se protéger contre les vulnérabilités et les menaces en constante évolution est encore plus limitée par la présence d’anciens systèmes d’information du GC. Cette contrainte renforce le besoin de poursuivre les efforts de gestion, de mise à niveau ou de suppression de ces systèmes, et de mettre en place les mesures de protection nécessaires ainsi que des investissements continus afin de veiller à ce que les systèmes d’information du CG soient suffisamment sûrs tout au long de leur cycle de vie. Cependant, le suivi et l’entretien des actifs technologiques et des données (sur place et dans le nuage) ne sont pas compris ou gérés de manière exhaustive, ce qui a pour effet de limiter la visibilité et la connaissance des actifs devant être protégés. De nombreux ministères et organismes s’appuient sur des processus manuels, qui peuvent prendre du temps, causer des erreurs et être inefficaces. Ces limites imposées aux processus manuels sont particulièrement importantes pour les nombreux actifs pour lesquels il est nécessaire de suivre correctement les détails de la configuration (par exemple, les algorithmes cryptographiques exacts et leurs paramètres).
• Des approches disparates et l’absence d’investissements coordonnées en ce qui concerne les différentes capacités de sécurité peuvent entraîner des incohérences, des inefficacités et des zones d’ombre dans la position globale en matière de sécurité du GC.
  • Gestion de l’identité et des justificatifs en matière d’accès (GIJA)
    • Il est de la plus haute importance pour le GC de gérer les justificatifs numériques de manière à atténuer les risques pour la sécurité du personnel, de l’organisation et de l’État, tout en protégeant l’intégrité des programmes et en permettant la prestation de services de confiance axés sur le citoyen. À cette fin, il est nécessaire de moderniser les solutions actuelles de la GIJA du GC afin de garantir que l’identité est gérée de manière cohérente et collaborative à l’échelle du GC pour les services internes et externes, tout en augmentant le niveau d’assurance nécessaire pour atténuer les risques en matière d’authentification.
  • Surveillance de la sécurité
    • Les ministères et les organismes utilisent une combinaison d’outils, de méthodes et/ou de services différents pour surveiller leurs systèmes, ce qui peut compliquer l’obtention d’une vue d’ensemble des menaces potentielles pour la sécurité et donner lieu à un chevauchement ou à des lacunes non intentionnels en matière de surveillance. Il est donc nécessaire d’améliorer la visibilité et l’accès aux données mises à disposition pour permettre un suivi de bout en bout, où les ministères et les organismes peuvent analyser les données selon leurs propres perspectives opérationnelles. Il faut tenir compte du fait que de nombreux ministères ne sont pas formés, équipés ou dotés de personnel afin d’appuyer cette fonction.
    • Bien que la portée des services sur place soit claire en ce qui a trait au mandat (par exemple, lorsque SPC est chargé de la prestation de services de messagerie, de réseau et de centre de données, et que les ministères et organismes sont responsables des points d’extrémité et des applications), l’adoption rapide de l’informatique en nuage a entraîné un manque de clarté quant aux rôles et responsabilités et à la mesure dans laquelle les rôles et responsabilités existants sont étendus à l’informatique en nuage. En raison de ce manque de clarté, les ministères et les organismes sont censés gérer leurs environnements en nuage, notamment les opérations de cybersécurité. Cette attente a entraîné une répétition des efforts, des approches incohérentes, un manque de partage de renseignements, et une visibilité réduite pour l’organisation du GC en ce qui concerne l’analyse d’un événement de cybersécurité et l’atténuation des risques.
  • Services communs
    • Bien que des fonds aient été reçus pour mettre en place les capacités de cybersécurité intégrées, toutes ces capacités n’ont pas été pleinement mises en œuvre à l’échelle du GC pour différentes raisons, y compris les approches en cascade pour la livraison du projet et un long processus d’approvisionnement.
    • Le rapport spécial du comité des Parlementaires sur la sécurité nationale et le renseignement portant sur le cadre et les activités du gouvernement pour défendre ses systèmes et ses réseaux contre les cyberattaques met en évidence l’obstacle global que représente le fait que le gouvernement est de plus en plus géré horizontalement, alors que ses pouvoirs fondamentaux demeurent verticaux, ce qui crée des divergences importantes. En particulier, les politiques du Conseil du Trésor visant à sécuriser les systèmes gouvernementaux ne sont pas appliquées de manière uniforme étant donné que :
      • les ministères et organismes individuels conservent une grande latitude sur le choix d’adhérer au cadre ou d’accepter des technologies défensives spécifiques;
      • un grand nombre d’organisations, notamment des sociétés d’État et potentiellement certains intérêts gouvernementaux, ne sont pas tenues d’adhérer aux politiques du Conseil du Trésor ni de se servir du cadre de cyberdéfense.
    • Bien que l’utilisation de l’application de services centralisés à l’échelle du gouvernement contribuerait à réduire les risques, il existe un besoin de partager un plus grand nombre d’informations afin d’appuyer une telle utilisation, notamment en améliorant la coordination dans l’élaboration des activités stratégiques, de mise en œuvre et opérationnelles. Ce besoin est également amplifié en raison de l’absence de suivi et de gestion normalisés dans le cas des services communs.
• Les modèles traditionnels d’architecture de sécurité sont moins efficaces, car les utilisateurs et les applications sont désormais présents en dehors du périmètre traditionnel du réseau.
  • La menace croissante de cyberattaques sophistiquées a mis en évidence le fait que le GC ne peut pas compter uniquement sur les mécanismes de défense traditionnels basés sur le périmètre pour protéger les systèmes et les données critiques. Une approche axée sur l’information où il n’y a pas de confiance implicite et où tous les accès sont vérifiés (également appelée zéro confiance), et une défense du réseau fondé sur l’hôte et le nuage existants, permettra aux ministères et aux organismes de détecter et d’isoler ces types de menaces, et d’y répondre rapidement.
• Décalage entre les approches traditionnelles en matière d’évaluation de la sécurité et les méthodologies de prestation agile.
  • Alors que le GC s’oriente vers un environnement de travail plus agile avec des pratiques de gestion de projets et de développement, les processus d’évaluation et d’autorisation de la sécurité (E et AS) du GC continuent de fonctionner selon une approche en cascade, basée sur la conformité, ce qui entraîne de longs retards dans le déploiement opérationnel des solutions des systèmes d’information. Le GC doit évoluer vers une approche fondée sur les risques et les menaces, qui réduira les frictions avec les méthodologies de livraison agiles tout en équilibrant la sécurité.
• Faibles pratiques de gestion de l’information
  • Les processus de protection des données existants sont manuels et n’ont pas fait l’objet d’une normalisation complète, de la création à la destruction. En outre, il y a un manque de sensibilisation aux procédures appropriées liées à la manipulation, au traitement et à la classification des informations (par exemple, sous-classification ou surclassification), résultant en une application qui n’est pas cohérente à l’échelle du GC.
  • La protection des informations est insuffisante en raison d’outils de la TI dépassés, résultant en une augmentation des incidents de cybersécurité ou à des atteintes à la vie privée, entraînant ainsi une érosion de la confiance quant à la sécurité de la gestion de l’information au sein du GC.
• Pratiques peu évoluées de gestion des événements liés à la cybersécurité

  • Exercices de simulation cybernétique

    Les exercices de simulation cybernétique (également appelés exercices sur table) contribuent à améliorer la préparation, la communication et la prise de décisions, et constituent une formation rentable qui renforce la confiance dans la gestion des événements liés à la cybersécurité. Au cours de l’exercice financier de 2021-2022, seuls 25 % des ministères ont effectué des exercices de simulation cybernétique.

    Bien que le GC ait amélioré sa gestion centrale des cyberévénements, grâce à la mise en place du Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC), les capacités de chaque ministère sont limitées et les services accessibles à l’échelle du gouvernement ne sont pas toujours clairs. En outre, les solutions actuelles tendent à être autonomes et manquent d’intégration, d’automatisation des flux de travail et de capacité à générer des dossiers d’incident afin d’appuyer la gestion des incidents liés à la cybersécurité.
  • Les ministères et les organismes sont confrontés à toute une série d’importants événements ou d’importantes crises dont la complexité et la portée varient. Ils sont responsables de la détermination, de la planification et de la récupération, ainsi que de la restauration de leurs services critiques, de leurs opérations internes, de leurs systèmes d’information et de leurs applications de soutien. Toutes ces responsabilités deviennent de plus en plus difficiles à respecter en raison du vieillissement des systèmes d’information et de l’augmentation de la décentralisation des actifs technologiques. Des ressources suffisantes sont nécessaires pour assurer la continuité des services critiques et appuyer les efforts de récupération en cas d’incident.
• Défis associés à la sécurité des personnes et culture en matière de sécurité
  • La demande mondiale pour des talents en cybersécurité dépasse largement l’offre, ce qui entraîne une pénurie de professionnels qualifiés dans ce domaine en général. Le GC n’est pas épargné, car les ministères et les organismes ont toujours du mal à pourvoir les postes vacants dans ce domaine. De plus, le GC doit établir un modèle de dotation de taille appropriée dans le domaine de la cybernétique pour les ministères et organismes centraux, afin de combler les postes de façon prioritaire. Le GC a également ajouté des niveaux de complexité en raison des exigences en matière d’habilitation de sécurité, de profil linguistique et d’un environnement de travail hybride pour de nombreux postes dans le domaine de la TI.
  • Il y a également un manque général de formation en cybersécurité pour le personnel du GC, tant du point de vue du domaine de la cybernétique (par exemple, sécurité de l’informatique en nuage, intervention en cas d’incident, surveillance de la sécurité, utilisation d’outils de cybersécurité existants, etc.) que du point de vue des employés en général. Pour limiter les cyberévénements dus à l’erreur humaine, il est indispensable de renforcer les compétences de l’ensemble du personnel afin de promouvoir le leadership et les connaissances en matière de cybersécurité à l’échelle du GC.
  • Les travailleurs en place disposant d’un accès autorisé à des données sensibles peuvent représenter un risque important pour le GC, que ce soit par une divulgation ou une utilisation abusive, intentionnelle ou non. En l’absence de processus modernisés d’enquête de sécurité et d’assurance continue pour les employés et les sous-traitants, d’un accès fiable et fondé sur l’identité aux ressources et aux renseignements de la TI, ainsi que de pratiques de gestion antifraude rigoureuses, le risque de menace interne est accru.

Pour composer avec l’évolution constante des risques liés à la cybersécurité, le GC devra mobiliser ses forces collectives afin de mettre en place des systèmes d’information sûrs et résistants. Ces forces seront appuyée par des politiques axées sur l’action, une plus grande agilité, ainsi qu’une planification des investissements visant à combler les lacunes, afin que la population canadienne ait la certitude que ses données sont protégées, et que la prestation de services critiques se fasse sans interruption.

2.3.1 Objectif no 1 : Expliquer clairement les risques liés à la cybersécurité et leur incidence sur les opérations, afin de permettre une prise de décisions efficace, axée sur l’action et responsable.

L’environnement des cybermenaces étant complexe, évolutif et extrêmement sophistiqué, le GC doit mieux le comprendre afin de mettre au point des mécanismes de défense de sécurité plus complets et à plusieurs niveaux. Pour gérer les risques liés à la cybersécurité, les ministères et les organismes fédéraux doivent mettre en place des processus de gestion des risques, une gouvernance et une responsabilité permettant de relever, d’évaluer et de gérer de manière proactive et efficace ces risques. Les stratégies de cybersécurité ministérielles pluriannuelles, seront soumises au Bureau du dirigeant principal de l’information du SCT (BDPI) à des fins d’approbation, chaque année. Grâce à cette approche axée sur les risques, il y aura une visibilité globale suffisante avec un accès aux données pour effectuer des analyses, ce qui permettra au GC de gérer et de mesurer efficacement les risques liés à la cybersécurité de façon holistique et d’harmoniser les stratégies d’atténuation avec les objectifs à l’échelle du GC. En outre, le GC disposera de mécanismes permettant de relever, d’évaluer et de gérer rapidement les vulnérabilités à l’échelle de l’organisation.

Les mesures et objectifs clés sont les suivants :

• Planifier et gouverner pour une gestion durable et intégrée de la cybersécurité.
  • Définir une approche, une méthodologie, des solutions et des outils communs pour évaluer la position du GC en matière de cybersécurité, qui soient harmonisés avec la politique du GC et au contexte de gouvernance de la TI et qui appliquent une approche basée sur les risques, conformément à la Gestion des risques à la sécurité de la TI : Une approche au cycle de vie (ITSG-33) du Centre canadien pour la cybersécurité.
  • Mener des évaluations indépendantes continues (à l’année longue), des mises à l’essai ou des examens approfondis de la position de cybersécurité des ministères, afin d’aider à cerner et à prioriser les risques à la cybersécurité.
  • Renforcer la gouvernance en ce qui concerne les garanties numériques et technologiques et, dans le cadre du cycle pangouvernemental de planification des investissements en matière de TI, veiller à ce que les dépenses proposées en matière de cybersécurité soient harmonisées avec les priorités et la Stratégie du gouvernement.
  • Utiliser une plateforme intégrée de gestion des risques qui se sert des données pour relever et évaluer et communiquer les risques liés à la cybersécurité qui sont communiqués d’une manière :
    • qui trouve un écho auprès de la haute direction;
    • qui fournit des recommandations réalisables afin d’améliorer la correction des risques, la hiérarchisation des investissements, l’orientation des ressources;
    • qui permet l’adoption d’approches qui préconisent l’assurance agile de la sécurité.
  • Veiller à ce que les ministères et les organismes disposent de ressources et d’un soutien pour améliorer leur position en matière de cybersécurité, conformément à la Stratégie et au MOSC.
• Mieux comprendre l’exposition à l’échelle du GC et renforcer la gestion de la vulnérabilité.
  • Mettre en place des outils permettant de relever, de surveiller et de gérer en permanence la surface d’attaque du GC, et mettre à profit des outils existants lorsque possible.
  • Élaborer des répertoires précis des actifs et établir un plan des liens et dépendances entre les actifs, de façon à faciliter les efforts de correction.
  • S’attaquer de manière proactive aux vulnérabilités de l’infrastructure, des systèmes et des applications et aux risques liés à la cybersécurité qu’ils présentent grâce à un programme de gestion des vulnérabilités organisationnelles du GC, afin de veiller à ce que les vulnérabilités relevées soient gérées de manière efficace à l’échelle du patrimoine du GC en matière de numérique, y compris l’intégration dans notre personnel, nos processus et nos technologies de la redondance et de l’approfondissement des capacités résultant des évaluations de la vulnérabilité.
• Améliorer la gestion des risques liés à la cybersécurité concernant les tiers.
  • Rechercher des mesures pour améliorer la visibilité du système et la gestion des stocks de logiciels et de matériel de la chaîne d’approvisionnement afin de protéger les informations et les actifs du GC dans le cadre d’une approche solide de gestion des risques liés à la cybersécurité concernant les tiers.
  • Normaliser et renforcer les exigences en matière de cybersécurité et les modalités des accords contractuels avec les fournisseurs externes, et vérifier régulièrement si les fournisseurs se conforment aux clauses de sécurité contractuelles.

Résultat escompté :

• La cybersécurité est considérée comme une organisation pangouvernementale, dans le cadre de laquelle les risques liés aux systèmes d’information du GC sont surveillés en permanence, communiqués et corrigés efficacement et rapidement.

2.3.2 Objectif no 2 : Prévenir les cyberattaques et y résister plus efficacement pour mieux protéger les informations et les actifs du GC.

Le GC s’appuie sur une série de technologies pour remplir ses fonctions et fournir des services numériques, ce qui exige essentiellement une approche qui préconise la sécurité dès la conception afin de veiller à ce que les fonctions et les services se conforment aux pratiques exemplaires de façon systématique et continue, et qu’ils se conforment à des normes robustes. En outre, les ministères et organismes fédéraux utiliseront davantage les capacités, outils et services partagés pour régler les problèmes communs de cybersécurité, ce qui améliorera la cybersécurité à l’échelle du gouvernement et favorisera l’efficacité et l’optimisation des ressources.

Les mesures et objectifs clés sont les suivants :

• Accélérer la mise en œuvre d’architectures modernes de cybersécurité et d’applications.
  • Moderniser les systèmes de gestion de l’identité et des justificatifs en matière d’accès à l’échelle du gouvernement, notamment l’authentification multifacteur partout, pour permettre au personnel de travailler en mode hybride.
  • Moderniser les applications et les méthodes de prestation de services numériques sécurisés à l’aide d’architectures de référence pour assurer la sécurité des services numériques.
  • Adopter une approche qui préconise la sécurité dès la conception au moyen de ressources d’architecture et d’ingénierie intégrées aux projets pour faire en sorte que les aspects de la sécurité et les menaces potentielles soient pris en compte.
  • Améliorer et normaliser les pratiques d’évaluation et d’autorisation de sécurité (E et AS), en partageant les résultats de cet audit à l’échelle de l’organisation afin de réduire le chevauchement dans le cadre de l’évaluation des composantes communes.
  • Poursuivre l’expansion des services de cyberdéfense pour tous les ministères et organismes fédéraux autant que possible.
  • Effectuer la transition des systèmes du GC de façon à ce qu’ils utilisent une cryptographie post-quantique normalisée pour se protéger de la menace quantique.
  • Améliorer la capacité du GC de prévenir, détecter, réagir et se remettre de toute activité frauduleuse contre les applications du GC.
• Déployer des outils et des dispositifs sécurisés, modernes et accessibles en milieu de travail.
  • Fournir des solutions communes et sécurisées de référence pour les points d’extrémité, partout où cela est possible, afin qu’elles tiennent compte des besoins spécifiques du personnel du GC comme la mobilité, la collaboration et l’accessibilité. Ce qui comprend :
    • établir des protections qui sont toujours actives et qui sont harmonisées avec les politiques, les directives, les normes et les lignes directrices du GC, et qui sont facilement vérifiables afin d’améliorer la confiance à l’échelle du gouvernement;
    • élaborer des profils de protection faciles à utiliser et des guides à l’appui indiquant les exigences en matière de sécurité et proposant une série de mesures de protection pour garantir une protection adéquate correspondant à la catégorisation de sécurité de l’information et de l’environnement des menaces.
• Renforcer les mesures de protection des données.
  • Améliorer les pratiques de sécurité de l’information grâce à un modèle de catégorisation de la sécurité actualisé.
  • Mettre en place une application automatisée de la politique de sécurité des données afin de prévenir les accès non autorisés et les pertes de données.
  • Améliorer la gestion et la sensibilisation aux risques internes afin d’appuyer l’assurance et les pratiques d’après-soins de façon continue.

Résultats escomptés :

• Des outils, des dispositifs et des services de cybersécurité normalisés et modernes sont déployés et exploités à l’échelle du GC.
• Une approche sécurisée dès la conception est appliquée pour garantir la sécurité des services numériques et la protection des actifs numériques tout au long de leur cycle de vie.

2.3.3 Objectif no 3 : Renforcer les capacités et la résilience à l’échelle du GC afin de se préparer de manière proactive à des événements liés à la cybersécurité, d’y répondre et de s’en remettre.

Même si des mesures de protection et de détection robustes sont en place, le GC sera touché par des incidents liés à la cybersécurité. Il est donc essentiel que le GC puisse réagir rapidement aux incidents liés à la cybersécurité lorsqu’ils se produisent, afin d’en limiter les conséquences et d’assurer la continuité des fonctions et des services essentiels. Les essais et les exercices des plans de réponse aux incidents, tant à l’échelle de l’organisation qu’à l’échelle du gouvernement, ainsi que la capacité à tirer des leçons des incidents et à partager ces leçons constituent un élément clé de l’approche. Une approche de surveillance holistique avec des capacités des mesures de la sécurité proportionnelles à la taille de l’organisation, au contexte commercial et à la maturité contribuera à faciliter la détection proactive des cybermenaces. En outre, une surveillance et un soutien centralisés de la reprise après les incidents liés à la cybersécurité les plus graves permettront de déterminer et d’atténuer les risques systémiques.

Les mesures et objectifs clés sont les suivants :

• Améliorer les capacités de surveillance et de détection de la sécurité afin de faciliter la mise en place d’options efficaces et personnalisables pour les ministères et les organismes.
  • Accroître la clarté des rôles et des responsabilités en matière de surveillance parmi les organisations, les ministères et les organismes de services internes intégrés du GC.
  • Mettre en place une architecture fédérée de centre des opérations de sécurité (COS) permettant une couverture proportionnelle aux besoins opérationnels des ministères et des organismes afin d’accroître l’efficacité, de limiter la répétition des efforts et d’assurer une coordination efficace, notamment :
    • un COS centralisé ou « de commandement » au Cybercentre qui surveille l’infrastructure globale du GC (y compris des réseaux sur place, l’informatique en nuage et d’autres paramètres) dans lequel les ministères tirent profit de l’écosystème de cyberdéfense et obtiennent un accès à leurs données par l’entremise d’une plateforme d’analyse de la sécurité;
    • un centre des opérations de réseau et d’infrastructure multifonctionnel de sécurité (CORIMS) au sein de SPC, afin de permettre une surveillance efficace du bon fonctionnement du réseau des principaux ministères et organismes sous le mandat de SPC, ainsi que la cybersécurité des solutions communes fournies par SPC, tout en appuyant le Cybercentre et les équipes de sécurité des ministères;
    • des COS locaux spécialisés pour certains ministères et organismes ayant atteint un niveau de maturité suffisant et nécessitant une visibilité accrue et des mesures nuancées en raison de leurs mandats particuliers et/ou de leurs besoins opérationnels qui nécessitent une surveillance accrue afin d’appuyer la cybersécurité de la prestation de programmes et de services;
    • fournir des services de COS gérés aux ministères et organismes qui ne disposent pas d’une maturité suffisante en matière de capacités ou de ressources de surveillance et qui ont besoin d’un soutien pratique en matière de coordination.
  • Faciliter le partage des journaux et autres informations essentielles détenus à l’échelle du gouvernement afin de fournir aux ministères et organismes une visibilité de bout en bout sur les flux réseau appuyant leurs systèmes d’information, ce qui permettra aux ministères et aux organismes d’assumer leurs responsabilités respectives en matière de sécurité.
• Améliorer l’harmonisation avec le Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC) afin d’être en mesure de mieux se préparer aux cyberattaques, d’y répondre et de s’en remettre.
  • Préparer les ministères par l’entremise d’une meilleure planification des incidents et des exercices réguliers avec des outils qui permettent de faciliter les exercices de cybersécurité (également appelés exercices de simulation) et de partager les rapports après action de manière centralisée afin d’appuyer la hiérarchisation des recommandations à prendre en compte à l’échelle du GC. Au minimum, les ministères et les organismes organiseront chaque année un exercice de simulation sur la cybernétique pouvant aller jusqu’au niveau du sous-ministre.
  • Favoriser la collaboration de la collectivité grâce à une plateforme de gestion des réponses aux incidents liés à la sécurité afin d’automatiser les réponses à et l’établissement de rapports sur les demandes de mesures provenant des ministères et des organismes.
  • Élaborer des outils et des modèles supplémentaires afin d’améliorer les activités ministérielles de Plan de gestion des événements de cybersécurité et appuyer l’exécution du cadre général du PGEC GC.
  • Mettre en place des équipes d’intervention rapide et à grande échelle en cas d’incident répondre et compromettre dotées de compétences diverses, afin d’appuyer les activités de reprise des ministères.
• Améliorer la résilience des services critiques du GC en renforçant les pratiques de gestion de la continuité des activités.
  • Établir un plan de continuité des activités à l’échelle du GC afin de veiller à ce qu’il y ait une approche coordonnée pour la gestion des événements qui affectent plusieurs services critiques du GC, afin de veiller à une prestation continue des programmes et des services du GC.

Résultats escomptés :

• Les réseaux, systèmes, applications et points d’extrémité du GC sont surveillés afin de fournir une capacité de détection proportionnée et de bout en bout, tout en respectant la vie privée.
• Les systèmes d’information et les services critiques du GC touchés par des incidents liés à la cybersécurité sont rapidement rétablis et reprennent leurs activités avec un minimum de perturbations.

2.3.4 Objectif no 4 : Favoriser l’émergence d’une main-d’œuvre diversifiée au sein du GC, dotée des compétences, des connaissances et de la culture nécessaires en matière de cybersécurité.

Pour atteindre la vision et les objectifs de la présente Stratégie, le GC doit cultiver une culture de la cybersécurité qui permette à son personnel d’apprendre, de s’interroger et de se remettre en question afin de s’améliorer de façon continue. Pour favoriser un changement de culture en matière de cybersécurité à l’échelle du gouvernement, il faut améliorer la sensibilisation à la cybersécurité et les connaissances en la matière de l’ensemble du personnel du GC, afin de s’attaquer de manière proactive aux risques organisationnels liés à la cybersécurité. Selon les normes relatives au numérique du GC, les mesures de sécurité doivent être sans heurts, de sorte qu’elles ne représentent pas une charge pour les utilisateurs. La mise en place d’une solide culture en matière de cybersécurité à l’échelle du GC qui conduira à la maturation des carrières en cybersécurité au sein du GC, et permettra à ce dernier d’attirer des ressources qualifiées, et de permettre à celles-ci de perfectionner et d’entretenir leurs compétences, en offrant des parcours de carrière durables de manière plus efficace. Le fait de procéder ainsi viendra assurer une plus grande sensibilisation et une vigilance accrue de la part de tous les employés du GC.

Les mesures et objectifs clés sont les suivants :

• Perfectionner les compétences en matière de cybersécurité.
  • Amener les ministères et organismes concernés à mettre en œuvre des programmes de formation interfonctionnels faisant appel à diverses solutions d’apprentissage qui permettent d’améliorer les compétences des employés de différents ministères qui sont dotés de divers niveaux d’expérience en matière de cybersécurité afin d’augmenter les redondances et la couverture stratégique pour protéger les actifs du GC.
  • Mettre en place une formation normalisée et obligatoire de sensibilisation à la cybersécurité à l’échelle du gouvernement pour tous les employés du GC.
• Attirer et maintenir en poste des talents de la diversité dans le domaine de la cybersécurité.
  • Établir des partenariats stratégiques avec des établissements d’enseignement, des groupes industriels et d’autres organisations ou collectivités externes afin de perfectionner les compétences et d’acquérir une expérience pratique qui pourra être utilisée à l’échelle du GC.
  • Mettre en place un Centre de perfectionnement de la main-d’ œuvre en cybersécurité qui aura pour but de :
    • favoriser une culture de gestion des talents dont l’un des principaux objectifs est de recruter et de maintenir en poste les candidats possédant les compétences et l’expertise requises en matière de cybersécurité;
    • réduire le dédoublement des efforts, stimuler la collaboration interministérielle et le partage des connaissances en vue du perfectionnement et du maintien en poste efficaces des talents et des ressources;
    • appuyer la mise en place d’une progression de carrière claire pour le personnel, notamment des possibilités d’avancement et de responsabilités accrues, en mettant l’accent sur la promotion d’une culture inclusive intégrée, grâce aux programmes d’égalité, de diversité et d’inclusion de l’ensemble du GC.
• Accélérer l’embauche de fonctionnaires en transformant le filtrage de sécurité du personnel et en permettant une assurance continue.
  • Moderniser le filtrage de sécurité du personnel grâce à une politique renforcée, à l’automatisation et à l’habilitation de la technologie.

Résultats escomptés :

• Une culture de la cybersécurité à l’échelle du CG tout entier qui encourage les comportements favorisant l’apprentissage et l’amélioration, avec un bassin de talents en cybersécurité partagé stratégiquement à l’échelle du gouvernement.
• Un régime de filtrage solide qui équilibre la prise de décisions fondée sur des preuves et l’assurance continue pour atténuer les risques de menaces internes tout en améliorant les délais d’embauche.