Un important responsable de la cybersécurité à la Ville de Montréal violait allègrement les règles qu’il était chargé de faire respecter et qu’il avait lui-même rédigées, révèle une récente décision d’arbitrage.

Martin Boivin, qui jouissait d’une habilitation sécuritaire du Service de police de la Ville de Montréal (SPVM), faisait des copies personnelles de courriels et de documents de « nature hautement confidentielle et sensible » qu’il recevait dans le cadre de son travail.

Il aurait notamment conservé sur son compte Gmail personnel ou sur une clé USB des documents liés à l’emplacement de citernes d’eau potable de Montréal, aux plans de la Ville en cas de sinistre majeur et aux failles du réseau informatique municipal. « Une source d’information précieuse pour un pirate informatique », explique l’arbitre Jean-Yves Brière dans sa décision rendue la semaine dernière.

Me Brière a confirmé la légalité du congédiement de Martin Boivin, décidé par la Ville de Montréal en 2021.

« L’exfiltration de données hors des services informatiques de la Ville est une contravention de base en matière de sécurité informatique », a écrit l’arbitre. Il s’agit d’une « faute grave » empirée par le manque de transparence et de remords de l’employé.

Autre facteur aggravant : l’emploi de M. Boivin. « Il était l’ultime responsable du respect de certaines pratiques spécifiques à la sécurité de l’information, lit-on dans la décision. Il était le leader du groupe qui a rédigé la nouvelle Directive sur l’utilisation des appareils et des services technologiques mise à la disposition des employés de la Ville de Montréal. »

« Bris de sécurité »

« La Ville de Montréal ne fera aucun commentaire spécifique, sauf pour préciser qu’il n’y a pas eu d’accident de cybersécurité », a indiqué la relationniste Gabrielle Fontaine-Giroux. « En ne respectant pas les directives de la Ville, l’employé a mis des données en danger, sans qu’un incident en résulte. »

La décision précise pourtant qu’un « formulaire d’incident de sécurité » a été rempli pour rapporter la situation et que son patron l’a décrite comme un « bris de sécurité ».

L’arbitre note que les données semblent effectivement ne pas avoir fuité.

Appelé à commenter en son nom ou au nom du travailleur, le Syndicat des professionnelles et professionnels municipaux de Montréal (SPPMM) est resté coi. « Le Syndicat ne fera aucun commentaire à ce sujet », a indiqué Lucie Boudreau par courriel.

Devant l’arbitre Jean-Yves Brière, un représentant du SPPMM a tenté de faire la démonstration que la Ville de Montréal diffusait elle-même des documents techniques grâce auxquels « des pirates informatiques pourraient causer des dommages importants ». Il a même tenté de soumettre à l’arbitre des registres d’employés et des documents délicats qu’il avait pu récupérer. L’arbitre a refusé de considérer cette preuve.

« Une copie de sécurité »

M. Boivin, lui, a plaidé qu’il ne savait pas qu’il était interdit de sortir des documents confidentiels de l’environnement informatique de son employeur. Il a affirmé qu’une telle règle ne pouvait de toute façon pas être appliquée, parce que tous les employés reçoivent des documents personnels sur leur adresse courriel professionnelle, comme des documents fiscaux, des évaluations de rendement ou des courriels de félicitations.

« C’est une zone un peu floue », a-t-il fait valoir aux enquêteurs de la Ville qui l’ont interrogé.

Le spécialiste de la cybersécurité disait avoir copié tous ses courriels pour conserver la preuve du travail qu’il abattait.

« C’est une copie de sécurité, a-t-il dit. C’est parce que les relations sont tendues avec mon chef de section. Je suis conscient que c’est limite », a-t-il admis. M. Boivin avait aussi tardé à installer sur son cellulaire professionnel un logiciel de contrôle imposé par la Ville de Montréal.

Il a ajouté qu’il avait pris l’habitude de conserver une copie de sa boîte courriel professionnelle sur un espace personnel pendant les nombreuses années où il travaillait en cybersécurité au Conseil du trésor, avant d’arriver à la Ville de Montréal. « J’en ai fait toute ma vie, des archives comme ça, chaque année », a-t-il affirmé.