(Ottawa) Un comité des Communes demande au gouvernement de publier une évaluation annuelle globale des menaces à la cybersécurité nationale, et de fournir plus d’informations sur la manière de prévenir les cyberattaques, en particulier en provenance de la Russie.

« Dans l’ensemble, la Russie suscite de plus grandes inquiétudes parce qu’elle n’a montré aucune hésitation à violer les règles internationales reconnues », lit-on dans le plus récent rapport du Comité permanent de la sécurité publique et nationale.

Le rapport, déposé la semaine dernière au Parlement, souligne que les diverses agences et les différents comités qui s’occupent de la sécurité nationale au Canada fonctionnent en silos et produisent une panoplie de rapports distincts.

Les députés membres de ce comité suggèrent la désignation d’un responsable, comme aux États-Unis, pour rassembler ces différentes recommandations et créer une liste annuelle des priorités pour le gouvernement.

Ils estiment que cette mesure devrait commencer par un examen des divers « rôles, responsabilités et structures en matière de cybersécurité à l’échelle du gouvernement fédéral », afin d’« optimiser la cohérence, la coordination et la prise de mesures en temps opportun ».

Le comité a entendu entre avril et octobre 2022 des témoins qui ont parlé de logiciels malveillants et de cyberattaques provenant de Russie qui ont touché des entreprises canadiennes. On cite par exemple le « maliciel NotPetya », qui a frappé en 2017, et la campagne de cyberespionnage russe qui a infiltré la plateforme Orion de « SolarWinds » en 2020, qui, selon Affaires mondiales Canada, a compromis plus d’une centaine d’entités canadiennes.

Les députés membres du comité estiment que le Canada pourrait faire plus pour empêcher ces attaques contre les organismes gouvernementaux ainsi que les entreprises privées, en partie en imposant une déclaration obligatoire des incidents.

Ils ont souligné qu’il y a peu d’obligations pour les entreprises de signaler les incidents de cybersécurité qui n’impliquent pas de fuite de données. En octobre dernier, Caroline Xavier, alors chef du Centre de la sécurité des télécommunications, a témoigné que « plusieurs organisations ne le signalent pas » lorsqu’elles ont été victimes de cyberattaques.

Règles laxistes

Des témoins ont également déclaré au comité que les « opérateurs d’importance vitale » jouissent de règles laxistes par rapport à leurs homologues européens et américains. Ils ont également déclaré que certains domaines comme les administrations portuaires manquent de délais de notification clairs sur les mesures de cybersécurité préventives à appliquer.

Le comité demande par ailleurs au gouvernement d’ordonner au Centre de la sécurité des télécommunications d’élargir l’éventail d’outils utilisés pour sensibiliser les petites et moyennes entreprises (PME) à la nécessité de prévenir les cyberattaques. Le gouvernement devrait aussi offrir des allégements fiscaux aux PME pour les aider à mieux protéger leurs données.

Des témoins ont souligné que les pirates avaient tendance à se concentrer sur des cibles plus importantes, mais que les petites entreprises manquaient de protection.

L’organisme à but non lucratif « Canadian Cyber Threat Exchange » signalait en mai 2022 que 44 % des PME membres n’avaient « aucune forme de cyberdéfense » et que 60 % de ces petites entreprises n’étaient pas assurées en cas de cyberattaques.

Le comité suggère que le gouvernement oblige les entreprises d’une importance et d’une taille suffisantes, ainsi que les organismes gouvernementaux, à se préparer « à faire face à des cyberincidents, les préviennent et les signalent ». Ces entités devraient aussi mettre en place des délais pour le signalement des incidents graves, des services d’assistance technique et des mesures de protection de l’information signalée au Centre de la sécurité des télécommunications.

Les députés ont également noté les appels de témoins pour une meilleure coopération avec les États-Unis sur les cyberattaques contre les infrastructures critiques, à l’instar du Commandement de la défense aérospatiale de l’Amérique du Nord (NORAD).

Pourtant, le comité n’a pas recommandé au Canada d’imiter la Grande-Bretagne en liant les acquisitions fédérales à la cyberprotection – par exemple en exigeant que les entreprises disposent d’une protection de base contre le piratage avant de pouvoir participer aux appels d’offres du gouvernement.

Le rapport propose aussi au gouvernement de travailler avec des experts, des fournisseurs de services internet, des plateformes de médias sociaux et des partenaires internationaux « pour lutter contre les robots en ligne qui amplifient la désinformation parrainée par des États ».

Le comité demande également plus de transparence sur la désinformation russe et une accélération de la modernisation du NORAD.