(Ottawa) Le gouvernement fédéral a dévoilé mercredi sa nouvelle stratégie de cybersécurité visant à protéger sa vaste gamme de systèmes informatiques et de banques d’informations contre une variété croissante de menaces.
La nouvelle stratégie souligne que même si le gouvernement a fait des progrès en matière d’amélioration de la cybersécurité ces dernières années, les dangers en ligne ont toutefois progressé encore plus rapidement.
Ottawa affirme qu’un engagement renouvelé est nécessaire dans tous les ministères et organismes pour offrir aux Canadiens des services gouvernementaux sécurisés et fiables par voie numérique.
La stratégie reconnaît que le gouvernement constitue une cible attrayante en raison des renseignements personnels, des données de recherche précieuses et d’autres documents sensibles qu’il détient.
Le rapport prévient qu’en conséquence, les cyberattaques peuvent avoir « un effet significatif » sur les activités gouvernementales, soit en perturbant les services critiques et essentiels, soit en exposant des informations classifiées ou personnelles.
« Cet effet significatif peut exposer les personnes à un risque d’usurpation d’identité ou à d’autres types de fraude, ce qui peut éroder la confiance dans les institutions gouvernementales et avoir une incidence négative sur l’ensemble de l’économie et de la société canadiennes. »
Une approche « pangouvernementale » en matière de cybersécurité « n’a jamais été aussi importante », a déclaré en entrevue mercredi la présidente du Conseil du Trésor, Anita Anand. « Je m’inquiète de l’invasion de la vie privée. Je m’inquiète de la fermeture des systèmes gouvernementaux. »
La stratégie fédérale épingle certaines « lacunes persistantes », notamment :
- le peu de progrès réalisés par des ministères et organismes dans l’amélioration de leur capacité à identifier les menaces et à y répondre ;
- un manque de connaissance globale des risques liés à la cybersécurité ;
- l’utilisation de différents outils, méthodes et services pour surveiller les systèmes, ce qui peut rendre difficile d’avoir une vue globale des menaces pour la sécurité ;
- des modèles d’« architecture de sécurité » traditionnels qui sont désormais moins efficaces ;
- de mauvaises pratiques de gestion de l’information, notamment le recours à des outils obsolètes ;
- une forte demande mondiale de talents, entraînant une pénurie de professionnels qualifiés en cybersécurité.
« Approches incohérentes »
Le document prévient que des approches disparates en matière de capacités de sécurité « peuvent entraîner des incohérences, des inefficacités et des zones d’ombre » dans les défenses globales du gouvernement.
Il met en évidence l’adoption rapide de services d’informatique en nuage, généralement proposés par des entreprises privées utilisant des logiciels, des serveurs et d’autres matériels hébergés dans les locaux de l’entreprise.
En raison d’un manque de clarté, les ministères et agences sont censés gérer leurs environnements basés sur le nuage informatique, y compris les opérations de cybersécurité, indique le document stratégique. Or, cette attente a conduit « à une répétition des efforts, des approches incohérentes, un manque de partage de renseignements et une visibilité réduite ».
La nouvelle stratégie, qui s’applique à plus de 100 ministères, agences et organismes fédéraux, vise à énoncer clairement les risques de sécurité pour les systèmes gouvernementaux et à prévenir plus efficacement les attaques.
Elle vise également à renforcer les capacités des agences et à constituer une main-d’œuvre dotée des compétences, des connaissances et de la culture appropriées en matière de cybersécurité.
La ministre Anand a reconnu les obstacles liés à l’élaboration d’une approche plus uniforme, compte tenu des différents systèmes et pratiques actuellement en place. « C’est un défi, mais c’est quelque chose que nous devons faire, pour être en mesure de nous protéger contre les cyberattaques, ainsi que pour être plus efficaces pour les Canadiens et fournir des services de la manière la plus efficace possible. »
Le plan ne couvre pas les sociétés d’État fédérales, comme Postes Canada et Radio-Canada. « Mais nous recommandons fortement qu’elles emboîtent le pas en ce qui concerne ce que nous allons mettre en œuvre », a déclaré la ministre.
Pour que la stratégie fonctionne, les acteurs clés doivent travailler en étroite collaboration, indique le document. Ces acteurs comprennent le Secrétariat du Conseil du Trésor du Canada, qui assure la politique et la surveillance, le Centre de la sécurité des télécommunications et son Centre pour la cybersécurité, l’agence centrale de Services partagés Canada et de nombreux ministères et agences.
Mme Anand a déclaré que le rôle de premier plan du Conseil du Trésor est crucial pour garantir que l’approche soit évolutive, « afin que nous soyons prêts à réagir à mesure que de nouvelles menaces évoluent ».