Introduction

Information générale

7.1 Le terme « nuage » désigne les serveurs informatiques auxquels les gens ont accès par Internet ainsi que les applications logicielles et les bases de données qui fonctionnent sur ces serveurs. Malgré ce que leur nom laisse entendre, les serveurs infonuagiques se trouvent dans des centres de données physiques partout dans le monde. Les organisations qui s’en servent, y compris le gouvernement du Canada, ne sont pas tenues de posséder et d’exploiter leurs propres serveurs physiques ou applications logicielles ou d’en assurer la maintenance. Elles peuvent se servir des serveurs infonuagiques sur demande et ne payent que ce dont elles ont besoin.

7.2 Le Secrétariat du Conseil du Trésor du Canada a publié la Stratégie d’adoption de l’informatique en nuage du gouvernement du Canada en 2016 et l’a mise à jour en 2018. La Stratégie enjoint aux ministères (organisations fédérales) d’envisager l’infonuagique comme option privilégiée pour la prestation des services de technologies de l’information. Selon le Secrétariat, l’infonuagique offre les avantages suivants :

• des économies d’échelle;
• des services sur demande;
• de la souplesse;
• des services régis par des contrats;
• la sécurité.

7.3 Il est indiqué dans la Stratégie que les fournisseurs de services infonuagiques et les ministères fédéraux qui utilisent leurs services se partagent la responsabilité de la sécurité. Les ministères fédéraux demeurent responsables de la confidentialité, de l’intégrité et de la disponibilité des services informatiques ainsi que de l’information connexe hébergée par un fournisseur de services infonuagiques. Le Plan stratégique des opérations numériques de 2018 à 2022 du Secrétariat du Conseil du Trésor du Canada reconnaît que pour réduire le plus possible les risques pour la sécurité, les ministères qui ont recours aux services infonuagiques doivent mettre sur pied une main‑d’œuvre avisée en matière d’infonuagique.

7.4 Entre avril 2018 et mars 2022, Services partagés Canada a octroyé des contrats et Services publics et Approvisionnement Canada a attribué des arrangements en matière d’approvisionnement^{Définition 1} à un total de 14 fournisseurs de services infonuagiques. Au cours de cette période, plusieurs ministères ont commencé à faire passer leurs applications logicielles et leurs bases de données au nuage. Certains ont aussi lancé des applications infonuagiques. D’avril 2018 à mars 2021, les organisations fédérales ont signalé avoir dépensé un total de 210 millions de dollars en services infonuagiques.

7.5 Les cyberattaques peuvent entraîner l’interruption des services ainsi que la défaillance ou la destruction d’infrastructures essentielles, comme les services bancaires et le réseau de distribution d’énergie électrique. Elles peuvent aussi compromettre des données personnelles, porter atteinte à la réputation, occasionner des coûts financiers, perturber de manière importante les activités d’entreprises canadiennes et entraîner des difficultés financières pour la population. Les événements géopolitiques (tels que l’invasion de l’Ukraine) et les conflits commerciaux internationaux peuvent accroître de façon considérable les risques liés à la cybersécurité. Les médias ont signalé de nombreux exemples d’atteintes à la sécurité de systèmes infonuagiques.

7.6 Puisque les organisations fédérales ont commencé à faire passer des applications logicielles et des bases de données au nuage, les renseignements personnels de Canadiennes et de Canadiens s’y trouvent. Pour protéger les renseignements dans le nuage, le gouvernement a mis en œuvre un modèle de responsabilité partagée qui repose sur la collaboration d’un certain nombre de parties.

7.7 Secrétariat du Conseil du Trésor du Canada — Le Secrétariat fournit des politiques et des orientations sur les services infonuagiques, notamment dans la Stratégie d’adoption de l’informatique en nuage du gouvernement. Il assure aussi la coordination des interventions à la suite d’incidents de cybersécurité, comme il est décrit dans le Plan de gestion des événements de cybersécurité du gouvernement du Canada.

7.8 Services partagés Canada — À titre de fournisseur de services communs au gouvernement, le Ministère fournit aux autres ministères fédéraux l’accès aux fournisseurs de services infonuagiques approuvés dans le cadre de marchés qu’il gère. Il assure aussi la gestion et la surveillance de la plupart des serveurs et des centres de données du gouvernement du Canada et un accès sécurisé au nuage.

7.9 Services publics et Approvisionnement Canada — À titre de fournisseur de services communs au gouvernement, le Ministère établit des arrangements en matière d’approvisionnement avec des fournisseurs de services infonuagiques préqualifiés dans le but de permettre à d’autres ministères d’obtenir les services logiciels qu’ils offrent. Dans certains cas, les ministères peuvent se procurer ces services directement auprès de ces fournisseurs ou d’autres fournisseurs. Pour les contrats excédant certains seuils financiers, Services publics et Approvisionnement Canada établit le contrat et en assure la gestion au nom d’un ministère. Le Ministère évalue aussi les contrôles de sécurité matérielle des fournisseurs de services infonuagiques et de leur personnel.

7.10 Centre de la sécurité des télécommunications du Canada — Le Centre canadien pour la cybersécurité, qui fait partie du Centre de la sécurité des télécommunications du Canada, est la source de conseils, d’avis, de services et de soutien en matière de cybersécurité pour la population canadienne. Il doit notamment effectuer des évaluations de la sécurité des fournisseurs de services infonuagiques retenus par Services partagés Canada et Services publics et Approvisionnement Canada dans le cadre de certains de leurs processus d’approvisionnement en services infonuagiques. Il surveille aussi les réseaux ministériels et la sécurité dans le nuage et offre de la formation, des conseils et des orientations sur la sécurité infonuagique. Le Centre aide aussi les organisations fédérales à mettre en œuvre des infrastructures numériques sécurisées.

7.11 Chacun des ministères — Les ministères (organisations fédérales) mettent en œuvre leurs propres contrôles de sécurité^{Définition 2} et assurent la surveillance des renseignements et des activités des utilisatrices et utilisateurs sur leurs propres applications logicielles. Ils demeurent en définitive responsables et comptables des risques relatifs à la sécurité découlant de leur utilisation des services infonuagiques. Les ministères sont tenus de signaler les atteintes à la protection de la vie privée au Secrétariat du Conseil du Trésor du Canada et au Commissariat à la vie privée du Canada.

Objet de l’audit

7.12 Cet audit visait à déterminer si le Secrétariat du Conseil du Trésor du Canada, Services partagés Canada, Services publics et Approvisionnement Canada, le Centre de la sécurité des télécommunications du Canada et les ministères fédéraux sélectionnés avaient mis en place une gouvernance, des lignes directrices et des outils adéquats et efficaces pour prévenir les événements de cybersécurité qui pourraient compromettre les renseignements personnels de la population canadienne stockés dans le nuage, détecter ces événements et agir en conséquence. Pour des raisons de sécurité nationale, le nom des ministères fédéraux sélectionnés aux fins de l’audit n’est pas mentionné dans le présent rapport.

7.13 Nous avons examiné des applications logicielles et des bases de données stockées dans le nuage auxquelles ont recours un certain nombre de ministères. Nous avons aussi cherché à déterminer si le gouvernement fédéral avait respecté ses engagements en matière d’environnement et de développement durable dans le cadre de ses processus d’approvisionnement de services infonuagiques. Nous n’avons pas examiné la sécurité de l’information stockée sur place dans les centres de données du gouvernement.

7.14 Cet audit est important parce que, de plus en plus, les ministères fédéraux font passer leurs applications logicielles et leurs bases de données au nuage. Certaines de ces applications et bases de données contiennent des renseignements personnels de Canadiennes et de Canadiens. Les ministères doivent conjuguer leurs efforts pour protéger ces renseignements contre de nombreux risques, y compris des cyberattaques.

7.15 La section intitulée À propos de l’audit, à la fin du présent rapport, donne des précisions sur l’objectif, l’étendue, la méthode et les critères de l’audit.

Constatations et recommandations

Message général

7.16 L’information stockée numériquement, soit sur place dans des centres de données ou dans le nuage, est exposée à des risques de compromission. Dans l’ensemble, nous avons constaté que les exigences mises en place par le gouvernement pour réduire les risques pour la sécurité liés au stockage d’information dans le nuage n’étaient pas toujours suivies par les ministères que nous avons audités. De plus, ces exigences, de même que les responsabilités et les rôles connexes, n’étaient pas toujours clairement définies, ce qui a donné lieu à une mise en œuvre non uniforme et à des risques accrus. Ce point est important parce que le Secrétariat du Conseil du Trésor du Canada a demandé aux ministères d’envisager le déplacement de leurs applications et bases de données vers le nuage; de plus en plus de renseignements personnels de Canadiennes et de Canadiens y sont donc transférés. Parallèlement, les cyberattaques deviennent plus fréquentes et plus perfectionnées. Le risque de répercussions considérables sur le gouvernement et ses activités augmente.

7.17 Le gouvernement doit prendre des mesures immédiates pour renforcer sa manière de prévenir et de détecter les cyberattaques et d’intervenir en conséquence. Il devrait prendre ces mesures dès maintenant, pendant que les ministères en sont encore aux premières étapes du transfert des renseignements personnels vers le nuage. Ces mesures comprennent notamment le renforcement des principaux contrôles de sécurité pour prévenir et détecter les atteintes à la sécurité et intervenir en conséquence. Elles comprennent aussi la définition des responsabilités et des rôles communs clairs en matière de cybersécurité — qui sont très complexes dans un environnement infonuagique — de sorte que tous les ministères sachent exactement ce qu’ils doivent faire.

7.18 Nous avons aussi constaté que, quatre ans après avoir demandé aux ministères d’envisager la transition vers l’infonuagique, le Secrétariat du Conseil du Trésor du Canada n’avait toujours pas fourni de méthode de financement à long terme pour son adoption. Il n’avait pas non plus donné aux ministères les outils pour calculer le coût de la transition, de l’exploitation de l’infonuagique et de la sécurisation de l’information stockée dans le nuage. Les ministères ont besoin d’une méthode de financement et d’outils d’établissement des coûts pour s’assurer de disposer de la main‑d’œuvre, de l’expertise, des compétences, de la formation, du financement et des autres ressources dont ils ont besoin pour sécuriser l’information stockée dans le nuage de manière à prévenir les menaces et les risques les plus importants et intervenir en conséquence. Une approche de financement et des outils d’établissement des coûts sont essentiels pour l’adoption de l’infonuagique et renforceraient les capacités de cyberdéfense du gouvernement du Canada, tant à l’échelle ministérielle que dans l’ensemble du gouvernement.

La protection des renseignements personnels dans le nuage

Il y avait des faiblesses dans les contrôles des ministères pour prévenir les cyberattaques, les détecter et intervenir en conséquence

7.19 Nous avons constaté qu’il y avait des lacunes dans l’utilisation par Services partagés Canada et Services publics et Approvisionnement Canada des contrôles de prévention des atteintes à la cybersécurité. Ces constatations portent sur des inspections de sécurité et sur certains aspects des mesures de sécurité d’informatique en nuage, un type de contrôle de sécurité. Nous ne pouvons pas publier ces constatations parce que le faire révélerait des vulnérabilités et poserait un risque à la sécurité nationale. Nous les avons plutôt signalées directement aux ministères concernés.

7.20 Nous avons aussi constaté des lacunes dans les contrôles visant à détecter les atteintes à la cybersécurité et à intervenir en conséquence. Par exemple, nous avons constaté que le Secrétariat du Conseil du Trésor du Canada avait effectué peu d’exercices de simulation en vue de tester et d’améliorer le Plan de gestion des événements de cybersécurité du gouvernement du Canada, qui décrit le processus à suivre pour réagir aux atteintes à la cybersécurité touchant plusieurs ministères. En outre, nous avons constaté que chaque ministère n’avait pas son propre plan ministériel de gestion des événements de cybersécurité en place et n’avait pas entièrement défini ses rôles et responsabilités en matière de gestion des incidents.

7.21 Enfin, nous avons constaté que les clauses de sécurité des contrats n’étaient pas claires ni uniformisées. Au cours de l’audit, Services partagés Canada et Services publics et Approvisionnement Canada ont amorcé des travaux pour remédier à ces enjeux.

7.22 L’analyse à l’appui de cette constatation porte sur :

• les lacunes dans les inspections de sécurité;
• les mesures de sécurité d’informatique en nuage non validées et non surveillées de manière uniforme pour tous les contrats;
• les clauses de sécurité des contrats imprécises et non uniformisées;
• les lacunes en ce qui concerne les plans de gestion des événements de cybersécurité et leur utilisation.

7.23 Cette constatation est importante parce que les atteintes à la cybersécurité sont à la hausse, et des contrôles robustes pour les prévenir, les détecter et intervenir en conséquence peuvent en réduire le risque et limiter la compromission des renseignements personnels des Canadiennes et des Canadiens, si de telles atteintes se produisaient.

7.24 Chaque ministère est responsable de gérer ses propres risques de cybersécurité et de mettre en œuvre des contrôles de sécurité. Toutefois, les ministères s’appuient également sur plusieurs ministères centraux pour la mise en œuvre de certains contrôles de sécurité visant à prévenir les atteintes, à les détecter et à intervenir en conséquence. Par conséquent, il existe un niveau élevé de responsabilité partagée dans l’ensemble du gouvernement fédéral en ce qui concerne la gestion de la cybersécurité des renseignements personnels dans le nuage. Nous avons examiné ces responsabilités pour quatre catégories de contrôles de sécurité (voir la pièce 7.1). Une mesure de sécurité d’informatique en nuage (voir les pièces 7.1 et 7.2) est un type de contrôle de sécurité.

Les lacunes dans les inspections de sécurité

7.25 Nous avons constaté qu’il y avait des lacunes dans la façon dont les inspections de sécurité visant les fournisseurs de services infonuagiques étaient réalisées. Nous ne pouvons pas publier nos constatations parce que le faire révélerait de l’information sur des vulnérabilités et poserait un risque à la sécurité nationale. Par conséquent, nous les avons signalées directement à Services publics et Approvisionnement Canada. Nos constatations sont accompagnées d’une recommandation à l’intention de Services publics et Approvisionnement Canada concernant la communication des résultats des inspections liées à la sécurité matérielle aux parties prenantes et les réinspections liées à la sécurité matérielle.

Les mesures de sécurité d’informatique en nuage non validées et non surveillées de manière uniforme pour tous les contrats

7.26 Les mesures de sécurité d’informatique en nuage sont un ensemble de contrôles de base que les ministères doivent mettre en œuvre pour prévenir et détecter les cyberattaques dans leurs environnements infonuagiques. Les 12 mesures de sécurité d’informatique en nuage présentées à la pièce 7.2 visent à renforcer la sécurité dans les environnements basés sur le nuage.

7.27 Au titre de la Directive sur les services et le numérique du Conseil du Trésor, les ministères qui concluent des marchés avec des fournisseurs de services infonuagiques doivent mettre en œuvre des mesures de sécurité d’informatique en nuage avant d’utiliser ces services et veiller à ce que ces mesures restent en place. La Directive ne vise pas les contrats passés avec des fournisseurs de services infonuagiques autres que ceux établis par Services partagés Canada, notamment ceux conclus auprès de fournisseurs préqualifiés dans le cadre d’un arrangement en matière d’approvisionnement de Services publics et Approvisionnement Canada. Le Secrétariat du Conseil du Trésor du Canada a la responsabilité de surveiller la conformité des ministères aux mesures de sécurité d’informatique en nuage. Le Secrétariat peut révoquer l’accès d’un ministère au nuage si des mesures de protection ne sont pas mises en place.

7.28 Nous avons constaté que, dans le cadre des contrats qu’il avait établis entre des ministères et des fournisseurs de services infonuagiques, Services partagés Canada avait vérifié si les ministères avaient mis en œuvre les mesures de sécurité dans les trente premiers jours. Toutefois, il avait seulement réalisé des suivis en continu limités par la suite. Nous avons aussi constaté que pour les services infonuagiques établis par Services publics et Approvisionnement Canada, personne n’avait vérifié si les ministères avaient mis des mesures de sécurité en place au départ, et personne n’effectuait de suivi de la conformité en continu. À notre avis, ce manque d’uniformité dans l’application des contrôles dans l’ensemble du gouvernement fait augmenter les risques de compromission des renseignements personnels de la population canadienne qui sont stockés dans le nuage.

7.29 Nous avons examiné la validation effectuée par Services partagés Canada de la façon dont les ministères avaient mis en œuvre les mesures de sécurité. Nous avons constaté que le Ministère n’avait pas évalué efficacement certains des contrôles et qu’il avait parfois attribué une note de passage à des ministères qui n’avaient pas correctement mis en œuvre les mesures de sécurité. Voici deux exemples que nous avons relevés :

• Dans le cadre de la mesure de sécurité numéro 6 (sur la protection des données au repos), les ministères doivent demander des conseils aux responsables de la protection de la vie privée avant de stocker des renseignements personnels dans les environnements infonuagiques. Toutefois, nous avons constaté que Services partagés Canada n’avait pas vérifié si les ministères l’avaient fait.
• Dans le cadre de la mesure de sécurité numéro 8 (sur la segmentation et la séparation de l’information), les ministères doivent fournir des diagrammes techniques de leurs conceptions de la sécurité réseau à des personnes chargées d’évaluer l’exhaustivité et l’exactitude de ces diagrammes. Or nous avons relevé un cas où la personne chargée de l’évaluation avait uniquement vérifié si un diagramme avait été fourni, et non s’il était complet ou exact.

7.30 Nous avons constaté que même si Services partagés Canada avait validé la mise en œuvre au sein de tous les ministères des 12 mesures de sécurité dans les 30 jours suivant l’établissement de leurs contrats avec des fournisseurs de services infonuagiques, il n’a assuré le suivi de la conformité continue que pour 2 mesures de sécurité sur 12. En outre, il n’a vérifié que les aspects administratifs de ces deux mesures (notamment ceux liés à la facturation et aux rapports) et pas si elles étaient toujours en place et si elles fonctionnaient comme prévu. Services partagés Canada laissait donc la surveillance en continu des mesures du point de vue de la sécurité à la discrétion de chaque ministère.

7.31 Recommandation — En consultation avec Services partagés Canada et Services publics et Approvisionnement Canada, le Secrétariat du Conseil du Trésor du Canada devrait faire ce qui suit :

• étendre les exigences relatives aux mesures de sécurité aux contrats de services infonuagiques qui découlent d’arrangements en matière d’approvisionnement établis par Services publics et Approvisionnement Canada;
• préciser qui est responsable de la validation initiale et de la surveillance en continu des mesures de sécurité d’informatique en nuage ainsi que les processus à suivre.

Réponse du Secrétariat du Conseil du Trésor du Canada — Recommandation acceptée.

Les réponses détaillées se trouvent dans le tableau Recommandations et réponses à la fin du présent rapport.

Les clauses de sécurité des contrats imprécises et non uniformisées

7.32 Nous avons constaté que les contrats de services infonuagiques mis en place par Services partagés Canada et les arrangements en matière d’approvisionnement établis par Services publics et Approvisionnement Canada comportaient peu de détails sur les obligations des fournisseurs de services en cas d’incidents de sécurité, notamment les délais d’intervention visés et les personnes chargées d’intervenir.

7.33 D’avril 2018 à mars 2022, les ministères ont attribué des contrats de services infonuagiques ou des arrangements en matière d’approvisionnement à 14 fournisseurs de services infonuagiques. Nous avons passé en revue tous ces contrats et arrangements et avons constaté que, même si les arrangements prévoyaient des obligations en matière de sécurité et de protection des renseignements personnels, aucun des ministères n’avait défini de manière suffisamment détaillée les obligations des ministères ou des fournisseurs de services infonuagiques en ce qui concerne la gestion des incidents de sécurité et des atteintes à la vie privée, notamment la rapidité avec laquelle les parties doivent intervenir et la personne chargée de communiquer les incidents et les atteintes (et à qui il faut les communiquer).

7.34 Nous avons aussi constaté qu’aucun des ministères n’avait inclus de clauses ou de conditions normalisées en matière de sécurité dans les contrats et les arrangements en matière d’approvisionnement qu’ils avaient établis. Toutefois, les deux ministères ont depuis reconnu la nécessité d’établir de telles clauses et conditions pour éviter les méthodes incompatibles de passation de contrats et le dédoublement des efforts. En février 2022, les ministères, avec le concours du Secrétariat du Conseil du Trésor du Canada et du Centre de la sécurité des télécommunications du Canada, ont formé un groupe de travail sur l’approvisionnement de services infonuagiques dans le but d’accomplir les tâches suivantes :

• mettre au point une approche d’approvisionnement de services infonuagiques du gouvernement du Canada assortie de modèles comprenant des modalités normalisées;
• normaliser les rôles et les responsabilités dans le cadre du processus d’approvisionnement de services infonuagiques;
• préciser les exigences relatives à la sécurité des contrats de services infonuagiques au sein du gouvernement fédéral.

Les lacunes en ce qui concerne les plans de gestion des événements de cybersécurité et leur utilisation

7.35 Lorsqu’un événement de cybersécurité se produit, les principales organisations chargées de la sécurité et les ministères doivent être en mesure d’intervenir rapidement et de manière coordonnée. Pour ce faire, ils doivent avoir en place des plans de gestion des événements de cybersécurité qui ont été mis à l’essai et dont l’efficacité a été prouvée dans le cadre d’exercices de simulation. La capacité du gouvernement à détecter les cyberattaques à l’échelle du gouvernement et à intervenir en conséquence dépend de la capacité de chaque ministère à le faire à l’échelle ministérielle.

7.36 Le Plan de gestion des événements de cybersécurité du gouvernement du Canada est entré en vigueur en avril 2020, remplaçant une version antérieure publiée en janvier 2018. Ce plan explique les rôles et responsabilités des ministères et des organismes centraux chargés de la coordination des interventions dans le cadre des événements ayant des répercussions sur l’ensemble du gouvernement. Il présente les procédures d’évaluation, de classification et d’acheminement des événements. Selon le Plan, les ministères doivent veiller à l’amélioration continue de leur capacité à réagir aux événements de cybersécurité. Ils doivent notamment tester les plans et les procédures, mettre en œuvre les leçons apprises, tenir à jour des listes de personnes à qui ont été assignées des responsabilités établies dans le plan et former le personnel, y compris le personnel chargé de la cybersécurité.

7.37 Dans le cadre de notre examen de l’intervention du gouvernement lors d’un événement antérieur, nous avons constaté que le Secrétariat du Conseil du Trésor du Canada et le Centre de la sécurité des télécommunications du Canada avaient mené des exercices sur les leçons apprises et élaboré un rapport, des recommandations et un plan d’action pour améliorer les interventions futures.

7.38 Toutefois, nous avons constaté que le Secrétariat du Conseil du Trésor du Canada n’a pas respecté les exigences établies dans le Plan de gestion des événements de cybersécurité du gouvernement du Canada concernant la mise à l’essai des plans et des procédures et la tenue à jour du plan :

• Le Secrétariat n’a pas mis à jour ni renouvelé le Plan malgré ses propres exigences consistant à mettre à l’essai, à modifier et à réviser le plan tous les ans. Il a rédigé une nouvelle version en octobre 2021, mais ne l’avait ni testée ni adoptée au moment de notre audit.
• Le Secrétariat du Conseil du Trésor du Canada a organisé des simulations théoriques pour tester et améliorer l’efficacité du plan. Toutefois, il en a organisé seulement trois depuis 2018 (soit environ une simulation tous les 17 mois), ce qui est bien en deçà du minimum recommandé (soit une simulation tous les 12 mois). Des exercices de simulation réguliers sont requis en raison du roulement du personnel ainsi que de l’évolution des technologies et des milieux de travail.

7.39 Lors de notre examen des plans ministériels de gestion des événements de cybersécurité des trois ministères que nous avons sélectionnés pour l’audit, nous avons constaté ce qui suit :

• Chacun des trois ministères avait effectué des exercices de simulation et des tests de la sécurité de leurs applications annuellement.
• Chacun des ministères avait préparé des plans, mais deux ministères sur trois nous ont indiqué qu’ils n’avaient ni les fonds ni la capacité nécessaire pour assurer leur pleine mise en œuvre.
• Sur les trois ministères sélectionnés, deux n’avaient pas terminé la définition des rôles et des responsabilités internes pour la gestion des incidents.
• Même si le Secrétariat a commencé à recueillir de l’information auprès des ministères en septembre 2021, au moment de notre audit, il ne savait pas si tous les ministères avaient mis en œuvre des plans de gestion des événements de cybersécurité.

7.40 Recommandation — Le Secrétariat du Conseil du Trésor du Canada devrait faire ce qui suit :

• au moins une fois par année, vérifier que le Plan de gestion des événements de cybersécurité du gouvernement du Canada s’applique à l’environnement infonuagique en évolution et aux responsabilités partagées, le revoir et le tester, et le mettre à jour au besoin;
• assurer un suivi chaque année pour s’assurer que les ministères finalisent, exécutent et mettent régulièrement à l’essai leurs plans de gestion des événements de sécurité.

Réponse du Secrétariat du Conseil du Trésor du Canada — Recommandation acceptée.

Les réponses détaillées se trouvent dans le tableau Recommandations et réponses à la fin du présent rapport.

Les responsabilités et les rôles en matière de cybersécurité infonuagique étaient imprécis et incomplets

7.41 Nous avons constaté que la matrice des responsabilités et des rôles liés à l’infonuagique du gouvernement du Canada du Secrétariat du Conseil du Trésor du Canada, le principal outil que ce dernier utilise pour communiquer les responsabilités et les rôles partagés en matière d’infonuagique, omettait de l’information importante dont les ministères avaient besoin pour mener à bien leurs obligations en matière de cybersécurité. Par conséquent, les organisations ne savaient pas exactement qui devait faire quoi dans certains domaines, par exemple, qui devrait évaluer les contrôles de sécurité des technologies de l’information pour ce qui est des exigences relatives à l’emplacement des données.

7.42 L’analyse à l’appui de la constatation porte sur :

• la confusion des ministères par rapport à leurs rôles en matière de cybersécurité.

7.43 Cette constatation est importante parce que, même si chaque ministère est responsable et comptable en définitive des risques de sécurité découlant de son utilisation des services infonuagiques, la sécurité des renseignements personnels dans le nuage repose sur un modèle de responsabilité partagée entre, notamment, les ministères et les fournisseurs de services infonuagiques. Pour éviter les atteintes à la sécurité et intervenir rapidement et avec efficacité dans le cas d’une telle atteinte, les obligations, les responsabilités et les rôles doivent être clairement définis. S’il y a des lacunes ou de l’incertitude, les ministères pourraient ne pas comprendre leurs responsabilités en matière de cybersécurité et ne pas s’en acquitter adéquatement.

7.44 Le Secrétariat du Conseil du Trésor du Canada communique ses décisions concernant les rôles et responsabilités en matière d’utilisation du nuage et de stockage dans cet environnement par les ministères au moyen de la matrice des rôles et des responsabilités liés à l’infonuagique du gouvernement du Canada, qu’il met à la disposition des ministères. Cette matrice vise à décrire la façon dont les ministères sont censés se répartir les responsabilités dans tous les domaines de l’adoption de l’infonuagique, y compris la sécurité.

La confusion des ministères par rapport à leurs rôles en matière de cybersécurité

7.45 Nous avons constaté que la matrice des responsabilités et des rôles liés à l’infonuagique du gouvernement du Canada du Secrétariat du Conseil du Trésor du Canada ne comprenait pas ou ne modifiait pas les responsabilités et les rôles qui ont évolué ou qui ont été ajoutés depuis mars 2018, date de la dernière mise à jour de la matrice. Voici quatre exemples :

• Le Secrétariat n’avait pas inclus la mise en œuvre et la validation des mesures de sécurité d’informatique en nuage dans sa matrice.
• Le Centre de la sécurité des télécommunications du Canada a la responsabilité d’évaluer les contrôles de sécurité des technologies de l’information des fournisseurs de services infonuagiques. Toutefois, nous avons constaté qu’après la mise en œuvre de la matrice, les ministères avaient aussi l’option d’effectuer eux‑mêmes certaines de ces évaluations. Il est difficile de savoir si le Centre devrait surveiller ou superviser les évaluations des Ministères.
• Les responsabilités du Centre de la sécurité des télécommunications du Canada en lien avec la surveillance des activités de nuage pour détecter les événements de cybersécurité et intervenir en conséquence, puis informer et appuyer les ministères touchés, ne sont pas décrites dans la matrice.
• La matrice ne comprend pas les responsabilités du Secrétariat concernant la coordination des exercices de gestion des événements de sécurité dans l’ensemble du gouvernement.

7.46 Les rôles et responsabilités en matière de sécurité infonuagique sont énoncés dans de multiples documents. Par conséquent, nous avons constaté que les ministères étaient confus quant à certains de leurs rôles et responsabilités. Par exemple, la Directive sur les services et le numérique indique que les ministères doivent veiller à ce que les données stockées dans le nuage, y compris les données de nature délicate et les renseignements personnels, soient conservées au Canada. Toutefois, après avoir passé en revue les contrats et arrangements en matière d’approvisionnement établis par Services partagés Canada et Services publics et Approvisionnement Canada, nous avons constaté que les parties concernées ne comprenaient pas toutes cette exigence :

• Les trois ministères sélectionnés nous ont dit qu’ils croyaient que Services publics et Approvisionnement Canada ou le Centre de la sécurité des télécommunications du Canada était responsable de vérifier la conformité à cette exigence.
• Des fonctionnaires de Services publics et Approvisionnement Canada nous ont indiqué que le Centre de la sécurité des télécommunications du Canada était responsable de cette exigence.
• Des fonctionnaires du Centre de la sécurité des télécommunications du Canada nous ont signalé que cette tâche relevait des dirigeantes principales et dirigeants principaux de l’information ou des responsables des données au sein de chaque ministère.

Faute de bien comprendre qui veille à ce que les données stockées dans le nuage restent au Canada, les organisations risquent de ne pas savoir si les renseignements personnels sont en fait stockés dans un autre pays et, le cas échéant, s’ils sont donc assujettis à des lois différentes (et possiblement inférieures) en matière de protection de la vie privée et à des protocoles différents en matière de sécurité.

7.47 Recommandation — En consultation avec le Centre de la sécurité des télécommunications du Canada, Services partagés Canada, Services publics et Approvisionnement Canada et les ministères, le Secrétariat du Conseil du Trésor du Canada devrait documenter les rôles et responsabilités nécessaires pour concevoir, mettre en œuvre, valider, surveiller, coordonner et appliquer les contrôles de sécurité nécessaires pour protéger les renseignements sensibles et personnels stockés dans le nuage et communiquer ces rôles et responsabilités de façon proactive à tout ministère qui a recours aux services infonuagiques ou qui envisage d’y avoir recours. Le Secrétariat devrait revoir et actualiser ces rôles et responsabilités au moins tous les 12 mois.

Réponse du Secrétariat du Conseil du Trésor du Canada — Recommandation acceptée.

Les réponses détaillées se trouvent dans le tableau Recommandations et réponses à la fin du présent rapport.

La fourniture d’un modèle d’établissement des coûts et de financement

Le Secrétariat du Conseil du Trésor du Canada n’avait pas fourni de modèle d’établissement des coûts des services infonuagiques aux ministères ou ne leur avait proposé aucune méthode en matière de financement

7.48 Nous avons constaté que, quatre ans après avoir demandé aux ministères d’amorcer la transition vers l’infonuagique, le Secrétariat du Conseil du Trésor du Canada ne leur avait toujours pas donné les outils requis pour comprendre ce qu’il en coûterait de passer à l’infonuagique et d’exploiter et de sécuriser les applications dans cet environnement, par rapport au coût de leur maintien dans un centre de données de Services partagés Canada. Nous avons également constaté que lorsque les ministères choisissaient d’héberger leurs applications dans le nuage plutôt que dans un centre de données du gouvernement, ils devenaient responsables du financement relatif à l’exploitation continue et à la sécurité de ces services. Le financement fédéral de ces activités n’était pas transféré de Services partagés Canada aux ministères après l’adoption par ceux‑ci des services infonuagiques.

7.49 L’analyse à l’appui de la constatation porte sur :

• L’absence de modèle d’établissement des coûts ou de méthode de financement à long terme

7.50 Cette constatation est importante parce que les Canadiennes et Canadiens s’attendent à ce que le gouvernement réduise au minimum les coûts et, même si les services infonuagiques peuvent donner des occasions de le faire, s’ils n’ont pas les outils adéquats, les ministères ne peuvent pas réaliser d’analyse des coûts et des avantages pour prendre des décisions éclairées. Il se peut aussi qu’ils ne disposent pas d’un financement adéquat pour appuyer leurs activités infonuagiques permanentes, y compris celles liées à la sécurité.

L’absence de modèle d’établissement des coûts ou de méthode de financement à long terme

7.51 Nous avons constaté que lorsque le Secrétariat du Conseil du Trésor a publié sa Stratégie d’adoption de l’infonuagique en 2018, il n’avait pas élaboré ni diffusé de méthode de financement à long terme ou de modèle d’établissement des coûts pour accompagner la Stratégie. Par ailleurs, le Secrétariat n’a pas pu nous fournir de tels documents aux fins d’examen dans le cadre de notre audit. Par conséquent, nous n’avons pas pu déterminer comment un tel modèle ou une telle méthode permettrait de remédier aux difficultés rencontrées par les ministères au moment de comprendre les coûts du passage de l’information vers le nuage et de la sécurisation de celle‑ci ainsi que le financement requis pour assurer la protection à long terme de cette information.

7.52 Lorsque les ministères doivent décider si leurs applications ou services seront hébergés dans un centre de données de Services partagés Canada ou dans le nuage, le coût est un facteur important. Il en est ainsi parce que l’adoption de l’infonuagique transfère aux ministères certains coûts du stockage de données qui étaient auparavant pris en charge par Services partagés Canada. Les ministères endossent aussi la responsabilité de financer l’exploitation de l’infonuagique et les nouvelles responsabilités en matière de cybersécurité qui les accompagnent. Il s’agit notamment de la création d’équipes dotées de compétences en infonuagique et en cybersécurité, l’achat d’outils de cybersécurité et le maintien des activités et de la sécurité en continu (voir la pièce 7.3).

7.53 Même si du financement à court terme a été mis à la disposition des ministères pour les aider à déplacer leurs applications vers le nuage, des groupes de travail et des comités de cadres supérieurs du gouvernement ont indiqué qu’ils ne savaient toujours pas comment les ministères financeront l’exploitation continue de l’infonuagique. Parallèlement, le Secrétariat nous a signalé que les dépenses ministérielles en services infonuagiques à l’échelle du gouvernement ont augmenté considérablement d’une année à l’autre, passant de 35 millions de dollars en 2018 à près de 120 millions de dollars en 2021.

7.54 Pour aider les ministères à mieux comprendre les coûts de l’adoption des services infonuagiques et éclairer leur prise de décisions, le Secrétariat a prévu d’élaborer un modèle d’établissement des coûts que les ministères pourraient utiliser pour comparer les coûts du stockage et de l’hébergement des applications dans le nuage par rapport au stockage et à l’hébergement dans les centres de données du gouvernement du Canada. Ce modèle comprendrait les coûts d’acquisition, les coûts liés aux activités opérationnelles en continu (comme la surveillance et le maintien de la sécurité) et les coûts permanents des services infonuagiques. Le Secrétariat nous a également indiqué que le modèle serait axé sur la modernisation et sur l’hébergement des applications existantes.

7.55 Les ministères pourraient obtenir du financement en vue de moderniser la technologie, d’adopter de nouvelles pratiques et de renforcer la capacité et les compétences nécessaires à la modernisation. Pour toutes les nouvelles applications transférées au nuage, les ministères auraient à payer eux‑mêmes les coûts liés à leur hébergement, à leur exploitation et à leur maintenance soit en réaffectant des fonds à l’interne ou en demandant des fonds nouveaux ou supplémentaires par l’intermédiaire de présentations au Conseil du Trésor.

7.56 En l’absence de financement à long terme pour l’exploitation en continu, les trois ministères que nous avons sélectionnés aux fins de l’audit se servaient de diverses mesures de financement à court terme pour appuyer l’exploitation de l’infonuagique et la cybersécurité. Ils procédaient notamment à la réaffectation de fonds destinés à d’autres fins. Selon les ministères, les coûts liés à la cybersécurité infonuagique ont nettement augmenté entre l’exercice 2020‑2021 et l’exercice 2021‑2022, et devraient demeurer élevés en 2022‑2023. Par exemple, un ministère nous a signalé que ses coûts ont plus que triplé entre les exercices 2020‑2021 et 2021‑2022 (passant de 200 000 $ à 700 000 $), et qu’ils devraient se maintenir à ce niveau au cours de l’exercice 2022‑2023. Les ministères ont indiqué que la nécessité d’utiliser un financement à court terme pour les services infonuagiques et de cybersécurité compromet la viabilité à long terme de ces activités.

7.57 Même si les grands ministères peuvent avoir la capacité d’absorber certains des coûts de l’adoption de l’infonuagique et des mesures de sécurité, cette approche n’est vraisemblablement pas durable à long terme, et les petits ministères pourraient être incapables d’assumer même une partie de ces coûts. En outre, le financement de la cybersécurité à même les ressources prévues pour les autres activités de technologie de l’information risquerait de compromettre celles‑ci.

7.58 Recommandation — En consultation avec Services partagés Canada et d’autres ministères, le Secrétariat du Conseil du Trésor du Canada devrait :

• élaborer et fournir un modèle d’établissement des coûts afin d’aider les ministères à prendre des décisions éclairées au sujet de la transition vers l’infonuagique et à déterminer si des ressources et du financement additionnels sont nécessaires;
• aider les ministères à évaluer le financement de fonctionnement à long terme dont ils ont besoin et appuyer leur accès au financement pour qu’ils puissent s’acquitter de leurs responsabilités en constante évolution à l’égard des activités liées à l’infonuagique, notamment la protection des renseignements de nature délicate dans le nuage.

Réponse du Secrétariat du Conseil du Trésor du Canada — Recommandation acceptée.

Les réponses détaillées se trouvent dans le tableau Recommandations et réponses à la fin du présent rapport.

La promotion de la responsabilité environnementale et du développement durable

Services publics et Approvisionnement Canada et Services partagés Canada n’avaient pas inclus de critères environnementaux dans le cadre de leurs processus d’approvisionnement en services infonuagiques

7.59 Nous avons constaté que Services publics et Approvisionnement Canada et Services partagés Canada n’avaient pas inclus de critères environnementaux dans le cadre de leurs processus d’approvisionnement en services infonuagiques, même si les deux organisations avaient élaboré des lignes directrices et de la formation obligatoire à l’intention du personnel sur la prise en compte des considérations environnementales dans l’approvisionnement en services, y compris en services infonuagiques.

7.60 L’analyse à l’appui de la constatation porte sur :

• l’absence de critères environnementaux dans le processus d’approvisionnement en services infonuagiques.

7.61 Cette constatation est importante parce que le gouvernement du Canada s’est fixé l’objectif d’atteindre la carboneutralité d’ici 2050, et il devrait donc veiller à harmoniser ses politiques et ses mesures avec cet objectif. Le fait de ne pas tenir compte des critères environnementaux dans l’approvisionnement en services infonuagiques est une occasion ratée pour les ministères de contribuer à la réalisation de l’objectif et d’appuyer le Programme de développement durable à l’horizon 2030 des Nations Unies.

7.62 En outre, le Secrétariat du Conseil du Trésor et Services partagés Canada ont noté que les technologies numériques devraient être responsables de 8 % des émissions mondiales de gaz à effet de serre d’ici 2025 et de près de 14 % d’ici 2040. Le fait de ne pas inclure de critères environnementaux dans le processus d’approvisionnement en services infonuagiques entraîne un risque que l’adoption de l’infonuagique n’appuie pas la Stratégie pour un gouvernement vert et même contribue à faire augmenter les émissions.

7.63 En 2015, le Canada s’est engagé à respecter le Programme de développement durable à l’horizon 2030 des Nations Unies, qui fixe 17 objectifs de développement durable. L’objectif 12 vise à établir des modes de consommation et de production durables. L’une de ses cibles consiste à « promouvoir des pratiques durables dans le cadre de la passation des marchés publics, conformément aux politiques et priorités nationales ».

7.64 En 2017, le Canada a lancé la Stratégie pour un gouvernement vert dans le but que toutes les organisations du gouvernement fédéral intègrent des considérations environnementales à leurs processus d’approvisionnement. La Stratégie recommande aux ministères d’encourager les fournisseurs à divulguer leurs émissions de gaz à effet de serre et des renseignements sur leur rendement environnemental.

7.65 En 2020, la Stratégie pour un gouvernement vert a été présentée en tant que directive du gouvernement du Canada. Elle indique que d’ici 2050, le Canada a l’intention d’atteindre la carboneutralité dans ses activités, y compris pour l’approvisionnement de ses biens et services. La Stratégie indique aussi que le gouvernement inclurait des critères visant à réduire les émissions de gaz à effet de serre dans ses processus d’approvisionnement de biens et de services qui ont une grande incidence sur l’environnement. Comme il a été noté dans le rapport de mai 2022 du commissaire à l’environnement et au développement durable sur la Stratégie pour un gouvernement vert, les progrès réalisés jusqu’ici montrent que le gouvernement n’est pas en voie d’atteindre son objectif de réduction des émissions.

7.66 De plus, la Politique d’achats écologiques de 2018 exige que Services publics et Approvisionnement Canada et Services partagés Canada incluent des options à privilégier en matière de services écologiques dans la mesure du possible. La Politique exige en outre que les ministères achètent de préférence des biens et des services écologiques offrant un bon rapport qualité‑prix.

7.67 Au moment de l’audit, le gouvernement du Canada mettait à jour sa Stratégie d’adoption de l’infonuagique. La version la plus récente, datée de février 2022, comprenait une liste de 10 éléments visant à aider les ministères à réaliser une valeur opérationnelle. L’un de ces éléments porte sur la contribution à l’ensemble des objectifs du gouvernement en matière de développement durable par la mise en place d’une infrastructure hautement efficace à l’échelle de l’organisation qui permet de réduire les émissions de gaz à effet de serre et favorise l’écologisation du gouvernement.

L’absence de critères environnementaux dans le processus d’approvisionnement en services infonuagiques

7.68 Nous avons constaté que le Secrétariat du Conseil du Trésor du Canada et Services publics et Approvisionnement Canada avaient élaboré des lignes directrices et de la formation pour aider les agentes et agents de négociation des contrats à intégrer les considérations environnementales dans le processus d’approvisionnement en services. Nous avons aussi constaté que Services publics et Approvisionnement Canada et Services partagés Canada avaient formé leurs agentes et agents d’approvisionnement aux pratiques d’approvisionnement écologiques.

7.69 Toutefois, nous avons constaté que ces ministères n’avaient pas exigé que les fournisseurs de services infonuagiques fassent état de leur rendement environnemental ou qu’ils expliquent comment leurs services contribueraient à réduire les émissions de gaz à effet de serre du Canada. Même si les ministères avaient demandé aux fournisseurs de services infonuagiques de fournir des renseignements sur leurs engagements en matière d’environnement et l’état de leurs activités, ils n’avaient pas exigé de les obtenir ou n’en avaient pas confirmé l’exactitude lorsqu’ils les avaient obtenus.

7.70 Nous avons examiné 14 contrats et arrangements en matière d’approvisionnement en services infonuagiques et avons constaté qu’aucun ne comportait de clauses liées à l’environnement. Par ailleurs, le Guide des clauses et conditions uniformisées d’achat de Services publics et Approvisionnement Canada ne contenait aucune clause environnementale relative aux services infonuagiques.

7.71 Services publics et Approvisionnement Canada nous a affirmé que les ministères peuvent inclure leurs propres exigences environnementales. Cependant, les ministères sélectionnés nous ont expliqué qu’ils ne rédigeaient pas leurs propres clauses contractuelles. Ils se fiaient plutôt au Guide des clauses et conditions uniformisées d’achat pour que les clauses soient appliquées de manière uniforme dans l’ensemble des ministères.

7.72 Recommandation — Services publics et Approvisionnement Canada et Services partagés Canada devraient inclure des critères environnementaux dans le cadre de l’approvisionnement en services infonuagiques afin de favoriser la durabilité des pratiques d’approvisionnement et de contribuer à l’atteinte de l’objectif de carboneutralité du Canada.

Réponse des ministères — Recommandation acceptée.

Les réponses détaillées se trouvent dans le tableau Recommandations et réponses à la fin du présent rapport.

Conclusion

7.73 Nous avons conclu que le Secrétariat du Conseil du Trésor du Canada, Services partagés Canada, Services publics et Approvisionnement Canada, le Centre de la sécurité des télécommunications Canada et les ministères sélectionnés disposaient de contrôles pour prévenir les événements de cybersécurité menaçant la sécurité des renseignements personnels des Canadiennes et des Canadiens dans le nuage, détecter ces événements et intervenir en conséquence. Toutefois, ils n’avaient pas mis en œuvre efficacement ces contrôles et n’avaient pas non plus établi et communiqué clairement les responsabilités et les rôles associés à leur mise en œuvre.

7.74 Nous avons aussi conclu que le Secrétariat du Conseil du Trésor du Canada n’avait pas fourni de méthode de financement ou de modèle d’établissement des coûts à long terme pour aider les ministères à mieux comprendre les coûts de la transition vers les services infonuagiques et de l’exploitation de cet environnement.

7.75 Enfin, nous avons conclu que le gouvernement fédéral n’avait pas inclus de critères environnementaux dans le cadre de ses processus d’approvisionnement en services infonuagiques, même si cela était requis pour réduire les émissions de gaz à effet de serre.