Summary

  • Le CRTC autorise désormais les opérateurs à recourir à toute méthode compatible avec les principes de nécessité, d’exactitude et de protection de la vie privée.
  • L’opérateur doit démontrer qu’un prestataire tiers dispose des compétences requises et n’a pas de conflit susceptible de compromettre son impartialité.
  • Les clients verront une description générale des méthodes et des fournisseurs; le CRTC recevra, sous confidentialité, des données plus détaillées sur les produits et leur usage.

Lorsqu’un opérateur achète un service de cybersécurité, il ne choisit pas seulement une liste d’adresses à bloquer. Il peut aussi s’appuyer sur un filtre de ports, une détection d’adresses usurpées, une règle fondée sur des volumes inhabituels ou un logiciel qui signale certains comportements. Si ce système empêche un échange légitime, le fournisseur du logiciel peut avoir contribué à la décision, mais c’est l’opérateur qui contrôle le réseau et qui doit répondre de son usage.

Le cadre juridique canadien rend cette responsabilité explicite. L’article 36 de la Loi sur les télécommunications interdit en principe à un opérateur canadien de contrôler le contenu des télécommunications ou d’en influencer le sens ou l’objet sans approbation de la Commission de la radiodiffusion et des télécommunications canadiennes (CRTC). Dans sa décision 2022-170, le CRTC a appliqué cette règle au blocage de trafic de botnets et posé cinq principes : nécessité, exactitude, transparence, protection de la vie privée et responsabilité.

La première autorisation était plus étroite. La décision 2025-142 encadrait le blocage au moyen de listes d’indicateurs approuvées, internes ou fournies par un tiers. Pour les abonnés d’un opérateur participant, le blocage s’appliquait par défaut, sans possibilité de choisir de l’activer ou de le désactiver. Puis l’avis de consultation 2025-143 a demandé des observations sur d’autres méthodes : filtrage de ports, adresses source falsifiées, signatures de fichiers, anomalies de volume, inspection approfondie des paquets, données personnelles et obligations de rapport.

La décision 2026-140, entrée en vigueur le 18 juin 2026, répond par une règle technologiquement neutre. Un opérateur peut employer toute méthode compatible avec la nécessité, l’exactitude et la protection de la vie privée des clients. Le CRTC cite notamment le blocage de ports, des adresses source falsifiées et des volumes anormaux. Il ne dit pas que tous les opérateurs utilisent chacune de ces techniques et n’impose pas un produit unique.

L’ouverture des méthodes déplace donc une partie du contrôle vers les achats et la supervision. Selon le paragraphe 2.3 du cadre, le fournisseur tiers doit avoir les compétences techniques nécessaires et ne pas présenter de conflit susceptible d’empêcher un fonctionnement impartial dans l’intérêt des Canadiens. Le CRTC cite notamment la propriété et le contexte géopolitique. Le paragraphe 2.2 place sur l’opérateur la charge de montrer que ses mesures respectent les principes. Le CRTC ne publie pas une liste de prestataires préalablement certifiés.

Il demande à chaque opérateur de connaître la chaîne qui relie l’indicateur de menace à l’action de blocage, puis d’en justifier les maillons.

Cette distinction importe, car un « fournisseur de cybersécurité » peut fournir des indicateurs, un moteur d’analyse de trafic, un équipement d’application ou une supervision externalisée. Le texte couvre les systèmes, équipements et logiciels d’un tiers utilisés pour bloquer le trafic. Une référence à un produit dans un contrat ne démontre pas, à elle seule, la qualité des signaux ni l’absence de conflit. L’opérateur doit pouvoir expliquer quelle expertise soutient le service, qui le contrôle et comment la relation est suivie.

Deux niveaux d’information sont prévus. Sur son site, l’opérateur doit décrire la portée du blocage, les méthodes de façon générale, l’existence de prestataires tiers et le fait que certains soient établis hors du Canada. Il doit aussi indiquer comment signaler un faux positif ou un blocage excessif. La Commission veut éviter des détails qui aideraient les attaquants à contourner les défenses. Le public voit donc la nature du dispositif, mais pas ses règles opérationnelles ni le dossier complet de chaque fournisseur.

Le CRTC recevra davantage de détails dans un rapport annuel confidentiel : méthodes utilisées, prestataires et produits, nombre d’indicateurs de compromission bloqués, plaintes liées aux faux positifs ou au surblocage et justification du respect du cadre. Le rapport est dû dans les 30 jours civils suivant la période concernée. La Commission peut rendre certains chiffres publics ou produire une synthèse sectorielle. Les opérateurs doivent aussi examiner périodiquement leurs systèmes.

L’inspection approfondie des paquets est réservée à des circonstances exceptionnelles et, si elle a lieu, doit rester limitée aux en-têtes, sans lecture du contenu des communications. Le cadre interdit également d’empêcher l’usage de VPN ou d’autres résolveurs DNS légitimes pour contourner le blocage.

Le désaccord de fond demeure visible dans l’opinion dissidente du commissaire Bram Abramson. Il soutenait l’élargissement des méthodes, mais estimait que les nouvelles obligations ne rendaient pas assez observables les erreurs et la qualité des fournisseurs. Il proposait notamment de suivre les changements de prestataires et de méthodes ainsi que le résultat des plaintes. Ces propositions ne sont pas des obligations en vigueur. Elles soulignent toutefois le test pratique : le régulateur saura-t-il évaluer la preuve que l’opérateur conserve, plutôt que de recevoir uniquement un nom de fournisseur et une déclaration annuelle de conformité?

Pour un opérateur, le risque ne vient pas du seul fait d’externaliser. Il vient d’une dépendance que personne ne peut décrire quand un signal erroné bloque une destination légitime ou qu’un fournisseur change de contrôle. Une vérification documentée doit lier la méthode à son objectif, aux données utilisées, au prestataire, à la date d’examen, au circuit de plainte et à une solution de remplacement. Le contrat peut prévoir une notification des changements de propriété, de sous-traitance, de sources de données ou de pratiques de conservation.

Ces clauses ne garantissent pas l’exactitude; elles permettent de reconstituer les décisions et de remplacer un service sans perdre toute capacité de protection.

Pour les fournisseurs, l’accès au marché dépendra de plus que la couverture des menaces. L’opérateur doit pouvoir expliquer l’expertise et les intérêts du prestataire et identifier les produits utilisés dans son rapport confidentiel. Les entreprises capables d’étayer leurs affirmations et de soutenir un audit peuvent en tirer un avantage. Mais les coûts de conformité risquent de favoriser les fournisseurs déjà dotés d’une documentation solide. Le dossier du CRTC ne permet pas de mesurer cet effet.

La première période de rapport prend fin le 31 décembre 2026; les dépôts sont attendus dans les 30 jours qui suivent. Ils donneront un premier aperçu des méthodes et des prestataires déclarés, mais ne suffiront pas automatiquement à mesurer l’exactitude des détections ou la part de communications légitimes bloquées. Le nombre de plaintes dépend aussi de la capacité des clients à repérer l’origine d’un blocage. Le cadre élargit donc la discrétion technique tout en laissant la responsabilité aux opérateurs. Sa crédibilité dépendra de la qualité des preuves qu’ils conserveront et de l’usage que le CRTC en fera.

Sources