Résumé

  • Les ministères doivent classer les services critiques selon les conséquences d’une compromission, puis déposer la liste dans l’outil Enterprise Portfolio Management du Treasury Board of Canada Secretariat d’ici au 30 novembre.
  • Le Treasury Board of Canada Secretariat, Shared Services Canada et le Canadian Centre for Cyber Security utiliseront le risque, les dépendances et les capacités pour coordonner priorités et appui.

Analyse

Le nouvel avis fédéral de mise en œuvre de la politique de sécurité (SPIN), en vigueur depuis le 1er octobre, transforme un programme général de préparation cyber en choix concret : quels services publics seraient les plus difficiles à maintenir si leurs systèmes étaient compromis ?

L’action IDT-1 demande aux ministères d’examiner les services critiques et leurs systèmes de soutien, de les classer selon les conséquences opérationnelles, juridiques, financières ou réputationnelles d’une compromission, puis de transmettre une liste priorisée à l’outil Enterprise Portfolio Management (EPM) du Treasury Board of Canada Secretariat d’ici au 30 novembre. L’avis prévoit que cette liste soutiendra la priorisation centrale et la planification de Shared Services Canada; il ne dit pas qu’elle sera publique.

Le classement doit relier continuité du service et travaux techniques. Le texte demande aussi des inventaires d’applications à jour, des schémas montrant les systèmes et chemins d’attaque, ainsi qu’une visibilité sur les actifs exposés à Internet. On peut alors relier un service à ses dépendances : identités, réseaux, applications et fournisseurs externes nécessaires à sa disponibilité ou à son rétablissement. Le programme comprend aussi l’identification des actifs, la réponse aux vulnérabilités, le durcissement des identités et des réseaux, la surveillance et la préparation au rétablissement.

La répartition des rôles est précise. Le Treasury Board of Canada Secretariat (TBS), avec Shared Services Canada (SSC) et le Canadian Centre for Cyber Security, établira les priorités gouvernementales et l’appui de SSC selon le risque cyber, les dépendances et la capacité de livraison. SSC fournit des services informatiques communs, mais les ministères restent responsables des informations et actifs du gouvernement, y compris lorsque des tiers ou des fournisseurs de services gérés interviennent.

Les exigences de sécurité doivent donc figurer dans les marchés, contrats et leur gestion continue : l’infrastructure partagée ne transfère pas la responsabilité du service.

Si la capacité manque pour traiter tous les services à la fois, l’avis recommande de commencer par au plus trois services prioritaires, puis d’étendre la même méthode aux autres. C’est une recommandation de séquençage, non un plafond définitif. Il faudra vérifier si le premier groupe repose sur des preuves d’impact solides et si les dépendances restent visibles pendant l’extension.

Les agents d’IA s’inscrivent dans ce programme plus vaste. HRD-6 les inclut expressément parmi les entités non humaines, avec les comptes de service et les identités machine. Le texte demande un responsable clair, une finalité documentée, une gestion du cycle de vie et des revues régulières des privilèges, en limitant les accès permanents et les identifiants statiques. La question devient très pratique : qui répond d’une identité automatisée pouvant atteindre un système critique, qui peut révoquer son accès et comment son activité est-elle contrôlée ?

Les conseils du Canadian Centre for Cyber Security apportent un contexte technique sur les limites d’autonomie, l’accès, les journaux, les tests et l’intervention; ils ne prouvent aucun incident ministériel.

Le TBS annonce également une vérification active du périmètre gouvernemental et des systèmes accessibles au public, un suivi des progrès et, au besoin, des échanges avec les hauts responsables en cas d’action non réalisée. L’annexe A propose des indicateurs « indicatifs », comme la mise à jour des inventaires ou l’identification des responsables d’entités non humaines. Elle ne donne aucun score actuel. Le premier repère sera donc l’échéance du 30 novembre, puis la preuve de la façon dont les partenaires centraux convertissent les listes en priorités.

Sources