Plan fédéral de réponse aux cyberincidents

Table des matières

1. Préambule

1.1 À propos du présent document

Le présent document décrit les protocoles de coordination du gouvernement du Canada (GC) pour répondre aux cyberévénements ou aux cyberincidents qui touchent des systèmes non gouvernementaux. Il présente les intervenants et les mesures nécessaires pour que le GC traite les cyberincidents et les cyberévénements qui touchent des systèmes non gouvernementaux de façon cohérente, coordonnée et rapide. Le plan a pour objectif de promouvoir l'adoption de pratiques exemplaires qui permettront aux décideurs de disposer des informations et de la connaissance de la situation nécessaires pour soutenir les Canadiens lorsque des cyberincidents ou des cyberévénements importants se produisent.

Le plan décrit ci‑dessous sera mis à l'essai, revu et modifié chaque année.

Un glossaire des acronymes et des abréviations se trouve à l'annexe A.

1.2 Date d'entrée en vigueur

Le plan entre en vigueur le 12 mai 2023.

1.3 Pouvoirs

Le plan est préparé dans l'exercice des responsabilités conférées au ministre de la Sécurité publique et de la Protection civile par la Loi sur la gestion des urgences, la Loi sur le ministère de la Sécurité publique et de la Protection civile, au ministre de la Défense nationale par la Loi sur le Centre de la sécurité des télécommunicationsNote de bas de page 1, et conformément avec les objectifs de la Stratégie nationale de cybersécurité.

1.4 Définitions

Remarque : Les définitions sont adaptées de la Politique sur la sécurité du gouvernement et du Plan de gestion des événements de cybersécurité du gouvernement du Canada De plus amples exemples sont fournis afin de clarifier le sens de certains termes aux fins du présent Plan.

Compromission

Une violation des cybersystèmes. Ceci comprend, sans toutefois s'y limiter : 

  • Toute action ou tout événement qui entraîne la communication intentionnelle ou non d'informations, et qui a un impact négatif sur la confidentialité, l'intégrité ou la disponibilité des informations et des systèmes informatiques.
  • Un accès non autorisé à des renseignements ou des biens de nature délicate, ou la communication, la modification, l'utilisation, l'élimination ou la destruction de renseignements ou de biens de nature délicate, qui pourraient occasionner une perte de confidentialité, d'intégrité, de disponibilité ou de valeur.
Atteinte à la vie privée
L'accès, la création, la collecte, l'utilisation, la divulgation, la conservation ou l'élimination, de manière inadéquate ou non autorisée, de renseignements personnels.
Service critique
Un service critique est un service dont la perturbation porterait un préjudice élevé ou très élevé à la santé, à la sûreté, à la sécurité ou au bien-être économique des Canadiens et des Canadiennes, ou encore au fonctionnement efficace du gouvernement du Canada.
Cybersystème
Un système de services, de technologies, de biens ou d'installations numériques interdépendants qui constituent l'infrastructure de réception, de transmission, de traitement ou de stockage de l'information.
Cybersécurité
Protection de l'information numérique et préservation de l'intégrité de l'infrastructure servant à héberger et transmettre de l'information numérique. Plus précisément, la cybersécurité comprend l'ensemble des technologies, des processus, des pratiques, des interventions et des mesures d'atténuation conçus pour protéger les réseaux, les ordinateurs, les programmes et les données contre les activités malveillantes, les dommages, les perturbations ou des accès non autorisés, afin d'en assurer la confidentialité, l'intégrité et la disponibilité.
Cyberévénement

Tout événement, acte, omission ou situation, qu'il soit réussis ou non, visant à accéder à une ressource informatique ou à un réseau, ou à le modifier, le détruire, le supprimer ou le rendre inutilisable.

  • Exemples de cyberévénement : divulgation d'une nouvelle vulnérabilité; renseignements indiquant qu'un acteur menaçant pourrait planifier une activité malveillante contre un cybersystème; tentatives de violation du périmètre du réseau; courriels suspects ou ciblés avec des pièces jointes ou des liens qui n'ont pas été détectés par les contrôles de sécurité existants; ou activités de réseau suspectes ou non autorisées qui représentent un écart par rapport à l'état de référence.
Cyberincident

Un événement ou un ensemble d'événements, un acte, une omission ou une situation qui a entraîné une compromission.

  • Exemples de cyberincidents : Atteintes à la protection de données, compromission de données ou corruption d'information; introduction intentionnelle ou accidentelle de logiciels malveillants dans un réseau; attaques par bourrage d'identifiants; campagnes d'hameçonnage; rançongiciels (tentatives réussies); exploitation d'une vulnérabilité; défaillance d'un contrôle de sécurité; activités de déni de service; ou dégradation ou compromission d'un site Web ou d'une présence en ligne.

Un cyberincident peut entraîner une compromission ou une violation de la vie privée s'il implique la création, la collecte, l'utilisation, la communication, la conservation ou la destruction inappropriée de renseignements personnels.

Dans le présent document, pour faciliter la lecture, le terme « cyberincident» sera utilisé.

Menace
Tout événement ou acte potentiel, délibéré ou non intentionnel, ou tout risque naturel susceptible d'entraîner une compromission.
Cybermenace
Tout événement ou acte potentiel, délibéré ou fortuit, ou danger naturel qui pourrait entraîner une compromission des biens de TI.Note de bas de page 2
Vulnérabilité
Faiblesse dans un système d'information, dans la procédure de sécurité des systèmes, dans les contrôles internes ou dans la mise en œuvre qui pourrait être exploitée ou créée par une source de menace.

2. Introduction

2.1 Contexte

Les cybersystèmes sous‑tendent de plus en plus chaque aspect de notre quotidien. Un cyberincident touchant des biens qui ne sont pas détenus ou exploités par le GC pourrait avoir des conséquences négatives importantes pour les Canadiens, l'économie, la démocratie et la sécurité nationale du Canada. Pour renforcer la posture globale du Canada en matière de cybersécurité, le GC doit être prêt, au besoin, à prendre des mesures rapides et coordonnées lorsque des cyberincidents importants touchent des cybersystèmes non gouvernementaux.

2.2 Objet

Le présent document a pour objet de fournir un cadre pour la gestion par le GC des cyberincidents qui touchent des biens qui ne sont pas détenus ou exploités par le GC et qui sont essentiels à la santé, à la sécurité, à la défense ou au bien-être économique des Canadiens.

Le document sera à la fois complémentaire et distinct des mécanismes d'intervention existants, tels que le Plan de gestion des événements de cybersécurité du gouvernement du Canada (PGEC GC) et le Plan fédéral d'intervention d'urgence (PFIU)Note de bas de page 3.

2.3 Portée

La portée du plan se limite aux cyberincidents qui nécessitent une intervention intégrée du GC afin de minimiser les répercussions négatives pour les Canadiens.

Il vise à rationaliser l'intervention du GC en cas de cyberincidents touchant des organisations canadiennes qui ne bénéficient pas de services de cybersécurité dans le cadre du PGEC GC ou du PFIU. Ces organisations pourraient être, notamment :

Dans le cas de cyberincidents touchant à la fois des systèmes du GC et des systèmes non gouvernementaux, le PFRC et le PGEC GC pourraient être activés de concert pour coordonner l'intervention du GC. Ce processus est décrit à la section 6.

2.4 Objectifs

Les objectifs du PFRC sont les suivants :

2.5 Présomptions

Les hypothèses suivantes ont été avancées lors de l'élaboration du plan :

3. Gestion des cyberincidents touchant des cybersystèmes non gouvernementaux

La présente section du plan décrit le processus de gestion des cyberincidents touchant des cybersystèmes non gouvernementaux, identifie les intervenants concernés, définit les niveaux d'intervention et décrit les éléments déclencheurs de la signalisation progressive.

3.1 Intervenants

Les intervenants sont répartis en deux grandes catégories : les principaux intervenants, qui seront toujours mobilisés et joueront un rôle clé dans le processus du PFRC, et les intervenants secondaires, qui peuvent jouer un rôle selon la nature du cyberincident. Les rôles et responsabilités détaillés de chaque intervenant se trouvent à l'annexe B.

Intervenants du PFRC

3.2 Aperçu du processus

La gestion du PFRC comporte quatre phases. Un graphique résumant ces phases se trouve à l'annexe C.

Phase 1 : Préparation

La phase de préparation comprend des activités générales de préparation pour s'assurer que le GC est prêt à répondre à un large éventail de cyberincidents partout au Canada. Cette phase comprend la mise en place des moyens appropriés pour prendre en charge l'ensemble des exigences en matière de gestion des cyberincidents. L'application de mesures de protection et de prévention par les propriétaires et les exploitants de biens et d'infrastructures reposant sur des cybersystèmes constitue également un élément clé de cette phase.

Durant cette phase :

Phase 2 : Notification, détection et évaluation

La phase de notification, de détection et d'évaluation implique la découverte d'un cyberincident. Le GC peut prendre connaissance d'un cyberincident par divers moyens, comme les signalements aux ministères ou organismes du GC, les signalements à la police locale, aux médias, etc. Quelle que soit la façon dont le GC en prend connaissance, les cyberincidents doivent être signalés au Centre pour la cybersécurité du CST dans les plus brefs délais, à l'aide des voies de communication habituelles ou à l'aide du Portail de signalement du Centre canadien pour la cybersécurité.

S'il existe une preuve suffisante démontrant des activités criminelles présumées, en plus du signalement standard au Centre canadien pour la cybersécurité, les entités touchées devraient signaler les cyberincidents directement au Groupe national de coordination contre la cybercriminalité (GNC3) de la GRC, au service de police compétente et au SCRS, au besoin. 

S'il y a lieu, le Centre pour la cybersécurité discutera du cyberincident avec la DGCN de SP pour une éventuelle activation du PFRC et la détermination d'un niveau d'intervention approprié du GC. Ce processus est résumé dans le graphique ci‑dessous :

Figure 1 Résumé du processus

Figure 1 Résumé du processus

Description de l'image

La figure 1 représente le processus d'activation du Plan Fédéral de réponse aux Cyberincident (PFRC) et de la détermination du niveau d'intervention approprié du GC.

  • Un incident de cybersécurité est porté à l'attention du Gouvernement du Canada.
  • Le ministère concerné doit aviser immédiatement le Centre pour la Cybersécurité d'un incident potentiel.
  • Le Centre pour la Cybersécurité procède à une évaluation initiale de l'incident afin de déterminer si l'activation du PFRC est justifiée.
  • En tant que coprésident du PFRC, le DGCN et le Centre confirment conjointement si l'activation du plan est méritée. Si tel est le cas, ils déterminent conjointement le niveau de réponse du PFRC approprié et convoquent les organes de gouvernance pertinents.
  • L'incident est portée à l'attention de l'organe de gouvernance du PFRC. (voir section 3.4)

Durant cette phase :

Le Secrétariat du Conseil du Trésor du Canada (SCT) participera à cette phase, en tant que troisième coprésident, si le cyberincident touche à la fois des systèmes du GC ou des ressources d'information (PGEC GC) et des systèmes non gouvernementaux (PFRC) [comme indiqué à la section 6.1].

Phase 3 : Atténuation, soutien et enquête

La phase d'atténuation, de soutien et d'enquête consiste en des actions de coordination qui sont nécessaires pour minimiser l'impact sur les Canadiens, faciliter la circulation de l'information pour les décideurs de haut niveau (comme indiqué dans la section 3.3) et soutenir la reprise des activités normales. Les intervenants énumérés à la section 3.1 joueront un rôle essentiel dans le partage d'informations et la coordination des actions. Des enquêtes criminelles et de sécurité nationale simultanées, menées respectivement par la GRC et le SCRS, peuvent être nécessaires en cas de cybercrime ou de menace à la sécurité nationale. Le degré de participation du GC variera en fonction du niveau d'intervention du GC établi.

Durant cette phase :

Phase 4 : Activités après l'incident

La dernière phase, les activités après l'incident, est essentielle pour l'amélioration continue du processus global et, à ce titre, elle alimente la phase de préparation pour compléter le cycle de vie de la gestion des cyberincidents. Cette phase consiste à effectuer une analyse après l'incident, la préparation et l'examen des leçons retenues, et la mise en œuvre de changements aux processus ou aux procédures afin d'améliorer continuellement la réponse du GC aux cyberincidents.

Durant cette phase :

Les rapports seront remis aux principaux intervenants (comme indiqué à la section 3.2), aux intervenants secondaires, le cas échéant, ainsi qu'à tout organe de gouvernance supplémentaire ayant participé à la gestion du cyberincident.

À moins que des limitations soient créées par des ententes de non‑divulgation conclues entre les organisations du GC et les entités concernées, la communication et le signalement parmi tous les intervenants auront lieu à partir du moment où un cyberincident est détecté jusqu'à la conclusion des activités après l'incident, des rapports et des communications sont établis entre tous les intervenants. Il est essentiel d'intégrer ces activités permanentes dans le cycle de vie de la gestion des cyberincidents afin de garantir que les conseils en matière d'atténuation et les mises à jour de l'état d'avancement soient diffusés en temps réel, de permettre une connaissance de la situation et de soutenir une prise de décision éclairée.

3.3 Niveaux d'intervention du GC

Il y a quatre niveaux d'intervention qui régissent le processus du PFRC, comme indiqué à l'annexe D.

Ces niveaux déterminent le niveau de coordination requis pour un cyberincident donné, ainsi que la participation des intervenants et les exigences en matière de rapports.

Le niveau 1 représente les activités quotidiennes. En raison de la nature dynamique de l'environnement des cybermenaces et de la divulgation constante de nouvelles vulnérabilités en matière de cybersécurité, le GC se situe généralement au niveau 1. À l'échelle du GC, aucune coordination supplémentaire n'est requise entre les principaux intervenants ou les intervenants secondaires, sinon l'échange habituel de renseignements entre eux pour se mettre au fait de la situation.

Le niveau 2 indique qu'une attention accrue est requise et est établi par codécision au niveau des directeurs (Centre pour la cybersécurité, DGCN de SP). Ce niveau entraîne la mobilisation de l'équipe de coordination des événements (ECE), comme indiqué à la section 3.4, pour tous les événements confirmés et implique qu'une certaine coordination limitée à l'échelle du GC est nécessaire pour communiquer l'information, le cas échéant, et informer les décideurs. À ce niveau, les principaux intervenants et, au besoin, les intervenants secondaires du PFRC au niveau opérationnel et des directeurs se réuniront officiellement en personne ou virtuellement. L'entité touchée peut être invitée à participer au processus d'intervention du PFRC. L'ECE sera coprésidée au niveau des directeurs par le Centre pour la cybersécurité et la DGCN de SP. La fréquence des réunions de l'ECE sera déterminée par les coprésidents, en consultation avec les intervenants participants. Les membres de l'ECE s'assureront que la connaissance de la situation est maintenue en informant leur chaîne de gestion respective. Un solide plan de communication publique peut être nécessaire pour les cyberincidents de ce niveau. Les Communications de SP dirigeront, en étroite collaboration avec les Communications du CST et les Communications du BCP, l'approche du GC en matière de communications (voir la section 5 et l'annexe C pour plus de détails).

Le niveau 3 indique qu'une attention immédiate et la prise de mesures sont requises au niveau du GC, et est établi par une décision au niveau des directeurs généraux (Centre pour la cybersécurité, DGCN de SP). Les membres de l'ECE continuent de se rencontrer, et le niveau 3 entraîne la mobilisation de l'équipe de la haute direction (EHD), comme indiqué à la section 3.4, pour tous les événements confirmés. La portée de l'EHD est évolutive, mais, à la base, elle est constituée de la communauté des DG des cyberopérationsNote de bas de page 4, avec une représentation supplémentaire des intervenants secondaires, au besoin. En plus des réunions au niveau des DG, des réunions spéciales avec les membres pertinents du Comité des sous‑ministres adjoints sur la cybersécurité ou du Comité des sous‑ministres sur la cybersécurité (CSMAC/CSMC) peuvent avoir lieu. À ce niveau, l'information sera coordonnée et communiquée entre les comités de l'ECE et de l'EHD afin d'informer et d'appuyer les décideurs. Un plan de communication publique rigoureux sera nécessaire pour la plupart des cyberincidents de ce niveau. Les Communications de SP dirigeront, en étroite collaboration avec les Communications du CST, l'approche du GC en matière de communications (voir la section 5 et l'annexe C pour plus de détails).

Le niveau 4 est réservé aux événements graves ou catastrophiques qui touchent des cybersystèmes non gouvernementaux. Les cyberincidents qui atteignent ce niveau passeront à la structure de gouvernance du PFIU et seront coordonnés par le COG de SP afin d'assurer l'harmonisation des efforts d'intervention fédéraux. Les réunions de l'ECE et de l'EHD se poursuivront et se concentreront sur la coordination opérationnelle tout en alimentant l'intervention au niveau du PFIU avec les résultats opérationnels nécessaires.

Détermination des niveaux d'intervention du PFRC

Les niveaux d'intervention du PFRC sont déterminés à partir de l'analyse de deux facteurs : l'évaluation des répercussions (comme indiqué dans l'appendice E) et l'étendue du cyberincident en question.

Les évaluations des incidences sont initialement réalisées par le Centre pour la cybersécurité à l'aide de la matrice d'évaluation des répercussions de l'événement présentée à l'annexe E du présent document. Le Centre canadien pour la cybersécurité pourrait se mobiliser auprès de l'organisation touchée pour orienter les évaluations des incidences. Ce processus, applicable à tous les cyberincidents entrant dans le champ d'application du plan, s'appuie sur un test de préjudice normalisé qui a pour but d'évaluer le degré de préjudice subi ou que l'on pourrait raisonnablement s'attendre à subir à la suite d'une compromission. L'évaluation prend en compte la gravité et la portée de l'événement. Une fois que le degré de préjudice a été évalué, on y applique un modificateur pour tenir compte de la probabilité de concrétisation du préjudice lorsqu'aucun cyberincident ne s'est encore produit (ex. les cybermenaces latentes et les vulnérabilités non exploitées).

Lorsqu'elles sont disponibles, les évaluations de l'incidence des parties touchées sont également utilisées par les présidents de l'ECE pour évaluer l'urgence et établir le niveau d'intervention du PFRC approprié.

3.4 Gouvernance

Durant un cyberincident, les organes de gouvernance appropriés se concentreront à la fois sur la coordination et l'échange de renseignements afin de prévenir et de détecter des cyberincidents, d'y répondre et d'assurer la reprise des activités de manière cohérente. Un diagramme décrivant le flux d'échange de renseignements se trouve à l'annexe H.

Modèle de passage à un niveau supérieur

La structure de gouvernance, telle que décrite à l'annexe F, identifie les intervenants du GC impliqués dans la décision de procéder au passage à un niveau supérieur ou à un niveau inférieur d'un cyberincident.

Étant donné la brièveté des délais dans lesquels les cyberincidents peuvent causer des dommages importants, il est essentiel de réunir rapidement les organes de gouvernance pertinents. Par exemple, si un événement est évalué dès le départ au niveau 3, la gouvernance se réunira immédiatement au niveau de l'EHD, l'ECE étant mise en place simultanément pour soutenir la coordination et le flux d'informations directement vers l'EHD, qui transmettra ensuite ces informations aux hauts responsables concernés. 

Notes supplémentaires concernant le modèle de passage à un niveau supérieur :

Passage à un niveau inférieur

Plusieurs facteurs de passage à un niveau inférieur devront être pris en compte, notamment le fait qu'un cyberincident soit jugé moins grave qu'initialement prévu, ou que la menace soit réduite ou la vulnérabilité atténuée.

La décision de passer à un niveau inférieur est prise par les coprésidents de l'ECE pour le niveau 2, en consultation avec les intervenants de l'ECE. Pour les événements de niveau 3, la décision de passer à un niveau inférieur est prise sur recommandation des coprésidents de l'ECE et sur instruction de l'EHD. Toutefois, la décision de passage à un niveau inférieur des cyberincidents de niveau 4 sera prise en consultation avec le COG de SP.

Selon la nature de l'événement, la matrice d'évaluation des répercussions de l'événement présentée à l'annexe E pourrait être revue afin d'évaluer avec précision le niveau d'intervention requis. Pour les cybermenaces et les vulnérabilités, le passage à un niveau inférieur sera déclenché sur la base d'une diminution de l'exposition au préjudice (ex. faible probabilité d'occurrence, diminution de l'exploitabilité ou de l'exposition des systèmes vulnérables, efficacité accrue des contrôles de sécurité). Pour les cyberincidents confirmés, le passage à un niveau inférieur sera déclenché sur la base d'une diminution de la gravité ou de la portée du préjudice.

4. Signalement et échange d'informations

Les intervenants et les décideurs du GC doivent être informés du cyberincident et le comprendre d'un point de vue global afin d'éclairer la prise de décision.

4.1 Signalement des événements au GC

Il est fortement recommandé et attendu que tous les cyberincidents dont les intervenants du GC ont connaissance, en particulier ceux qui pourraient avoir un impact négatif sur l'intérêt national, soient signalés au Centre pour la cybersécurité. Par l'intermédiaire du Centre pour la cybersécurité, le GC est en mesure d'offrir des conseils et des orientations, y compris une assistance technique aux entités touchées, en matière de détection, d'évaluation, d'atténuation et de récupération. Cependant, conformément à la Loi sur le CST, le Centre pour la cybersécurité peut ne pas être en mesure de répondre de la même manière pour les entités qui sont couvertes par le PFRC, mais qui n'ont pas été désignées comme un système d'importance par le ministre de la défense nationale. Cette désignation affectera les options de réponse qui seront disponibles pour le Centre pour la cybersécurité.

En cas d'un cyberincident, en plus de le signaler au Centre pour la cybersécurité, les organisations non gouvernementales sont, et devraient être, encouragées à le signaler directement à la GRC, au SCRS ou au service de police locale. La GRC ou le service de police locale collaborera avec les entités concernées pour entamer le processus d'enquête criminelle et fera appel aux ressources policières provinciales ou nationales, si l'on soupçonne un cybercrime. Même si toutes les plaintes ne débouchent pas sur une enquête active, les données contribueront aux efforts pour perturber les activités criminelles et démanteler les infrastructures cybercriminelles. Les atteintes substantielles à la vie privée doivent être signalées au Commissariat à la protection de la vie privée du Canada ou au commissaire à la protection de la vie privée de la province ou du territoire, selon la législation sur la vie privée qui s'applique à l'organisation.

4.2 Exemples de signalement

Vous trouverez ci‑dessous une liste (non exhaustive) de cas qui vous aideront à déterminer le type d'événement qui pourrait activer le PFRC :

Il convient de rappeler aux intervenants non gouvernementaux qu'en cas de doute, il est préférable de sursignaler que de sous‑signaler.

4.3 Échange d'informations au sein du GC

À l'échelle du gouvernement, les rapports seront traités comme suit :

Un graphique du flux d'échange d'informations se trouve à l'annexe G. Notez que l'échange d'informations au niveau de l'ECE guidera l'échange d'informations au niveau de l'EHD.

Dans les cas où les entités travaillent volontairement en collaboration avec le GC, les informations échangées avec le GC peuvent être de nature délicate pour le fonctionnement et la réputation de l'entité. Le Centre canadien pour la cybersécurité obtiendra le consentement de l'entité touchée avant d'échanger de l'information protégée avec d'autres ministères du GC. À ce titre, tous les intervenants du GC feront preuve de la diligence requise dans le traitement des informations de nature potentiellement délicates de tiers. La transmission de ces informations au sein du GC se fera par défaut, au minimum, au moyen d'une technologie de communication chiffrée. Des moyens de communication plus sécurisés sont disponibles si nécessaire.

Dans les cas où les ministères ou organismes du GC concluent des ententes de non‑divulgation avec les entités touchées couvertes par le PFRC, ces ententes devront permettre les échanges d'informations nécessaires entre les ministères et organismes du GC chargés de réaliser les responsabilités essentielles précisées dans le PFRC.

5. Communications externes

Lors d'un cyberincident pris en charge par le PFRC, les Communications de SP sont désignées comme responsables de la coordination de l'approche du GC en matière de communications. Les Communications de SP, en partenariat étroit avec les Communications du CST et les CS du BCP, coordonneront l'élaboration de produits de communication avec les équipes de communication appropriées, y compris avec le MOFR représentant le secteur touché.

Les Communications de SP répondront ou coordonneront la réponse aux demandes des médias concernant la posture ou la réponse globale du GC, tandis que les Communications du CST conserveront leur rôle principal de parler des questions techniques et des conseils et orientations en matière de cybersécurité.

Pour faciliter la coordination au sein de la communauté des communications, les Communications de SP organiseront régulièrement des réunions avec les intervenants lors des incidents de niveau 2, 3 et 4.

6. Gestion des cyberincidents touchant à la fois des cybersystèmes du GC et des cybersystèmes non gouvernementaux

La présente section du plan décrit le processus de gestion des cyberincidents qui touchent à la fois des cybersystèmes du GC et des cybersystèmes non gouvernementaux. Plus précisément, elle se penchera sur les domaines où le processus de gestion diffère de l'aperçu du processus fourni à la section 3.1, de la gouvernance décrite à la section 3.4, du processus d'échange d'informations au sein du GC décrit à la section 4.3 et du processus de communication externe décrit à la section 5. Les autres sections du présent document restent pertinentes en cas d'activation simultanée du PFRC et du PGEC GC, ce qui se mesure par un effet clair et concret sur les systèmes du GC et les systèmes non gouvernementaux. S'il y a un conflit manifeste entre le PFRC et le PGEC GC, le PGEC GC prévaut.

6.1 Aperçu du processus

Comme dans le processus de gestion du PFRC, les cyberincidents qui touchent à la fois des cybersystèmes du GC et des cybersystèmes non gouvernementaux comportent quatre phases. Un graphique résumant ces phases se trouve à l'annexe B.

Phase 1 : Préparation

La phase de préparation comprend des activités générales de préparation pour s'assurer que le GC est prêt à répondre à un large éventail de cyberincidents partout au Canada. Cette phase reste celle décrite à la section 3.1.

Phase 2 : Notification, détection et évaluation

La phase de notification, de détection et d'évaluation implique la découverte d'un cyberincident. Les cyberincidents qui touchent à la fois des cybersystèmes du GC et des cybersystèmes non gouvernementaux seront portés à l'attention du Centre pour la cybersécurité. Le Centre pour la cybersécurité convoquerait alors une réunion avec la DGCN de SP et le SCT pour discuter de l'activation éventuelle du PFRC et du PGEC GC et déterminer le niveau d'intervention approprié.

Durant cette phase :

Phase 3 : Atténuation, soutien et enquête

La phase d'atténuation, de soutien et d'enquête nécessitera un degré variable de participation du GC, en fonction du niveau d'intervention du PFRC et du PGEC GC établi.

Durant cette phase :

Phase 4 : Activités après l'incident

La phase des activités après l'incident est essentielle pour l'amélioration continue du processus global de gestion des cyberincidents du GC pour les situations qui touchent à la fois des cybersystèmes du GC et des cybersystèmes non gouvernementaux et, à ce titre, elle alimente la phase de préparation pour compléter le cycle de vie. Cette phase consiste à effectuer une analyse après l'incident, la préparation et l'examen des leçons retenues, et la recommandation de changements aux processus ou aux procédures afin d'améliorer continuellement la réponse du GC aux cyberincidents.

Durant cette phase :

6.2 Gouvernance

Lorsque le PFRC et le PGEC GC sont activés simultanément, la structure de gouvernance décrite dans la présente section s'appuiera sur des organes de gouvernance qui géreront la coordination et l'échange d'informations concernant le cyberincident : l'ECE (événements de niveau 2 et plus); les comités de l'EHD (événements de niveau 3 et 4); et la structure de gouvernance du PFIU (événements de niveau 4). Un diagramme décrivant le flux d'échange d'informations se trouve à l'annexe H.

Équipe de coordination des événements

Comme pour les ECE qui sont mises en place lors de l'activation du PFRC ou du PGEC GC, l'ECE lors d'un événement pris en charge par le PFRC et le PGEC GC est un groupe d'intervenants de niveau opérationnel et des directeurs qui est activé lors d'événements de niveau 2 et plus. Toutefois, dans le cas d'une activation simultanée du PFRC et du PGEC GC, l'ECE devient un comité tripartite coprésidé au niveau des directeurs par la DGCN de SP, le SCT et le Centre pour la cybersécurité.

L'ECE est composée de représentants des principaux intervenants, avec des représentants supplémentaires de SPC et, au besoin, de représentants des intervenants secondaires, comme indiqué dans la section 3.2. Le MOFR qui représente le secteur touché peut également être invité à participer à l'ECE (voir la liste à l'annexe C). Au niveau 2, les membres de l'ECE se réuniront officiellement en personne ou virtuellement pour assurer la coordination et échanger des informations sur le cyberincident en question. Pour les événements de niveau 2 et 3, l'ECE s'assurera que la connaissance de la situation est maintenue parmi les membres de l'EHD et pourra recevoir une orientation stratégique de l'EHD au besoin.

Durant les cyberincidents de niveau 4, l'ECE continue de se réunir et les coprésidents veillent à ce que des experts en la matière soient à la disposition du COG de SP pour donner des conseils et veiller à ce que la connaissance de la situation soit maintenue.

Équipe de la haute direction

Contrairement aux trois comités de l'EHD distincts qui peuvent être activés lors d'un événement pris en charge par le PFRC, l'EHD lors d'un événement pris en charge par le PFRC et le PGEC GC est un groupe d'intervenants au niveau des directeurs et des DG qui est activé lors d'événements de niveau 3 ou plus. En cas d'activation simultanée du PFRC et du PGEC GC, l'EHD devient un comité tripartite présidé au niveau des DG par le Centre pour la cybersécurité, le SCT et la DGCN de SP. Les coprésidents de l'EHD peuvent recommander l'invocation de comités spéciaux au niveau des SMA et des SM, selon la nature du cyberincident en question. Ces comités spéciaux au niveau des SMA et des SM fourniraient des directives et de l'orientation à l'EHD. Comme dans le cas de l'ECE, la DGCN de SP ou le SCT peut jouer un rôle plus important que l'autre selon les systèmes informatiques les plus touchés.

L'EHD est composée de représentants des principaux intervenants, de représentants supplémentaires de SPC et, au besoin, de représentants des intervenants secondaires, comme indiqué dans la section 3.2. Le MOFR qui représente le secteur concerné peut également être invité à participer à l'EHD. Cependant, toute décision finale concernant la participation sera déterminée par les présidents, qui pourront limiter les invitations afin d'assurer un fonctionnement optimal du comité. Au niveau 3, les membres de l'EHD se réuniront officiellement en personne ou virtuellement de façon ponctuelle pour échanger des informations et s'assurer que les hauts responsables concernés soient tenus au courant de la situation.

Durant les événements de niveau 4, l'EHD peut être intégrée au sein du CDGGU du PFIU.

6.3 Échange d'informations au sein du GC

À l'échelle du GC, l'établissement de rapports pendant l'activation du PFRC et du PGEC GC sera traité comme suit :

Un graphique du flux d'échange d'informations se trouve à l'annexe H. Notez que l'échange d'informations au niveau de l'ECE se poursuivra parallèlement à l'échange d'informations au niveau de l'EHD.

6.4 Communications externes

Les CSAM du SCT, les Communications de SP et les Communications du CST coordonneront l'élaboration de produits de communication destinés aux intervenants, aux clients et au public avec les équipes de communication des principaux intervenants et des intervenants secondaires énumérés à la section 3.2, en étroite collaboration avec les CS du BCP. Pour les cyberincidents de niveau 2 et 3 pris en charge par le PFRC et le PGEC GC, le département des Communication du SCT agiront comme responsables des communications du GC. Pour les cyberincidents de niveau 4, les Communications de SP coordonneront les communications du GC, comme le prévoit le PFIU. Pour faciliter la coordination au sein de la communauté des communications, le responsable des communications du GC peut organiser des réunions régulières avec les intervenants.

Annexe A : Glossaire des acronymes et des abréviation

SMA
Sous‑ministre adjoint
CCC
Centre canadien pour la cybersécurité, partie intégrante du Centre de la sécurité des télécommunications
CCSSN
Comité canadien chargé des systèmes de sécurité nationale
DGIE
Direction générale des infrastructures essentielles
DPI
Dirigeant principal de l'information
Comm.
Communications
CST
Centre de la sécurité des télécommunications
PGEC
Plan de gestion des événements de cybersécurité
SCRS
Service canadien du renseignement de sécurité
DPS
Dirigeant principal de la sécurité
DG
Directeur général
CIDG
Comité d'intervention des directeurs généraux
MDN‑FAC
Ministère de la Défense nationale/Forces armées canadiennes
ADC
Agent désigné pour la cybersécurité
ECE
Équipe de coordination des événements
EHD
Équipe de la haute direction
CII
Comité sur les interventions en cas d'incident
PFIU
Plan fédéral d'intervention d'urgence
GC
Gouvernement du Canada
AMC
Affaires mondiales Canada
COG
Centre des opérations du gouvernement
GICO
Gestion des incidents et coordination opérationnelle, partie intégrante du Centre canadien pour la cybersécurité
TI
Technologie de l'information
STI
Sécurité des technologies de l'information
MOFR
Ministères et organismes fédéraux responsables
DGCN
Direction générale de la cybersécurité nationale
RSSN
Réseaux, sécurité et services numériques, partie intégrante de Services partagés Canada
SNS
Systèmes nationaux de sécurité
BCP
Bureau du Conseil privé
SP
Sécurité publique Canada
GRC
Gendarmerie royale du Canada
DI
Demande d'intervention
S et R
Sécurité et renseignement
CS
Communications stratégiques
SPC
Services partagés Canada
SCT
Secrétariat du Conseil du Trésor du Canada

Annexe B : Rôles et responsabilités

La présente annexe décrit les rôles et les responsabilités des intervenants du PFRC. Les rôles et responsabilités varient en fonction du type de cyberincidents et de son niveau d'intervention. Un intervenant peut être appelé à jouer un rôle plus important, non décrit dans l'annexe, lors d'un cyberincident pris en charge par le PFRC, selon le secteur touché et le niveau d'intervention. Tous les intervenants ont la responsabilité de porter les cyberincidents à l'attention du Centre pour la cybersécurité pour une éventuelle activation du PFRC.

Il est possible qu'un cyberincident touche à la fois des systèmes du GC et des systèmes non gouvernementaux, entraînant l'activation simultanée du PGEC GC et du PFRC. Les rôles et responsabilités décrits dans la présente annexe s'ajoutent à ceux décrits dans l'annexe connexe du PGEC GC. Si le PGEC GC et le PFRC sont activés ensemble, les ministères et organismes assumeront les responsabilités décrites dans les deux plans.

1. Principaux intervenants

Voici une liste des principaux intervenants du processus de gestion des cyberincidents du PFRC qui seront mobilisés lors d'incidents qui répondent aux critères d'activation appropriés du PFRC. Le degré de participation de chaque intervenant variera en fonction des répercussions et de la gravité du cyberincident ainsi que du secteur touché.

Sécurité publique Canada

En vertu de la Loi sur la gestion des urgences, le ministre de la Sécurité publique est le principal ministre fédéral responsable de la coordination de l'intervention du GC en cas d'urgence. SP s'acquitte de ces responsabilités au nom du ministre. En ce qui concerne la gestion des cyberincidents touchant des cybersystèmes non gouvernementaux, la DGCN de SP et les Communications de SP jouent toutes les deux un rôle.

Dans le contexte du présent plan, les rôles de la DGCN de SP sont les suivants :

Dans le cadre de ce plan, les rôles des Communications de SP sont les suivants :

Centre de la sécurité des télécommunications – Le Centre pour la cybersécurité

Le Centre pour la cybersécurité, qui est hébergé au CST, est l'autorité canadienne en matière de cybersécurité et d'assurance de l'information. Il est chargé de prévenir et d'atténuer les cyberincidents, de s'y préparer, d'intervenir et d'assurer le rétablissement pour les entités désignées comme étant des systèmes d'importance pour le gouvernement du Canada. Le Centre constitue aussi le principal organisme du GC chargé de la participation des victimes pour administrer les notifications, les avis et les conseils aux victimes. Le Centre pour la cybersécurité et les Communications du CST jouent chacun un rôle dans la réponse aux événements ou cyberincidents touchant des cybersystèmes non gouvernementaux.

Dans le cadre du présent plan, les rôles du Centre pour la cybersécurité sont les suivants :

Le Centre pour la cybersécurité du CST peut offrir des conseils, des orientations et des services pour aider les entités relevant du PFRC à répondre aux cyberincidents.

Dans le contexte du présent plan, les rôles des Communications du CST sont les suivants :

Gendarmerie royale du Canada

La GRC dirigera l'évaluation et la coordination des enquêtes sur les cyberincidents impliquant la compromission d'un cybersystème. La GRC ou les autorités policières locales sont responsables des enquêtes criminelles.

Dans le contexte du présent plan, les rôles de la GRC sont les suivants :

Service canadien du renseignement de sécurité

Le SCRS est le principal organisme d'enquête pour tous les cyberincidents portant sur des activités réelles ou présumées de cybermenaces contre la sécurité nationale du Canada.

Dans le contexte du présent plan, les rôles du SCRS sont les suivants :

Bureau du Conseil privé

En sa qualité de principal conseillers impartiaux au premier ministre et au Cabinet, le BCP, dans son rôle d'organisme central, participe à la formulation et à la mise en œuvre du programme politique du GC et à la coordination des solutions opportunes aux problèmes d'importance nationale, internationale ou intergouvernementale auxquels le GC est confronté. Le BCP peut jouer un rôle plus important dans la coordination des interventions du GC et des Communications, selon le type d'incident, son niveau d'intervention et les ressources disponibles.

Dans le contexte du présent plan, les rôles du BPC sont les suivants :

Dans le contexte du présentant plan, les rôles du département des communications du BCP sont les suivants :

Ministère de la Défense nationale / Forces armées canadiennes

Le ministère de la Défense nationale / Forces armées canadiennes (MDN‑FAC) est le principal ministère chargé de la lutte contre les cybermenaces réelles ou présumées contre les systèmes et les réseaux du MDN‑FAC.

Dans le contexte du présent plan, les rôles du MDN‑FAC sont les suivants :

Affaires mondiales Canada

AMC joue un rôle essentiel dans l'exercice du leadership du Canada dans la protection et le renforcement de l'ordre international fondé sur des règles et dans la défense des intérêts et des valeurs du Canada liés aux droits de la personne, aux libertés et à l'inclusion, à la démocratie, aux programmes de paix et de stabilisation et à la coopération en matière de sécurité.

Dans le contexte du présent plan, les rôles d'AMC sont les suivants :

2. Intervenants secondaires

Services partagés Canada

SPC est responsable de l'infrastructure du réseau du GC, de la prestation des programmes et des services aux Canadiens, et de la gestion du périmètre du réseau, y compris les passerelles et l'infrastructure secrète.

En cas de cyberincident, SPC peut fournir une expertise et coordonner ses activités avec ses partenaires pour déterminer si une infrastructure qu'il gère doit être fermée ou isolée du réseau. Il répondra aux recommandations du Centre pour la cybersécurité et aux directives du SCT.

De plus, SPC développe, fournit et exploite des capacités et des outils pour la défense préventive de l'infrastructure de réseau pour les partenaires.

Dans le contexte du présent plan, les rôles du SPC sont les suivants :

Secrétariat du Conseil du Trésor du Canada

Le SCT assure la surveillance et l'orientation stratégiques dans le processus de gestion des cyberincidents du GC, en veillant à ce que les événements qui touchent les cybersystèmes du GC dans le contexte du PGEC GC soient coordonnés efficacement pour appuyer la prise de décisions et réduire au minimum les répercussions et les pertes potentielles pour le GC.

Dans le contexte du présent plan, les rôles du SCT sont les suivants :

Centre des opérations du gouvernement

Le COG de SP, au nom du GC, dirige et appuie la coordination des interventions en réponse à tout type d'événement qui menace les intérêts nationaux. En tout temps, le COG assure la surveillance, produit des rapports, offre une connaissance de la situation à l'échelle nationale, élabore des évaluations intégrées du risque et des produits d'avertissement, effectue la planification à l'échelle nationale et coordonne une gestion pangouvernementale des interventions. Pendant les périodes nécessitant des interventions accrues, le COG de SP peut compter sur l'appui du personnel d'autres ministères et organismes du gouvernement et des organisations non gouvernementales qui travaillent sur place ou à distance.

Dans le contexte du présent plan, les rôles du COG de SP sont les suivants :

Ministères et organismes fédéraux responsables des secteurs des infrastructures essentielles

Les MOFR sont des ministères et organismes du GC qui dirigent chaque secteur des infrastructures essentielles. Il incombe aux MOFR de faire progresser la collaboration entre les gouvernements fédéral, provinciaux et territoriaux, les associations nationales et les propriétaires et exploitants d'infrastructures essentielles. Chaque ministère responsable est chargé de faciliter le développement de réseaux sectoriels pour répondre aux besoins de ses intervenants, ce qui comprend l'identification des questions d'intérêt national, régional ou sectoriel. Le ministère responsable doit aussi élaborer des outils et des pratiques exemplaires pour renforcer la résilience des infrastructures essentielles couvrant tous les aspects de la prévention et de l'atténuation, de la préparation, de l'intervention et du rétablissement. Dans le cas de l'activation du PFRC, les MOFR joueraient probablement un rôle plus important en tant que principal point de contact pour le secteur touché, et seraient invités à participer aux organes de gouvernance du PFRC.

Dans le cas où un ministère ou un organisme ne faisant pas partie des MOFR est informé par une entité qui n'est pas une infrastructure essentielle qu'un cyberincident a eu lieu, ce ministère ou organisme ne faisant pas partie des MOFR sera chargé de signaler l'incident et d'assurer la liaison avec l'entité touchée durant tout le cycle de gestion de l'incident.

La relation entre les secteurs et les MOFR est la suivante :
Secteur Ministères et organismes fédéraux responsables
Énergie et services publics Ressources naturelles Canada
Technologies de l'information et des communications Innovation, Sciences et Développement économique Canada
Finances Ministère des Finances Canada
Santé Agence de la santé publique du Canada
Nourriture Agriculture et Agroalimentaire Canada
Eau Environnement et Changement climatique Canada
Transports Transports Canada
Sécurité Sécurité publique Canada
Gouvernement Sécurité publique Canada
Fabrication Innovation, Sciences et Développement économique Canada, ministère de la Défense nationale

Autres intervenants du GC

D'autres ministères et organismes du GC jouent un rôle clé dans la gestion des cyberincidents. Les rôles et responsabilités détaillés des ministères en matière de gestion des cyberincidents se trouvent dans la gouvernance, les plans et les procédures des ministères.

Dans le contexte du présent plan, les rôles des autres ministères et organismes du GC sont les suivants :

Les ministères et organismes qui fournissent des services à des organisations non gouvernementales sont chargés d'établir des mécanismes pour informer les bénéficiaires des services des cyberincidents qui ont une incidence sur leurs systèmes ou leurs informations.

Annexe C : Niveaux d'intervention du GC

Figure 2 : Niveau d'intervention du GC

Niveaux d'intervention du GC

Description de l'image

La figure 2 représente les quatre niveaux d'intervention du Gouvernement du Canada qui régissent les activités de gestion des événements de cybersécurité et dictent la nécessité et le degré d'intervention ministériel requis.

  • Au niveau 1, le PFRC se maintien à la surveillance et la coordination des opérations quotidiennes.
  • Au niveau 2, le cyberincident nécessite un attention accrue du Gouvernement du Canada. Ceci demande la coordination des activités des intervenants du PFRC.
  • Au niveau 3, le cyberincident nécessite une attention immédiate et la prise de mesures de la part du Gouvernement du Canada. Ceci demande la coordination des activités des intervenants du PFRC.
  • Au niveau 4, le cyberincident est maintenant un événement grave ou catastrophique. Le PFRC fera transition vers la gouvernance et la coordination du Plan Fédéral d'Intervention d'Urgence (PFIU).

Annexe D : Évaluation des répercussions de l'incident

La présente annexe a pour but de présenter un processus de haut niveau qui pourrait être utilisé pour évaluer les répercussions d'un cyberincident. Le processus suivant peut être adopté et exploité selon les besoins pour alimenter le plan de réponse aux incidents. Le processus comporte deux étapes :

Étape 1 : Test de préjudice – pour tous les cyberincidents et cyberévénements

Le test de préjudice, qui s'effectue selon le tableau ci‑dessous, est fonction de la gravité et de l'étendue du préjudice qui pourrait vraisemblablement survenir.

Gravité

La gravité du préjudice réfère à l'importance des dommages ou des pertes (ex. des dommages corporels jusqu'au décès, des pertes financières négligeables jusqu'à la perte de viabilité, des faibles ennuis jusqu'aux énormes difficultés). Elle peut être caractérisée de mineure, importante ou extrême, selon l'évaluation des types suivants de préjudice :

D'autres facteurs peuvent aussi être pris en compte.

Étendue

L'étendue du préjudice réfère au nombre de personnes, d'organisations, d'installations ou de systèmes touchés, à la région géographique concernée (ex. préjudice localisé ou répandu) ou encore à la durée du préjudice (ex. à court ou à long terme). L'étendue du préjudice peut être caractérisée comme suit :

Test de préjudice

L'impact de l'incident est déterminé par son étendue et sa gravité.
Gravité Étendue
Faible Moyenne Grande
Extrême Moyen Élevé Très élevé
Importante Faible Moyen Élevé
Limitée Faible Faible Moyen

Le tableau suivant permet d'analyser les conséquences possibles d'une compromission et de valider les résultats du test de préjudice initial. Une fois confirmée, cette valeur peut être inscrite dans le rapport d'incident et soumise au Centre pour la cybersécurité

Conséquences prévues d'une compromission
Répercussions Conséquences d'une compromission

Très élevées
  • Nombreuses pertes de vie
  • Lourde perte à long terme pour l'économie canadienne
  • Atteinte majeure à la sécurité nationale (ex. compromet la capacité d'intervention des Forces armées canadiennes ou les activités de renseignement nationales)
  • Très graves nuisances aux relations diplomatiques ou internationales
  • Perte de confiance à long terme de la part du public à l'égard du GC, ce qui nuit à la stabilité du gouvernement

Élevées
  • Blessés très graves ou décès parmi un groupe de personnes, ou nombreux blessés graves
  • Perte financière grave qui nuit à l'économie canadienne ou qui réduit la compétitivité à l'échelle internationale
  • Sérieux obstacle à la prestation d'un ou de plusieurs services essentiels, ou atteinte importante à la sécurité nationale
  • Graves nuisances aux relations internationales qui pourraient être suivies d'une protestation ou d'une sanction officielle
  • Perte de confiance à long terme de la population dans le GC, ce qui nuit à la réalisation d'un objectif prioritaire du gouvernement

Moyennes
  • Menace pour la sécurité ou la vie d'une personne, ou blessés graves parmi un groupe de personnes
  • Perte financière qui nuit au rendement de tout un secteur de l'économie ou qui nuit au bien‑être d'un grand nombre de Canadiens
  • Nuisances aux relations fédérales‑provinciales
  • Importante perte de confiance de la population dans le GC ou embarras pour le GC

Faibles
  • Dommage physique ou psychologique subi par une personne
  • Stress financier ou difficultés financières subis par une personne
  • Nuisance à la réputation d'un particulier ou d'une entreprise
  • Légère perte de confiance de la population dans le GC

Étape 2 : Évaluation du risque – dans le cas uniquement des cybermenaces ou des vulnérabilités

À la différence cyberincidents confirmés, dont le préjudice a été constaté, les autres cyberévénements que sont les cybermenaces et les vulnérabilités représentent un préjudice qui est encore à l'état de potentialité. Lorsque l'on souhaite établir avec précision le niveau de répercussions potentielles, il faut procéder à une évaluation du risque (à l'aide du tableau d'évaluation du risque ci‑dessous) afin de déterminer la probabilité d'occurrence du préjudice.

En se fondant sur les résultats du test de préjudice réalisé à l'étape 1, on détermine le niveau de répercussions sur le ministère, corrigé du risque, en fonction de facteurs tels que des indicateurs (probabilité de compromission), l'exploitabilité, l'exposition des systèmes d'information concernés et la mise en œuvre de mesures compensatoires.

Exposition faible:

Exposition moyenne:

Exposition élevée:

Exposition très élevée:

L'impact modifié du risqué est determiné par le niveau d'impact  (selon le teste de prejudice de l'étape 1) et l'exposition du l'incident.

Évaluation du risque
Niveau d'impact Exposition
Faible Moyenne Élevée Très élevée
Très élevé Élevé Élevé Élevé Très élevé
Élevé Moyen Moyen Élevé Élevé
Moyen Faible Moyen Moyen Moyen
Faible Faible Faible Faible Faible

Le niveau des répercussions sur le ministère après correction du risque doit être communiqué au Centre pour la cybersécurité (lorsque l'on a reçu une demande d'information), qui s'en servira à des fins globales.

Les cybermenaces ou les vulnérabilités doivent être considérées comme des cyberincidents dès la constatation du préjudice. Lorsqu'un préjudice passe de l'état de potentialité à celui de réalité, le test de préjudice de cette annexe devra être réévalué et soumis à nouveau au Centre pour la cybersécurité afin de déterminer s'il y a lieu d'intervenir autrement ou de s'en référer à l'autorité supérieure.

Annexe E : Gouvernance du PFRC

Figure 3 : Gouvernance du PFRC

Gouvernance du PFRC

Description de l'image

La figure 3 représente le model de gouvernance du PFRC. Cette figure identifie la gouvernance requis à chaque niveau d'intervention identifié dans la figure 2. Elle identifie les intervenants requis au niveau opérationnel et de la haute direction, faisant la différence entre les principaux intervenants et les intervenants secondaires qui peuvent varier selon le type d'évènement. La gouvernance est celle qui suit :

Au niveau 1, durant les opérations quotidiennes :

  • Le Centre pour la Cybersécurité reçoit l'information de la part de tous les intervenants du Gouvernement du Canada.
  • Le Centre pour la Cybersécurité partage l'information avec la Direction générale de la cybersécurité nationale (DGCN) de la Sécurité Publique et tous deux prennent une décision, au niveau des directeurs, de monter le PFRC au niveau 2.

Au niveau 2, qui nécessite une attention accrue :

  • Les deux co-président du PFRC (le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de coordination des événements. Cette équipe comprend le Service canadien du renseignement de sécurité (SCRS), le Ministère de la Défense nationale/Forces armées canadiennes (MDN/FAC), la Gendarmerie Royale Canadienne, Affaires mondiales Canada (AMC), le Bureau du Conseil privé (BCP), et tous autres intervenants secondaires du PFRC qui peuvent être invités aux réunions.
  • Les co-présidents du PFRC peut décider de monter le PFRC au niveau 3. Cette décision est prise au niveau des directeurs généraux.

Au niveau 3, qui nécessite une attention immédiate et la prise de mesures :

  • Les co-président du PFRC (le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de la haute direction, qui comprend le comité des Directeur Généraux aux Cyberopérations et tous autres intervenants secondaires du PFRC.
  • Le Centre de la sécurité des télécommunications (CST), qui préside le comité des Directeur Généraux aux Cyberopérations, peut décider de bouger le PFRC à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres adjoints sur la cybersécurité (CSMAC).
  • les membres pertinents du comité de sous-ministres adjoints sur la cybersécurité (CSMAC) peuvent décider de bouger le PFRC à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres sur la cybersécurité (CSMC).
  • Les co-présidents de l'Équipe de la haute direction peuvent monter le PFRC au niveau 4 si l'incident de cybersécurité est devenu un événement grave ou catastrophique. Ils référeront l'incident à la gouvernance du Plan Fédéral d'Intervention d'Urgence (PFIU).

Annexe F : Flux d'échange d'informations du PFRC

Figure 4 : Flux d'échange d'informations du PFRC

Flux d'échange d'informations du PFRC

Description de l'image

La figure 4 présente le flux d'échange d'information du PFRC, séparé par les différents niveaux d'intervention du GC décrits à la figure 2. La figure 4 ne s'applique qu'aux trois premiers niveaux d'intervention et ne traite pas de l'échange d'information au niveau 4 (intervention en cas d'urgence ou de crise).

Au niveau 1, durant les opérations quotidiennes :

  • Un cyberincident peut être porté à l'attention du Gouvernement du Canada via plusieurs sources, qui incluent :
  • Sources d'informations techniques
  • Rapports de l'entité affectée
  • Forces de l'ordre
  • Média
  • Ministères fédéraux, agences, provinces et territoires
  • Autres
  • Le Centre pour la Cybersécurité reçoit l'information sur le cyberincident.
  • Le Centre pour la Cybersécurité partage l'information avec la Direction générale de la cybersécurité nationale (DGCN) de la Sécurité Publique et tous deux prennent une décision de monter le PFRC au niveau 2.

Au niveau 2, qui nécessite une attention accrue :

  • Les deux co-président du PFRC (le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de coordination des événements. Cette équipe comprend le Service canadien du renseignement de sécurité (SCRS), le Ministère de la Défense nationale/Forces armées canadiennes (MDN/FAC), la Gendarmerie Royale Canadienne, Affaires mondiales Canada (AMC), le Bureau du Conseil privé (BCP), et tous autres intervenants secondaires du PFRC qui peuvent être invités aux réunions.
  • L'information échangée par les intervenants du PFRC sera redistribuée à l'entité affectée et aux Ministères et organismes fédéraux responsables (MOFR).
  • Les produits de communications publiques seront coordonnés et préparés par les départements des communications de la Sécurité Publique, du Centre de la sécurité des télécommunications (CST), et autres départements et agences pertinentes.

Au niveau 3, qui nécessite une attention immédiate et la prise de mesures :

  • Les co-président du PFRC (le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de la haute direction, qui comprend le comité des Directeur Généraux aux Cyberopérations et tous autres intervenants secondaires du PFRC.
  • Le PFRC peut bouger à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres adjoints sur la cybersécurité (CSMAC).
  • Le PFRC peut bouger à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres sur la cybersécurité (CSMC).
  • Les co-présidents de l'Équipe de la haute direction peuvent monter le PFRC au niveau 4 si l'incident de cybersécurité est devenu un événement grave ou catastrophique. Ils référeront l'incident à la gouvernance du Plan Fédéral d'Intervention d'Urgence (PFIU).

Annexe G : Flux d'échange d'informations entre le PFRC et le PGEC GC

Figure 5 : Flux d'échange d'informations entre le PFRC et le PGEC GC

Flux d'échange d'informations entre le PFRC et le PGEC GC

Description de l'image

La figure 5 présente le flux d'échange d'information, séparé par les différents niveaux d'intervention du GC décrits à la figure 2, lorsque le PFRC et le PGEC GC sont activés simultanément. La figure 5 ne s'applique qu'aux trois premiers niveaux d'intervention et ne traite pas de l'échange d'information au niveau 4 (intervention en cas d'urgence ou de crise).

Au niveau 1, durant les opérations quotidiennes :

  • Un cyberincident peut être porté à l'attention du Gouvernement du Canada via plusieurs sources, qui incluent :
  • Sources d'informations techniques
  • Rapports de l'entité affectée
  • Forces de l'ordre
  • Média
  • Ministères fédéraux, agences, provinces et territoires
  • Autres
  • Le Secrétariat du Conseil du Trésor (SCT) reçoit l'information sur le cyberincident.
  • Le Secrétariat du Conseil du Trésor partage l'information avec le Centre pour la Cybersécurité et la Direction générale de la cybersécurité nationale (DGCN) de la Sécurité Publique et prennent ensemble une décision de monter le PFRC au niveau 2.

Au niveau 2, qui nécessite une attention accrue :

  • Les co-président du PFRC (le Secrétariat du Conseil du Trésor, le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de coordination des événements. Cette équipe comprend le Service canadien du renseignement de sécurité (SCRS), le Ministère de la Défense nationale/Forces armées canadiennes (MDN/FAC), la Gendarmerie Royale Canadienne, Affaires mondiales Canada (AMC), le Bureau du Conseil privé (BCP), les Services partagés Canada (SPC) et tous autres intervenants secondaires du PFRC qui peuvent être invités aux réunions.
  • L'information échangée par les intervenants du PFRC sera redistribuée à l'entité affectée et aux Ministères et organismes fédéraux responsables (MOFR).
  • Les produits de communications publiques seront coordonnés et préparés par les départements des communications du Centre de la sécurité des télécommunications (CST), du Secrétariat du Conseil du Trésor, de la sécurité publique, et autres départements et agences pertinentes.

Au niveau 3, qui nécessite une attention immédiate et la prise de mesures :

  • Les co-président du PFRC (le Centre pour la Cybersécurité et la Sécurité Publique) conviennent l'Équipe de la haute direction, qui comprend le Service canadien du renseignement de sécurité (SCRS), le Ministère de la Défense nationale/Forces armées canadiennes (MDN/FAC), la Gendarmerie Royale Canadienne, Affaires mondiales Canada (AMC), le Bureau du Conseil privé (BCP), les Services partagés Canada (SPC) et tous autres intervenants secondaires du PFRC qui peuvent être invités aux réunions.
  • Le PFRC peut bouger à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres adjoints sur la cybersécurité (CSMAC).
  • Le PFRC peut bouger à une réunion ad hoc réunissant les membres pertinents du comité de sous-ministres sur la cybersécurité (CSMC).
  • Les co-présidents de l'Équipe de la haute direction peuvent monter le PFRC au niveau 4 si l'incident de cybersécurité est devenu un événement grave ou catastrophique. Ils référeront l'incident à la gouvernance du Plan Fédéral d'Intervention d'Urgence (PFIU).
Date de modification :