Protégé B (Canada)

Introduction

Le gouvernement du Canada (GC) classe les données en fonction de différents niveaux de catégorisation de la sécurité (par exemple, Protégé A, Protégé B, Confidentiel, Secret et Très secret) en fonction du degré de sensibilité des informations et des dommages potentiels qui pourraient survenir si la confidentialité, l'intégrité et/ou la disponibilité des informations étaient compromises. Les services cloud peuvent être utilisés par les ministères et organismes du gouvernement du Canada, mais ceux-ci doivent d'abord identifier et catégoriser les informations pour comprendre les contrôles de sécurité à appliquer.

Qu'est-ce que Protégé B ?

Les informations "Protégées" peuvent être classées comme Protégé A, Protégé B ou Protégé C. Elles s'appliquent aux informations personnelles, aux informations confidentielles commerciales ou à toute autre information ou tout autre élément qui, s'ils étaient compromis, pourraient raisonnablement être considérés comme nuisibles à un intérêt non national. Plus précisément, les informations Protégé B peuvent inclure des informations personnelles sensibles telles que des dossiers médicaux, des rapports d'évaluation des performances, des informations financières détaillées, etc. La divulgation non autorisée de ce type d'informations peut causer des préjudices graves à une personne ou à une organisation, comme de la détresse, des pertes financières ou des dommages à leur réputation.

Le gouvernement du Canada a publié des instruments de politique tels que la Politique sur la sécurité du gouvernement, la Politique, la Directive, et la Ligne directrice sur les services et le numérique, le Manuel de sécurité des contrats, et la Directive sur l'utilisation sécurisée des services infonuagiques commerciaux : Avis de mise en œuvre de la politique de sécurité (AMIPS) qui décrivent les exigences et les contrôles de sécurité physique, du personnel et des TI que les ministères, les organismes et les organisations du secteur privé devraient considérer pour protéger les informations gouvernementales sensibles.

Quelles sont les exigences de contrôle de sécurité liées au cloud pour Protégé B ?

Pour le cloud, les exigences de contrôle de sécurité sont décrites dans l'annexe 3 du Guide de sécurité des technologies de l'information (ITSG-33) – La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie. Le profil de contrôle de sécurité cloud Moyen du Centre pour la cybersécurité est utilisé comme référence pour les exigences de sécurité informatique. De plus, le gouvernement du Canada a développé un profil de contrôle de sécurité cloud pour les actifs de haute valeur Protégé B (PBHVA). Ce profil définit des contrôles d'intégrité et de disponibilité supplémentaires qui peuvent être appliqués en tant qu'amélioration pour prendre en charge les charges de travail Protégé B qui ont été identifiées comme étant des systèmes d'actifs de haute valeur.

Programme de sécurité des contrats (PSC) de Services publics et Approvisionnement Canada (SPAC)

Le Programme de sécurité des contrats de SPAC vérifie la sécurité des personnes et des installations physiques pour les contrats de services cloud. Cela implique de s'assurer que Google Cloud est enregistré auprès du Programme de sécurité des contrats de SPAC et dispose de l'habilitation de sécurité organisationnelle requise, et de faciliter les habilitations de sécurité des employés qui ont besoin d'accéder à des informations protégées ou à des zones d'opération pour des raisons professionnelles. Le SPAC procède également à des inspections de sécurité physique dans les centres de données canadiens de Google Cloud pour vérifier que les zones d'exploitation sécurisées, la protection adéquate des données, les accès contrôlés et les exigences de sécurité contractuelles sont respectés.

Intégrité de la chaîne d'approvisionnement (ICA) du Centre canadien pour la cybersécurité (CCCS)

L'équipe ICA du Centre pour la cybersécurité évalue les facteurs de risque liés à l'entreprise, tels que la propriété, l'emplacement et les pratiques commerciales, ainsi que les risques techniques du produit ou du service lui-même. L'équipe ICA utilise différentes sources pour générer une cote de risque, qui contribue à la détermination finale de l'évaluation de la sécurité dans le cloud. Pour en savoir plus sur le processus ICA, consultez le document La cybersécurité et la chaîne d’approvisionnement : évaluation des risques - ITSAP.10.070.

Processus d'évaluation de la sécurité des technologies de l'information s'appliquant aux fournisseurs de services infonuagiques  du Centre canadien pour la cybersécurité (CCCS)

Le processus d'évaluation de la sécurité des technologies de l'information (STI) s'appliquant aux fournisseurs de services infonuagiques (FSI) (ITSM.50.100) consiste en une évaluation détaillée de la solution cloud par rapport aux contrôles de sécurité, tels que le Profil de sécurité pour le cloud de niveau moyen et/ou le Profil de sécurité pour les actifs de haute valeur Protégé B. Google Cloud est responsable de fournir des preuves attestant le respect de chacun des contrôles de sécurité du profil de contrôle correspondant. Le CCCS établit ensuite un rapport d'évaluation de la sécurité récapitulant ses conclusions.