GSMGC-016 (2022)
Guide du processus d'évaluation et d'autorisation de sécurité des installations

Description de l'étape

Avant que la sécurité ne participe de manière significative à un projet d'installation, il est important que les experts des bureaux de la Sécurité et des installations entament des discussions préliminaires. Cela permet de s'assurer que chaque intervenant comprend bien ce à quoi on s'attend et ce qui est requis de chacun.

Lorsqu'un besoin opérationnel est déterminé pour une installation, les experts en matière d'installations s'adresseront au dirigeant principal de la sécurité (DPS) ou à un délégué autorisé pour l'informer du projet à venir. À ce stade, une entente formelle est préparée entre le DPS ou son délégué et les experts en matière d'installations afin de définir pleinement la portée de l'espace et du projet et d'esquisser les responsabilités spécifiques en fonction des ressources (humaines et financières) disponibles.

Lignes directrices

L'ensemble de ce processus dépend de l'établissement préalable d'un partenariat solide entre les experts en matière de sécurité et des installations. Ce partenariat garantira des communications ouvertes et permettra aux experts d'être informés du projet d'installation dès que possible. En plus d'un solide partenariat entre les experts en matière de sécurité et les experts en matière d'installations, les experts en matière de sécurité doivent maintenir des communications ouvertes entre les différents intervenants qui pourraient éventuellement participer au projet. L'efficacité et le respect des échéances doivent être une priorité pour toutes les parties concernées puisqu'un groupe peut à lui seul entraîner des retards pour l'ensemble du projet. Pour faciliter ces communications, l'adhésion dès le départ et la coopération des intervenants sont essentielles. Cet objectif peut être atteint par les moyens suivants :

• la publication d'un communiqué informant les intervenants d'un nouveau projet; et
• la préparation d'un avis, d'un message, d'une entente ou de dispositions officiels au début d'un projet avec les intervenants, décrivant les résultats attendus par souci de clarté et afin d'éviter toute incertitude.

Description de l'étape

Une fois le partenariat établi et les intervenants mobilisés, l'étape suivante consiste à planifier le projet lui-même. Au cours de cette étape, un plan de projet d'EASI est rédigé par les experts en matière de sécurité. Il doit être examiné et approuvé par le DPS ou son délégué. Le plan de projet d'EASI précise les fonds propres au projet d'EASI et établit le calendrier et les produits livrables dans le cadre du plan de gestion de projet d'installation. La planification précoce définit le cadre et les résultats attendus du projet d'EASI.

Après avoir clairement défini la portée de l'EASI, le financement, le niveau d'effort, les produits livrables et le calendrier, la progression naturelle est de déterminer les opérations qui auront lieu dans l'installation. Il est essentiel de connaître le type d'activité qui se déroulera dans l'installation. Une description complète des opérations de l'installation ainsi que de la façon dont la construction et l'aménagement de l'installation se dérouleront est saisie dans un document distinct d'Identification du programme fonctionnel (IPF). Une fois les activités déterminées, le plan de projet d'EASI est finalisé, garantissant une intégration des éléments de sécurité dans la construction ou l'aménagement soutenant les opérations avec le soutien humain et financier nécessaire.

Lignes directrices

À ce stade, une ébauche de document d'établissement de la planification de l'installation sera produite, décrivant l'utilisation de l'espace (bureaux, y compris du ministère, de la direction, des gestionnaires, etc., entreposage, zones publiques et zones d'opérations). Cette responsabilité incombe principalement aux installations; toutefois, la Sécurité doit être disponible à des fins de consultation. Une fois que les installations ont établi les plans d'étage en ce qui concerne les opérations, les experts en matière de sécurité peuvent alors déterminer au mieux quels contrôles de sécurité sont nécessaires.

Description de l'étape

L'analyse de l'impact sur les activités (AIA) de l'organisation existante est intégrée au processus afin de s'assurer que les services essentiels ont été identifiés. Cela permettra de hiérarchiser les opérations en fonction du niveau de sécurité et de protection requis. Il n'est pas nécessaire de procéder à une nouvelle AIA si une telle analyse a déjà été effectuée dans le cadre du processus de gestion de la continuité des activités (GCA) au cours des cinq dernières années. Après l'AIA, des évaluations de la menace et des risques (EMR) matériels et liés aux TI seront réalisées en mettant l'accent sur l'immeuble de la base, les opérations et les besoins et actifs de TI.

Lignes directrices

S'il s'agit d'une installation existante, l'analyse et les étapes ultérieures sont simples; toutefois, si l'installation n'a pas encore été construite ou si d'importants travaux de modernisation sont prévus, le processus devient un exercice sur papier.

Une fois les opérations cernées, il faut leur attribuer un ordre de priorité. Ainsi, des niveaux de sécurité accrus pourront être appliqués aux opérations qui le nécessitent.

Les AIA ne sont pas des concepts nouveaux et font partie de la gestion de la continuité des activités d'une organisation du gouvernement du Canada. Les AIA existantes rendent compte des fonctions essentielles qui peuvent être inhérentes au mandat des opérations.

L'évaluation de la menace et des risques matériels de l'immeuble de base est essentielle pour la sécurité d'une installation. Connaître la sécurité d'une installation en ce qui a trait à l'intégrité structurelle et à la capacité à résister à certains types de menaces, en plus des capacités d'alimentation, aidera à planifier l'emplacement des opérations dans l'immeuble.

L'achèvement de cette étape est le moment idéal pour effectuer une évaluation de la menace et des risques matériels en tenant compte de la disposition spécifique de l'installation et des opérations qui s'y déroulent, ainsi que pour effectuer une évaluation de la menace et des risques liés aux TI.

Il est important de réaliser les évaluations de la sécurité une par une afin d'éviter de déployer inutilement des efforts et de s'assurer que tous les éléments à considérer, notamment les activités organisationnelles, la disposition ou le plan d'étage et les fonctions essentielles, sont pris en compte lors de la conception de la sécurité de l'installation.

Description de l'étape

Lignes directrices

Jusqu'à ce point, des analyses approfondies ont été menées sur les installations et les opérations. Le document de planification de l'installation ayant été achevé au cours de l'étape précédente, l'équipe de la sécurité peut maintenant remplir un guide de sécurité de la conception pour indiquer l'emplacement des dispositifs et des produits de sécurité à l'intérieur et à l'extérieur (le cas échéant) de l'installation. Une fois le guide de sécurité de la conception terminé, il est joint aux rapports d'EMR et à l'analyse de l'impact sur les activités qui sont soumis au dirigeant principal de la sécurité pour examen et approbation.

L'approbation tiendra compte des éléments suivants :

• les opérations qui auront lieu;
• les niveaux de risque déterminés;
• l'aménagement de l'espace tel qu'il a été conçu par le personnel des installations ou de l'infrastructure;
• la disposition des dispositifs de sécurité; et
• les contraintes financières et de temps.

Des évaluations continues de la sécurité seront effectuées sur une base cyclique.

Description de l'étape

La dernière étape de l'EASI est l'étape de mise hors service. Elle survient à la fin du cycle de vie de l'installation, lorsque celle-ci doit être rasée, que sa propriété est transférée, qu'elle est cédée ou qu'elle arrive au terme d'un bail. Bien que le personnel n'ait plus accès à l'installation, il est impératif de n'y laisser aucun bien ou renseignement, en particulier de nature délicate. Il faut pour cela planifier la déconnexion et le retrait des biens de sécurité tels que l'équipement vidéo en circuit fermé (EVCF), les lecteurs de cartes, les détecteurs de mouvement, les serrures, tous les meubles et toutes les armoires (qui doivent être vides), etc. Il est également nécessaire de planifier la manière dont les renseignements, notamment les dossiers papier, seront transférés vers un nouveau site. Une fois que tout a été retiré de l'installation, une inspection de sécurité doit être effectuée à titre de confirmation finale et le DPS ou son délégué identifié doit obtenir la confirmation que l'espace a été vidé. Si quoi que ce soit a été laissé sur place, il faut l'étiqueter, et le gestionnaire responsable doit en être informé avant le transfert de la garde de l'installation.

Lignes directrices

Cette dernière étape est l'une des plus essentielles puisqu'elle est souvent négligée en tant qu'étape formelle de l'EASI. Il est essentiel d'inspecter adéquatement l'espace pour s'assurer que tous les renseignements et biens de nature délicate ont été retirés et que le matériel de sécurité identifié a été déconnecté et déplacé au besoin. Cela requière une planification minutieuse et doit être fait de manière à ce que les mesures de contrôle d'accès et les alarmes en cas d'intrusion ne soient pas déconnectées avant que les renseignements et biens aient été déplacés. De plus, étant donné que les classeurs de sécurité doivent être vides pour pouvoir être déplacés, il convient de planifier soigneusement et de respecter le délai entre le moment où les classeurs sont vidés et celui où les renseignements et biens de nature délicate sont déplacés. Il faut également tenir compte que ces derniers doivent être emballés adéquatement avant d'être déplacés de manière sécurisée. La coordination des déménageurs, des entrepreneurs et le respect des échéances pour le transfert de l'espace seront généralement sous le contrôle du personnel des installations.