GSMGC-018 (2024) : Guide du processus de gestion des risques pour la sécurité matérielle

But

Le présent guide a pour but d'aider les employés du GC qui ont des responsabilités en matière de gestion des risques liés à la sécurité matérielle à élaborer leurs propres processus liés à la gestion des risques liés à la sécurité matérielle, à la délégation de la prise de décisions en matière de risque et à la documentation et à la surveillance des risques résiduels. La Politique sur la sécurité du gouvernement (PSG) exige que des mesures de sécurité matérielle soient mises en oeuvre, surveillées et maintenues. Ces processus doivent être officiellement documentés à toutes les étapes du cycle de vie d'une mesure. Le présent document établit un lien entre les outils existants et leurs utilisations afin de décrire des façons efficaces et claires pour les ministères de respecter leurs exigences en matière de sécurité énoncées dans la PSG et la Directive sur la gestion de la sécurité (DGS).

Le guide contient à la fois les mesures de contrôle de sécurité requises, indiquées par l'utilisation du mot « doit », et les mesures de contrôle de sécurité ou les lignes directrices recommandées, indiquées par l'utilisation du mot « devrait ». L'utilisation du mot « doit » indique une référence à une politique ou à une norme établie du gouvernement du Canada, tandis que l'utilisation du mot « devrait » renvoie à des conseils, à des directives ou à une pratique exemplaire.

Applicabilité

Le présent guide s'applique à tous les employés du GC ayant le pouvoir décisionnel en matière de gestion des risques liés à la sécurité matérielle. Le présent guide s'adresse aux chefs de service et aux dirigeants principaux de la sécurité., les gestionnaires et les praticiens de la sécurité matérielle à qui on a délégué le pouvoir de gestion des risques liés à la sécurité matérielle ou qui sont responsables de déterminer les risques liés à la sécurité matérielle aux cadres supérieurs qui ont ce pouvoir délégué. Ce document peut être appliqué aux processus d'évaluation et d'acceptation des risques liés à la sécurité physique et peut être utilisé pour créer ou mettre à jour les politiques, directives et programmes ministériels liés à la gestion des risques liés à la sécurité matérielle.

Équité, diversité et inclusion dans les systèmes de sécurité matérielle

Tous les employés du gouvernement du Canada (GC) ont la responsabilité de protéger les personnes, les renseignements et les biens du GC. Il est important que les politiques et les pratiques en matière de sécurité ne servent pas d'obstacles à l'inclusion, mais soutiennent et respectent plutôt tout le personnel du GC tout en veillant à ce que les mesures de sécurité appropriées soient maintenues pour protéger le personnel, les biens et l'information du GC.

Les initiatives visant à promouvoir l'égalité et l'inclusion entre les diverses communautés et patrimoines au sein du GC devraient être respectées dans le développement et la maintenance des systèmes de sécurité matérielle. Les ministères et organismes devraient respecter toutes les lois, politiques et directives du GC sur l'équité, la diversité et l'inclusion (EDI) dans la promotion d'un milieu de travail juste et équitable pour toutes les personnes, tout en s'assurant qu'elles s'acquittent de leurs responsabilités en matière de sécurité.

Les ministères et organismes devraient mener un exercice de gestion des risques pour veiller à ce que, même si la dignité de tous est respectée, la protection des renseignements, des biens et du personnel du GC soit maintenue. Toutes les questions sur les politiques et les directives de l'EDI doivent d'abord être adressées à l'autorité ministérielle responsable.

Considérations aux technologies de l'information

Suite aux menaces qui évoluent constamment et l'intégration de la sécurité matérielle et de la technologie de l'information (TI), il est essentiel d'évaluer le risque de toute application et/ou de tout logiciel connecté à un réseau pour faire fonctionner et soutenir l'équipement dans les bâtiments contrôlés par le gouvernement du Canada.

Avant de mettre en oeuvre des applications et/ou des logiciels qui contrôleront et/ou automatiseront certaines fonctions de l'immeuble, votre service de sécurité ministériel exige la réalisation d'une évaluation et d'une autorisation de sécurité (SA&A). Cela permettra de s'assurer que l'intégrité et la disponibilité des composants que les applications et/ou logiciels contrôlent sont maintenues et que tout risque mis en évidence sera atténué. Il est fortement recommandé de commencer le processus SA&A tôt afin de s'assurer que les calendriers de livraison des projets ne sont pas affectés. Pour plus d'informations sur le processus SA&A, veuillez consulter votre service de sécurité ministériel.

Préparation

La phase de préparation déterminera la portée de l'évaluation et le niveau acceptable de risque résiduel. La portée de l'évaluation devrait être déterminée par un employé ayant le pouvoir de gérer les risques pour la sécurité matérielle afin de déterminer quels biens seront évalués dans l'EMR. L'autorité de gestion des risques liés à la sécurité matérielle devrait également attribuer l'évaluation à une équipe qualifiée de praticiens de la sécurité. Au cours de cette phase, le chef d'équipe de l'EMR devrait recevoir suffisamment de renseignements pour créer un plan de travail décrivant les principaux produits livrables à chaque étape ainsi que les ressources nécessaires pour effectuer une EMR. Une fois qu'un plan de travail est terminé, il doit être examiné pour s'assurer qu'il respecte le budget, qu'il respecte les délais et que le personnel demandé peut être affecté au projet. Si le plan de travail de l'EMR est acceptable, la direction doit documenter son approbation et demander à l'équipe de commencer l'évaluation.

Identification et évaluation des actifs

La phase d'identification et d'évaluation des biens identifiera tous les biens visés par l'EMR (biens classifiés, armes à feu, biens pour un projet particulier). Le temps et les ressources ne devraient pas être consacrés aux biens qui ne font pas partie de l'EMR, à moins qu'il y ait des interdépendances liées aux biens pertinents. Tous les biens qui respectent les paramètres désignés à la phase de préparation doivent être clairement énumérés et une valeur doit leur être attribuée. Il y a plusieurs catégories que chaque actif peut avoir notées de très faible à très élevée; la catégorie de notation la plus élevée doit être identifiée dans la liste. Les catégories sont les suivantes.

Le livrable pour cette phase est un tableau d'évaluation de l'actif/État de sensibilité.

Évaluation de la menace

La phase d'évaluation des menaces identifiera et énumérera toutes les menaces réelles et potentielles auxquelles le bien peut être confronté de manière réaliste dans le cadre de l'EMR (agence de renseignement hostile, crime organisé, accidents, catastrophes naturelles). Les menaces doivent être répertoriées et associées à un niveau de menace allant de très faible à très élevé. Cette valeur est déterminée par la probabilité d'un événement et la gravité de la menace. Lors de la détermination de la gravité de la menace, des calculs doivent être effectués pour les catégories suivantes :

Une fois que les niveaux de menace ont été calculés, selon la méthodologie utilisée, ils doivent être utilisés pour créer le livrable de cette phase : une liste des menaces prioritaires.

Évaluation de la vulnérabilité

À la phase d'évaluation de la vulnérabilité, l'équipe d'EMR évaluera les mesures de protection existantes, ou leur absence, et déterminera la vulnérabilité du bien par rapport à la menace identifiée, en fonction de paramètres prédéterminés définis pour tous les membres de l'équipe qui effectuent l'évaluation. L'équipe d'EMR mesurera la probabilité de compromission et la gravité du résultat de faible à élever. L'absence de mesures de protection est une cote élevée automatique, qui sert ensuite à calculer le niveau de vulnérabilité de très faible à très élevé. Une fois que toutes les vulnérabilités du champ d'application de l'EMR ont été évaluées, elles peuvent être compilées dans une liste de vulnérabilités prioritaires pour le livrable de cette phase.

Simulation des risques résiduels

Les résultats des trois phases précédentes peuvent ensuite être utilisés pour calculer le risque résiduel. Il peut y avoir plus d'un score de risque résiduel pour chaque actif, car certains sont soumis à de multiples menaces et vulnérabilités. Ils seront tous calculés individuellement et se verront attribuer leur propre côté de risque résiduel. Le risque résiduel est un calcul numérique qui donnera un score de très faible à très élevé. Cette cote correspond au niveau de risque acceptable indiqué à la phase un de l'EMR. Les résultats seront identiques, peu importe la méthode utilisée. Le livrable de cette phase est terminé lorsque l'équipe compile les noyaux de risques résiduels dans une liste des risques résiduels prioritaires.

Recommandations

La phase de recommandation contient la comparaison effectuée par l'équipe d'EMR des risques calculés par rapport au niveau de risque acceptable, déterminé à la phase de préparation. Pour les risques résiduels qui se situent au niveau cible ou en deçà de celui-ci, l'équipe recommandera soit de maintenir le statu quo, soit d'ajuster les mesures de protection en fonction de la tolérance au risque. Dans le cas où ils recommandent de réduire ou de supprimer la garantie, ils doivent recalculer le risque résiduel pour la proposition pour l'autorité désignée. Dans tous les cas où le risque résiduel dépasse le niveau acceptable, l'équipe d'EMR proposera d'autres mesures pour ramener le risque résiduel au niveau acceptable. L'autorité désignée peut alors examiner toutes les mesures de protection proposées et le coût de leurs ressources et déterminer si elle mettra en oeuvre une ou plusieurs mesures, ou refuser et accepter officiellement le risque résiduel de base ci-dessus.

Conclusion

La phase finale de conclusion est celle où l'équipe de l'EMR résumera toutes les données contenues dans le rapport, comme un résumé. Les DPS, ou leurs délégués devraient disposer de suffisamment d'informations pour comprendre l'intégralité du rapport et pouvoir trouver des informations supplémentaires pour tout calcul de suivi. Seront également incluses les décisions de la direction d'accepter ou de refuser les mesures de protection recommandées, de maintenir, d'augmenter ou de réduire les mesures de protection existantes, ainsi qu'une signature officielle reconnaissant ces décisions et l'authenticité du rapport. Ce processus sera terminé seulement après que l'DPS ou son délégué aura signé le rapport d'EMR.

Pour obtenir de plus amples renseignements sur l'EMR dans le contexte du gouvernement du Canada, consultez le GSMGC-022 Guide d'évaluation de la menace et des risques.

Élaboration de normes et de procédures

Les normes de sécurité des ministères et des organismes doivent appuyer l'adoption de processus intégrés, en veillant à ce qu'il y ait une surveillance et une documentation décrivant clairement les attentes de la haute direction, ainsi qu'en normalisant la façon dont les données sont recueillies, analysées et tenues à jour. Il y a plusieurs considérations qui devraient être incluses dans une norme; bien que la version finale varie considérablement d'un cas à l'autre. Il est conseillé que ces normes indiquent clairement quels postes sont responsables de quels processus et comment les données seront enregistrées et respectées. Par exemple, le personnel de bureau peut être tenu de signaler l'état des verrous de câble qui fixent les ordinateurs portables lors de la signature de l'équipement. Le gestionnaire de l'unité peut ensuite examiner les registres et vérifier l'inventaire tous les trimestres; compiler un rapport sur l'efficacité et l'état des mesures de protection (Exemple : Aucun inventaire non comptabilisé, usure mineure de trois serrures nécessitant une attention, mesure de sauvegarde jugée efficace sans changement conseillé).

Il est conseillé que les rapports finaux de toutes les mesures de contrôle et de sauvegarde atteignent un point unique, tels que le DPS ou le membre d'équipe délégué. L'intégration de cette méthode serait plus efficace si elle suivait une chaîne de possession préétablie, comme le modèle interne d'escalade/délégation. Plus il y a de cohérence entre les processus, plus il sera facile pour le personnel de les parcourir tous. Cela augmenterait l'efficacité des contre-mesures utilisées, tout en favorisant un processus reconnu et une culture positive des risques pour la sécurité physique.

Normalisation de la délégation des responsabilités

Une stratégie de délégation normalisée est prescrite par la PSG et appuie la communication des données essentielles à la haute direction pour éclairer ses décisions en matière de gestion des risques liés à la sécurité matérielle. Les ministères et organismes sont autorisés à élaborer un processus de délégation pour tous les rôles de gestion des risques pour la sécurité qui conviennent à leur environnement opérationnel unique au sein du GC. L'élaboration d'un profil de risque ministériel fournira un aperçu stratégique des biens et des fonctions qui nécessitent une protection et déterminera quelles responsabilités en matière de gestion des risques pour la sécurité physique peuvent être déléguées.

Idéalement, la délégation de la surveillance de la gestion des risques liés à la sécurité matérielle devrait être accordée en priorité aux personnes qui participent déjà à la supervision de la gouvernance de la sécurité du Ministère. Avec une préférence accordée aux membres du personnel qui ont une expérience ou une formation antérieure en sécurité matérielle. Un niveau de formation de base devrait être fourni à tous les membres du personnel qui ont été délégués pour assumer des responsabilités en matière de gestion des risques afin de s'assurer qu'ils peuvent exécuter correctement les fonctions requises. Il faut également tenir compte de la structure organisationnelle préexistante et, si possible, les tâches déléguées devraient utiliser la même configuration. Cela permet d'intégrer le processus global de délégation de la gestion des risques liés à la sécurité matérielle dans la structure du ministère ou de l'organisme et de s'assurer que le personnel connaît les voies de communication appropriées pour l'approbation des différentes demandes et tâches.

Normalisation de la transmission hiérarchique des rapports/ incidents de sécurité

Il incombe à tous les employés du GC de communiquer en temps opportun les incidents de sécurité aux décideurs responsables ou de les transmettre à un niveau supérieur. Le fait de ne pas remonter la situation correctement peut avoir des répercussions catastrophiques sur les objectifs opérationnels d'un ministère ou d'un organisme et nuire à leur image aux yeux des intervenants. Chaque ministère et organisme doit avoir des processus pour la transmission hiérarchique et la documentation des atteintes à la sécurité et des incidents, conformément à l'annexe G du DGS, lorsqu'une évaluation officielle des menaces et des risques peut ne pas être justifiée. Lors de la normalisation d'un processus d'escalade, il doit suivre les mêmes canaux que le processus de délégation, jusqu'au niveau qui a le pouvoir d'intervenir en cas d'incident. La personne pour qui le processus d'escalade prendra fin dépendra en grande partie de la gravité de l'incident et de l'autonomie accordée à chaque niveau par la direction. Une taxonomie des risques peut fournir une liste des menaces les plus probables ou les plus dommageables auxquelles chaque bien protégé peut faire face. Ces risques peuvent ensuite être liés à un poste dans l'organigramme de délégation qui a le pouvoir de donner suite à une intervention. Les incidents qui pourraient avoir des niveaux de gravité variables devraient clairement définir les seuils de transmission à un niveau supérieur au niveau standard établi par la matrice du ministère ou de l'organisme.

Exemple d'organigramme de transmission hiérarchique

Guide de gestion intégrée du risque

Le Guide de gestion intégrée du risque vise à aider les ministères et les organismes à renforcer leurs pratiques globales de gestion intégrée du risque. Le Guide de gestion intégrée du risque ne fournit pas de pratiques précises de gestion du risque lié à la sécurité matérielle, car celles-ci seront propres à chaque organisation selon son mandat unique, son exposition au risque, sa capacité de gestion du risque et d'autres facteurs. Il appuie une approche globale de la gestion de tous les risques, y compris les risques pour la sécurité matérielle, pour les ministères et les organismes.

Guide d'élaboration d'un profil de risque organisationnel

Un Guide des profils de risque ministériels permet aux ministères et organismes d'obtenir un aperçu de leurs principaux risques, y compris une compréhension du contexte opérationnel et des objectifs en matière de gestion des risques. Un profil de risque ministériel est un résultat du processus d'évaluation des risques qui améliore la capacité de la haute direction d'analyser, de hiérarchiser et de budgétiser sa stratégie de gestion des risques. Ils peuvent également servir à fournir un aperçu clair des principaux risques et des efforts d'atténuation du ministère ou des organismes au personnel, aux praticiens et aux intervenants. Un profil de risque ministériel appuie l'établissement de priorités stratégiques, permet une prise de décisions éclairée et démontre le niveau de tolérance au risque d'un ministère ou d'un organisme.

Guide sur les taxonomies des risques

Le Guide de taxonomie des risques est un ensemble complet, commun et stable de catégories de risque utilisées au sein des ministères et organismes. Ce document comprend des considérations pour l'élaboration et l'utilisation d'une taxonomie des risques. Il décrit une approche de catégorisation et de regroupement des risques qui peut être adaptée aux besoins particuliers d'un ministère ou d'un organisme. Les taxonomies des risques appuient la normalisation des systèmes et contribuent à favoriser une culture de sensibilisation aux risques. Les taxonomies des risques et leurs tâches complémentaires sont importantes pour développer une culture de « sensibilisation aux risques » en permettant une terminologie et une compréhension standard par les employés.

Guide sur les énoncés de risque

Le Guide des énoncés de risque vise à renforcer les pratiques de gestion des risques en élaborant des énoncés de risque. Les énoncés de risque sont une composante essentielle de la définition des menaces et des possibilités identifiées, qui sont fondamentales pour appuyer le processus de gestion des risques. Une présentation normalisée des énoncés de risque améliore l'intégration des processus de sécurité dans l'ensemble d'un ministère ou d'un organisme.

Modèle de la capacité en matière de gestion des risques

Le modèle de capacité de gestion du risque est un outil de diagnostic qui permet aux ministères et aux organismes de comparer leur capacité actuelle de gestion du risque. Cet outil peut servir à lancer une discussion éclairée sur la question de savoir si des ressources doivent être affectées ou détournées pour combler les lacunes en matière de gestion des risques ou pour améliorer la capacité dans des secteurs clés des priorités de gestion des risques du ministère ou de l'organisme.

Publications des Principal organisme responsable de la sécurité matérielle de la GRC

La POSM de la GRC, mandatée par le SCT, publie et gère un catalogue de documents d'orientation couvrant des domaines précis de la sécurité matérielle. Ces documents tirent parti des commentaires professionnels d'experts en la matière dans de nombreux domaines et sont examinés par les pairs par la collectivité de la sécurité matérielle du GC afin d'intégrer les leçons apprises et les pratiques exemplaires de l'ensemble du GC. Il vaut la peine d'examiner ces publications pour déterminer s'il y a des répercussions sur le risque pour la sécurité matérielle d'un ministère ou d'un organisme, surtout lorsqu'on envisage de modifier des installations existantes ou d'en aménager de nouvelles.

Importance de la surveillance continue

matérielle et des mesures de protection de la sécurité matérielle, un système normalisé de surveillance continue permet au personnel de comprendre son rôle dans l'atténuation des risques de sécurité physique pour l'organisation. Une documentation claire et concise décrivant la stratégie de surveillance, ainsi que des données sur les résultats et des examens périodiques, fournit des informations précieuses dans une enquête post-compromission. Plus les données collectées seront claires, plus il sera facile d'identifier la panne du système qui a permis d'exploiter une vulnérabilité.

La surveillance continue facilite la réduction des méfaits et la capacité de cerner de façon proactive les possibilités d'accroître la sécurité physique du personnel et des biens. Lorsque cet examen comprend l'examen des nouvelles pratiques exemplaires des partenaires de l'industrie et d'autres ministères et organismes gouvernementaux, de nouvelles stratégies d'atténuation peuvent être adoptées pour les mesures de protection existantes. Cela peut entraîner une augmentation des mesures de sécurité physique, une amélioration de l'efficacité opérationnelle, des économies de coûts potentielles et une amélioration du recouvrement.

Évaluation périodique

Des normes d'évaluation devraient être établies avec des délais clairs pour que les données soient entièrement compilées, lorsque l'examen et l'analyse des données auront lieu, puis lorsque les résultats seront disponibles. Un examen annuel du plan de sécurité ministériel ou du plan de travail annuel sur la sécurité matérielle d'un ministère ou d'un organisme devrait être effectué; toutefois, les ministères et organismes auraient avantage à établir leurs propres cibles qui :

• Permettre que les données obligatoires soient prêtes à l'avance; et
• Examiner leurs propres politiques et procédures afin d'évaluer proactivement leurs initiatives et d'assurer leur conformité.

Bien que certains délais ne soient pas négociables, bon nombre de ceux qui permettent une certaine souplesse peuvent être liés à des délais opérationnels afin d'encourager l'efficacité opérationnelle et la synergie avec des jalons préétablis. Lorsque la sécurité matérielle est intégrée aux exigences opérationnelles, elle permet une évaluation efficace de l'ensemble de la posture de gestion des risques d'un ministère ou d'un organisme.

Élaboration de mesures du rendement en matière de sécurité physique

Le rendement en matière de sécurité physique devrait être mesuré dans le cadre de l'évaluation périodique pour s'assurer qu'ils demeurent efficaces et qu'ils atteignent toujours l'objectif. Les mesures de rendement varieront entre les garanties et devront être personnalisées en fonction des évaluations effectuées par les praticiens de la sécurité physique. Au moment de décider de la façon de mesurer l'efficacité d'une sauvegarde, plusieurs considérations clés devraient influencer la décision :

• Quel est l'objectif par la mesure de protection?
• Comment la sauvegarde s'intègre-t-elle dans les fonctions opérationnelles;
• La sauvegarde assure-t-elle le suivi des données ou produit-elle un enregistrement; et
• La mesure de protection est-elle excessive et risque-t-elle d'être contournée par le personnel?

D'autres indicateurs à surveiller peuvent comprendre des changements radicaux dans les données observées, ce qui pourrait indiquer ce qui suit :

• Sous-déclaration des incidents;
• Les nouvelles techniques d'exploitation utilisées contre les vulnérabilités; et
• Non-respect des procédures en vigueur. with current procedures

Bien qu'il ne soit pas toujours négatif, l'absence d'incidents mineurs peut indiquer que la mesure de protection est inefficace; toutefois, cette seule mesure ne devrait pas être considérée comme une preuve, mais peut indiquer qu'une enquête pour confirmer les données est justifiée.