GCPSG-005 (2023)
Guide des inspections de sécurité

Application

Le présent guide s'applique aux installations du GC, en particulier aux zones où sont stockés et traités des documents protégés (ou « désignés ») et classifiés. Il s'adresse aux personnes suivantes : 

• Les directeurs, directrices, gestionnaires, superviseurs et superviseures responsables des zones de sécurité matérielle où des renseignements de nature délicate sont traités;
• Les personnes autorisées du GC qui ont accès à une zone de sécurité matérielle où des renseignements de nature délicate sont traités, ou qui y travaillent;
• Les personnes autorisées du GC qui ont été désignées pour assumer les fonctions de l'inspecteur de sécurité.

Considérations aux technologies de l'information

Suite aux menaces qui évoluent constamment et l'intégration de la sécurité physique et de la technologie de l'information (TI), il est essentiel d'évaluer le risque de toute application et/ou de tout logiciel connecté à un réseau pour faire fonctionner et soutenir l'équipement dans les bâtiments contrôlés par le gouvernement du Canada.

Avant de mettre en œuvre des applications et/ou des logiciels qui contrôleront et/ou automatiseront certaines fonctions de l'immeuble, votre service de sécurité ministériel exige la réalisation d'une évaluation et d'une autorisation de sécurité (SA&A). Cela permettra de s'assurer que l'intégrité et la disponibilité des composants que les applications et/ou logiciels contrôlent sont maintenues et que tout risque mis en évidence sera atténué. Il est fortement recommandé de commencer le processus SA&A tôt afin de s'assurer que les calendriers de livraison des projets ne sont pas affectés. Pour plus d'informations sur le processus SA&A, veuillez consulter votre service de sécurité ministériel.

Dirigeant principal de la sécurité (DPS)

Selon la section 4.1.7. de la DGS, le DPS est chargé de :

veiller à ce que tous les problèmes importants de conformité aux politiques, d'activités criminelles soupçonnées, de préoccupations liées à la sécurité nationale, ou autres problèmes de sécurité soient évalués, examinés, consignés, traités, et signalés à l'administrateur général et, comme exigé, aux autorités policières compétentes ou organismes de sécurité et du renseignement (voir l'annexe I : Norme sur le signalement des incidents de sécurité), et aux intervenants touchés, et comme exigé, coopérer dans toutes enquêtes criminelles résultantes ou autres enquêtes.

Le DPS devrait soutenir le processus d'inspection de sécurité en exerçant un leadership et en fournissant des conseils en matière de sécurité à toutes les personnes autorisées afin de définir, documenter et mettre en œuvre correctement les protocoles d'inspection de sécurité pour toutes les installations du GC. Il devrait également veiller à ce que les installations de l'organisation fassent l'objet d'une évaluation de la menace et des risques (EMR), au moins tous les cinq ans ou en cas de modification de l'environnement de sécurité ou du contexte de la menace.

Coordonnateur de la sécurité de l'édifice/du groupe

Le coordonnateur de la sécurité de l'édifice ou du groupe est chargé de veiller à ce que les inspections de sécurité dans les installations du GC soient effectuées conformément aux normes élaborées par les groupes ou sections. Il peut être chargé de former des équipes d'inspecteurs de sécurité pour effectuer des inspections de sécurité dans leurs installations, de donner une formation aux membres de l'équipe d'inspection et de veiller à ce que les incidents de sécurité dans les installations du GC soient signalés conformément aux politiques et aux normes organisationnelles. En cas de modification de l'environnement de sécurité, les coordonnateurs peuvent aider les groupes ou sections des ministères à augmenter la fréquence des inspections de sécurité et à administrer d'autres mesures afin d'améliorer les niveaux de préparation. Le coordonnateur peut participer au processus d'inspection de sécurité en fournissant aux employés des conseils et des orientations sur la protection des documents désignés ou classifiés.

Groupe/section de la sécurité

Au sein d'un ministère ou organisme du GC, un groupe ou une section de la sécurité est chargé d'élaborer et mettre en œuvre des normes d'inspection de sécurité ainsi que de conseiller les coordonnateurs de la sécurité, DPS et autres intervenants sur les questions concernant l'inspection de sécurité (exigences des politiques, élaboration de la stratégie d'inspection de sécurité, rapports sur les incidents de sécurité, etc.). Exécuter le programme de sécurité d'une organisation implique aussi d'élaborer des outils et des documents de formation et de sensibilisation, fournir des conseils sur l'application des inspections de sécurité et l'interprétation de leurs résultats, et intervenir quand les normes de sécurité organisationnelles ne sont pas respectées.

Les groupes ou sections de la sécurité devraient veiller à ce que les inspections de sécurité soient effectuées par une équipe d'inspection de sécurité autorisée, conformément au présent guide. Ils peuvent conseiller les coordonnateurs de la sécurité sur la manière de mettre en place leur propre équipe d'inspection de sécurité ou d'en créer une au sein du groupe ou de la section de la sécurité pour fournir ce service. La fréquence des inspections de sécurité supplémentaires pour leur secteur respectif devrait être fondée sur les conclusions de l'inspection de sécurité et sur les recommandations formulées dans le cadre d'une EMR.

Inspecteurs de sécurité et équipes d'inspection de sécurité

Un inspecteur de sécurité autorisé est une personne déléguée par la section ou le groupe de sécurité d'une organisation ou d'un édifice pour effectuer une inspection de sécurité. Un inspecteur de sécurité doit posséder une attestation de sécurité personnelle ou un statut correspondant à la catégorie la plus élevée de renseignements et de biens stockés et traités dans la zone inspectée. L'équipe de la sécurité d'une organisation ou d'un édifice peut désigner plusieurs inspecteurs de sécurité pour former une équipe d'inspection de sécurité.

Lorsqu'ils forment une telle équipe, les ministères et organismes fédéraux devraient sélectionner des personnes ayant une connaissance et expérience solide du processus d'inspection de sécurité, et voir à ce qu'elles reçoivent une formation de base et participent à des séances d'information sur comment accomplir les inspections de sécurité. Les ministères et organismes du GC devraient également tenir compte du niveau d'expérience des inspecteurs et s'efforcer d'ajouter à l'équipe un membre subalterne et un membre expérimenté. Cette pratique peut faciliter l'échange des connaissances et garantir l'application des pratiques exemplaires lors des inspections de sécurité.

Directeurs

Pour l'application du présent guide, les directeurs sont chargés de veiller à ce que toutes les personnes relevant de leur domaine de responsabilité n'aient accès qu'aux renseignements et aux biens nécessaires à l'exercice de leurs fonctions, selon le principe du besoin de savoir et du besoin d'accéder. Les directeurs devraient également veiller à ce que toutes les personnes soient informées de la norme relative aux inspections de sécurité et sachent que des inspections de sécurité vont avoir lieu. Les directeurs doivent s'assurer que les employés comprennent leur obligation de protéger les renseignements et les biens.

Les directeurs devraient travailler en collaboration avec le personnel de sécurité du ministère ou de l'organisme pour s'assurer que tous les cas de non-conformité donnent lieu à une intervention et soient consignés. Les directeurs devraient veiller à ce que les personnes disposent du matériel nécessaire pour exercer leurs fonctions et garantir la sécurité des renseignements et des biens de nature délicate - par exemple en respectant une politique du bureau bien rangé, mettant en sécurité les documents et supports de stockage qui contiennent des renseignements de nature délicate à la fin de chaque journée de travail. Ils devraient également veiller à ce que les documents de formation et de sensibilisation à la sécurité matérielle et aux inspections de sécurité soient à jour.

Gestionnaires et superviseurs

Conformément à la section 4.4 de la DGS, les superviseurs ont les responsabilités suivantes :

veiller à ce que les personnes soient informées de leurs responsabilités en matière de sécurité et que les employés reçoivent la sensibilisation et la formation en matière de sécurité pour tenir à jour les connaissances et les compétences nécessaires pour s'acquitter de leurs responsabilités.

Les directeurs et les superviseurs sont chargés de collaborer avec les équipes/groupes de la sécurité des ministères pour mettre en œuvre les conclusions et les recommandations des inspections de sécurité et donner suite aux problèmes et aux cas de non-conformité (p. ex. violations) avec les personnes qui n'ont pas respecté les mesures de sécurité.

Employés

Conformément à la section 4.5.1 de la DGS, les employés ont les responsabilités suivantes :

respecter la politique du gouvernement en matière de sécurité et les pratiques de sécurité ministérielles, y compris la protection de l'information et des biens sous leur contrôle, à l'interne ou à l'externe.

Les employés à tous les niveaux doivent assumer leurs responsabilités et suivre les politiques et procédures de sécurité de leur ministère ou organisme pour protéger les renseignements et les biens de nature délicate sous forme physique et électronique. Il est important que les employés signalent immédiatement à leur gestionnaire ou au bureau de la sécurité tout incident de sécurité, par exemple la perte (accidentelle ou suspecte) de documents protégés ou classifiés; il s'agit d'atténuer les répercussions d'une éventuelle compromission.

Aspects juridiques et protection des renseignements personnels

Les paramètres des inspections de sécurité qu'on effectue devraient être conformes aux conventions collectives du GC et à la législation en matière de dotation. Lors de l'inspection de sécurité du bureau ou du poste de travail attribué à un employé, le droit à la vie privée doit être respecté et des mesures doivent être prises pour respecter la législation pertinente. Il s'agit notamment de la nels, de la Charte canadienne des droits et libertés, et de la Loi canadienne sur les droits de la personne.

Le respect de la vie privée reste de mise durant les inspections de sécurité, même si les espaces de travail et le mobilier mis à la disposition des employés appartiennent au GC. Les employés peuvent avoir des effets personnels dans leur espace de travail, et l'équipe d'inspection de sécurité ne devrait pas les fouiller ou les ouvrir, ni lire ou supprimer de renseignements personnels trouvés lors de l'inspection. Si, au cours de l'inspection de sécurité, des objets illégaux sont découverts, l'affaire sera renvoyée à la Sécurité ministérielle ou à la police pour enquête. Les personnes peuvent faire l'objet d'autres formes de fouille et de saisie légitimes en vertu des lois pénales et civiles applicables à la suite d'une inspection de sécurité conforme à la loi.

Les délais de conservation des dossiers d'inspection devraient être déterminés et gérés par le ministère ou organisme du GC concerné. Bibliothèque et Archives Canada peut aider les ministères et les organismes en leur donnant des conseils sur les périodes de conservation spécifiques.

Planification des inspections de sécurité

Lors de la planification des inspections de sécurité, les équipes d'inspection de sécurité devraient évaluer l'environnement de risque des zones inspectées. Il peut être nécessaire d'effectuer une EMR pour mieux déterminer la fréquence des inspections de sécurité dans une installation. La boîte à outils du CEeS peut également être utile à cette fin. Les inspections de sécurité devraient être effectuées de préférence en dehors des heures de travail principales ou lorsque les employés ou les groupes sont absents du lieu de travail. Le directeur et le coordonnateur de la sécurité devraient être avertis de l'inspection avant la date prévue, afin de pouvoir s'assurer qu'il soit administrativement possible d'effectuer une inspection à la date spécifiée. Afin de protéger l'intégrité du processus d'inspection de sécurité, les personnes travaillant dans la zone ne devraient pas être informées de la tenue d'une inspection de sécurité.

Lorsqu'ils forment des équipes pour les inspections de sécurité, les ministères et organismes devraient soigneusement tenir compte des connaissances et de l'expérience des inspecteurs, du nombre d'inspecteurs nécessaires en fonction de la taille et du nombre d'espaces à inspecter, ainsi que de la catégorie de documents stockés dans ces espaces. Afin de maximiser la sécurité et de garantir l'intégrité du processus d'inspection, toute inspection devrait être effectuée par une équipe, c.-à-d. au moins deux inspecteurs de sécurité.

Avant de procéder à une inspection de sécurité, les inspecteurs de sécurité devraient confirmer qu'ils disposent d'un accès physique et de l'attestation de sécurité appropriée pour toutes les zones de sécurité matérielle à inspecter. Lors de la planification de la journée d'inspection, les inspecteurs ou les équipes d'inspection devraient s'assurer qu'ils disposent de l'équipement nécessaire pour faciliter une bonne inspection, y compris un carnet de notes et un stylo ou un dictaphone pour noter leurs observations, un appareil pour prendre des photos (si c'est permis dans la zone de sécurité matérielle ou la situation opérationnelle), et un contenant de sécurité approuvé avec mallette de transport verrouillable pour sécuriser les documents éventuellement trouvés.

Veuillez prendre note que les inspecteurs de sécurité et les équipes d'inspection doivent veiller à ne pas photographier les documents protégés et classifiés, les lieux, les contrôles ni les dispositifs de sécurité installés, et à respecter les restrictions d'accès aux appareils électroniques dans les zones de nature délicate.

Le centre d'excellence en sécurité (CEeS) a produit un outil d'évaluation des risques liés aux inspections de sécurité, disponible dans GCcollab, afin d'aider les spécialistes fonctionnels de la sécurité à déterminer de manière objective et cohérente la fréquence des inspections de sécurité au sein d'une installation.

Exécution des inspections de sécurité

Les inspecteurs devraient suivre des lignes directrices précises en matière d'inspections de sécurité et produire des rapports sur les résultats des inspections (voir l'annexe B, section 2) à savoir entre autres :

• Faire une inspection visuelle complète des espaces de travail des employés : bureaux (y compris à cloisons), surfaces de travail, tiroirs ou armoires ouverts ou non verrouillés, boîtes aux lettres, poubelles et bacs de recyclage, bacs d'imprimantes/numériseurs/déchiqueteuses, etc.;
• S'assurer que les appareils électroniques sont correctement sécurisés (le cas échéant);
• Vérifier que les contenants ou armoires de sécurité contenant des documents protégés et classifiés sont correctement sécurisés.

Lors d'une inspection, les inspecteurs de sécurité devraient prendre leur temps et fouiller soigneusement tous les endroits de la zone d'inspection. Les employés peuvent avoir des effets personnels dans leur espace de travail, et l'équipe d'inspection de sécurité ne doit pas les fouiller ou les ouvrir, ni lire ou supprimer les renseignements personnels ou articles trouvés. Si des objets personnels sont trouvés par les inspecteurs de sécurité, il est possible d'indiquer dans les notes que ces objets ont été laissés intacts.

Les articles trouvés au cours de l'inspection qui auraient dû être rangés mais qui ne l'étaient pas déjà doivent être placés par l'inspecteur dans un contenant de sécurité approuvé verrouillé ou dans un bureau fermé à clé, conformément à la politique ministérielle et au document GSMGC-007 (2022) - Transport, transmission et entreposage de matériel protégé ou classifié. Si des documents protégés ou classifiés non sécurisés sont découverts au cours de l'inspection de sécurité, l'équipe d'inspection est autorisée à les enlever pour les mettre en lieu sûr.

Lorsqu'elle enlève des documents pour les mettre en lieu sûr, l'équipe d'inspection de sécurité doit les placer dans le contenant de sécurité approuvé et dans la zone de sécurité matérielle requise, compte tenu de leur catégorie. Les documents devraient être accessibles au groupe de la sécurité du ministère ou de l'organisme afin qu'ils puissent être rendus à leur propriétaire dans les meilleurs délais. Tout article retiré d'un bureau ou d'un poste de travail doit être marqué du nom de l'employé et du numéro du bureau ou du poste de travail. S'il n'est pas possible de ranger les documents en toute sécurité et leur propriétaire, inconnu ou non disponible, l'inspecteur de sécurité doit les sécuriser dans toute la mesure du possible, en informer la haute direction et prendre des dispositions pour qu'ils soient immédiatement remis à une personne de la section responsable possédant l'attestation de sécurité appropriée et ayant besoin de savoir.

Paliers d'intervention possibles après l'enquête

Veuillez prendre note que les équipes de sécurité ministérielles ne devraient jamais consulter unilatéralement ou indépendamment des intervenants internes ou externes sur des infractions graves à la sécurité sans d'abord signaler l'événement à leur DPS respectif ou en discuter avec lui.

Les observations de toutes les inspections de sécurité devraient être compilées dans un rapport, envoyé au groupe de la sécurité de l'organisation. Ce rapport devrait présenter un résumé des espaces de travail inspectés, les observations elles-mêmes, un résumé de toutes les infractions à la sécurité constatée et, éventuellement, des recommandations pour la haute direction. Un modèle de rapport est présenté à l'annexe B.

Niveaux de gravité des infractions

Niveau 1

Premier avis d'infraction à la sécurité concernant des renseignements et des biens Protégé A ou B.

Mesures correctives administratives :

• Un avis est envoyé à la personne et à son supérieur immédiat.

Niveau 2

Deuxième avis d'infraction à la sécurité concernant des renseignements et des biens Protégé A ou B.
ou
Premier avis d'infraction à la sécurité concernant des renseignements et des biens Confidentiel ou Secret.

Mesures correctives administratives :

• Un avis est envoyé à la personne, à son supérieur immédiat et à l'échelon de direction supérieur.
• La personne est tenue de suivre une formation de sensibilisation à la sécurité (p. ex. cours COR310 de l'École de la fonction publique du Canada, ou toute autre formation pertinente accessible à l'interne).

Niveau 3

Troisième avis d'infraction à la sécurité concernant des renseignements et des biens Protégé A ou B.
ou
Deuxième avis d'infraction à la sécurité concernant des renseignements et des biens Confidentiel ou Secret.

Mesures correctives administratives :

• Un avis est envoyé à la personne, à son supérieur immédiat et à l'échelon de direction supérieur.
• La personne peut être tenue d'assister à une séance d'information obligatoire sur la sécurité organisée par le groupe ou la section de la sécurité du ministère.
• On peut demander à la personne de se présenter à une entrevue de sécurité avec le groupe ou la section de la sécurité du ministère afin de déterminer si une révision de son attestation de sécurité ou de son statut est nécessaire. Si les résultats de l'entrevue le justifient, l'affaire pourra être élevée au niveau 4.

Niveau 4

Plus de trois avis d'infraction à la sécurité concernant des renseignements et des biens Protégé A et B.
ou
Plus de deux avis d'infraction à la sécurité concernant des renseignements et des biens Confidentiel ou Secret (à l'exception des documents confidentiels du Cabinet).
ou
Tout avis d'infraction à la sécurité concernant des renseignements et des biens Protégé C ou Très secret.

Mesures correctives administratives :

• Un avis est envoyé à la personne, à son supérieur immédiat et à l'échelon de direction supérieur.
• Une révision de la cote de sécurité peut être amorcée.
• La personne peut être tenue de se présenter à une entrevue obligatoire avec le groupe ou la section de la sécurité du ministère.

Remarques :

1. Les infractions à la sécurité peuvent aussi concerner des documents ou des systèmes électroniques.
2. Une infraction de nature criminelle pourra donner lieu à des poursuites judiciaires, sous réserve d'un examen et d'une enquête par le groupe de la sécurité de l'organisation.
3. La gravité des infractions à la sécurité est mesurée à l'aide des niveaux 2 à 4 et peut donner lieu à des mesures disciplinaires. Attention : les mesures de redressement ne font pas partie du processus d'inspection et devraient être déterminées par le ministère ou l'organisme du GC. Les décisions sont prises à la discrétion du DPS ou du gestionnaire du ministère.
4. Si la cote de sécurité et/ou le statut de la personne sont révoqués à la suite d'une révision par son organisation, il se peut que la personne ne remplisse plus les conditions d'emploi. Il peut être nécessaire de consulter le service des Ressources humaines ou des Relations de travail.

Annexe A - Avis d'inspection de sécurité

Annexe B - Rapport d'inspection de sécurité/liste de vérification

Les inspections de sécurité sont nécessaires pour s'assurer que les renseignements et les biens protégés et classifiés soient protégés conformément à la DGS. Un rapport basé sur le modèle ci-dessous devrait être laissé au poste de travail ou au bureau par les équipes d'inspection de sécurité. L'outil d'évaluation des risques liés aux inspections de sécurité est accessible sur GCcollab pour aider les spécialistes fonctionnels de la sécurité à déterminer de manière objective et cohérente la fréquence des inspections de sécurité au sein d'une installation.

Rappel :

• Un avis d'inspection de sécurité (annexe A) doit être laissé en évidence à tous les postes de travail inspectés afin d'informer l'occupant qu'une inspection de sécurité a eu lieu et de lui indiquer si son bureau/poste de travail était conforme.
• Il faut remplir un rapport d'incident de sécurité/liste de vérification (ci-dessous) pour documenter toutes les violations.
• Un rapport sur les résultats de l'inspection doit être soumis au gestionnaire de programmes et de prestations de services (annexe C).

Annexe C - Taux de conformité en matière de sécurité

Le taux de conformité est le pourcentage total d'infractions à la sécurité de l'organisation. On le calcule en divisant le nombre total des infractions à la sécurité par le nombre d'employés, pour ensuite multiplier par 100. Le niveau acceptable de non-conformité se décide d'après le cadre de risque de l'organisation.

Calculé comme suit : 100 % - (nombre des atteintes/nombre d'employées x 100)

Vous trouverez ci-dessous un résumé de l'inspection de sécurité qui a été effectuée dans votre zone de responsabilité :