Facteurs à considérer concernant les urnes électroniques - ITSM.10.102

Les systèmes de dépouillement des votes, aussi appelés technologies de compilation des votes, sont de plus en plus adoptés pour remplacer le dépouillement manuel lors d’élections démocratiques. Ces technologies peuvent aider à améliorer l’efficacité du processus de compilation électronique des votes et à réduire les erreurs humaines lors du processus de dépouillement des votes.

La présente publication contient de l’orientation sur les facteurs à considérer en matière de cybersécurité et sur les exigences relatives aux systèmes dont il faut tenir compte avant de déployer des urnes électroniques lors d’élections démocratiques. Elle met en lumière les principaux risques, menaces et mécanismes de protection dont devraient tenir compte les organismes électoraux lors de l’évaluation des systèmes de dépouillement des votes.

Table des matières

• Portée
• Vote électronique
  • Figure 1 : Architecture générique d’un système électoral
• Dépouillement et compilation des votes
  • Types d’urnes électroniques
• Analyse des menaces
• Considération en matière de contrôles de sécurité
  • Sécurité matérielle et physique
  • Sécurité associée au cycle de vie
  • Évaluation continue des risques
  • Protection de vos données
  • Protections d’isolation de réseau
  • Contrôles d’accès sécurisés
  • Validation et authentification des dispositifs
  • Correctifs et mises à jour de système
  • Développement d’applications sécurisées
  • Surveillance des journaux de vérification
  • Continuité des activités
  • Former les utilisatrices et utilisateurs
  • Efficacité des contrôles de sécurité
• Conclusion

L’adoption de technologies numériques pour optimiser l’efficacité du processus électoral constitue une option de plus en plus intéressante pour les élections démocratiques modernes. Les administratrices et administrateurs de scrutin adoptent de plus en plus des méthodes numériques modernes pour améliorer ou remplacer les processus électoraux traditionnels manuels. Lors d’un dépouillement manuel, l’épuisement, les distractions ou la fatigue visuelle peuvent causer des erreurs humaines, ce qui peut entraîner une mauvaise évaluation des bulletins de vote et leur classification erronée. Lors de courses électorales très serrées, de telles erreurs peuvent engendrer de graves conséquences. Le recours à des technologies de dépouillement des votes pour faciliter certains aspects du processus électoral peut contribuer à réduire les erreurs de calcul attribuables aux interventions humaines, à élargir les options d’accessibilité pour l’électorat et à accroître la transparence des élections. Ces technologies permettent également de transmettre rapidement les résultats des élections.

Bien qu’Élections Canada n’ait pas recours à des urnes électroniques ni à des systèmes de dépouillement des votes, certaines provinces et villes canadiennes ont utilisé ces systèmes dans le cadre de leurs élections. Les urnes électroniques sont des appareils électroniques permettant d’automatiser le dépouillement des bulletins de vote papier marqués. Certains modèles offrent également le stockage des données numériques relatives aux bulletins de vote, l’intégration avec des dispositifs d’assistance ou des capacités de saisie des votes, ainsi que d’autres fonctions complémentaires. Toutefois, bien que les urnes électroniques présentent des avantages potentiels, il ne faut pas oublier d’examiner attentivement les risques connexes.

Il est vrai que le remplacement des processus traditionnels par des urnes électroniques peut présenter de nombreux avantages. Or, elles peuvent aussi introduire de nouvelles vulnérabilités et menaces au sein du processus démocratique, permettant à des auteurs de menace de causer du tort. Ces menaces peuvent provenir d’auteurs de menace étatiques disposant de capacités sophistiquées ou de personnes sans scrupule souhaitant perturber le déroulement pacifique du processus démocratique. Avant de mettre en service des urnes électroniques, les organismes électoraux devraient effectuer une évaluation approfondie des risques afin de déterminer les risques potentiels et les menaces liés à la sécurité connexes. Selon la Mise à jour de 2025 : Cybermenaces contre le processus démocratique du Canada, la probabilité que des auteurs de cybermenace parrainés par un État ciblent les élections canadiennes est presque certaine. Il est donc important de comprendre les menaces et les risques particuliers qui peuvent être associés aux déploiements d’urnes électroniques.

Dans la présente publication, nous discutons des facteurs de cybersécurité importants que doivent considérer les administratrices et administrateurs de scrutin lorsqu’ils décident de recourir à des urnes électroniques, ainsi que du modèle d’architecture sécurisé recommandé pour la mise en œuvre de ces appareils et des contrôles de sécurité nécessaires pour protéger l’intégrité du système. Il convient de noter qu’il est difficile d’établir une connectivité réseau adéquatement sécurisée pour toute infrastructure électorale.

Portée

Ce document d’orientation s’applique uniquement aux systèmes de compilation des bulletins de vote papier et non aux systèmes qui traitent des bulletins de vote électroniques. Bien que certaines des recommandations formulées puissent aussi s’appliquer aux systèmes traitant des bulletins de vote électroniques, il faut savoir qu’elles pourraient ne pas atténuer complètement les menaces propres à ces systèmes.

Vote électronique

Les architectures de système de vote électronique sont complexes et peuvent comporter de nombreux systèmes différents. Une architecture de système de vote électronique décrit les composantes des systèmes d’information sollicitées dans le cadre du vote électronique et la manière dont elles interagissent entre elles. Ces systèmes comprennent notamment :

• des sites Web publics;
• des systèmes d’inscription des partis;
• des systèmes d’inscription pour l’électorat;
• des systèmes de création et d’impression de bulletins de vote;
• des systèmes de gestion des élections;
• des systèmes de vote en ligne;
• des systèmes de dépouillement et de compilation des votes;
• des systèmes de publication des résultats.

Ces systèmes reposent souvent sur des technologies logicielles et micrologicielles distinctes, peuvent être interconnectées et peuvent échanger des données au moyen de divers protocoles réseau. La figure 1 illustre une architecture générique et moderne de système de vote électronique, qui est basée sur le Handbook for Elections Infrastructure Security (en anglais seulement) du Center for Internet Security (CIS).

Le présent document d’orientation est axé sur les composantes de cette architecture qui ont trait au dépouillement et à la compilation des votes. Les recommandations formulées portent sur les principaux enjeux liés à la cybersécurité et aux opérations, lesquels nécessitent une attention particulière afin de veiller au déploiement et à l’exploitation sécuritaires de ces systèmes. Commençons par une description générique des systèmes de dépouillement et de compilation des votes.

Dépouillement et compilation des votes

Le dépouillement et la compilation des votes représentent le processus de comptage et de totalisation des bulletins de vote utilisés et non utilisés dans le cadre d’une élection. Le processus comprend le rassemblement des bulletins de vote valides et invalides (nuls), le comptage des bulletins de vote non utilisés, et la totalisation des bulletins de vote valides pour chacune des candidatures électorales. Le dépouillement et la compilation des bulletins de vote peuvent se faire manuellement ou à l’aide de systèmes électroniques, comme des urnes électroniques. Les deux méthodes sont susceptibles d’entraîner des erreurs durant le processus pour différentes raisons. Par exemple, la fatigue et l’inattention du personnel électoral peuvent entraîner des erreurs de calcul lors du dépouillement manuel des bulletins de vote. De même, des failles logicielles ou une atteinte à l’intégrité des urnes électroniques peuvent engendrer la classification erronée des votes. En général, il est important que les administratrices et administrateurs de scrutin évaluent continuellement les méthodes de dépouillement et mettent en place des mécanismes permettant de déterminer ou de confirmer que les processus de dépouillement fonctionnent dans les limites des taux d’erreur jugés acceptables.

La méthode de dépouillement des votes employée est souvent prévue par la loi. En effet, la Loi électorale du Canada prévoit, par exemple, que les bulletins de vote déposés lors des élections fédérales soient dépouillés manuellement. En revanche, certains territoires et certaines provinces et municipalités ont modifié leurs lois électorales pour autoriser l’utilisation d’urnes électroniques lors de leurs élections.

De façon générale, un processus usuel de dépouillement et de compilation des bulletins de vote comprend les activités suivantes :

• Valider chacun des bulletins de vote;
• Trier les bulletins de vote déposés et faire le décompte des bulletins valides et invalides (nuls);
• Établir le total de votes valides obtenus pour chacune des candidatures;
• Produire un tableau récapitulatif des bulletins de vote comptabilisés.

Il est à noter que la transmission des résultats électoraux est considérée comme un processus distinct, car il peut nécessiter d’autres composantes de système pour la transmission de l’information. Dans le cas de l’agrégation des résultats, il peut aussi s’avérer nécessaire de compiler une nouvelle fois les résultats dans une installation centralisée avant la publication des résultats officiels.

Les méthodes suivantes peuvent être utilisées pour la compilation des bulletins de vote lors des élections.

Dépouillement et compilation manuels

Selon cette méthode, le personnel électoral procède manuellement au tri, à la validation et au comptage des bulletins de vote papier. Toutes les activités s’effectuent à la main, dont la production de tableaux présentant les résultats électoraux. Comme l’indique Élections Canada dans le Manuel du directeur de scrutin, lors d’élections fédérales canadiennes, les bulletins de vote sont dépouillés manuellement aux bureaux de scrutin, et les résultats préliminaires sont ensuite transmis (souvent par téléphone) à la directrice ou au directeur de scrutin d’Élections Canada.

Lorsque les élections reposent principalement sur une autre méthode de compilation des votes (par exemple dans le cadre d’élections provinciales ou municipales), le dépouillement et la compilation manuels des bulletins de vote servent souvent de solution de rechange. Le dépouillement et la compilation manuels de bulletins de vote sont aussi utilisés dans le cadre de vérifications électorales. Il peut être fastidieux et long de procéder au dépouillement et à la compilation manuels de bulletins de vote, surtout pour les bureaux de scrutin dont l’électorat est important. Bien que les méthodes de dépouillement manuel offrent souvent un degré de confiance accru en raison de leur simplicité et de leur facilité de vérification, elles peuvent néanmoins donner lieu à des erreurs et à une certaine subjectivité humaine.

Dépouillement et compilation électroniques

Cette méthode consiste à utiliser des urnes électroniques pour trier, valider et compter les bulletins de vote. Elle permet de faire le décompte des bulletins de vote papier et numériques. Les bulletins de vote papier sont insérés dans l’appareil aux fins d’analyse, tandis que les bulletins de vote numériques sont recueillis et traités par l’urne électronique. Les urnes électroniques peuvent comprendre une imprimante intégrée ou être compatibles avec des imprimantes externes. Toutefois, il est à noter que tout appareil périphérique ou externe connecté à une urne électronique doit respecter les mêmes normes de contrôle de sécurité que le système de compilation des votes. Il est également recommandé de préserver l’indépendance entre le système de dépouillement et le système de création des bulletins de vote afin qu’une compromission de l’un ne compromette pas l’autre.

Types d’urnes électroniques

Il existe différents types d’urnes électroniques, souvent définis selon leur fonction, leurs capacités et leurs cas d’utilisation.

Urnes électroniques autonomes

Il s’agit d’appareils de numérisation qui lisent et enregistrent les bulletins de vote dans un bureau de scrutin. Elles sont conçues pour une utilisation peu intensive. Elles peuvent également intégrer des capacités programmables additionnelles pour faciliter la validation, le tri et le comptage des bulletins de vote, ainsi que le traitement des résultats à l’échelle locale.

Urnes électroniques centralisées

Il s’agit d’appareils permettant de traiter les bulletins de vote de manière centralisée. Elles sont habituellement de calibre industriel et conçues pour traiter un grand nombre de bulletins de vote. Elles permettent également d’effectuer efficacement des recomptages à grande échelle et de procéder au traitement des votes par correspondance.

Urnes électroniques à lecteur optique

Il s’agit d’appareils dotés de lecteur optique qui sont couramment utilisés pour aider au traitement des bulletins de vote papier marqués. Ces numériseurs s’appuient sur des technologies de reconnaissance optique de caractères ou de reconnaissance optique de marques pour lire les bulletins de vote. Ils génèrent une version numérique d’un bulletin de vote original, laquelle peut ensuite faire l’objet d’un traitement additionnel. Les systèmes à lecteur optique sont souvent utilisés pour traiter les bulletins de vote par correspondance.

Analyse des menaces

Le Centre pour la cybersécurité publie des rapports d’évaluation périodiques sur les cybermenaces contre le processus démocratique du Canada. Dans la dernière mise à jour du rapport, le Centre pour la cybersécurité juge que les processus démocratiques à l’échelle mondiale demeurent une cible d’intérêt pour les auteurs de cybermenace et que la probabilité que des auteurs de cybermenace ciblent les élections canadiennes est presque certaine. Les systèmes de compilation de votes pourraient certainement introduire de nouvelles vulnérabilités au sein du processus électoral et devenir des cibles pour certains auteurs de menace étatiques motivés. Les organismes électoraux devraient mener des évaluations rigoureuses des risques et des menaces afin de bien comprendre les risques associés à l’utilisation de ces systèmes et de veiller à la protection des systèmes de compilation des votes contre ces menaces.

Les auteurs de menace cherchent souvent à miner la confiance du public par rapport à la légitimité du processus démocratique. Selon le rapport de 2025 sur les cybermenaces contre le processus démocratique du Canada, des auteurs de menace parrainés par des États pourraient tenter de miner la confiance du public en altérant le contenu des appareils utilisés durant le processus électoral. Des auteurs de menace pourraient donc infiltrer et compromettre les chaînes d’approvisionnement utilisées pour l’acquisition des urnes électroniques. Ils pourraient également mener des attaques visant à perturber le fonctionnement de ces appareils, ce qui pourrait nuire au bon déroulement des élections. Ils pourraient en outre lancer des campagnes de mésinformation ou de désinformation ciblées pour propager des informations erronées au sujet du fonctionnement des urnes électroniques, minant ainsi la confiance du public et de l’électorat.

Les auteurs de menace parrainés par des États ont mené plusieurs attaques contre des systèmes et des processus électoraux dans les dernières années. L’Ukraine, l’Estonie, l’Équateur et même le Royaume-Uni en sont d’ailleurs des exemples. Parmi les vecteurs d’attaque observés figurent le déploiement de maliciels perturbateurs sur les serveurs employés pour compiler les votes ainsi que l’insertion de faux résultats dans le but de les diffuser publiquement.

Compte tenu du contexte actuel des menaces, il est fort probable que des cybercriminelles et cybercriminels et des acteurs parrainés par des États cibleront les processus de dépouillement et de compilation des votes afin d’atteindre leurs objectifs généraux. Les auteurs de menace pourraient mener des attaques et cibler les systèmes de dépouillement et de compilation des votes de diverses façons, notamment les suivantes :

• Prendre le contrôle des systèmes de compilation des votes afin de modifier les résultats;
• Infiltrer des fabricants de composantes de système ou d’appareil afin de compromettre la chaîne d’approvisionnement des appareils de dépouillement et de compilation des votes;
• Compromettre les bases de données électorales, entraînant la divulgation non autorisée de renseignements confidentiels sur l’électorat et minant la confiance à l’égard du processus démocratique;
• Perturber les fonctions du système de compilation des votes au moyen d’attaques par épuisement des ressources ou d’attaques destructrices, telles que les attaques par déni de service distribué (DDoS) et les attaques par rançongiciel;
• Se faire passer pour des organismes électoraux afin de propager de la mésinformation ou de fausses informations au sujet de l’intégrité du processus ou des appareils de compilation des votes, dans le but d’affaiblir la confiance du public à l’égard du processus démocratique;
• Compromettre des justificatifs d’identité donnant des accès privilégiés afin d’accéder aux systèmes dorsaux et de modifier les registres de compilation des votes ou de lancer d’autres attaques perturbatrices.

Considération en matière de contrôles de sécurité

La présente section fait état des contrôles de sécurité importants que vous devriez considérer avant d’acquérir, de déployer et d’utiliser des systèmes de compilation des votes. Ces recommandations s’appuient sur la publication du Centre pour la cybersécurité intitulée Gestion des risques liés à la cybersécurité et à la vie privée : Une méthode axée sur le cycle de vie (ITSP.10.033). Les administratrices et administrateurs de scrutin devraient tenir compte des principes fondamentaux de conception et de sécurité des systèmes afin de protéger le matériel, les micrologiciels, les composantes logicielles et tout processus connexe.

Sécurité matérielle et physique

Les niveaux de protection physique pour les systèmes de compilation des votes sont essentiels afin de garantir la fiabilité des autres contrôles de sécurité et le fonctionnement prévu de tout le système. Les urnes électroniques doivent être conçues, fabriquées, exploitées et mises hors service conformément à des principes de sécurité dès la conception afin d’être mieux protégées contre les menaces, notamment une compromission de la chaîne d’approvisionnement à tout moment durant le cycle de vie.

Concevoir des systèmes capables de gérer les risques physiques et environnementaux

Les urnes électroniques devraient être conçues de manière à assurer leur résilience opérationnelle. Les appareils, les supports de stockage et toute autre composante de système devraient être capables de gérer les risques physiques et environnementaux, comme les chocs physiques, l’humidité élevée et les fluctuations de température, afin d’empêcher la perte de données. Ces appareils devraient également disposer d’une alimentation électrique d’urgence. Un système d’alimentation de secours intelligent permettra également d’effectuer une mise hors tension contrôlée du système. Il est important de protéger les appareils et leurs données électroniques en cas de pannes ou de surtension. Nous recommandons également de penser à mettre en place un écran électromagnétique et un sceau d’inviolabilité.

Fabriquer l’appareil pour l’usage prévu

Les urnes électroniques devraient être fabriquées de manière à remplir une seule fonction afin de garantir que les mécanismes de sécurité sont exécutés dans des périmètres de sécurité définis. Les systèmes à fonction unique réduisent la complexité associée aux conceptions à usages multiples et garantissent la délimitation claire des fonctions du système et l’application adéquate des restrictions de sécurité. Les systèmes à usage général ou à usages multiples élargissent la surface d’attaque, offrant aux adversaires davantage d’occasions de compromettre le système. Nous recommandons que les urnes électroniques soient des systèmes spécialisés, conçus expressément pour cette fonction et dédiés à un usage unique.

Exploiter des systèmes dotés de contrôles d’accès physiques rigoureux

Lorsque vous déployez et exploitez des urnes électroniques, vous devriez appliquer des contrôles d’accès physiques rigoureux. Seules les personnes autorisées apparaissant sur les listes d’accès approuvé devraient pouvoir accéder physiquement aux appareils avant, durant et après les élections. Il faut aussi surveiller les endroits où sont entreposés, déployés et transportés ces appareils durant tout leur cycle de vie, et des mécanismes devraient être en place pour détecter et décourager tout accès non autorisé. Au moment de déterminer les endroits où déployer les urnes électroniques, il faut penser à des mécanismes de sécurité visant à empêcher toute observation et tout accès interdits des appareils. Les écrans des appareils devraient être configurés de manière à empêcher que les informations affichées à l’écran puissent être lues ou observées à distance. Les organismes de gestion électorale devraient tenir des registres des accès pour chaque appareil tout au long de son cycle de vie, depuis son acquisition jusqu’à sa mise hors service.

Surveiller les systèmes et tenir des registres rigoureux liés à la chaîne de possession

La tenue de registres liés à la chaîne de possession contribue de façon significative à garantir l’intégrité physique et logique des urnes électroniques. Les administratrices et administrateurs de scrutin devraient appliquer des pratiques rigoureuses en matière de chaîne de possession pour empêcher toute falsification ou autre modification malveillante des appareils. Les mesures suivantes constituent des moyens de protéger les urnes électroniques ainsi que les données qui y sont stockées :

• Consigner tous les déplacements des urnes électroniques de même que leurs accès durant leur cycle de vie;
• Appliquer des sceaux d’inviolabilité;
• Transporter les urnes électroniques dans des contenants sécurisés entre les bureaux de scrutin;
• Documenter et vérifier la chaîne de possession lors du transport des urnes électroniques;
• Protéger et authentifier tous les accès physiques à l’équipement de compilation des votes;
• Examiner les contrôles de surveillance en matière de sécurité avant, durant et après les élections pour valider leur efficacité;
• Mettre hors service les appareils lorsqu’il est impossible de valider de manière sûre leur chaîne de possession.

Les procédures de mise hors service des appareils doivent garantir le nettoyage de manière cryptographique de toutes les données qu’ils contiennent avant leur élimination ou leur destruction. Il faut uniquement recourir à des méthodes de nettoyage adaptées au support de stockage et au contexte d’utilisation. Certaines méthodes de nettoyage ne sont pas efficaces ou adaptées à certains types de support. Par exemple, dans le cas des disques à circuits intégrés, au moins deux cycles d’écrasement des données suivis d’un effacement sécurisé sont requis pour satisfaire aux exigences de nettoyage des données. Pour en savoir plus sur les recommandations du Centre pour la cybersécurité, consultez le document Nettoyage des supports de TI (ITSP.40.006).

Sécurité associée au cycle de vie

Les processus démocratiques peuvent être exposés à des menaces persistantes et planifiées en raison des risques associés au cycle de vie des systèmes. Dans le cadre de la gestion des risques liés à la sécurité des technologies de l’information (TI), le « cycle de vie » se définit comme la conception ou le développement, l’acquisition, l’intégration ou l’installation, l’exploitation, la surveillance, la maintenance et l’élimination d’actifs de TI qui, aux fins du présent document, comprennent les urnes électroniques. Parmi les exemples de risques associés au cycle de vie des urnes électroniques figurent leur acquisition par l’intermédiaire de chaînes d’approvisionnement non sécurisées, ou leur conception ou développement par des fabricants non vérifiés ou non dignes de confiance. Par conséquent, la sécurité devrait être prise en considération à toutes les étapes du cycle de vie d’une urne électronique, et les risques potentiels permettant à des auteurs de menace de compromettre l’intégrité du processus électoral devraient être atténués.

Acquérir des appareils par l’intermédiaire de chaînes d’approvisionnement de confiance

Les systèmes de compilation des votes contiennent généralement des millions de micro-composantes individuelles ainsi que divers sous-systèmes, comme un module de numérisation des images, un module de vérification des bulletins de vote papier, des micrologiciels ou logiciels, des systèmes d’alimentation, des unités de stockage des données, et d’autres composantes. Des auteurs de menace peuvent infiltrer les chaînes d’approvisionnement pour compromettre la sécurité de ces appareils et systèmes. La complexité des cycles de vie des systèmes modernes rend difficile, pour les systèmes commerciaux, la garantie d’une protection contre les compromissions introduites au sein de la chaîne d’approvisionnement. Par conséquent, les organisations devraient partir du principe que de telles compromissions peuvent être présentes sur leurs appareils. Nous vous recommandons d’adopter des stratégies visant à évaluer et à atténuer les risques liés à la chaîne d’approvisionnement en vous appuyant sur l’approche du Centre pour la cybersécurité en matière d’évaluation des risques de cybersécurité associés à la chaîne d’approvisionnement.

Les organismes électoraux devraient acquérir les urnes électroniques et les composantes de système par l’intermédiaire de chaînes d’approvisionnement de confiance et inspecter physiquement les appareils avant et après les avoir acquis, de même qu’avant, durant et après les élections. Les urnes électroniques devraient être munies de rubans de sécurité, d’étiquettes de sécurité et de sceaux d’inviolabilité permettant de détecter tout accès physique non autorisé ou toute modification non autorisée du matériel ou des composantes physiques du système.

Les administratrices et administrateurs de scrutin devraient mettre en place des procédures d’approvisionnement sécurisées pour limiter le potentiel d’infiltration des chaînes d’approvisionnement par des auteurs de menace. Les mesures suivantes pourraient contribuer à assurer la sécurité de la chaîne d’approvisionnement de l’infrastructure des urnes électroniques :

• Mettre sur pied un programme de gestion des risques liés à la chaîne d’approvisionnement pour évaluer les risques associés aux processus d’approvisionnement;
  • Évaluer et vérifier tous les fournisseurs de technologies afin de s’assurer que leurs processus sous-jacents et leurs relations sont sécurisés;
  • Évaluer régulièrement les fournisseurs et leurs pratiques en matière de cybersécurité;
• S’assurer que seuls les fournisseurs vérifiés et de confiance ont accès aux données électorales sensibles et du système durant tout le cycle de vie lié au développement du système;
• Collaborer avec des fournisseurs de technologies pour s’assurer que des processus de vérification sont en place;
  • S’assurer que les composantes des urnes électroniques sont authentiques et qu’elles n’ont pas été compromises dans le cadre de relations avec des tiers;
  • Plus précisément, travailler avec des fabricants d’urnes électroniques en vue de mettre en œuvre des mécanismes permettant de valider l’intégrité du matériel, des micrologiciels et des logiciels exécutés sur les appareils;
• Les organismes électoraux peuvent aussi demander des renseignements détaillés sur la nomenclature du matériel ou la nomenclature des logiciels afin d’assurer un suivi adéquat des risques de vulnérabilité associés aux composantes matérielles et logicielles.

Pour en savoir plus sur la cybersécurité de la chaîne d’approvisionnement, consultez les documents Menaces à la chaîne d’approvisionnement et espionnage industriel et Cybersécurité de la chaîne d’approvisionnement pour les petites et moyennes organisations (ITSAP.00.070).

Évaluation continue des risques

Les autorités de gestion des élections doivent mener une analyse exhaustive des risques sur l’utilisation d’urnes électroniques et comprendre les possibles répercussions sur la sécurité du processus électoral dans son entier. L’évaluation des risques liés à l’utilisation d’urnes électroniques ne doit pas se faire de façon isolée.

Déterminer les risques associés à l’utilisation de systèmes de compilation

Les OGE doivent envisager les technologies électorales selon une approche de gestion des risques. Même si les urnes électroniques donnent l’occasion d’améliorer les activités électorales, il est important de comprendre les risques connexes afin de les atténuer, de les accepter ou de les éviter. Le transfert des risques n’est pas acceptable, car la compromission d’un processus démocratique peut avoir des répercussions considérables sur la réputation. Les OGE doivent également éviter d’utiliser des urnes électroniques s’ils ne sont pas préparés ou disposés à accepter les risques connexes. Pour de plus amples informations sur l’évaluation et la gestion des risques, veuillez consulter les publications La gestion des risques liés à la cybersécurité et des risques d’atteinte à la vie privée : Une méthode axée sur le cycle de vie et Évaluation des risques à la sécurité pour les systèmes de vote en ligne dans les processus démocratiques (ITSM.10.103).

Protection de vos données

Les urnes électroniques traitent, créent et stockent les données du scrutin. Les données sont un bien essentiel de tout processus opérationnel, en particulier les processus démocratiques qui se fondent sur les systèmes numériques. C’est pourquoi vous devriez avoir des mécanismes de sécurité en place afin d’assurer la confidentialité, l’intégrité et la disponibilité de toutes les formes de données, qu’elles soient stockées sur le dispositif de compilation ou qu’elles se trouvent en transit aux fins de traitement.

Établir une stratégie holistique relative à la sécurité des données

Une stratégie holistique relative à la sécurité des données électorales doit être établie afin de régir et de sécuriser les données électorales pendant leur cycle de vie. Cette stratégie doit inclure les politiques sur les données, les procédures de traitement acceptable et les lignes directrices de gestion des données sur les urnes électroniques. Les politiques de sécurité des données peuvent comprendre des recommandations sur les types de support de stockage, les mécanismes de traitement sécurisé des données, les normes de cryptographie, les formats de données de stockage et le chiffrement des données. Vous pourriez également envisager d’effectuer une évaluation de sécurité des données afin de cerner tous les flux de données, les intrants et les extrants vers et depuis les urnes électroniques. Cependant, il n’y a aucun moyen sécurisé de connecter les urnes électroniques aux réseaux électroniques. Votre stratégie de sécurité des données doit aborder la façon de sécuriser les données des urnes électroniques pendant leur cycle de vie, de leur création à leur destruction. Par exemple, elle devrait aborder votre plan pour sécuriser les bulletins de vote physiques et numériques, restreindre et gérer les accès, mettre en œuvre le chiffrement des données et garantir la conformité avec les exigences juridiques où les données sont hébergées.

Bien classifier les données

La classification des données représente un élément crucial sur lesquelles se basent de nombreuses autres activités de sécurité, en particulier l’identification de mécanismes de contrôle de sécurité approprié pour protéger les données. Les données sur les urnes électroniques existent généralement à différents niveaux de classification, et le choix de mesures de protection ou de contrôles de sécurité doit en tenir compte. Le système de compilation de vote doit être conçu en fonction de la classification la plus élevée des données ou des composants du système. Par exemple, les urnes électroniques peuvent nécessiter de traiter des clés de chiffrement, et des certificats de validation des données pourraient être utilisés pour chiffrer et valider l’intégrité des données électorales.

Les clés cryptographiques représentent des données très sensibles ou pourraient nécessiter une classification élevée des données. Le système de compilation de vote doit être conçu pour mettre en œuvre des contrôles de sécurité du plus haut niveau déterminé. Pour en savoir plus sur l’évaluation de classification des données, consultez la publication Gestion des risques liés à la cybersécurité et à la vie privée : Catalogue des activités d’assurance et des contrôles de sécurité et de protection de la vie privée (ITSP.10.033).

La classification appropriée des données, combinée à des contrôles de traitement sécurisé correspondants, peut réduire les risques de compromission de données. Les autorités électorales doivent mettre en place des processus pour garantir que les biens ne sont accessibles qu’aux utilisatrices et utilisateurs selon le principe du besoin de savoir, et que les systèmes électoraux ne soient accessibles qu’au moyen de dispositifs ayant les autorisations de sécurité appropriées. De plus, seuls les dispositifs autorisés doivent être utilisés pour traiter et diffuser les données liées aux élections.

Protéger les données avec des contrôles cryptographiques

Les données des urnes électroniques doivent être protégées au moyen de mécanismes cryptographiques, qu’elles soient au repos ou en transit, y compris sur les dispositifs portables. Les données de scrutin et de dépouillement doivent être protégées contre la divulgation non autorisée et les attaques d’intégrité avant et après leur publication officielle par l’intermédiaire de canaux autorisés. Le chiffrement peut protéger les données conter la divulgation ou la modification non autorisée. Vous devriez déterminer où les données sont hébergées à différents moments pour veiller à appliquer les bons contrôles de sécurité afin d’atténuer les risques d’utilisation ou de divulgation non autorisée. Nous recommandons d’utiliser des algorithmes et des protocoles cryptographiques autorisés seulement. Pour en savoir plus sur les algorithmes cryptographiques recommandés, consultez les conseils sur les algorithmes cryptographiques pour l’information NON CLASSIFIÉ, PROTÉGÉ A et PROTÉGÉ B (ITSP.40.111). Il est important de maintenir un système sécurisé de gestion des clés cryptographiques. Veillez à gérer de façon sécurisée la création, le stockage et la destruction des clés cryptographiques. Mettez en œuvre une procédure de sauvegarde sécurisée des clés cryptographiques pour pouvoir récupérer les données.

Envisager des mesures de protection de la vie privée

Au Canada, les données électorales sont assujetties aux lois concernant la vie privée, notamment la Loi sur la protection des renseignements personnels. Ces lois exigent qu’un minimum de contrôles de sécurité, comme le chiffrement des données et des contrôles de gestion des accès, soient mis en œuvre afin de protéger l’information de l’électorat et du dépouillement des votes. Il est recommandé de mettre en œuvre des mesures de protection de la vie privée appropriées pour l’information de dépouillement et de l’électorat. La Loi électorale du Canada exige qu’Élections Canada communique les données de vote, y compris les résultats des élections, avec les partis politiques et les gouvernements provinciaux. Les urnes électroniques doivent être évaluées pour établir la conformité et l’harmonisation avec le caractère secret du scrutin et les lois sur la protection de la vie privée. Il faut également évaluer la résidence des données, car les lois électorales pourraient exiger que les données (en transit ou au repos) résident dans des frontières géographiques précises.

Protections d’isolation de réseau

En raison de l’environnement de menace et des risques connexes présentés par les activités de menace parrainées par des États, il est recommandé de ne pas connecter les urnes électroniques à un réseau à tout moment. Avant des élections, les urnes électroniques doivent être configurées sans connectivité réseau, y compris Bluetooth et Wi-Fi, et ne doivent jamais être connectées à Internet. Les données doivent être transférées à ou depuis une urne électronique au moyen de procédures ne nécessitant pas d’accès réseau, comme des dispositifs de stockage portatifs ou des procédures papier.

L’isolation réseau stricte (hermétique) est le moyen le plus efficace d’atténuer les compromissions préexistantes qui pourraient avoir été introduites par des attaques du cycle de vie. L’isolation réseau augmente fortement les efforts requis pour obtenir la commande et le contrôle à distance d’un système compromis et force les adversaires à activer ou à contrôler les urnes électroniques ou les systèmes connexes au moyen d’autres méthodes, comme une méthode acoustique ou procédurale, par exemple un administrateur de système compromis. Certaines attaques graves, comme la « bombe logique » qui s’active de façon autonome en fonction de conditions préétablies, peuvent demeurer sur le système même sans connectivité réseau, mais l’ampleur et la sophistication des attaques possibles sont réduites sans la commande et le contrôle du réseau.

Établir des mesures de défense réseau strictes

Bien que le déploiement d’urnes électroniques de vote sur un réseau ne soit pas recommandé, les administratrices et administrateurs de scrutin pourraient choisir de le faire. Dans ces cas, l’infrastructure réseau sous-jacente aux urnes électroniques doit être protégée contre l’interception, la divulgation ou la modification non autorisée des données et les attaques par déni de service. Vous devriez mettre en place des mesures de protection contre les attaques par rançongiciel qui pourraient cibler les systèmes de compilation. Vous devriez assurer le suivi des vulnérabilités et apporter tous les correctifs aux dispositifs avant de les déployer dans le cadre d’élections. Les mesures suivantes peuvent être prises pour mettre en œuvre une approche de défense en profondeur ou de défense par couche afin de protéger les réseaux contre les auteurs de menace.

• Utiliser des pare-feu ou des mesures de protection des zones de réseau pour restreindre l’accès réseau aux biens sensibles sur le réseau.
• Envisager de déployer des systèmes de détection des menaces du réseau et de protection contre celles-ci afin d’atténuer les attaques basées sur les réseaux.
• Mettre à jour les dispositifs réseau régulièrement pour minimiser l’exposition aux vulnérabilités.
• Renforcer les dispositifs réseau en désactivant les services, les ports, les protocoles et les applications inutiles.
• Éviter de connecter les urnes électroniques de vote aux réseaux publics ou non fiables.
• Désactiver la connectivité à Internet des urnes électroniques ou des systèmes interconnectés.
• Mettre en œuvre des mesures de protection contre les menaces associées avec la connectivité réseau de parties tierces (vendeurs ou partenaires).

Contrôles d’accès sécurisés

Au moment de concevoir et de construire un système de compilation, il est essentiel de bien gérer les privilèges utilisateur et administrateur, d’isoler les fonctions sensibles et d’intégrer les principes d’ingénierie de la sécurité. Les droits d’accès utilisateur doivent être restreints à ceux nécessaires pour accomplir les tâches assignées. Les fonctions de système doivent tenir compte du principe de droit d’accès minimal, qui ne donne aux utilisatrices et utilisateurs que les privilèges dont ils ont besoin pour accomplir leurs tâches. Les mesures recommandées suivantes peuvent vous aider à mettre en place des contrôles d’accès sécurisés dans les systèmes de compilation des votes.

• Vérifier que tout le personnel ayant des accès administrateur au système à tout moment du cycle de vie respecte les exigences nécessaires en matière de sécurité du personnel.
  • Par exemple, certains systèmes électoraux pourraient nécessiter que l’accès administrateur soit accordé seulement aux citoyennes ou citoyens canadiens détenant une habilitation de sécurité valide.
• Maintenir le filtrage de sécurité officiel du personnel ayant des accès administrateur tout au long du cycle de vie.
  • Exiger le filtrage de sécurité et la vérification des antécédents du personnel nécessitant des accès privilégiés ou administrateur à l’infrastructure électorale ou de vote : les développeuses et développeurs de logiciels, les techniciennes et techniciens d’assemblage, les gestionnaires de programme, les responsables de l’administration des élections fédérales.
  • Veiller à ce que les comptes d’administrateur ne soient utilisés que dans l’exécution de tâches administratives et que ces privilèges soient vérifiés régulièrement.
• Mettre en œuvre le contrôle par deux personnes pour toutes les interactions avec les urnes électroniques durant leur cycle de vie, sauf lorsque des électrices et électeurs déposent leur bulletin de vote.
• Éviter de partager les justificatifs d’accès. Veiller à ce que chaque personne ait des justificatifs d’identité uniques pour accéder aux systèmes de compilation des votes.
• Exiger l’utilisation de phrases de passe ou de mots de passe forts sur les systèmes de vote.
• Utiliser des protocoles d’authentification robustes et ne jamais conserver les mots de passe en texte brut.
• Protéger les paramètres d’authentification au moyen d’algorithmes de hachage afin de faire preuve de résilience contre les attaques cryptographiques.
• Exiger des mécanismes d’authentification multifacteur (AMF) pour les accès administrateur aux systèmes de compilation des votes.

Pour de plus amples informations sur la gestion des comptes et des accès, consultez les publications Pratiques exemplaires de création de phrases de passe et de mots de passe (ITSAP.30.032), Sécurisez vos comptes et vos appareils avec une authentification multifacteur (ITSAP.30.030) et Les 10 mesures de sécurité des TI : no 3 Gestion et contrôle des privilèges d’administrateur (ITSM.10.094).

Verrouiller les dispositifs

Les administratrices et administrateurs de scrutin doivent veiller à ce que la configuration et les paramètres de sécurité des urnes électroniques soient mis à jour pour correspondre aux politiques organisationnelles. Il faut tenir compte également des mesures suivantes de verrouillage des urnes électroniques :

• Restreindre les services activés sur les systèmes et les dispositifs et empêcher les utilisatrices et utilisateurs de modifier les paramètres ou les configurations ou d’en créer.
  • Activer seulement les services essentiels aux tâches prévues.
• Déconnecter les dispositifs externes, comme les imprimantes, les télécopieurs et autres dispositifs informatiques, des urnes électroniques s’ils ne sont pas utilisés.
• Restreindre l’accès aux ports auxiliaires ou de données existants.
  • S’il y a un besoin opérationnel, il faut évaluer l’activation des ports en passant par un processus d’évaluation des risques.

Validation et authentification des dispositifs

Il est important de mettre en œuvre des mécanismes d’authentification robustes afin de préserver la confiance envers les dispositifs de compilation. Envisagez des mécanismes qui valident et authentifient en continu l’intégrité des urnes électroniques tout au long de leur cycle de vie. Par exemple, ils pourraient confirmer la validité des signatures numériques de l’infrastructure à clé publique (ICP) de confiance des progiciels. Les administratrices et administrateurs de scrutin doivent tenir compte de la logique logicielle et tester l’exactitude pour vérifier que les urnes électroniques fonctionnent comme elles se doivent. L’utilisation de certificats cryptographiques de dispositif peut également appuyer la certification physique de dispositif.

Correctifs et mises à jour de système

Il est essentiel de gérer régulièrement les correctifs afin de protéger les urnes électroniques contre les menaces connues et inconnues. Par conséquent, il est recommandé de mettre en œuvre les mesures additionnelles ci-dessous :

• Veiller à ce que les micrologiciels et logiciels soient à jour.
• Appliquer les correctifs aux dispositifs et les mises à jour logicielles régulièrement.
• Utiliser les mécanismes cryptographiques pour valider les micrologiciels et les logiciels avant d’appliquer les mises à jour.
• Confirmer que les cycles de déploiement des mises à jour n’ont pas une incidence opérationnelle sur des élections prévues.

Développement d’applications sécurisées

Il est possible que le développement ou l’approvisionnement d’une application soit nécessaire afin de respecter des exigences juridiques ou réglementaires. Il faut évaluer les considérations liées à la sécurité à toutes les étapes du processus de développement ou d’approvisionnement. Peu importe le modèle d’acquisition de l’application, les exigences en matière de sécurité doivent être clairement définies et consignées pour évaluer les objectifs de fonctionnalité et de sécurité. Les techniques de modélisation ou d’évaluation des menaces peuvent également servir à cerner et à affronter les menaces associées aux applications qui seront déployées sur les urnes électroniques. Les piles de logiciels modernes sont si complexes qu’il faut présumer qu’il y aura des compromissions du cycle de vie. Les organismes électoraux peuvent réduire leur surface d’attaque en cernant et en gérant les risques tôt dans le processus de conception de l’application, afin de bien atténuer ces risques.

Vérification des applications

Les approches de vérification dynamique et statique aident à tester la sécurité des logiciels système. La vérification statique nécessite de tester le code source et binaire, tandis que la vérification dynamique nécessite de tester l’application dans son utilisation fonctionnelle. Votre processus d’assurance logicielle doit vous permettre d’évaluer les applications dans un environnement de test. Adoptez des contrôles des tests d’intrusion et des tests fonctionnels pour valider les objectifs de sécurité et résoudre les vulnérabilités détectées. Ne présumez pas qu’une application a été vérifiée. Menez plutôt votre évaluation en fonction de vos objectifs de sécurité. Tirez parti des normes de vérification officielles, comme celles définies dans les critères communs, dans les normes ASVS d’OWASP (en anglais seulement) et dans le document ISO/IEC 27034-1 Technologies de l’information — Techniques de sécurité — Sécurité des applications (en anglais seulement).

Surveillance des journaux de vérification

L’activation des capacités de collecte d’événement et de journaux sur les urnes électroniques peut aider à enquêter sur les incidents. Les événements d’activité doivent être ajoutés aux journaux dans un stockage protégé, comme un support matériel non réinscriptible, et la conservation des données de journaux doit respecter les règles juridiques et de protection des renseignements personnels. Veillez à harmoniser les activités de journalisation sur les objectifs de criminalistique et d’intervention en cas d’incident, de sorte à garantir que les journaux d’activités recueillis contiennent l’information nécessaire pour enquêter sur les incidents.

Continuité des activités

Vous devriez établir des plans de continuité des activités et des procédures connexes, et les tester, pour garantir que les activités électorales puissent reprendre en cas d’événement préjudiciable. La planification des activités doit déterminer les données dont il faut faire une sauvegarde et établir des procédures de test et de reprise pour les sauvegardes. De plus, il faudrait tenir compte des combinaisons d’options de sauvegarde sur site et hors site pour répondre le mieux aux besoins. Les sauvegardes nécessitent les mêmes protections que les dispositifs en tant que tels, notamment en matière de sécurité physique, d’isolation réseau, d’accès contrôlés et de contrôle par deux personnes.

Pour obtenir de plus amples renseignements sur la planification de continuité des activités, consultez la publication Élaboration de votre plan de continuité des activités (ITSAP.10.005). Pour en savoir plus sur les sauvegardes, consultez la publication Sauvegarder et récupérer vos données (ITSAP.40.002).

Pendant les élections, veillez à ce que des procédures d’urgence soient en place pour reprendre rapidement les activités en cas d’événements non planifiés, comme le défaut ou le vol des urnes électroniques. Vous devriez chiffrer les sauvegardes des données sensibles et sécuriser leur accès. Créez également une sauvegarde des clés de chiffrement, des certificats de sécurité et des justificatifs d’identité afin que la récupération soit plus facile au besoin. Déconnectez le stockage externe lorsqu’il n’est pas utilisé pour réduire le risque que les données de sauvegarde soient corrompues.

Conserver des sauvegardes papier

Dans l’élaboration des processus électoraux qui utilisent des urnes électroniques, il est important que les administratrices et administrateurs envisagent des solutions résilientes pour se protéger contre les attaques par perturbation et la manipulation électronique. Si conserver des sauvegardes électroniques est essentiel pour accélérer la reprise après un incident, des dossiers ou des copies papier des bulletins de vote et des résultats compilés devraient être tenus. Si un incident catastrophique avait des répercussions sur le fonctionnement des systèmes électoraux, des dossiers papier permettront au processus démocratique de se poursuivre.

Planifier en fonction des incidents et de la reprise

Les incidents de sécurité peuvent survenir même si la cybersécurité de vos systèmes est la plus robuste. Les administratrices et administrateurs de scrutin doivent être prêts à gérer les compromissions de cybersécurité et la reprise. Une fois mis en place, le plan de reprise des activités après un incident doit décrire les rôles et les responsabilités de toutes les parties prenantes.  Ce plan doit être testé régulièrement pour assurer son efficacité. Les processus électoraux qui se basent sur des systèmes électroniques doivent avoir des mesures de sauvegarde manuelle et hors réseau qui peuvent être déployées en cas de défaut des systèmes électroniques.

Pour plus d’information sur l’intervention en cas d’incident et la planification de reprise des activités, consultez les publications Élaborer un plan d’intervention en cas d’incident (ITSAP.40.003) et Élaboration d’un plan de reprise informatique personnalisé (ITSAP.40.002).

Former les utilisatrices et utilisateurs

Il est essentiel de former les membres du personnel électoral et les bénévoles concernant les risques à la cybersécurité, afin d’assurer l’utilisation sécurisée des urnes électroniques. Ces personnes aux premières lignes doivent recevoir de la formation pour leur expliquer comment leurs gestes peuvent faciliter ou les attaques à la cybersécurité ou empêcher qu’elles surviennent. Veillez à ce que le personnel reçoive régulièrement de la formation afin de comprendre l’environnement de menace. La formation et les programmes de sensibilisation doivent viser l’ensemble des utilisatrices et utilisateurs des systèmes électoraux. Vous devez également évaluer de façon périodique l’efficacité de vos programmes de formation et veiller à ce que le contenu corresponde à l’information obtenue des évaluations de menace et réponde aux principaux enjeux liés aux menaces.

Pour en savoir plus sur la formation adaptée en cybersécurité, consultez la publication Les 10 mesures de sécurité des TI : No 6, Miser sur une formation sur mesure en matière de cybersécurité (ITSM.10.093).

Sécurité du personnel

Un processus de filtrage de sécurité efficace est essentiel. Mettez en place un processus de filtrage de sécurité du personnel et des bénévoles pour évaluer et valider l’intégrité des personnes recrutées pour travailler aux bureaux de scrutin ou devenir membre du personnel électoral. Menez des vérifications de sécurité des antécédents avant l’embauche. Veillez à ce que le processus de filtrage évalue continuellement l’admissibilité des membres du personnel et des bénévoles, y compris lors de changements de rôles ou de postes.

Afin de restreindre la possibilité qu’il y ait des contraintes légales étrangères, seules les personnes détenant la citoyenneté canadienne et l’habilitation de sécurité appropriée doivent avoir des accès administrateur au système de compilation des votes à tout moment du cycle de vie.

Efficacité des contrôles de sécurité

Il est important d’évaluer et de tester l’efficacité des contrôles de sécurité déployés sur les urnes électroniques afin de garantir que les systèmes fonctionnent comme il faut et qu’ils sont résilients face aux attaques réelles. Les administratrices et administrateurs de scrutin peuvent tirer parti des stratégies de test contrôlé, comme les tests d’intrusion physique ou procédurale et les techniques de modélisation des menaces. De plus, les autres mesures suivantes peuvent aider à assurer l’efficacité continue des contrôles de sécurité :

• Automatiser les mesures d’évaluation pour valider continuellement le bon fonctionnement des mesures de contrôle opérationnelles, techniques et gestionnelles.
• Cerner les mesures opérationnelles, de sécurité et de performance qui sont pertinentes à évaluer.
• Évaluer les capacités de cyberrésilience des systèmes contre les événements perturbateurs, comme la bombe logique.

Conclusion

Les urnes électroniques ont des capacités électroniques qui peuvent améliorer le processus démocratique et accroître l’efficacité. Cependant, les menaces qui les guettent, comme les perturbations ou les modifications de données, peuvent avoir une incidence négative sur la confiance envers les processus démocratiques. Il faut donc examiner attentivement les applications et l’architecture de déploiement de ces systèmes. Afin de réduire les répercussions d’éventuelles attaques lors du déploiement ou de l’utilisation des urnes électroniques, les administrations électorales doivent adopter une approche rigoureuse de la sécurité, notamment des mesures appropriées de protection des contrôles.

Les administratrices et administrateurs de scrutin doivent adopter une stratégie axée sur les données pour mettre en œuvre les contrôles de sécurité dans le chemin de données afin de sécuriser les systèmes de vote. Ils doivent veiller à ce que les urnes électroniques utilisées durant des élections démocratiques soient validées et que les protections de sécurité appropriées sont en place. Ils doivent également valider l’intégrité des logiciels, des micrologiciels et du matériel déployés sur les dispositifs de compilation, tout en protégeant continuellement ces dispositifs et systèmes tout au long de leur cycle de vie.

---

Date d’entrée en vigueur

La présente publication entre en vigueur le 6 août 2026.

Il s’agit d’un document NON CLASSIFIÉ publié avec l’autorisation du dirigeant principal du Centre canadien pour la cybersécurité (Centre pour la cybersécurité).

Pour de plus amples renseignements, veuillez communiquer avec le Centre pour la cybersécurité :

• par courriel : contact@cyber.gc.ca
• par téléphone : 613-949-7048ou 1‑833‑CYBER‑88