Senate Committee — SECD — Evidence — 25ev-56060

SECD / Evidence / 25ev-56060

Senate Committees

EVIDENCE TÉMOIGNAGES OTTAWA, Monday, March 20, 2023 OTTAWA, le lundi 20 mars 2023 The Standing Senate Committee on National Security, Defence and Veterans Affairs met with videoconference this day at 4 p.m. [ET] to examine and report on issues relating to national security and defence generally. Le Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants se réunit aujourd’hui, à 16 heures (HE), avec vidéoconférence, afin d’examiner, pour en faire rapport, les questions concernant la sécurité nationale et la défense en général.

Senator Jean-Guy Dagenais (Deputy Chair) in the chair. Le sénateur Jean-Guy Dagenais (vice-président ) occupe le fauteuil. [Translation] [Français] The Deputy Chair: Welcome to this meeting of the Standing Senate Committee on National Security, Defence and Veterans Affairs. I am Jean-Guy Dagenais, senator from Quebec and deputy chair of the committee. Unfortunately, our chair, Senator Tony Dean, could not join us today. I invite my colleagues to introduce themselves, starting on my left.

Le vice-président : Bienvenue à cette réunion du Comité sénatorial permanent de la sécurité nationale, de la défense et des anciens combattants. Je suis Jean-Guy Dagenais, sénateur du Québec et vice-président du comité. Malheureusement, notre président, le sénateur Tony Dean, n’a pu se joindre à nous aujourd’hui. J’invite mes collègues à se présenter, en commençant par ma gauche. Senator Cardozo: Andrew Cardozo, Ontario. Le sénateur Cardozo : Andrew Cardozo, de l’Ontario [English] [Traduction] Senator Dasko: Donna Dasko, from Ontario.

La sénatrice Dasko : Donna Dasko, de l’Ontario. [Translation] [Français] Senator Boisvenu: Pierre-Hugues Boisvenu, from La Salle, Quebec. Le sénateur Boisvenu : Pierre-Hugues Boisvenu, de la division de La Salle, au Québec. [English] [Traduction] Senator Yussuff: Hassan Yussuff, Ontario. Le sénateur Yussuff : Hassan Yussuff, de l’Ontario. Senator Boehm: Peter Boehm, Ontario. Le sénateur Boehm : Peter Boehm, de l’Ontario. [Translation] [Français] The Deputy Chair: Thank you, colleagues.

For those of you watching live from across Canada, I would like to remind you that today we are focusing on cyber threats to Canada’s defence infrastructure. We have three distinguished panels with us today. We’ll get started immediately. Le vice-président : Merci, chers collègues. Pour ceux qui nous regardent en direct de partout au Canada, je rappelle que nous nous concentrons aujourd’hui sur les cybermenaces à l’endroit de l’infrastructure de défense du Canada. Nous avons trois groupes de témoins de renom avec nous aujourd’hui. Nous allons commencer immédiatement.

For our first panel of witnesses, we are pleased to welcome, from the Communications Security Establishment, Mr. Sami Khoury, Head, Canadian Centre for Cyber Security, and Mr. Daniel Couillard, Director General, Partnerships and Risk Mitigation, Canadian Centre for Cyber Security. Pour notre premier groupe de témoins, nous avons le plaisir d’accueillir, du Centre de la sécurité des télécommunications, M. Sami Khoury, dirigeant principal, Centre canadien pour la cybersécurité et M.

Daniel Couillard, directeur général, Partenariats et atténuation des risques, Centre canadien pour la cybersécurité. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:1

Welcome, gentlemen, and thank you for being with us today. You have been invited to speak in the context of your National Cyber Threat Assessment Report 2023-24, from the Canadian Centre for Cyber Security. Bienvenue, messieurs, et merci de votre présence parmi nous aujourd’hui. Vous avez été invités à prendre la parole dans le cadre de votre Évaluation des cybermenaces nationales 2023-2024 , du Centre canadien pour la cybersécurité. We will begin by inviting you to make your opening remarks, which will be followed by questions from our members. Mr. Khoury, you may begin whenever you are ready.

Nous allons commencer par vous inviter à présenter vos remarques préliminaires, qui seront suivies de questions de la part de nos membres. Monsieur Khoury, vous pouvez commencer quand vous êtes prêt. Sami Khoury, Head, Canadian Centre for Cyber Security, Communications Security Establishment: Thank you very much, deputy chair. Sami Khoury, dirigeant principal, Centre canadien pour la cybersécurité, Centre de la sécurité des télécommunications : Merci beaucoup, monsieur le vice-président. [English] [Traduction] Good afternoon.

I am the head of the Canadian Centre for Cyber Security, often referred to as the “Cyber Centre,” within the Communications Security Establishment, or CSE. I am pleased to be joined by my colleague Daniel Couillard, Director General of Partnerships and Risk Mitigation at the Cyber Centre. Bonjour. Je suis le dirigeant principal du Centre canadien pour la cybersécurité, qu’on appelle souvent le « Centre pour la cybersécurité » et qui fait

partie du Centre de la sécurité des télécommunications ou CST. Je suis heureux d’être accompagné de mon collègue Daniel Couillard, directeur général des Partenariats et atténuation des risques au Centre pour la cybersécurité. [Translation] [Français] We thank you for the invitation to appear today to discuss cybersecurity and, specifically, our National Cyber Threat Assessment 2023-24 released on October 28, 2022.

You may have noticed there is a lot in the news about cybersecurity, but I am happy to say that our assessment remains as relevant — dare I say “fresh” — today as it was when we released it five months ago. I will refer to this report throughout my remarks by its acronym, the NCTA, or ECMN in French. Merci de nous avoir invités aujourd’hui pour discuter de cybersécurité, et particulièrement de notre Évaluation des cybermenaces nationales (ECMN) 2023-2024 parue le 28 octobre 2022.

Vous avez peut-être remarqué qu’il est souvent question de cybersécurité dans les nouvelles, mais je suis heureux d’annoncer que notre évaluation demeure aussi pertinente — j’ose même dire « fraîche » — aujourd’hui qu’elle l’était au moment de sa publication, il y a cinq mois. Tout au long de ma déclaration, je désignerai le rapport par son acronyme, ECMN, ou NCTA en anglais. [English] [Traduction] I’d like to begin by providing an overview of CSE’s Cyber Centre, which serves as a unified source of expert advice, guidance and support on cybersecurity operational matters.

J’aimerais commencer par faire un petit survol du Centre pour la cybersécurité du CST, qui est une source unifiée de conseils d’experts, d’avis et de soutien sur des questions opérationnelles de cybersécurité. [Translation] [Français] We work closely with other government agencies, industry partners, and with the public to improve cybersecurity for Canadians and to make Canada more resilient against cyber threats.

Le Centre canadien pour la cybersécurité collabore étroitement avec d’autres organismes gouvernementaux, des partenaires de l’industrie et le public dans le but d’améliorer la cybersécurité des Canadiennes et des Canadiens et d’accroître la résilience du Canada face aux cybermenaces. [English] [Traduction] At the Cyber Centre, we deliver world-class defence of Canadian government networks.

We defend systems of importance, which are specifically designated by our minister, from malicious cyberactors by deploying sophisticated digital Le Centre pour la cybersécurité a recours à des moyens de cyberdéfense de renommée mondiale pour protéger les réseaux gouvernementaux canadiens. Nous défendons les « systèmes d’importance », qui sont spécifiquement désignés par notre 25:2 National Security, Defence and Veterans Affairs 20-3-2023

defence protections that are informed by our unique information advantage as part of CSE. ministre, contre les cybercriminelles et cybercriminels malveillants en recourant à des moyens de protection sophistiqués de défense numérique que nous possédons grâce à notre appartenance au CST.

The Cyber Centre supports Canadians and Canadian businesses around the clock by posting threat alerts and advisories, undertaking cybersecurity public awareness campaigns, such as Get Cyber Safe, and even providing the cybersecurity community with free tools like Assemblyline, our malware detection and analysis tool, to ensure all Canadians have access to resources that make them feel safe online.

By forming partnerships with stakeholders across the country, from government institutions to critical infrastructure service providers and academia, the Cyber Centre works tirelessly to collectivity raise Canada’s cybersecurity bar.

Le Centre pour la cybersécurité soutient la population et les entreprises canadiennes à toute heure du jour et de la nuit en publiant des alertes et des avis de menace, en menant des campagnes de sensibilisation du public à la cybersécurité, comme la campagne Pensez cybersécurité, et même en offrant à la collectivité de la cybersécurité des outils gratuits, comme AssemblyLine, notre outil de détection et d’analyse de maliciels. Nous faisons cela pour que la population canadienne, sans exception, ait accès aux ressources nécessaires pour se sentir en sécurité en ligne.

En établissant des partenariats avec des intervenants des quatre coins du pays, que ce soient des établissements gouvernementaux, des fournisseurs de service des infrastructures essentielles ou des membres du milieu universitaire, le Centre pour la cybersécurité travaille d’arrache‑pied pour rehausser la cybersécurité du Canada. One of the Cyber Centre’s roles is to keep Canadians informed about cybersecurity and the possible threats they may encounter. To do this, we monitor the evolution of cyber-threats against Canada and produce assessments and reports.

These reports are unclassified, publicly accessible analyses of the threats Canada is facing in the constantly evolving cyberlandscape. I strongly encourage members of this committee, and Canadians more broadly, to read these assessments, as they provide an invaluable look into the threats the Cyber Centre defends against every single day. Un des rôles confiés au Centre pour la cybersécurité est de renseigner les Canadiennes et les Canadiens sur la cybersécurité et de les informer des menaces qui pourraient peser sur eux.

Pour ce faire, nous suivons l’évolution des cybermenaces qui planent sur le Canada et produisons des évaluations et des rapports à ce sujet. Il s’agit d’analyses non classifiées et accessibles au public sur les menaces qui guettent le Canada dans le cyberespace en évolution constante.

D’ailleurs, j’encourage fortement les membres du comité, et les Canadiennes et Canadiens en général, à lire ces évaluations, car elles donnent un aperçu unique des menaces contre lesquelles le Centre pour la cybersécurité nous défend au quotidien. [Translation] [Français] One of these reports, released every two years and based on both classified and unclassified sources, is the NCTA. Our goal with the NCTA is to inform the public about the threats we expect due to the increasing digitization of all aspects of our lives.

Un de ces rapports, l’ECMN, est publié tous les deux ans et est fondé sur des sources classifiées et non classifiées. L’objectif de l’ECMN est d’informer la population sur les menaces qui, selon nous, sont liées à la numérisation croissante de tous les aspects de nos vies. [English] [Traduction] The assessment’s findings are based on reporting from classified and unclassified sources, including those related to CSE’s foreign intelligence mandate. While the Cyber Centre must protect classified sources and methods, we have tried to provide readers with as much information as possible.

Les conclusions de l’évaluation sont fondées sur des rapports provenant de sources classifiées et non classifiées, dont certaines découlent du mandat de renseignement étranger du CST. Le Centre pour la cybersécurité est tenu de protéger les sources et les méthodes classifiées, mais il s’efforce de fournir autant d’informations que possible au lectorat. I will now provide a brief breakdown of the Cyber Centre’s key findings from the most recent NCTA regarding the cyber‑threat landscape.

We have chosen to focus on five cyber‑threat narratives that we judge are the most dynamic and Je vais maintenant expliquer brièvement les principales conclusions de la dernière évaluation des cybermenaces nationales portant sur l’environnement de cybermenace. Nous avons choisi de nous concentrer sur cinq catégories de 20-3-2023 Sécurité nationale, défense et anciens combattants 25:3

impactful and that will continue to drive cyber-threat activity to 2024. cybermenaces qui sont, à notre avis, les plus changeantes et les plus lourdes de conséquences, et qui continueront de façonner les activités de cybermenace en 2024. First, ransomware is a persistent threat to Canadian organizations. We reported that cybercrime continues to be the cyber-threat activity most likely to affect Canadians and Canadian organizations. Due to its impact on an organization’s ability to function, ransomware is almost certainly the most disruptive form of cybercrime facing Canadians.

Premièrement, les rançongiciels constituent une menace omniprésente pour les organisations canadiennes. Nous avons signalé que la cybercriminalité continue d’être l’activité de cybermenace la plus susceptible de toucher les Canadiens et les organisations canadiennes. Comme ils perturbent les capacités de fonctionnement des organisations qu’ils touchent, les rançongiciels sont presque certainement la forme de cybercriminalité la plus perturbatrice à laquelle sont confrontés les Canadiens. Second, critical infrastructure is increasingly at risk from cyber-threat activity.

This means that cybercriminals can exploit critical infrastructure. State-sponsored actors target critical infrastructure to collect information through espionage, to pre‑position in case of future hostilities and as a form of power projection and intimidation. Deuxièmement, les infrastructures essentielles risquent de plus en plus d’être visées par des activités de cybermenace. Cela signifie que les cybercriminels peuvent exploiter les infrastructures essentielles.

Les acteurs parrainés par des États ciblent les infrastructures essentielles pour recueillir des renseignements par l’entremise de l’espionnage, afin de se prépositionner en cas d’hostilités futures et comme une forme d’intimidation et de projection de la puissance. Third, state-sponsored cyber-threat activity is impacting Canadians. Notably, the state-sponsored cyber programs of China, Russia, Iran and North Korea pose the greatest strategic cyber-threats to Canada. Troisièmement, les activités de cybermenace parrainées par des États touchent les Canadiens.

Notamment, les cyberprogrammes parrainés par la Chine, la Russie, l’Iran et la Corée du Nord représentent les plus grandes cybermenaces stratégiques pour le Canada. Fourth, cyber-threat actors are attempting to influence Canadians and degrade trust in our online spaces. We have observed cyber-threat actors’ use of misinformation, disinformation and mal-information evolve over the past two years. Quatrièmement, les auteurs de cybermenace tentent d’influencer les Canadiens et de briser la confiance accordée aux espaces virtuels.

Au cours des deux dernières années, nous avons observé une hausse du recours à la mésinformation, désinformation et malinformation de la part des auteurs de cybermenace Finally, disruptive technologies bring new opportunities and new threats. Digital assets, such as cryptocurrencies and decentralized finance, are both targets and tools for cyber-threat actors to enable malicious cyber-threat activity. Machine learning can be exploited by cyber-threat actors, and quantum computing has the potential to threaten our current systems of maintaining trust and confidentiality online.

Enfin, les technologies perturbatrices créent à la fois de nouvelles possibilités et de nouvelles menaces. Les actifs numériques, tels que les cryptomonnaies et la finance décentralisée, sont à la fois des cibles et des outils pour les auteurs de cybermenace.

L’apprentissage machine peut être exploité par les auteurs de cybermenace et l’informatique quantique peut menacer nos systèmes actuels de maintien de la confiance et de confidentialité en ligne. [Translation] [Français] Although these trends can be worrisome, our hope is that we can help Canadians stay aware and informed of the potential threats they may encounter online. The good news is that many of the cyber risks we identify in this report can be mitigated. In fact, the vast majority of cyber incidents can be prevented by basic cybersecurity measures.

That is why the Cyber Centre has released advice and guidance tailored to the five narratives identified in this report. These companion publications outline Ces tendances sont inquiétantes, mais nous espérons pouvoir aider les Canadiens à rester conscients et informés des menaces potentielles auxquelles ils pourraient être confrontés en ligne. La bonne nouvelle, c’est que l’on peut atténuer la plupart des risques liés à la cybersécurité qui sont cernés dans ce rapport. En fait, la grande majorité des cyberincidents peuvent être évités par de simples mesures de cybersécurité.

C’est pourquoi le Centre canadien pour la cybersécurité a publié des avis et des 25:4 National Security, Defence and Veterans Affairs 20-3-2023

practical steps to mitigate the risks associated with each theme. The Get Cyber Safe website also offers simple and effective cybersecurity tips for individual Canadians. orientations conçus sur mesure pour les cinq catégories de cybermenaces définies dans ce rapport. Ces documents sont complémentaires et présentent des mesures pratiques visant à atténuer les risques liés à chaque catégorie.

Le site Web Pensez cybersécurité propose aussi des conseils de cybersécurité simples et efficaces à l’intention de tous les Canadiens. [English] [Traduction] As technology continues to accelerate with rapid speed, threats also continue to evolve. The Cyber Centre is working hard to bolster cybersecurity capabilities across Canada, in partnership with industry, academia and all levels of government. Although Canada has strong defences in place, our tool kit can be bolstered to better protect our country against the rapidly evolving threats posed by cybercriminals and state-sponsored threat actors.

Les menaces évoluent au même rythme effréné que la technologie. Le Centre pour la cybersécurité s’efforce de renforcer les capacités de cybersécurité en partenariat avec l’industrie, le milieu universitaire et tous les échelons de gouvernement, et ce, partout au Canada. Même si le Canada compte déjà d’efficaces mesures de défense, notre trousse d’outils pourrait être améliorée pour mieux protéger notre pays contre les menaces en constate et rapide évolution que représentent les cybercriminels et les auteurs de menace parrainés par des États.

Moving forward, and as a means to continue to adapt to the evolving threat environment, bolster defences and help better protect Canada and Canadians, we’re hopeful to see the continued progress of Bill C-26,

An Act respecting cybersecurity, currently in second reading in the House of Commons. This legislation would establish a regulatory framework to strengthen cybersecurity for services and systems that are vital to national security and public safety and give the government a new tool to respond to emerging cyber-threats.

Afin de continuer à nous adapter à l’environnement de menace qui évolue sans cesse, de renforcer les défenses et d’aider à mieux protéger le Canada et sa population, nous espérons que le projet de loi C-26, Loi concernant la cybersécurité, qui est actuellement en deuxième lecture à la Chambre des communes, continuera d’aller de l’avant. Cette loi établira un cadre réglementaire pour renforcer la cybersécurité des services et systèmes vitaux à la sécurité nationale et publique, et donnera au gouvernement de nouveaux outils pour intervenir contre les cybermenaces émergentes.

As well, the Government of Canada is currently undertaking a renewal of the National Cyber Security Strategy, which originally launched in 2018. CSE and its Canadian Centre for Cyber Security are important partners in this strategy, and we are continuously monitoring the cyber-threat landscape, evolving trends and proposing new programs and ideas. De plus, le gouvernement du Canada renouvelle en ce moment la Stratégie nationale de cybersécurité adoptée en 2018.

Le CST et le Centre canadien pour la cybersécurité sont des partenaires importants dans cette stratégie, et nous surveillons en permanence le contexte des cybermenaces, l’évolution des tendances et proposons de nouveaux programmes et idées. In closing, I would underline that Canada is facing a complex and rapidly evolving cyber-threat landscape.

Pour conclure, j’insiste sur le fait que le Canada fait face à un contexte de cybermenace complexe et qui évolue rapidement. [Translation] [Français] Briefings such as this are an important opportunity to discuss the risks we face and the steps we can take to better protect ourselves online.

Des séances d’information comme celle-ci sont une occasion importante de discuter des risques auxquels nous sommes confrontés et des mesures que nous pouvons prendre pour mieux nous protéger en ligne. [English] [Traduction] CSE and the Cyber Centre are working hard to mitigate many of these threats and protect Canadians and their interest. Le CST et le Centre pour la cybersécurité travaillent sans relâche pour atténuer les menaces et protéger les Canadiennes et Canadiens et leurs intérêts. I am grateful for having had the chance to talk to you about this today. Thank you.

Je suis reconnaissant d’avoir eu l’occasion de vous en parler aujourd’hui. Merci. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:5

[Translation] [Français] The Deputy Chair: Thank you very much for your statement, Mr. Khoury. Before we proceed, I would like to acknowledge Senator Richards, who has just joined us. Le vice-président : Merci beaucoup de votre présentation, monsieur Khoury. Avant de poursuivre, j’aimerais souligner la présence du sénateur Richards, qui vient de se joindre à nous. I would also like to ask participants in the room not to lean too closely to the microphone and not to remove their earpieces. This will help avoid sound feedback that could negatively impact committee staff in the room.

J’aimerais également demander aux participants présents dans la salle de ne pas se pencher trop près du microphone et de ne pas retirer leur oreillette. Cela permettra d’éviter une rétroaction sonore qui pourrait avoir un impact négatif sur le personnel du comité qui se trouve dans la salle. Mr. Khoury and Mr. Couillard are with us for approximately one hour. In order for each member of the committee to participate, I will limit the questions and answers to four minutes. I would ask that you keep your questions succinct and identify the person you wish to address. MM.

Khoury et Couillard sont avec nous pour environ une heure. Afin que chaque membre du comité puisse participer, je limiterai les questions et les réponses à quatre minutes. Je vous prierais de poser des questions succinctes et d’identifier la personne à laquelle vous souhaitez vous adresser. [English] [Traduction] Senator Boehm: Thank you, Mr. Khoury and Mr. Couillard, for being here and for the important work that you and your teams undertake for Canada.

Le sénateur Boehm : Merci, monsieur Khoury et monsieur Couillard, pour votre présence et pour l’important travail que vous et vos équipes accomplissez pour le Canada. In the Centre for Cyber Security’s National Cyber Threat Assessment 2023-24 , it states: Voici ce qu’on peut lire dans l’Évaluation des cybermenaces nationales 2023-2024 , du Centre canadien pour la cybersécurité : Critical infrastructure is increasingly at risk from cyber threat activity . . . . Les activités de cybermenace représentent un risque de plus en plus grand pour les infrastructures essentielles.

State-sponsored actors target critical infrastructure to collect information through espionage, to pre-position in case of future hostilities, and as a form of power projection and intimidation. However, we assess that state-sponsored cyber threat actors will very likely refrain from intentionally disrupting or destroying Canadian critical infrastructure in the absence of direct hostilities.

Les acteurs parrainés par les États ciblent les infrastructures essentielles pour recueillir de l’information à la faveur d’activités d’espionnage, pour se prépositionner en cas d’hostilités futures, et comme une forme de projection de puissance et d’intimidation. Cependant, nous estimons que les auteurs de cybermenaces parrainés par des États s’abstiendront fort probablement de perturber ou de détruire intentionnellement les infrastructures essentielles canadiennes sans qu’il y ait d’hostilités directes. We are in a situation where we are supporting Ukraine in the war that Russia has started.

We are not in direct conflict with Russia, but we are providing military, economic and humanitarian forms of assistance in Ukraine’s defence. Do you in the centre consider that our critical and defence infrastructure is at increased risk of cyber-threat activity by Russia, given our support for Ukraine, despite the absence of direct hostilities? Is there an increased risk of cyberattacks on Canada — to name another country — by Iran, given that it is an ally of Russia and that our government and, indeed, Canadians have been very critical of Iran, particularly on human rights within the country?

Nous appuyons l’Ukraine dans la guerre déclenchée par la Russie. Nous ne sommes pas en conflit direct avec la Russie, mais nous fournissons une aide militaire, économique et humanitaire à la défense de l’Ukraine. Au centre, considérez‑vous que nos infrastructures essentielles et de défense sont plus à risque de cybermenaces de la part de la Russie, compte tenu de notre soutien à l’Ukraine, malgré l’absence d’hostilités directes?

Existe-t-il un risque accru de cyberattaques contre le Canada par l’Iran — histoire de citer un autre pays — qui est allié de la Russie et qui a subi les critiques de notre gouvernement de même que des Canadiens, particulièrement dans le dossier des droits de la personne? Mr. Khoury: Thank you, senator, for this question. M. Khoury : Je vous remercie pour cette question, sénateur. We have been paying particular attention to the Russia- Ukraine conflict.

Since the early days of the conflict, we have been warning Canadians and Canadian businesses to take every Nous avons porté une attention particulière au conflit entre la Russie et l’Ukraine. Depuis le début de ce conflit, nous avertissons les Canadiens et les entreprises canadiennes de 25:6 National Security, Defence and Veterans Affairs 20-3-2023

possible precaution to protect their infrastructure from cyberattack, either direct or indirect. We have published alerts and bulletins continuously since the early days of the conflict — the most recent one was in February of this year — where we continue to warn about what our concerns are. We are definitely concerned about critical infrastructure. prendre toutes les précautions possibles pour protéger leurs infrastructures contre les cyberattaques, directes ou indirectes.

Nous publions continuellement des alertes et des bulletins depuis les premiers jours du conflit — le plus récent remontant à février de cette année — où nous faisons régulièrement part de nos préoccupations. Nous nous préoccupons bien sûr des infrastructures essentielles. We have learned a lot from the Russia-Ukraine conflict. We are an organization that also has an intelligence mandate, and we learn a lot from what we are observing happening in Ukraine. We turn that information around very quickly to warn Canadians. Nous avons beaucoup appris du conflit entre la Russie et l’Ukraine.

Nous sommes une organisation qui a également un mandat de renseignement, et nous apprenons beaucoup de ce que nous observons en Ukraine. Nous transmettons ces renseignements très rapidement pour avertir les Canadiens. It is no secret that Russia is a sophisticated adversary, and they have demonstrated that they use their cyber capabilities in a very irresponsible way. Not only do they use them in Ukraine, but they use them against civilian infrastructure beyond just Ukraine — in the case of Viasat, for example.

When they do that and cross cyber norms, we call them out, and there have been a number of instances where Canada has joined allies to call out the irresponsible behaviour of Russia. Ce n’est un secret pour personne que la Russie est un adversaire sophistiqué qui a fait la preuve de sa capacité à déployer sa cybercapacité de façon particulièrement irresponsable. C’est ce qu’elle fait non seulement en Ukraine, mais aussi contre des infrastructures civiles ailleurs dans le monde, comme celles de Viasat, par exemple.

Quand tel est le cas, quand la Russie enfreint les normes cybernétiques, nous la dénonçons, et il est arrivé à plusieurs reprises que le Canada fasse corps avec des alliés pour dénoncer le comportement irresponsable de la Russie. From a Cyber Centre perspective, we are concerned, and definitely critical infrastructure is top of mind, but we are doing everything we can to share what we know and be on point with our colleagues in the CI space to warn them about any forms of cyberattacks. Le Centre pour la cybersécurité est donc préoccupé et, pour lui, les infrastructures essentielles sont bien sûr une priorité.

Il fait tout son possible pour communiquer tout ce qu’il sait et pour prévenir ses collègues des infrastructures essentielles de toute forme de cyberattaque anticipée. Senator Boehm: Do you want to add anything on Iran? Le sénateur Boehm : Voulez-vous ajouter quelque chose au sujet de l’Iran? Mr. Khoury: In our national cyber-threat assessment, we call out the four countries: Russia, China, Iran and North Korea. Each one has different motivations in terms of their cyber programs.

When necessary, we will put out a bulletin about Iranian activities, and we did that last year jointly with the U.S. to warn against Iranian activities. We learn a lot through our intelligence mission and then turn around that information to warn Canadians about the activities of these four countries. M. Khoury : Dans notre évaluation des cybermenaces nationales, nous avons à l’œil quatre pays que sont la Russie, la Chine, l’Iran et la Corée du Nord. Chacun obéit à des motivations différentes par le biais de ses programmes cybernétiques.

Au besoin, nous publierons un bulletin sur les activités iraniennes, et nous l’avons fait l’an dernier conjointement avec les États-Unis pour une mise en garde contre les activités iraniennes. Nous apprenons beaucoup grâce à notre mission de renseignement, puis nous exploitons l’information recueillie pour avertir les Canadiens des activités de ces quatre pays. Senator Boehm: Thank you. Le sénateur Boehm : Merci. [Translation] [Français] Senator Boisvenu: Welcome to our two witnesses.

We cannot ignore a subject that is currently much in the news in Canada, namely interference in the electoral process by China or Russia. Has your centre been asked to share any information? In fact, do you have any knowledge of such interference? Le sénateur Boisvenu : Bienvenue à nos deux témoins. On ne peut passer sous silence un sujet qui est d’actualité au Canada actuellement, soit l’interférence dans le processus électoral par la Chine ou la Russie. Est-ce que votre centre a été amené à partager certaines informations?

En fait, est-ce que vous avez une certaine connaissance de ces interférences? 20-3-2023 Sécurité nationale, défense et anciens combattants 25:7

Mr. Khoury: Thank you for your question. Yes, the centre has been involved, and there are different ways in which the centre gets involved in these types of issues. M. Khoury : Je vous remercie de votre question. Effectivement, le centre a été impliqué, et il y a différents angles pour ce qui est de la façon dont le centre s’implique dans ce genre de dossier. First of all, in the report, we have documented publicly that we are concerned about interference in the electoral process in Canada.

Premièrement, dans le rapport, nous avons documenté publiquement le fait que nous nous soucions de l’ingérence dans le processus électoral au Canada. During elections, we work very closely with Elections Canada to protect the electoral infrastructure and ensure that it is well secured from a cybersecurity perspective. The CSE is part of the Security and Intelligence Threats to Elections Task Force. This is a non-partisan committee of public servants who, during the election period, manage the risks that are raised; it is their responsibility to decide whether or not the threshold has been met.

Durant les élections, nous travaillons de très près avec Élections Canada pour protéger l’infrastructure électorale et nous assurer qu’elle est bien sécurisée sur le plan de la cybersécurité. Le CST fait

partie du Groupe de travail sur les menaces en matière de sécurité et de renseignements visant les élections. Il s’agit d’un comité non partisan de fonctionnaires qui, durant la période électorale, gère les risques qui sont soulevés; il lui incombe de décider si le seuil a été atteint ou non. In our cybersecurity role, we actually protect the electronic infrastructure of elections, but other government partners inside and outside of CSE are also involved in this committee.

Dans notre rôle de cybersécurité, nous protégeons réellement l’infrastructure électronique des élections, mais d’autres partenaires gouvernementaux, à l’intérieur et à l’extérieur du CST, participent également aux travaux de ce comité. Senator Boisvenu: Can this security operation lead you to make direct interventions in external interference? Le sénateur Boisvenu : Cette intervention sécuritaire peut- elle vous amener à faire des interventions directes en matière d’ingérence externe? Mr.

Khoury: If we’re talking about technological interference, if we see something of concern on the networks, we work with Elections Canada to manage those concerns, whether they’re criminal or otherwise. If it’s non-electronic interference, I defer to other departments that have that responsibility. M. Khoury : Si nous parlons d’ingérence technologique, si nous voyons quelque chose de préoccupant sur les réseaux, nous travaillons avec Élections Canada pour gérer ces soucis, qu’ils soient d’origine criminelle ou autre.

S’il s’agit d’ingérence non électronique, je m’en remets à d’autres ministères qui ont cette responsabilité. [English] [Traduction] Senator Dasko: Thank you for being here today. It is a very important and very interesting topic. La sénatrice Dasko : Merci d’être venus à notre rencontre. C’est un sujet très important et très intéressant. I read the background material, and coincidentally there is a piece in The Globe and Mail today about cybersecurity where it says the federal government is subject to between three and five billion malicious actions daily. Now, of course, this boggles the mind.

I wonder if you can unpack that a little bit. Surely, if we had that many attacks — and I’m not saying that this is wrong, but it would seem that we would be destroyed through such attacks. Just give us a sense of what that looks like. J’ai lu les documents d’information et je suis aussi tombé sur un

article du Globe and Mail d’aujourd’hui sur la cybersécurité dans lequel on dit que le gouvernement fédéral fait l’objet de trois à cinq milliards d’actes malveillants chaque jour. Bien sûr, cela dépasse l’entendement. Je me demande si vous pourriez nous en dire un peu plus à ce sujet. Si nous subissions autant d’attaques — et je ne dis pas que le chiffre avancé est faux —, il me semble que nous serions anéantis par de telles attaques. Donnez-nous simplement une idée de ce à quoi cela ressemble.

Another question I would like to throw in is about a great concern I have about your comments with respect to foreign actors attempting to degrade trust in our democratic institutions. I would really like it if you could provide some examples of who and what. What are some of the things that they have done to degrade our trust in our institutions? I have more questions, too. L’autre question que je veux vous poser découle de vos propos au sujet des acteurs étrangers qui tentent de saper la confiance envers nos institutions démocratiques, ce qui n’a pas manqué de m’inquiéter.

J’aimerais beaucoup que vous me donniez des exemples de ce dont on parle au juste. Qu’ont-ils fait pour saper notre confiance dans nos institutions? J’aurai ensuite d’autres questions. 25:8 National Security, Defence and Veterans Affairs 20-3-2023

[Translation] [Français] Daniel Couillard, Director General, Partnerships and Risk Mitigation, Canadian Centre for Cyber Security, Communications Security Establishment: Hello, and thank you for your question. I will answer the first one. Daniel Couillard, directeur général, Partenariats et atténuation des risques, Centre canadien pour la cybersécurité, Centre de la sécurité des télécommunications : Bonjour et merci pour votre question. Je vais répondre à la première.

One of the functions of the Canadian Centre for Cyber Security is to protect the federal government’s network, in partnership with other departments, such as Shared Services Canada. In this effort, we have deployed an infrastructure that monitors what is happening on government networks. L’une des fonctions du Centre canadien pour la cybersécurité est de protéger le réseau du gouvernement fédéral, en partenariat avec d’autres ministères, comme Services partagés Canada.

Dans cet effort, nous avons déployé une infrastructure qui permet de surveiller ce qui se passe sur les réseaux du gouvernement. [English] [Traduction] This infrastructure that we deploy on government networks provides us automated 24-7 monitoring of activities on our network, and we also build in an automatic response to some of these threats. Of course, we’re talking about government networks that are operating at very high speed. We are processing lots of information. That results in those huge numbers that you have seen.

Not every one of these attacks or actions that we block are necessarily direct high-risk attacks against the networks. Some of these are just reconnaissance activities. Those are all technical activities that any network is subject to. Of course, working with allies, we have a large set of indicators of compromise, which could be many things, and one of them could be an IP address, that we know are nefarious or are associated with some kind of malicious actor in the government. Those are the ones we block. That’s how we get to those numbers that we are blocking, and those are daily.

They are all automated and keep knocking on our door every day. That’s how we get to these numbers. Cette infrastructure que nous déployons sur les réseaux gouvernementaux nous permet de surveiller les activités de notre réseau 24 heures sur 24, 7 jours sur 7, et nous intégrons également une réponse automatique à certaines de ces menaces. Bien sûr, nous parlons de réseaux gouvernementaux à très grande vitesse. Nous traitons d’énormes volumes de données, ce qui explique les chiffres impressionnants que vous avez vus.

Toutes les attaques ou actions que nous bloquons ne sont pas nécessairement à haut risque et menées directement contre les réseaux. Certaines de ces activités ne sont que des activités de reconnaissance. Ce sont toutes des activités techniques auxquelles tout réseau est soumis. Bien sûr, en collaboration avec nos alliés, nous disposons d’un grand nombre d’indicateurs de risque, comme l’adresse IP qui peut être celle d’un opérateur malveillant ou être associée à un acteur étatique malveillant. C’est ce genre de tentative de pénétration que nous bloquons.

C’est ainsi que nous arrivons à ces nombres impressionnants d’attaques bloquées quotidiennement. Elles sont toutes automatisées et continuent d’être lancées contre nous tous les jours. C’est ce qui explique ces chiffres. Senator Dasko: You’re just batting them away. La sénatrice Dasko : Vous leur fermez la porte au nez. Mr. Couillard: Exactly. M. Couillard : Exactement. Mr. Khoury: On the second part of your question about disinformation, in our report, we name actors like Russia and China as being active in that space.

Case in point, during the conflict last year, Russia put out some information that Canadian soldiers or Canadian involvement in Ukraine was false. We knew it was false, and, as a result, the CSE took the unusual step of declassifying intelligence to make the point. They are flooding the air waves with a lot of misinformation in order to erode trust in our institutions, whether it is the Canadian Forces, the government or others.

We need to be vigilant and invite Canadians to be critical of the information that they read, be aware of the sources they get the information from and, when required, we will use our intelligence and declassify it to prove the point. M. Khoury : Pour ce qui est de la deuxième

partie de votre question sur la désinformation, dans notre rapport, je dirais que nous désignons des acteurs comme la Russie et la Chine comme étant actifs sur ce plan. L’an dernier, par exemple, après le début du conflit, la Russie a publié des informations démentant la participation de soldats canadiens ou du Canada au côté de l’Ukraine. Nous savions que tel était le cas et, par conséquent, le CST a pris la mesure inhabituelle de déclassifier les renseignements pour faire valoir son point de vue.

Les Russes saturent les ondes à coups de désinformations visant à saper la confiance envers nos institutions, qu’il s’agisse des Forces canadiennes, du gouvernement ou d’autres. Nous devons être vigilants et inviter les Canadiens à se montrer critiques à propos de ce qu’ils lisent, à être conscients des sources d’information. Au besoin, nous déclassifions nos renseignements pour prouver le bien-fondé de notre position. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:9

Senator Dasko: What would the sources be for the examples you gave? Would it be sources on Twitter or social media? Where are they disseminating this information? La sénatrice Dasko : Quelles seraient les sources des exemples que vous avez donnés? Twitter ou les réseaux sociaux? Où cette information est-elle diffusée? Mr. Khoury: I think it was on Twitter, but I would have to get back to my sources, if you don’t mind. M.

Khoury : Je crois que c’était sur Twitter, mais, si vous n’y voyez pas d’inconvénient, il faudrait que je vérifie. [Translation] [Français] The Deputy Chair: Before we continue, I want to acknowledge Senator Deacon, who has just joined us. Le vice-président : Avant de continuer, je veux souligner la présence de la sénatrice Deacon, qui vient de se joindre à nous. [English] [Traduction] Senator Cardozo: I have so many questions to ask, but I wonder if I could talk about the issue of electoral or political interference a little further. Could you give us some examples of the things that are happening?

We know some of the stuff out there that we’re reading about, but can you give us a handful of examples of actions that foreign governments or foreign players are taking in our electoral and political systems overall? Le sénateur Cardozo : J’ai tant de questions, mais pourrait‑on approfondir un peu celle de l’ingérence électorale ou politique? Pourriez-vous nous donner des exemples?

Nous sommes au courant de certaines choses grâce aux journaux, mais pourriez-vous nous donner quelques exemples d’interventions de gouvernements ou d’agents étrangers dans notre système électoral et dans notre système politique en général? Mr. Khoury: Thank you for the question. M. Khoury : Merci de la question. In my role as the head of the Cyber Centre, our primary focus is to defend the infrastructure of Elections Canada and the infrastructure that is meant to support the conduct of an election.

We work with Elections Canada, and we start working with them even before an election to ensure the security of the network and systems, which is very important. That’s our role in monitoring the cybersecurity of the infrastructure. If there are cyber-threats that we notice on these networks, we will be able to detect them. Whether they are criminal or whether they are nation states, we will be able to detect them on the networks and neutralize or remove them.

Le Centre pour la cybersécurité a pour principal objectif de défendre l’infrastructure d’Élections Canada et l’infrastructure qui est censée étayer l’organisation d’élections. Nous collaborons avec Élections Canada, et notre collaboration commence avant même une élection pour garantir la sécurité du réseau et des systèmes; c’est très important. C’est la responsabilité qui nous incombe dans la surveillance de la cybersécurité de l’infrastructure. Si des cybermenaces pèsent sur ces réseaux, nous serons en mesure de les détecter.

Qu’il s’agisse de criminels ou d’États-nations, nous pourrons les repérer sur les réseaux et les neutraliser ou les éliminer. If there are any threats that are not of a cybersecurity nature, other government agencies would then be better-suited to answer your question about the kinds of other threats, whether it’s the RCMP, CSIS or other departments. Quant aux menaces qui ne sont pas liées à la cybersécurité, d’autres organismes gouvernementaux seront mieux à même de répondre à votre question au sujet des autres types de menaces, qu’il s’agisse de la GRC, du SCRS ou d’autres ministères.

Senator Cardozo: Is some of the interference people spreading misinformation and disinformation about the electoral system or about political parties? Le sénateur Cardozo : Les gens qui font de l’ingérence répandent-ils de la désinformation au sujet du système électoral ou des partis politiques? Mr. Khoury: There could be both. There could be misinformation out there about the election or about the political parties. M. Khoury : Les deux peuvent se produire. Il pourrait effectivement y avoir de la désinformation au sujet des élections ou des partis politiques.

During the election, we have worked with the political parties, all of them, to inform them of threats. We’ve set up a 24‑7 hotline where people can call us. The candidates can call if they have any concern from a cybersecurity point of view. We work with Elections Canada, as I mentioned, and we work with the House of Commons to secure the infrastructure there. We’re definitely at the cybersecurity of the infrastructure, but if there are additional concerns, they might have to resort to some of our other partners across government.

Pendant la campagne électorale, nous avons communiqué avec tous les partis politiques pour les informer des menaces. Nous avons créé une ligne d’assistance accessible 24 heures sur 24, 7 jours sur 7. Les candidats peuvent appeler s’ils ont des préoccupations en matière de cybersécurité. Nous collaborons avec Élections Canada, comme je l’ai dit, mais nous travaillons aussi avec la Chambre des communes pour y sécuriser l’infrastructure. Notre rôle est de veiller à la cybersécurité de l’infrastructure, mais, s’il y a d’autres préoccupations, il peut y 25:10 National Security, Defence and Veterans Affairs 20-3-2023

avoir lieu de faire appel à certains de nos partenaires au gouvernement. Senator Cardozo: How many of those cyber-threats would you say come from within Canada or North America as opposed to China or Russia? Le sénateur Cardozo : Selon vous, combien de ces cybermenaces proviennent du Canada ou de l’Amérique du Nord plutôt que de la Chine ou de la Russie? Mr. Khoury: Where a cyber-threat comes from does not necessarily point you toward who is behind it because foreign actors will try to cover their tracks by making it appear as if it is coming from elsewhere.

Our priority at the Cyber Centre is to block all these cyber-threats to make sure we neutralize them regardless of where they come from. Attribution becomes a secondary effect. We will get there once we make sure that the system is secure and there are no more threats on it. Primarily, our job is to stop the threat or to neutralize it. M. Khoury : L’origine géographique d’une cybermenace ne vous indique pas nécessairement sa véritable origine, puisque les agents étrangers tentent de brouiller les pistes en donnant l’impression qu’elle vient d’ailleurs.

Le Centre pour la cybersécurité a pour responsabilité première de bloquer toutes ces cybermenaces pour que nous puissions les neutraliser, quelle que soit leur origine. L’attribution devient un effet secondaire. Nous aurons réussi lorsque nous aurons assuré la sécurité du système et éliminé toute menace. Notre travail consiste principalement à mettre fin à la menace ou à la neutraliser. Senator Cardozo: Are there bad actors that you think are based in Canada? Le sénateur Cardozo : Selon vous, y a-t-il des agents malveillants basés au Canada? Mr.

Khoury: It’s possible that there are bad actors that are leveraging Canadian infrastructure to attack government systems. That is possible. Determining who is the bad actor behind the keyboard would probably be for RCMP or CSIS to investigate, but it is possible that there are cyber incidents that are originating from Canada or that appear to originate from Canada as opposed to from outside of Canada. M. Khoury : Il est possible que des agents malveillants tirent parti de l’infrastructure canadienne pour attaquer les systèmes gouvernementaux. C’est possible.

C’est probablement à la GRC ou au SCRS qu’il incomberait de trouver qui est au clavier, mais des cyberincidents peuvent se produire Canada ou peuvent sembler provenir du Canada plutôt que de l’étranger. Senator Yussuff: Thank you, witnesses, for being here today. Le sénateur Yussuff : Merci aux témoins d’être parmi nous aujourd’hui. Given the myriad challenges we face, obviously government infrastructure and defence infrastructure are important. In addition to that, there are the things we hear about every day — hospitals being attacked or retail outlets being hijacked with demands for ransom to be paid.

Does that also involve your work in alerting businesses? You said earlier that some of the things that could be done are fairly simple. My question is, if they are simple, why are they not being done, and why are so many institutions still vulnerable to cybersecurity attacks? It seems to me, from what I have read publicly and certainly in regard to these attacks, that we have yet to catch a culprit that is initiating the attacks. Maybe you can elaborate a bit more based on your experience and knowledge.

Compte tenu de la kyrielle de défis auxquels nous sommes confrontés, il est évident que l’infrastructure gouvernementale et l’infrastructure de défense sont importantes. Il y a aussi ce dont on entend parler tous les jours — des hôpitaux attaqués ou des magasins rançonnés. Est-ce que vous vous occupez également d’alerter les entreprises? Vous avez dit tout à l’heure que certaines des mesures susceptibles d’être prises sont assez simples. Ma question est la suivante : si c’est simple, pourquoi ne le fait-on pas et pourquoi la cybersécurité de tant d’institutions peut-elle encore être compromise?

Il me semble, d’après ce que j’ai lu au sujet de ces attaques, que nous n’avons pas encore trouvé de coupables. Pourriez-vous nous éclairer compte tenu de votre expérience et de vos connaissances? Mr. Khoury: Thank you for your question. M. Khoury : Merci de votre question. We live in a world where our IT networks are getting more and more complex. To get to a state that is 100% foolproof is probably very challenging. It sometimes only takes a small vulnerability to exploit a network. Nous vivons dans un monde où les réseaux TI sont de plus en plus complexes.

Il est probablement très difficile de créer un système à toute épreuve. Il suffit parfois d’une petite vulnérabilité pour porter atteinte à un réseau. There is a lot of interest in cybercriminals to impact pain on critical infrastructure because that’s a pain point for society, whether it’s a hospital, an energy sector provider or otherwise. They go after these organizations. We know they have no On s’intéresse beaucoup aux cybercriminels qui s’attaquent aux infrastructures essentielles parce que c’est un souci majeur pour la société, qu’il s’agisse d’un hôpital, d’un fournisseur d’énergie, etc.

Ils s’en prennent à ces organisations. Comme on 20-3-2023 Sécurité nationale, défense et anciens combattants 25:11

scruples. They are only in it to get money. They will launch a ransomware campaign against them for whatever money they can get. le sait, ils n’ont aucun scrupule. Ils sont là pour l’argent. Ils lancent une campagne de rançongiciel pour obtenir autant d’argent qu’ils le peuvent. We put out a lot of publications to encourage these organizations to up their cybersecurity games. There are simple things, as you mentioned, such as passwords, backups and things like that. In late 2021, we launched an anti-ransomware campaign with a letter signed by four ministers encouraging businesses to take the threat seriously.

We have also published a playbook to help organizations defend against ransomware but also recover from a ransomware incident. Nous avons publié beaucoup d’articles pour inciter ces organisations à améliorer leurs mesures de cybersécurité. Comme vous l’avez dit, il y a des choses simples à faire, comme les mots de passe, les sauvegardes, etc. À la fin de 2021, nous avons lancé une campagne anti-rançongiciels en distribuant une lettre signée par quatre ministres invitant les entreprises à prendre la menace au sérieux.

Nous avons également publié un guide pour aider les organisations à se défendre contre les rançongiciels, mais aussi à se remettre d’une attaque par rançongiciel. There is a lot that is out there in terms of a space where organizations can help defend themselves. Obviously, in some cases, it does require an investment on behalf of these organizations to up their cybersecurity capacity. There is a lot that can be done to raise the bar and raise resilience to make it more challenging for a ransomware actor to perpetrate

an act of ransomware. Les organisations ont accès à de nombreux moyens de défense. Dans certains cas, elles doivent évidemment investir pour accroître leur capacité de cybersécurité. De nombreuses mesures peuvent être prises pour relever la barre et accroître la résilience afin d’entraver l’action des rançonneurs. Senator Yussuff: At the national level, I assume there is some coordination with the provinces and territories in regard to how they are dealing with cybersecurity. They are not simply relying on you to defend their interests; they are going to look at their own interests.

How much collaboration happens between your offices and the provincial and territorial offices across the country? Le sénateur Yussuff : À l’échelle nationale, je suppose que les provinces et les territoires coordonnent leurs modes de gestion de la cybersécurité. Ils ne comptent pas seulement sur vous pour défendre leurs intérêts et veillent à leurs propres intérêts. Quelle est l’ampleur de la collaboration entre vos bureaux et les bureaux provinciaux et territoriaux à l’échelle du pays? Mr. Khoury: Thank you for this. M. Khoury : Merci de votre question.

We have various levels of engagement with the different provinces. We do talk to our provincial counterparts about cybersecurity. We exchange a lot of information. Between our SOC — security operation centre — and the provinces, there is also operational information that goes back and forth. Nous avons divers niveaux de collaboration avec les différentes provinces. Nous discutons de cybersécurité avec nos homologues provinciaux. Nous échangeons beaucoup d’information. Entre notre COS — le Centre des opérations de sécurité — et les provinces, il y a aussi des échanges de renseignements opérationnels.

It’s important to note that, when there is an incident, we hold the privacy of that incident very closely. We don’t talk. Whether it’s a hospital, municipality or a school board, it is between us and the victim. Unless they decide to pull in other elements within the conversation, we absolutely respect their privacy and keep it very tight to just the two of us. Je rappelle que, en cas d’incident, nous en protégeons absolument le caractère confidentiel. Nous ne divulguons rien. Qu’il s’agisse d’un hôpital, d’une municipalité ou d’un conseil scolaire, cela se passe entre nous et la victime.

À moins qu’ils décident d’informer d’autres intervenants, nous respectons absolument le caractère privé de la situation et nous nous en tenons strictement à ce dialogue à deux. Senator Richards: Thank you to the witnesses. I apologize if you have answered these questions partially, but I was late. Le sénateur Richards : Merci aux témoins de leur présence. Excusez-moi si vous avez répondu en

partie à ces questions, mais je suis arrivé en retard. How complicit and cooperative are these bad actors with one another when it comes to dealing these various blows to Canadian sovereignty? How much more sophisticated, if they are more sophisticated, are the states such as Russia, and especially China, with our own cyber knowledge? Lastly, do we have our Dans quelle mesure ces agents malveillants sont-ils complices et collaborent-ils entre eux quand il s’agit de compromettre la souveraineté canadienne?

Dans quelle mesure, s’il y a lieu, des États comme la Russie et surtout la Chine ont-ils des connaissances cybernétiques à la mesure des nôtres? Enfin, 25:12 National Security, Defence and Veterans Affairs 20-3-2023

own collaborative firewalls with the U.S. and other NATO allies? I assume we do. avons-nous nos propres pare-feu en collaboration avec les États‑Unis et d’autres alliés de l’OTAN? Je suppose que oui. Mr. Khoury: Thank you very much for the question. M. Khoury : Merci beaucoup de la question. These cyber actors are getting more and more sophisticated. What we are seeing is that capabilities that used to be in the nation-state category are seeping into the criminal organizations. Criminal cyber capabilities are moving up in sophistication. They are seeping from the nation state down.

We are also seeing that, in some case, nation states are using cybercriminal capabilities to hide their tracks so that it doesn’t point in their direction. Ces cyberagents sont de plus en plus avertis. Nous constatons que les capacités qui étaient auparavant le propre des États‑nations sont acquises par des organisations criminelles. Les cybercapacités criminelles sont de plus en plus développées. Elles s’échappent de la sphère gouvernementale. Nous constatons également que certains États-nations utilisent des capacités cybercriminelles pour brouiller les pistes et éviter d’être repérés.

As far as our knowledge of these actors, we have good knowledge about them. We have good collaboration with the U.S., for sure. Our critical infrastructure is connected in many cases. We have to collaborate with our allies to the south, but also with our international partners. There is a good level of collaboration in the cybersecurity space, not just within Canada but between Canada and the U.S., between Canada, the U.S. and the U.K., our Five Eyes partner and the international community. Nous connaissons bien ces agents. Nous avons une bonne collaboration avec les États-Unis, évidemment.

Notre infrastructure essentielle est connectée dans bien des cas. Nous devons collaborer avec nos alliés du Sud, mais aussi avec nos partenaires internationaux. Il y a un bon niveau de collaboration dans le domaine de la cybersécurité, non seulement au Canada, mais aussi entre le Canada et les États-Unis, entre le Canada, les États-Unis et le Royaume-Uni, avec le Groupe des cinq et avec la communauté internationale. Senator Richards: Would you say that China, in dealing blows to us, is more sophisticated than our ability to stop them at the moment, or do you think we’re on par and we can rebuff these attacks?

Le sénateur Richards : Diriez-vous que la Chine a plus de moyens de nous porter des coups que nous en avons de les bloquer en ce moment ou pensez-vous que nous sommes à égalité et que nous sommes aptes à repousser ces attaques? Mr. Khoury: I think it is difficult to compare one actor to the other. At the Cyber Centre, our priority is to stop them all, regardless of their sophistication. M. Khoury : Je pense qu’il est difficile de comparer les situations. Au Centre pour la cybersécurité, notre priorité est de les neutraliser toutes, quel que soit leur degré de raffinement. Senator Richards: Sure.

Le sénateur Richards : Je comprends. Mr. Khoury: Whether it’s China, Russia, Iran or North Korea, we work tirelessly to make sure that we stop them all. M. Khoury : Qu’il s’agisse de la Chine, de la Russie, de l’Iran ou de la Corée du Nord, nous travaillons sans relâche pour nous assurer de les neutraliser toutes. Senator Richards: Thank you. Le sénateur Richards : Merci. Senator M. Deacon: I am going to backtrack. I know there are a number of timely topics that are relevant and near and dear to us, but I’m going to go back and remind us how we felt during the Rogers outage last summer.

In that area, I’m referring to the question around the resilience of our telecommunications network. We learned a lot. Certainly, it lay bare how disruptive prolonged internet outages are to our lives, spanning the spectrum from inconvenient to actual security issues, and pretty dangerous for some. La sénatrice M. Deacon : Je vais revenir en arrière. Certains sujets d’actualité sont importants et nous tiennent à cœur, mais je vais revenir en arrière et nous rappeler ce que nous avons ressenti pendant la panne de Rogers l’été dernier.

Je fais référence à la question concernant la résilience de notre réseau de télécommunications. Nous avons beaucoup appris. Cela révèle à quel point les pannes prolongées d’Internet perturbent nos vies, du simple inconvénient à de réels problèmes de sécurité susceptibles de se révéler dangereux. This afternoon, I’m curious to what extent you can share with this committee what that day meant for our national security network. Were government installations also affected?

Perhaps there may have been some learning, stepping back and watching, saying, “We were okay but …” If you could help me with that, that would be great. En cet instant précis, que pouvez-vous dire au comité sur ce que cette journée a signifié pour notre réseau de sécurité nationale? Les installations gouvernementales ont-elles également été touchées? Peut-être avez-vous appris quelque chose et que, avec le recul, vous vous êtes dit, par exemple : « On s’en est sorti, mais… » Si vous pouvez m’éclairer, ce serait vraiment bien. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:13

Mr. Couillard: Thank you for the question. Absolutely, that was a unique event. M. Couillard : Merci de la question. Cela a été, en effet, un événement unique. First of all, immediately when that started, we were in communication with Rogers, because obviously the question of whether this was a cybersecurity-driven event was on everybody’s mind. We at the Cyber Centre have a great relationship with all of the telecom service providers in Canada. That comes in handy. I know they were talking to Sami right away. Obviously, they kept us informed of the event.

Immediately, they made it clear that so far as the incident was involved — those are always dynamic. When they start, it’s never clear what happened at the first moment, but clearly, the indication was that this was a non-cyber-related event. Lucky for us, that was the case. Je dois dire tout d’abord que nous avons aussitôt communiqué avec Rogers, parce que la question de savoir si cela touchait la cybersécurité préoccupait tout le monde. Le Centre pour la cybersécurité entretient d’excellentes relations avec tous les fournisseurs de services de télécommunications au Canada. C’est bien pratique.

Je sais qu’ils se sont immédiatement adressés à M. Khoury. Ils nous ont évidemment tenus au courant. Et ils ont clairement expliqué que ce genre d’incident est toujours évolutif. C’est-à-dire que, au début, on ne sait pas ce qui l’a déclenché, mais on savait que ce n’était pas un incident d’ordre cybernétique. Heureusement pour nous. What it did, though, to your point, absolutely, is showed the importance of how critical, essential infrastructure is dependent on one another. Obviously, some financial institutions were affected by this. It shows that resilience is a job that is never finished.

Mais, pour revenir à ce que vous disiez, cela nous a effectivement fait comprendre à quel point les infrastructures essentielles et cruciales dépendent les unes des autres. Certaines institutions financières ont bien entendu été touchées. Cela montre aussi que la résilience est une capacité que l’on n’a jamais fini d’améliorer. I cannot speak for Rogers on what happened, obviously, in their activity. There have been a few places where they came forward and explained that it was really — I would say for this place — a configuration issue of their network. How did that happen?

Obviously, this merits a discussion with them, for sure. Je ne peux pas parler pour Rogers, évidemment. Dans certains endroits, ils ont été proactifs en expliquant que c’était vraiment — pour l’endroit en question — un problème de configuration du réseau. Comment cela a-t-il pu se produire? Cela mériterait effectivement une discussion avec eux. The reality is that it showed a great step up by the various telecom service providers, realizing that they needed to work together and they needed to work in partnership with other federal entities.

ISED, Innovation, Science and Economic Development Canada, also worked with us to engage the telecom service providers, and Rogers, to understand what happened and then learn from that. Our friends at ISED have been leading an activity where all the telecom service providers are now actively learning from this event and implementing — Minister Champagne was clearly demanding action by a Call to Action by the telecom service providers. That has been documented, and they are now delivering this. The industry stepped up to the plate and worked with us to address these things.

There is a new protocol in place calling for action, and we are part of this. Of course, again, this was not a cyber event, but it could be a cybersecurity event in the future. The Cyber Centre has been part of those discussions and is included in the protocol for future events. En fait, cela a incité les divers fournisseurs de services de télécommunications à prendre des mesures parce qu’ils se sont rendu compte qu’ils devaient travailler ensemble et en partenariat avec d’autres entités fédérales.

ISDE, c’est-à-dire Innovation, Sciences et Développement économique Canada, a également collaboré avec nous pour faire participer les fournisseurs de services de télécommunications et Rogers, afin de comprendre ce qui s’était passé et d’en tirer des leçons. Nos amis d’ISDE ont organisé une activité permettant à tous les fournisseurs de services de télécommunications de tirer activement des leçons de cet événement et de prendre des mesures — le ministre Champagne a clairement formulé un appel à l’action à l’intention de ces fournisseurs. Cela a été documenté, et c’est ce qu’ils sont en train de faire.

Les entreprises ont répondu à l’appel et ont travaillé avec nous. Un nouveau protocole, auquel nous sommes parties, a été élaboré pour passer à l’action. Je rappelle qu’il ne s’agissait pas d’un incident d’ordre cybernétique, mais cela pourrait toucher la cybersécurité un jour ou l’autre. Le Centre pour la cybersécurité a participé à ces discussions et est

partie au protocole pour l’avenir. Senator M. Deacon: Thank you. La sénatrice M. Deacon : Merci. My colleague, Senator Dasko, asked a question related to today’s The Globe and Mail article. With regard to cybersecurity in our Crown corporations, they noted that while the organizations are independent of government, they still operate Ma collègue, la sénatrice Dasko, a posé une question au sujet d’un

article paru aujourd’hui dans le Globe and Mail. On peut y lire que, en matière de cybersécurité, nos sociétés d’État, quoique indépendantes du gouvernement, fonctionnent toujours 25:14 National Security, Defence and Veterans Affairs 20-3-2023

on the same network, acting as a kind of back door to more sensitive information. It was also said that just 5 of the 50 such federal entities use Enterprise Internet Service, which incorporates the technology from the CSE to better protect against threat. Could you comment on the implication in this

article that this could act as a soft underbelly in cyberdefence? sur le même réseau et donnent ainsi accès indirectement à des renseignements plus confidentiels. On y apprend également que seulement 5 de ces 50 entités fédérales utilisent le Service Internet d’entreprise, qui intègre la technologie du CST pour mieux se protéger. L’article laisse entendre que cela pourrait constituer le ventre mou de la cyberdéfense : qu’en pensez-vous? Mr. Khoury: Thank you for the question. M. Khoury : Merci de la question. We live in a more connected society, so making sure that our networks are secure is key.

From a Cyber Centre perspective, besides government or core departments, we work with small departments, agencies and Crown corporations. We are available to provide cybersecurity support to any Crown corporation that reaches out to us, and we have done so in the past. It’s more of a bilateral engagement on that front. The Treasury Board and CSE are trying to bring the collective of Crown corporations together, but in the interim, we are more than happy to work individually with any one of those Crown corporations.

Nous vivons dans une société plus connectée que jamais, de sorte qu’il est essentiel de veiller à ce que nos réseaux soient sécurisés. Outre le gouvernement et les principaux ministères, le Centre pour la cybersécurité collabore avec les petits ministères et organismes et avec les sociétés d’État. Nous pouvons fournir un soutien en matière de cybersécurité aux sociétés d’État qui nous le demandent, et c’est déjà arrivé. Il s’agit davantage d’un engagement bilatéral.

Le Conseil du Trésor et le CST essaient de regrouper les sociétés d’État, mais entretemps, nous sommes plus qu’heureux de travailler individuellement avec l’une ou l’autre de ces sociétés. Senator M. Deacon: Thank you. La sénatrice M. Deacon : Merci. [Translation] [Français] The Deputy Chair: Before we get to the second round, I’m going to take the liberty of asking a very short question. Because of its proximity to the United States, could Canada be used as a computer base for cyberattacks targeting Americans?

Le vice-président : Avant de passer au second tour, je vais me permettre de poser une très courte question. À cause de sa proximité avec les États-Unis, le Canada pourrait-il servir de base informatique pour des cyberattaques visant les Américains? Mr. Couillard: Thank you for your question. Obviously, Canada and the United States share a tremendous amount of critical infrastructure on the continent. We’ve mentioned before that the point of origin of an attack is not necessarily related to who is conducting that attack. M. Couillard : Merci de votre question.

Évidemment, le Canada et les États-Unis partagent énormément d’infrastructures critiques sur le continent. Nous avons déjà mentionné que le point de provenance d’une attaque n’est pas nécessairement lié à la personne qui mène cette attaque. [English] [Traduction] Based on that premise, it’s possible that a foreign actor would leverage some infrastructure in Canada to launch an attack against the U.S. This is where we are building those relationships with a lot of our colleagues from the U.S. government.

We have also built relationships with critical infrastructure operators, such as energy and telecommunications, where there is extensive connection with the U.S. infrastructure. We’ve also built relationships with private sector associations to build resilience together. That’s a key priority for us during this time of the war in Ukraine. We gave advice to our critical infrastructure operators to proactively increase the level of awareness and security in relation to this threat and in thinking about these scenarios.

Il est donc possible qu’un agent étranger utilise une infrastructure au Canada pour lancer une attaque contre les États‑Unis. C’est pour cela que nous nouons ces relations avec beaucoup de nos collègues du gouvernement des États-Unis. Nous avons également créé des liens avec des exploitants d’infrastructures essentielles, par exemple dans les secteurs de l’énergie et des télécommunications, qui sont étroitement liés à l’infrastructure américaine. Nous avons également des relations avec des associations du secteur privé pour consolider la résilience avec eux.

C’est une priorité fondamentale pour nous en cette période de guerre en Ukraine. Nous avons conseillé à nos exploitants d’infrastructures essentielles de relever proactivement le niveau de conscientisation et de sécurité à l’égard de cette menace et de réfléchir à ces éventualités. Senator Boehm: Mr. Khoury, you have answered the question in different ways. When they think of interference of this kind, most Canadians think of malign state actors. The state actors, as you have said, will cover up what they have done and Le sénateur Boehm : Monsieur Khoury, vous avez répondu à la question de diverses façons.

Quand ils pensent à ce genre d’ingérence, la plupart des Canadiens pensent à des agents étatiques malveillants. Comme vous l’avez dit, les agents 20-3-2023 Sécurité nationale, défense et anciens combattants 25:15

perhaps push it into the direction of rogue actors. The rogue actors, in turn, might pretend that they are state actors. Through all of this, I guess you have to find the path as to what is what. Do you have a sense that the rogue actors — who may or may not be acting on behalf of state actors — are actually increasing their activities? Are there any related Canadian vulnerabilities, particularly in our defence sector, to that end? étatiques camouflent leurs actions et redirigent peut-être les projecteurs vers des agents voyous. Ces derniers, à leur tour, peuvent prétendre qu’ils sont des agents étatiques.

Dans tout cela, je suppose que vous devez trouver le moyen de savoir qui fait quoi. Avez-vous l’impression que les agents voyous — susceptibles d’agir ou non au nom d’agents étatiques — sont en train de multiplier leurs activités? Y a-t-il des vulnérabilités connexes au Canada, notamment dans notre secteur de la défense, à cet égard? Mr. Khoury: Thank you for the question. M. Khoury : Merci de la question. I would say there are three camps. There is the purely cybercriminal camp, there is the nation-state camp, and there is the state-aligned rogue actor, so criminal organizations that are state-aligned.

At the Cyber Centre, we have to defend against all of them. Whether it’s a cybercriminal motivated by money, a nation-state motivated by espionage or stealing international property, or a rogue actor motivated by ideology, we have to defend against all three of them, and possibly more. The goal of the Cyber Centre is to make sure that we inform Canadians and Canadian businesses of the threat and adjust our publications to cater to the various types of attack actors we might see. Disons qu’il y a trois camps.

Il y a celui des cybercriminels à proprement parler, celui des États-nations et celui des agents voyous alignés sur un État, c’est-à-dire des organisations criminelles alignées sur un État. Le Centre pour la cybersécurité doit défendre le Canada contre tous ces agents. Qu’il s’agisse d’un cybercriminel motivé par l’argent, d’un État-nation faisant de l’espionnage politique ou industriel ou d’un agent voyou animé par une idéologie, nous devons nous défendre contre les trois, voire plus.

L’objectif du Centre pour la cybersécurité est d’informer les Canadiens et les entreprises canadiennes de la menace et d’adapter nos publications en fonction des divers types d’agents à l’œuvre. Senator Boehm: Would you also inform our closest allies and say, “Hey, we’ve found a new one here. Do you know about this one?” And would they do the same with us? Le sénateur Boehm : Est-ce que vous informez nos alliés les plus proches en leur signalant un nouvel agent ou en leur demandant si tel autre leur est connu? Et font-ils la même chose avec nous? Mr.

Khoury: We work closely with our allies — the U.S., U.K. and international partners. Our deepest partnerships are with the U.S., U.K. and Five Eyes partners. A lot of sharing takes place amongst the five of us in terms of intelligence sharing and cyberdefence. When it comes to cyberdefence, for the good of the community and for the good of Canadians, we push out as much information as possible. M. Khoury : Nous travaillons en étroite collaboration avec nos alliés — les États-Unis, le Royaume-Uni et nos partenaires internationaux.

Nos partenariats les plus étroits sont avec les États-Unis, le Royaume-Uni et les membres du Groupe des cinq. Les cinq partagent beaucoup de renseignement et de données sur la cyberdéfense. En matière de cyberdéfense, nous diffusons le plus d’information possible pour le bien de la collectivité et pour le bien des Canadiens. Senator Boehm: Thank you. Le sénateur Boehm : Merci. [Translation] [Français] Senator Boisvenu: You know this committee is conducting a study on Arctic security. Canada is poised to invest heavily in protecting the Arctic, especially in technology.

Le sénateur Boisvenu : Vous savez que ce comité mène une étude sur la sécurité dans l’Arctique. Le Canada s’apprête à investir massivement dans la protection de l’Arctique, surtout sur le plan technologique. Are your ties with the Americans consistent? Will the exchange of information allow you, as an autonomous entity — even though you have ties to the Americans — to have a good view of what goes on in the Arctic, after the modernization and increased presence of technologies that are much more at risk than what we have today? Vos liens avec les Américains sont-ils constants?

Est-ce que l’échange d’information vous permettra, comme entité autonome — même si vous avez des liens avec les Américains —, d’avoir une bonne vision de ce qui va se passer dans l’Arctique après l’épisode de modernisation et de présence accrue de technologies qui sont beaucoup plus à risque que ce que nous avons aujourd’hui? Mr. Khoury: Thank you for the question. M. Khoury : Merci pour la question. 25:16 National Security, Defence and Veterans Affairs 20-3-2023

Indeed, in all of the government’s technology projects, we try to bring in the cybersecurity component to support those developments and make them as secure as possible. We also participate in public forums with the private sector to invite companies to invest in cybersecurity. We try to make sure that cybersecurity is included in the definition of the problem, and not something that is added at the last minute. How do we make sure that cybersecurity is built into the development of a project so we don’t regret its omission later?

With that in mind, we hope that any investment projects in the North or in Indigenous communities, in particular, will be projects that have a good foundation in terms of cybersecurity. Effectivement, dans tous les projets technologiques du gouvernement, nous essayons d’amener le volet de la cybersécurité pour soutenir ces développements et les rendre les plus sécuritaires possibles. Nous participons aussi à des forums publics avec le secteur privé pour inviter les entreprises à investir dans la cybersécurité.

Nous tentons de nous assurer que la cybersécurité est incluse dans la définition du problème et que ce n’est pas quelque chose qui est ajouté à la dernière minute. Comment nous assurons-nous que la cybersécurité est intégrée dans le développement d’un projet pour ne pas le regretter plus tard? Dans cette optique, nous espérons que tous les projets d’investissement dans le Nord ou dans les communautés autochtones, notamment, seront des projets qui auront une bonne fondation sur le plan de la cybersécurité. Senator Boisvenu: Thank you.

Le sénateur Boisvenu : Merci. [English] [Traduction] Senator Dasko: I want to keep pursuing the topic of efforts to degrade our democratic institutions with disinformation. You gave one example. Could you give a few more examples of how this has happened and in which instances? La sénatrice Dasko : J’aimerais poursuivre la conversation sur les actions visant à détériorer nos institutions démocratiques par la désinformation. Vous avez donné un exemple. Pourriez- vous nous parler d’autres incidents et de leur contexte? I also want to ask you this: What is it you do with this information? Do you do a risk analysis?

Do you inform, let’s say, government departments? Do you take on activities to answer the misinformation with correct information? How do you handle the information? Where does it go, and what happens to it in terms of the actions that might ultimately be taken, or not? Je voudrais aussi vous demander ceci : que faites-vous de cette information? Faites-vous une analyse des risques? Par exemple, informez-vous les ministères? Prenez-vous des mesures pour réagir à la désinformation en fournissant de l’information exacte? Comment traitez-vous l’information?

Où va-t-elle et qu’en advient-il du point de vue des mesures susceptibles d’être prises? Mr. Khoury: Thank you, senator, for the question. M. Khoury : Je vous remercie de votre question, sénatrice. From a Cyber Centre perspective, we are definitely concerned about cybersecurity and the protection of Canadian information, government information and Canadian privacy. We work in concert with other partners, both inside CSE or with defence, with other agencies or departments within the government.

Le Centre pour la cybersécurité se préoccupe évidemment de la cybersécurité et de la protection de l’information canadienne, de l’information gouvernementale et de la vie privée des Canadiens. Nous collaborons avec d’autres partenaires, au CST et à la Défense, et avec d’autres organismes ou ministères du gouvernement. We are not a regulator, so in a sense we’re not here to regulate what goes into cyberspace in terms of information content, but the CSE and other government departments have taken the sometimes rare measures to declassify intelligence to prove that information that is out there is not correct.

From a Cyber Centre perspective, we want to make sure that the Canadian government infrastructure, or that of others, is not used in a malicious way or not used to promote that sort of misinformation. We have put out advice and guidance for Canadians. We have put out advice and guidance for social media applications. We are informing Canadians of the threat that some of these environments out there, social media apps and others, can pose to their privacy and security. That’s the contribution of the Cyber Centre.

Nous ne sommes pas un organisme de réglementation et nous ne sommes donc pas chargés de réglementer le contenu d’information dans le cyberespace, mais le CST et d’autres ministères ont pris des mesures parfois rares pour déclassifier le renseignement afin de prouver que l’information diffusée n’était pas exacte. Le Centre pour la cybersécurité veut s’assurer que l’infrastructure du gouvernement canadien ou d’autres ne sevent pas à des fins malveillantes ou à la promotion de ce genre de désinformation. Nous avons publié des conseils et des recommandations à l’intention des Canadiens.

Nous avons publié des conseils et des recommandations pour les applications des réseaux sociaux. Nous informons les Canadiens de la menace que certains de ces espaces, notamment les applications des réseaux sociaux, peuvent représenter pour leur vie privée et leur sécurité. C’est cela, la contribution du Centre pour la cybersécurité. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:17

Senator Dasko: That would be at a high level that you’re warning Canadians. La sénatrice Dasko : Les mises en garde que vous adressez aux Canadiens sont de haut niveau. Mr. Khoury: Yes. M. Khoury : Oui. Senator Dasko: With regard to specific information, where does that go? When you collect the information about instances, whether it be within elections or I am thinking mainly outside elections when disinformation is disseminated, where does the information you pick up go? La sénatrice Dasko : Où vont certains renseignements précis?

Quand vous recueillez des renseignements portant sur des cas précis, dans le cadre d’élections, mais surtout, je dirais, au sujet de la désinformation diffusée en dehors des élections, où vont les renseignements que vous recueillez? Mr. Khoury: We would only pick up the technical information that supports or indicates that there has been a malicious cyber event. Other types of information would be picked up by other departments. I would probably defer to other departments to bring the content element of that information together and maybe answer that question. M.

Khoury : Nous ne recueillons que les renseignements techniques qui prouvent ou indiquent un cyberincident malveillant. Les autres types de renseignements sont recueillis par d’autres ministères. Il faudrait probablement s’adresser à eux pour réunir le contenu de cette information et peut-être répondre à cette question. Senator Dasko: I see. It would be handled by other departments. La sénatrice Dasko : Je vois. Cela incomberait à d’autres ministères. Mr. Khoury: Yes. M. Khoury : Oui. Senator Cardozo: I want to come back to the domestic scene.

In past decades, security forces have looked at terrorism as being something that would come from the outside. In the past few years, they have begun to understand that certainly there are forces within Canada, White supremacist being probably at the top of the list. Is it your sense that forces like that are active in the cyberworld? Do you watch groups within Canada as sources from where cyber-threats might come? Le sénateur Cardozo : Je voudrais revenir à la situation au pays. Au cours des dernières décennies, les forces de sécurité ont considéré que le terrorisme venait de l’extérieur.

Dans les dernières années, elles ont commencé à comprendre qu’il y avait aussi des forces de ce genre au Canada, la suprématie blanche étant probablement en tête de liste. Avez-vous l’impression que ces forces sont actives dans le cyberespace? Est-ce que vous surveillez des groupes au Canada qui pourraient être la source de cybermenaces? Mr. Khoury: Thank you. M. Khoury : Merci de la question. To answer your question directly, no, we don’t watch groups. The Cyber Centre is primarily concerned with the infrastructure layer and making sure that the infrastructure layer is secure from cyberattack.

I would defer to other departments who have the mandate to monitor or to watch activities by groups. If the cyber event comes from outside of Canada, we can sometimes categorize it as cybercriminal or nation state. When nation states are behind a cyber event, if they cross those lines of cyber norms, the government might choose to call them out, but we don’t look domestically at who is behind the keyboard. Pour y répondre directement, non, nous ne surveillons pas de groupes. Le Centre pour la cybersécurité s’occupe principalement de l’infrastructure et veille à ce qu’elle soit protégée contre les cyberattaques.

D’autres ministères sont chargés de surveiller les activités de groupes. Si le cyberincident a son origine à l’extérieur du Canada, nous pouvons parfois le classer parmi les incidents attribuables à des cybercriminels ou à des États-nations. Si ce sont des États-nations qui sont à l’origine de l’incident et s’ils franchissent les limites des normes cybernétiques, le gouvernement peut décider de les dénoncer, mais nous ne cherchons pas à déterminer qui se trouve au clavier à l’échelle nationale. Senator Cardozo: Your first focus is the hardware of the cyber system?

Le sénateur Cardozo : Vous vous concentrez d’abord sur le matériel informatique? Mr. Khoury: Yes. M. Khoury : Oui. Senator Cardozo: But you also do look at where it’s coming from? Le sénateur Cardozo : Mais vous voulez également savoir d’où vient l’argent, n’est-ce pas? 25:18 National Security, Defence and Veterans Affairs 20-3-2023

Mr. Khoury: Our first concern is the security of the infrastructure layer, so the network and hardware that underpins, but malicious cyber activities can come from anywhere in terms of who is behind those cyber activities. In some cases, we know that Russia, China, Iran and North Korea are perpetrators of some of these cyber activities, and they each have a different signature that informs us as to this is a typical Russian attack or typical Chinese attack.

That’s how we learn about how to better defend government systems and how to share that information with our partners to make sure that we stay on top of the threat that they pose. M. Khoury : Notre première préoccupation est la sécurité de l’infrastructure, c’est-à-dire le réseau et le matériel informatique, mais les activités cybernétiques malveillantes peuvent venir de n’importe où.

Dans certains cas, nous savons que la Russie, la Chine, l’Iran et la Corée du Nord sont responsables de certaines de ces activités cybernétiques, et chacune d’elles a une signature différente qui nous permet de savoir qu’il s’agit en fait d’une attaque russe ou chinoise classique. C’est ainsi que nous apprenons comment mieux défendre les systèmes gouvernementaux et comment partager cette information avec nos partenaires pour nous assurer de garder de l’avance sur la menace.

Senator Yussuff: A very biased question to you directly: Given your responsibility, how would you say we’re performing on the broader question of cybersecurity? This is something that is obviously very much topical to Canadians these days, given the issue of election interference. Le sénateur Yussuff : J’ai une question très tendancieuse à vous poser directement : compte tenu de votre responsabilité, comment, d’après vous, nous en tirons-nous généralement en matière de cybersécurité? C’est évidemment une question d’actualité pour les Canadiens en raison de l’enjeu de l’ingérence électorale. Mr.

Couillard: Thank you for the question. M. Couillard : Merci de la question. It’s a difficult question to answer. How do we perform? Our focus is to protect the Canadian government, Canadian infrastructure and Canada at large. That’s the focus we have. It would be difficult for me to compare us to any other nation or institution like that. C’est une question à laquelle il est difficile de répondre. Comment nous en tirons-nous? Notre objectif est de protéger le gouvernement canadien, l’infrastructure canadienne et le Canada dans son ensemble. C’est ce sur quoi nous nous concentrons.

Il me serait difficile de nous comparer à un autre pays ou à une autre institution. We have a group of people dedicated to do this. We work collectively with our colleagues from the federal government, the provinces and our international partners, and we’re committed to this. We are investing our time and effort to stay in line with the threat. As the threat evolves, we want to be moving forward and constantly blocking those threats and continuing our mission. Nous avons un groupe de personnes qui se consacrent à cette tâche.

Nous travaillons en collaboration avec nos collègues du gouvernement fédéral et des provinces et avec nos partenaires internationaux; c’est notre engagement. Nous investissons temps et efforts pour rester en phase avec la menace. À mesure que celle-ci évolue, nous évoluons aussi et nous sommes déterminés à la bloquer et à poursuivre notre mission. I think we’re doing a good job, obviously. The Canadian taxpayers are getting something good out of us, and we’re committed to this. Where we rank against others would be difficult for me to answer that. Je pense que nous faisons du bon travail, évidemment.

Nous donnons et nous continuerons de donner de bons résultats aux contribuables canadiens. Il serait difficile pour moi de vous dire où nous nous situons par rapport à d’autres. Mr. Khoury: If I can add a few comments, over the years we have developed what I believe to be world-class cyberdefence capabilities that we circle the Canadian government with. These capabilities are the envy of many of our partners. They look to us on how we wrapped our hand around government departments with cyberdefence capabilities. From a GC perspective, I’m extremely proud of the work of the Cyber Centre.

Everything we learn across the government or everything we learn from these 5 billion events that we see every day, we turn around and share with critical infrastructure and with small-to-medium-sized businesses as a way of taking that knowledge and putting it out there to raise the collective cyber resilience. We have some work to do, for sure, since we continue to see cyber incidents pretty much every day, but we are committed to supporting Canadians M.

Khoury : Si vous me permettez d’ajouter quelques commentaires, nous avons progressivement développé ce que je crois être des capacités de cyberdéfense de calibre mondial qui protègent le gouvernement canadien. Ces capacités font l’envie de beaucoup de nos partenaires. Ils se tournent vers nous pour savoir comment nous protégeons les ministères grâce à ces capacités. Du point de vue du gouvernement du Canada, je suis extrêmement fier du travail du Centre pour la cybersécurité.

Tout ce que nous apprenons au sein du gouvernement et tout ce que nous apprenons de ces 5 milliards d’incidents que nous constatons tous les jours est partagé avec les responsables des infrastructures essentielles et avec les petites et moyennes entreprises pour que ces connaissances soient diffusées et permettent d’accroître la cyberrésilience collective. Il est certain 20-3-2023 Sécurité nationale, défense et anciens combattants 25:19

and Canadian businesses as much possible to raise their collective cybersecurity. que nous avons encore du travail à faire, puisqu’il se produit des cyberincidents presque tous les jours, mais nous sommes déterminés à aider les Canadiens et les entreprises canadiennes, dans toute la mesure du possible, à renforcer leur cybersécurité collective. Senator Yussuff: Quickly, I was going to ask you a question. Canadians take the internet for granted, like riding a bicycle or drinking a glass of water, but it’s not so innocent in that regard.

What level of confidence do we need to give Canadians about how we can better collectively deal with the reality? It’s not as simple as what we would like to believe anymore? Le sénateur Yussuff : J’aurais une brève question à vous poser. Les Canadiens tiennent Internet pour acquis, comme faire de la bicyclette ou boire un verre d’eau, mais ce n’est pas si innocent à cet égard. Quel niveau de confiance devons-nous accorder aux Canadiens quant à la façon dont nous pouvons mieux composer collectivement avec la réalité? Ce n’est plus aussi simple que ce que nous aimerions croire, n’est-ce pas? Mr.

Khoury: We have put out a lot of advice about how to better protect yourself on our website, and Canadians should pay attention to some of the advice and guidance that we put out: better passwords, enable multifactor authentication, patch. All these things will make us a more secure society. That advice is out there, and I would invite everybody to visit our website and have a quick peek at it. M.

Khoury : Nous avons publié beaucoup de conseils sur la façon de mieux se protéger sur notre site Web, et les Canadiens devraient prêter attention à certains de ces conseils, par exemple de meilleurs mots de passe, l’authentification multifactorielle et les correctifs. Toutes ces mesures feront de nous une société plus sûre. Ces conseils sont publiés, et j’invite tout le monde à consulter notre site Web. [Translation] [Français] The Deputy Chair: This brings us to the end of our first panel. Mr. Khoury and Mr.

Couillard, thank you for your input and for taking the time to share your expertise on cybercrime with us. We greatly appreciate it. Le vice-président : Cela nous amène à la fin de notre premier groupe. Messieurs Khoury et Couillard, je vous remercie de votre contribution et du temps que vous avez pris pour partager avec nous votre expertise en matière de cybercriminalité. Nous l’apprécions grandement. We now turn to our second panel. For those of you joining us live, this meeting is about cyber threats to Canada’s defence infrastructure. For this second panel, we are pleased to welcome Ms.

Kristen Csenkey, Fellow, North American and Arctic Defence and Security Network, and PhD candidate, Balsillie School of International Affairs; Mr. Alex Wilner, Associate Professor of International Affairs, Norman Paterson School of International Affairs, Carleton University; and finally, via video conference, we welcome Dr. Christian Leuprecht, Professor, Department of Political Science and Economics, Royal Military College of Canada. Nous passons maintenant à notre deuxième groupe de témoins.

Pour ceux qui nous rejoignent en direct, cette réunion porte sur les cybermenaces à l’endroit de l’infrastructure de la défense du Canada. Pour ce deuxième groupe de témoins, nous avons le plaisir d’accueillir Mme Kristen Csenkey, associée, Réseau sur la défense et la sécurité nord-américaines et arctiques, et candidate au doctorat, Balsillie School of International Affairs; M. Alex Wilner, professeur agrégé en matière d’affaires internationales à la Norman Paterson School of International Affairs de l’Université Carleton; enfin, par vidéoconférence, nous accueillons M.

Christian Leuprecht, professeur au Département de science politique et d’économique du Collège militaire royal du Canada. Thank you for joining us today. We will begin by asking you to make your opening remarks, followed by questions from the committee. I remind you that you each have five minutes for your opening statements. Ms. Csenkey, you have the floor. Je vous remercie de vous être joints à nous aujourd’hui. Nous allons commencer par vous demander de présenter vos remarques préliminaires, qui seront suivies de questions de la part des membres du comité.

Je vous rappelle que vous disposez chacun de cinq minutes pour vos déclarations préliminaires. Madame Csenkey, vous avez la parole. [English] [Traduction] Kristen Csenkey, Fellow, North American and Arctic Defence and Security Network, PhD Candidate, Balsillie School of International Affairs, as an individual: Good evening to the chair, deputy chair, committee members and other Kristen Csenkey, associée, Réseau de défense et de sécurité de l’Amérique du Nord et de l’Arctique, candidate au doctorat, Balsillie School of International Affairs, à

titre personnel : Je salue le président, le vice-président, les membres 25:20 National Security, Defence and Veterans Affairs 20-3-2023

experts called to this meeting. I thank you for the invitation to address the committee, and I am honoured to participate in the important discussion on cyber-threats to Canada’s defence infrastructure. du comité et les autres experts convoqués à cette réunion. Je vous remercie de m’avoir invitée à prendre la parole devant vous et je suis honorée de participer à cette importante discussion sur les cybermenaces visant l’infrastructure de défense du Canada.

I am a PhD candidate at the Balsillie School of International Affairs through Wilfrid Laurier University and a fellow with the North American and Arctic Defence and Security Network. My remarks are based on my academic research on cyber governance and the management of emerging technologies. It is through my research and previous publications where I situate my approach to the discussion topic for the committee. Je suis doctorante à la Balsillie School of International Affairs de l’Université Wilfrid Laurier et membre du Réseau de défense et de sécurité de l’Amérique du Nord et de l’Arctique.

Mes observations s’appuient sur mes recherches concernant la cybergouvernance et la gestion des technologies émergentes. Mes recherches et mes publications antérieures m’ont permis de circonscrire ma perspective sur le sujet de discussion du comité. My remarks on the topic of cyber-threats to Canada’s defence infrastructure are organized around two themes: complexity and interoperability. I will link these two themes by using the conceptual image of a chain to think about threats and solutions.

These themes highlight the challenges that Canada faces today, and I hope this will aid in your examination of the issue. Mes observations sur les cybermenaces visant l’infrastructure de défense du Canada s’articulent autour de deux thèmes : la complexité et l’interopérabilité. Je vais lier les deux en utilisant l’image conceptuelle d’une chaîne pour réfléchir aux menaces et aux solutions. Ces thèmes éclairent les enjeux auxquels le Canada est confronté aujourd’hui, et j’espère que cela vous aidera dans votre examen de la question.

To begin, when we talk about infrastructure, whether defence, critical or civilian, we are talking about complex cyber-physical systems. Broadly, these infrastructures are comprised of different technologies, devices, software, hardware and information, but also of services, people and other connected things requiring energy sources and physical locations. Each one of these things in cyber-physical systems are similar to links in a chain. They each have their place, but they are also fastened to other links in the chain. Links can connect in many ways and become weaved together to create bigger structures.

Complexity comes as these interconnections comprise large infrastructures, bringing challenges especially from a defence perspective. Pour commencer, quand on parle d’infrastructure, qu’il s’agisse de défense, de services essentiels ou de services civils, on parle de systèmes cyberphysiques complexes. Ces infrastructures comprennent généralement des technologies, des appareils, des logiciels, du matériel et de l’information différents, mais aussi des services, des personnes et d’autres éléments connectés qui nécessitent des sources d’énergie et des emplacements physiques.

Les éléments des systèmes cyberphysiques ressemblent aux maillons d’une chaîne. Ils ont chacun leur place, mais ils sont aussi attachés à d’autres maillons. Les maillons peuvent être reliés de bien des façons et former de plus grandes structures. La complexité tient au fait que ces interconnexions composent de grandes infrastructures et rendent la tâche difficile, surtout du point de vue de la défense.

Defence infrastructures are complex, and their connections, or links, go beyond a single field, but they also have sector-specific challenges, for example, the defence-specific challenge of secure cloud computing for distributed command and control. These systems can enable effective communication and coordination across an operating environment, yet they require more than secure cyber systems to make them functional. Among other requirements, they need a reliable and safe power source that can function in diverse and extreme locations, such as a portable high-performance microgrid.

This infrastructure is not unique to defence, as these technologies could be used in other contexts and for other purposes. In addition, each of these things may need to connect to older or legacy technologies and systems still in use today. The interoperability of these new technologies and systems is an issue not only from a functional standpoint, but also because it provides opportunity for malicious cyber-threat actors to disrupt systems that link multiple infrastructures.

Les infrastructures de défense sont complexes, et leurs connexions, ou leurs maillons, ne relèvent pas d’un seul domaine, mais engagent aussi des enjeux sectoriels, par exemple celui de la défense de l’informatique en nuage pour le commandement et le contrôle distribués. Ces systèmes facilitent une communication et une coordination efficaces dans un environnement opérationnel, mais ils nécessitent plus que des cybersystèmes sécurisés pour être fonctionnels.

Entre autres exigences, ils ont besoin d’une source d’énergie fiable et sûre qui puisse fonctionner dans des lieux aussi divers qu’extrêmes, comme un microréseau portatif à haut rendement. Ce genre d’infrastructure n’est pas propre à la défense, puisque ces technologies peuvent être employées dans d’autres contextes et à d’autres fins. Par ailleurs, chacun de ces éléments pourrait devoir être relié à des technologies et systèmes plus anciens ou hérités encore utilisés aujourd’hui.

L’interopérabilité de ces nouveaux systèmes et technologies est un problème non seulement du point de vue fonctionnel, mais aussi parce qu’elle permet aux agents malveillants de cybermenaces de perturber des systèmes reliant de multiples infrastructures. 20-3-2023 Sécurité nationale, défense et anciens combattants 25:21

With the challenges of complexity and interoperability in mind, how can Canada protect against cyber-threats to defence infrastructures? The interconnectedness of systems, technologies, people, etc., is our current reality as services and interactions are increasingly digitalized and interdependent. This also poses unique capabilities and capacity challenges from a defence perspective, especially in protecting against threats targeted at the individual links in the metaphorical chain. The chain must be flexible and strong. It must be built to adapt to the changing environment and allow for pivots.

This can mean resiliency by strengthening the links through cooperation in trusted partnerships. In the cloud computing system example, cooperation through standardization can ensure secure networked integration of the connected technologies shared between partners and across sectors. This solution is akin to transforming each link in the complex defence infrastructure into a strong chainmail, thereby enhancing Canada’s ability to remain strong and safe.

Compte tenu des enjeux liés à la complexité et à l’interopérabilité, comment le Canada peut-il se protéger contre les cybermenaces visant les infrastructures de défense? L’interconnectivité des systèmes, des technologies, des personnes, etc., est notre réalité actuelle, puisque les services et les interactions sont de plus en plus numérisés et interdépendants. Cela soulève également des questions nouvelles en matière de capacité de défense, surtout du côté de la protection contre les menaces visant les maillons individuels de la chaîne métaphorique. La chaîne doit être à la fois souple et solide.

Elle doit pouvoir s’adapter à l’évolution du contexte et permettre des articulations. La résilience pourrait ainsi passer par la consolidation des maillons grâce à la coopération dans le cadre de partenariats de confiance. Dans le cas de l’informatique en nuage, la coopération par la normalisation peut assurer l’intégration en réseau sécurisé des technologies connectées que partagent des partenaires et des secteurs. Cette solution revient à transformer chaque maillon de l’infrastructure complexe de défense en une cotte de mailles solide, améliorant ainsi la capacité du Canada à rester fort et en sûreté.

I thank you for your time, and I look forward to your questions. Je vous remercie du temps que vous m’avez accordé et je me ferai un plaisir de répondre à vos questions. [Translation] [Français] The Deputy Chair: Thank you very much, Ms. Csenkey. Now we’ll hear from Mr. Wilner. Mr. Wilner, you may begin. Le vice-président : Merci beaucoup, madame Csenkey. Maintenant, nous allons entendre M. Wilner.

Monsieur Wilner, vous pouvez commencer. [English] [Traduction] Alex Wilner, Associate Professor of International Affairs, Norman Paterson School of International Affairs, Carleton University, as an individual: Honourable senators, colleagues and friends, my opening statement will provide insights along two general themes.

First, I want to provide a synopsis of contemporary cyber challenges with lessons from authoritarian use of cyberspace and the conflict in Ukraine, and second, I want to briefly explore two elements of Canadian cyber deterrence, largely based on my research, which is funded by SSHRC, DND and the Government of Ontario. Alex Wilner, professeur agrégé des affaires internationales, Norman Paterson School of International Affairs, Université Carleton, à

titre personnel : Honorables sénateurs, chers collègues et amis, mon exposé préliminaire portera sur deux thèmes généraux. J’aimerais d’abord vous parler brièvement des enjeux cybernétiques contemporains en évoquant l’utilisation autoritaire du cyberespace et le conflit en Ukraine. J’aborderai ensuite rapidement deux éléments de la cyberdissuasion canadienne, surtout à partir de ma recherche, qui est financée par le CRSH, le MDN et le gouvernement de l’Ontario. Cybersecurity is our era’s defining challenge.

Most national security and intelligence bodies have placed cybersecurity well ahead of other concerns, including transnational terrorism. Indeed, recently, the meaning of “cyber” itself, especially when used as a prefix, has expanded. A broadened understanding of cyber now includes humans and their societies; machines, computers, and networks; and the digital spaces and the ideas shared within them. Indeed, several emerging trends are shaping contemporary cybersecurity and, by extension, informing the future of conflict. La cybersécurité est l’enjeu décisif de notre époque.

La plupart des organismes de sécurité nationale et de renseignement placent la cybersécurité bien au-dessus des autres préoccupations, y compris le terrorisme transnational. De fait, le sens du préfixe « cyber » s’est récemment élargi. Pour mieux comprendre la cybernétique aujourd’hui, il faut inclure les êtres humains et leurs sociétés, les machines, les ordinateurs et les réseaux, ainsi que les espaces numériques et les idées partagées dans ces espaces.

On constate que plusieurs tendances émergentes donnent forme à la cybersécurité contemporaine et, par extension, éclairent l’avenir des conflits. 25:22 National Security, Defence and Veterans Affairs 20-3-2023

First, open-source data of state-sponsored cyber incidents show that since 2005, over 30 countries have launched offensive cyber operations, and yet China, Russia, Iran and North Korea are responsible for over 75 percent of these events. Cyberspace may be open to everyone, but its malicious use is reserved to a few. Premièrement, les données de sources ouvertes sur les cyberincidents attribuables à des États révèlent que, depuis 2005, plus de 30 pays ont lancé des cyberopérations offensives, mais que la Chine, la Russie, l’Iran et la Corée du Nord sont responsables de plus de 75 % de ces incidents.

Le cyberespace est peut-être ouvert à tout le monde, mais son utilisation malveillante est réservée à quelques-uns. Second, different authoritarian regimes prefer certain types of cyber aggression. Russia largely uses cyber to sow disinformation in the hope of shaping foreign behaviour and beliefs. It does the same domestically to impede political challenges. Conversely, China favours using cyber for espionage, data theft and intelligence-gathering purposes.

Finally, North Korea, a relative cyber minnow, uses cyber aggression to generate state revenue through financial theft, ransomware and other forms of extortion. Of course, besides these regimes, democratic states also show patterns of cyber behaviour. Nearly 30 percent of known American cyber operations, for instance, are conducted with allies, something that should resonate with us. Deuxièmement, les régimes autoritaires ont leurs préférences en matière de cyberattaque.

La Russie utilise largement la cybernétique pour semer de la désinformation dans l’espoir de façonner les comportements et les croyances à l’étranger. Elle fait la même chose chez elle pour écarter les problèmes politiques. De son côté, la Chine préfère utiliser la cybernétique pour faire de l’espionnage, voler des données et recueillir du renseignement. Enfin, la Corée du Nord, petit joueur dans le domaine, passe par la cyberagression pour augmenter les recettes de l’État par le vol financier, le rançongiciel et d’autres formes d’extorsion.

Les États démocratiques affichent eux aussi, bien sûr, des modèles de cybercomportement. Par exemple, près de 30 % des cyberopérations américaines connues concernent leurs alliés, ce qui devrait nous interpeller. A third series of cyber trends emanate from Russia’s war of aggression against Ukraine. It is, to my mind, the first truly modern war, pitting two hi-tech societies against one another. Four lessons stand out. La guerre d’agression de la Russie contre l’Ukraine révèle une troisième série de tendances. À mon avis, c’est la première véritable guerre moderne, qui oppose deux sociétés de haute technologie.

Quatre leçons ressortent. First, the war has shifted Russia’s cyber preferences. Before the war, less than a quarter of Russia’s cyberattacks might have been deemed destructive in nature,

whereas today, more than two thirds are meant to be. Premièrement, la guerre a modifié les préférences cybernétiques de la Russie. Avant la guerre, moins du quart des cyberattaques de la Russie auraient pu être considérées comme ayant des visées destructrices, alors qu’aujourd’hui, plus des deux tiers le sont. Second, despite this, Russia’s vaunted cyber capabilities have largely fallen flat. NATO observers have been warning of a cyber Pearl Harbor for a decade. Something like it seemed almost imminent in the weeks preceding Russia’s invasion of Ukraine, but clearly that didn’t happen.

At the onset of the war, Russia’s cyber campaign didn’t come close to landing a knockout punch. Ukrainian preparations for it, following a decade of collaboration with the U.S., Canada and many others, helped to prevent it. This past winter, Russia failed again to knock Ukraine’s energy systems offline, something it did repeatedly and rather easily in the past. Instead, since October 2022, Russia has resorted to massive physical destruction rather than cyber disruption of Ukrainian energy infrastructure. Deuxièmement, malgré cela, les capacités cybernétiques vantées par la Russie sont en grande

partie en échec. Depuis une décennie, les observateurs de l’OTAN nous avertissent de l’éventualité d’un Pearl Harbor cybernétique. Quelque chose de cet ordre semblait presque imminent dans les semaines qui ont précédé l’invasion de l’Ukraine par la Russie, mais, comme on le sait, cela ne s’est pas produit. Au début de la guerre, la campagne cybernétique de la Russie était loin d’avoir atteint son but. Les préparatifs de l’Ukraine à cet égard, après une décennie de collaboration avec les États-Unis, le Canada et de nombreux autres pays, ont contribué à l’empêcher.

L’hiver dernier, la Russie a encore une fois échoué à mettre hors service les systèmes énergétiques de l’Ukraine, ce qu’elle avait pu faire à maintes reprises et assez facilement dans le passé. Au lieu de cela, depuis octobre 2022, la Russie a eu recours à la destruction physique massive plutôt qu’à la cyberperturbation des infrastructures énergétiques ukrainiennes. Third, the conflict has brought entire commercial industries not generally accustomed to warfare to the very frontline of a shooting war.

Tech companies like Microsoft have helped Ukraine fend off hacks by providing it with security services and Troisièmement, le conflit a amené des secteurs commerciaux entiers, généralement peu familiers de la guerre, sur la ligne de front du combat. Des entreprises technologiques comme Microsoft ont aidé l’Ukraine à se prémunir contre le piratage 20-3-2023 Sécurité nationale, défense et anciens combattants 25:23

engineering solutions and by openly identifying, attributing and tracking Russian attacks. At one point, Microsoft opened a 24‑7 cybersecurity hotline dedicated to ridding Ukraine of Russian malware sitting on its networks. Other companies, like Starlink — a satellite internet constellation operated by SpaceX — became an integral aspect of Ukraine’s war effort. Starlink internet has proven difficult to target, hack and disrupt. The capability has sharpened Ukrainian operations and targeting.

It has ensured broadband connectivity between troops and decision makers, and it enabled Ukrainian innovations in drone warfare, a startup effort that has paired homegrown software and hobby drones with satellite internet. This latter innovation has rankled SpaceX, which limited certain services over Ukraine last month, providing us all with a stark lesson on the emerging nexus between commercial internet services, statecraft and war. informatique en lui fournissant des services de sécurité et des solutions techniques et en identifiant, en attribuant et en suivant ouvertement les attaques russes.

À un moment donné, Microsoft a ouvert une ligne d’assistance en cybersécurité 24 heures sur 24, sept jours sur sept, pour débarrasser l’Ukraine des maliciels russes sur ses réseaux. D’autres entreprises, comme Starlink, une constellation Internet par satellite exploitée par SpaceX, sont devenues un élément essentiel de l’effort de guerre de l’Ukraine. Starlink Internet s’est révélé difficile à cibler, à pirater et à perturber. Cette capacité a renforcé les opérations et le ciblage en Ukraine.

Elle a assuré la connectivité à large bande entre les troupes et les décideurs et a permis à l’Ukraine d’innover dans la guerre des drones, grâce à un jumelage des logiciels locaux et des drones récréatifs à l’Internet par satellite. Cette dernière innovation a irrité SpaceX, qui a limité certains services au‑dessus de l’Ukraine le mois dernier, nous donnant à tous une dure leçon sur le lien émergent entre les services Internet commerciaux, la gouvernance et la guerre.

The conflict illustrates with clarity that cyberwar now stretches from the device in your hand, to the satellite providing it with connectivity, to the apps informing operations, to the drones providing real-time intelligence, to the GoFundMe campaigns that supply military kit, to the ideas and to the communities celebrating each and every Ukrainian success.

Le conflit illustre clairement que la cyberguerre va désormais de l’appareil que vous avez en main au satellite qui lui fournit une connectivité en passant par les applications qui alimentent les opérations, les drones qui fournissent du renseignement en temps réel, les campagnes GoFundMe qui permettent de financer l’acquisition de matériel militaire, les idées, et les collectivités qui célèbrent chaque succès ukrainien. Of course, take these findings with a grain of salt.

I am using imperfect, open-source information to assess the murky world of cyber statecraft in which subterfuge and deception are often the name of the game. Il faut, bien sûr, prendre ces résultats avec un grain de sel. J’utilise de l’information imparfaite et de source ouverte pour évaluer le monde trouble de la cybercriminalité, dans lequel les subterfuges et les supercheries sont souvent la règle. In response to these emerging trends, let me turn briefly to a rather quick discussion of cyber deterrence.

In theory, deterrence entails an absence of open conflict, but in practice it relies on a combination of threats, like the sting of retaliation, the hindrance of defence and denial and the reputational cost of delegitimization. Face à ces nouvelles tendances, voyons briève

Document details

Collection	Senate Committees
Citation	SECD / Evidence / 25ev-56060
Type	committee
Volume / chapter	441 / Evidence / 25ev-56060
Language	en
Format	pdf
Source	COMM_SEN
Identifier	c4f258f9375d095bcb9f91fb5049987878d1582b

Source file is stored in the law ingest library (pdf).