Institutions — 23 April 2013 (40th Legislature, 1st Session)

CI 2013-04-23

Quebec — Committees

(Dix heures trois minutes)

Président (M. Reid) : À l'ordre,

s'il vous plaît! Ayant constaté le quorum, je déclare la séance de la

Commission des institutions ouverte. Je demande à toutes les personnes dans la

salle de bien vouloir éteindre la sonnerie de leurs téléphones cellulaires et

je vais commencer par la mienne.

La commission

est réunie afin de terminer la consultation générale et les auditions publiques

sur le rapport de la Commission d'accès à l'information Technologies

et vie privée à l'heure des choix de société .

Mme la secrétaire, y a-t-il des remplacements?

Secrétaire : Oui, M. le

Président. Mme De Santis (Bourassa-Sauvé) remplace M. Poëti

(Marguerite-Bourgeoys) et M. Dubé (Lévis) remplace M. Duchesneau

(Saint-Jérôme).

Président (M. Reid) : Merci.

Alors, nous recevons ce matin MM. Samson et Niang. Et, messieurs, je

vous demanderais tout d'abord de vous

présenter, et ensuite vous avez la parole pour une période de 10 minutes, après

laquelle nous aurons une période de questions.

M. Samson

(Martin M.) : Oui, Martin

Samson, je suis directeur exécutif associé chez Nurun en technologie et

sécurité de l'information.

M. Niang

(Elhadji M.) : Bonjour. Mon

nom est Elhadji Niang, je travaille dans la même compagnie que M. Samson

à

titre de conseiller en sécurité et technologie.

M. Samson (Martin M.) : Avant de

débuter, si vous permettez, mon collègue aurait un petit mot personnel à adresser.

M. Niang (Elhadji M.) : Exactement,

c'était juste pour saluer ma mère, qui, certainement, par la magie de cette technologie qui nous préoccupe aujourd'hui,

va regarder cette intervention. C'était pour lui dire : Bonjour,

maman, et de lui dire l'honneur et le plaisir que j'ai aujourd'hui d'être

devant des représentants du peuple québécois.

M. Drainville : Nous nous joignons à

vous pour saluer votre maman également.

M. Samson

(Martin M.) : Merci. Alors,

si vous permettez, je vais débuter ma courte présentation qui est un

résumé du document qu'on a déposé.

Les technologies de l'information sont devenues

un tremplin privilégié pour les pouvoirs publics. On a vu évoluer rapidement

les technologies, ça a permis de faire plein de choses, entre autres d'améliorer

la participation citoyenne et la relation

Administration-administrés avec la prestation électronique de services, le

gouvernement ouvert, et ça va

tellement à une grande vitesse, c'est incroyable. L'utilisation toujours plus

grande des technologies de l'information comporte aussi de réels enjeux

en ce qui concerne la vie privée des citoyens, c'est ce qui nous a portés à

venir discuter de ça devant vous.

Ce qu'on

voit, c'est un accroissement exponentiel des possibilités de collecte de

renseignements personnels. Avant, quand on était sur Internet, on

pouvait naviguer assez facilement, on était relativement anonymes. Aujourd'hui,

à chaque fois qu'on va sur un site, on nous

demande, en cliquant ici, qu'on a bien lu le texte de 14 pages de long,

qu'on est d'accord avec l'utilisation qu'on va faire des renseignements

personnels qu'on va y déverser. Les technologies de téléphonie sans fil sont capables de dire maintenant, à quelques mètres

près, où vous êtes, où vous étiez dans la journée. J'ai une telle

application dans mon téléphone qui permet de voir exactement le trajet de ma

journée au complet en comptant le nombre de pas puis si j'ai fais du jogging.

Alors, il y a eu un accroissement qui est tellement rapide, puis ça va

continuer comme ça.

Il y a aussi

la problématique de la juridiction applicable dans le contexte d'infonuagique,

communément appelé le cloud computing. Aujourd'hui, les données peuvent

être déversées dans des endroits qu'on ne connaît pas. Si on fait affaire avec

des compagnies de cloud, ils peuvent entreposer nos données un petit peu

partout, ça fait que le côté légal lié à ça

est très important. Entre autres, une fois que les contrats vont être terminés

avec ces compagnies-là, il faut s'assurer que les données personnelles

vont être bel et bien détruites.

La question suivante, c'est

le contrôle des couplages technologiques. On a des caméras de surveillance un petit peu partout. Les technologies nous ont

permis maintenant de faire de la reconnaissance faciale, entre autres. Il y

a des puces qui peuvent être insérées dans les billets d'avion, ce qui permet

de savoir que M. Untel, qui est dû pour le vol

123, est à tel endroit dans l'aéroport. Puis, on parle de reconnaissance faciale,

la petite tablette que j'ai dans les mains permet de faire de la reconnaissance faciale pour la débarrer. C'est

rendu à ce point-là. Avant, on avait besoin de«supercomputers» pour être en mesure de faire ce type de chose là.

Aujourd'hui, c'est de la technologie qui est disponible à M. et Mme

Tout-le-monde.

L'avènement de la nanotechnologie, qui est

invisible, élaborée, indétectable, on ne sait pas qu'est-ce qui va se passer

avec ça. Je pense que c'est important, au niveau légal, que ça soit encadré.

Donc, ça nous

amène à la nécessité de prendre appui sur les bonnes pratiques en sécurité de l'information.

On parle de mise en oeuvre d'un référentiel de bonnes pratiques en sécurité

pour que les gens qui ont à travailler avec les renseignements personnels

soient en mesure de comprendre, un, qu'est-ce qu'ils ont à protéger, mais aussi

quels moyens ils peuvent utiliser pour le faire.

Donc, ce qu'on suggère, c'est de concevoir des

processus qui permettent de s'assurer, dès la conception, de l'équilibre entre les exigences de respect de la

vie privée puis les finalités du système. Je vous fais une image, c'est

un petit peu comme quand on commence à avoir une idée. Il faut vraiment être en

mesure de déterminer, à l'intérieur du système

informatique qu'on va monter, de l'idée qu'on va faire, qu'est ce qu'il y a

comme renseignements personnels qui va naviguer à travers ça?

On a vu trop souvent — puis

j'ai travaillé dans le domaine des TI depuis plusieurs dizaines d'années — des systèmes qui sont sur le point d'être mis en

service et qu'il n'y a pas eu de questionnements qui ont été faits sur les

aspects de sécurité de l'information et de

protection des renseignements personnels, et on réalise qu'il y a des données,

comme des numéros d'assurance sociale, des identités

quasi complètes, qui vont circuler en clair ou librement sur les

réseaux, sur Internet, ou des choses comme ça. C'est très important, au niveau

légal, qu'on soit en mesure de s'assurer que, dès qu'il y a un début d'un projet, qu'on soit en mesure de catégoriser l'information,

puis de prendre cette information-là, puis de suivre le cycle de vie

complet de l'information pour s'assurer qu'on la protège pendant tout son cycle

de vie.

L'autre point

qu'on apporte, c'est de réaliser, suivant une périodicité définie, des analyses

de vulnérabilité des systèmes

contenant les renseignements personnels afin de s'assurer de leur niveau de

sécurité. Ce n'est pas tout de les bâtir, ces systèmes-là, ce n'est pas

tout de dire : Tel item, il faut le sécuriser. Il faut aussi s'assurer,

pendant qu'ils sont entreposés, pendant qu'ils sont en transit, pendant qu'ils

sont utilisés, que nos données sont toujours sécuritaires. Donc, pour faire ça, il faut s'assurer, via le

biais de tests de vulnérabilité, qu'on est en mesure de prouver que nos

données sont toujours sécuritaires.

Gérer les accès utilisateurs en fonction de la

sensibilité des renseignements personnels contenus dans le système. Là, je vous conte une petite anecdote. On

est dans un ministère, un organisme, une compagnie privée, peu importe.

La personne A travaille dans le département des finances. Il a une promotion,

il s'en va travailler au département des ressources

humaines. Ça fait longtemps qu'il est dans l'entreprise, il s'en va dans une vice-présidence.

Je suis presque assuré que, si je

fais un audit des accès qu'il a, il a encore les accès de tous les endroits où

il a passé dans l'entreprise, donc accès

à des renseignements personnels. C'est important de gérer les accès des

utilisateurs puis de s'assurer, lorsque les gens quittent, surtout à l'intérieur d'une entreprise, que les accès

dont il n'a pas besoin pour son travail sont révoqués.

Favoriser la mise en oeuvre de solutions de

lutte — technologie

et humaine — contre

la fuite d'information pour les systèmes sensibles. Il n'y a pas juste des

solutions technologiques à apporter, il y a le côté humain, le côté

sensibilisation aussi qui est important pour que la personne soit en mesure de

comprendre l'importance des renseignements

avec lesquels elle travaille. C'est un petit peu… Une image que j'utilise, là,

c'est comme la personne qui est au

casino, là, puis qui compte les billets, là, à la fin de la journée. Il lui

passe des millions et des millions dans les mains. Mais, pour elle, c'est

juste du papier qu'elle est en train de compter puis de mettre dans des

machines.

Souvent, quand on utilise des renseignements

personnels, c'est un petit peu ça. Je travaille aux ressources humaines, j'ai

accès au dossier complet d'une personne, son numéro d'assurance sociale, son

nom, son adresse, son téléphone. Je peux prendre cette information-là, puis la

revendre facilement, puis faire un petit peu d'argent avec ça. Mais, pour les gens, c'est quelque chose qui est

standard. Ils travaillent avec ça, les numéros d'assurance sociale, à

tous les jours. Dans certains systèmes, on a besoin de savoir qu'il y a un

numéro d'assurance sociale, par exemple pour créer

le dossier, mais on n'est peut-être pas obligé de l'afficher à tous les jours à

tout le monde, à moins que la personne en ait vraiment besoin. Tout ce

qu'elle a besoin de savoir, c'est : Est-ce qu'il y a un numéro d'assurance

sociale valide qui est dans ce dossier-là

puis qui permet de le faire cheminer? Donc, il y a des méthodes qui sont

simples pour permettre de continuer à travailler avec l'information,

mais de s'assurer de sa sécurité.

Promouvoir la

formalisation de processus de gestion des incidents. La gestion des incidents,

c'est très important. Souvent, on banalise un incident de

sécurité : Ah, ce n'est pas grave, c'est arrivé; oui, Charles a réglé ça.

Mais il faut vraiment que ça soit formalisé puis qu'on soit en mesure de

suivre, quand il y a des incidents qui mettent en jeu des renseignements

personnels, qu'est-ce qui s'est passé, comment ça a été réglé et comment on va

faire pour éviter que ça se reproduise de nouveau.

Implanter une

véritable stratégie de défense en profondeur pour la sécurité des systèmes

contenant des renseignements personnels. Puis là je vous ai fait un beau

dessin, c'est un vieux château fort. Mais, si vous remarquez, le château fort,

il a plusieurs étages, il a plusieurs parties. On parle de lignes de défense. J'aime

ça utiliser aussi le principe de l'oignon.

On a notre donnée qui est au milieu de notre oignon puis on a des pelures qui

sont autour pour la protéger. Donc, la première ligne de défense qu'on

préconise, c'est l'analyse des risques. Il faut… Oui?

Président (M. Reid) : Il vous reste deux minutes. C'est très

intéressant, mais...

M. Samson (Martin

M.) : Deux minutes, oui. Je vais arriver dans deux minutes.

Le Président (M.

Reid) : C'est beau.

M. Samson (Martin

M.) : Donc, on parle d'analyse des risques, analyse des impacts,

mesures de mitigation, être en mesure de savoir à quoi on s'attend, catégoriser

les actifs pour en connaître leur importance. La deuxième ligne de défense : les politiques de gestion,

l'autoévaluation des contrôles, les tests de sécurité. Et la troisième :

les contrôles internes, ne pas arrêter, encore une fois, une fois que

les systèmes sont en place, de les contrôler.

Donc,

les règles de droit ne peuvent pas à elles seules régir la protection de la vie

privée des citoyens face à des technologies

de plus en plus complexes et mieux élaborées. Ce qu'on dit, c'est qu'il ne faut

pas qu'on base la lo

Document details

Collection	Quebec — Committees
Citation	CI 2013-04-23
Type	committee
Volume / chapter	fr travaux parlementaires commissions ci 40 1 journal debats CI 130423.html
Language	en
Format	html
Source	PROVINCIAL
Identifier	085ae6206fea4c5be98d40eada26338967505603

Source file is stored in the law ingest library (html).