Public Finance — 26 April 2022 (42nd Legislature, 2nd Session)

CFP 2022-04-26

Quebec — Committees

(Neuf heures trente et une minutes)

Le Président (M. Simard) : Bonjour

à tous. Bon mardi matin. Je constate que nous avons quorum. Heureux de vous

retrouver. Nous pouvons donc amorcer nos travaux.

Et, comme vous le savez, la commission est

réunie afin de procéder à l'étude des crédits budgétaires du portefeuille

Cybersécurité et Numérique pour l'exercice financier 2022‑2023. Une

enveloppe de deux heures a été allouée pour l'étude de ces crédits.

Mme la secrétaire, bonjour.

La Secrétaire : Bonjour.

Le Président (M. Simard) : Y

a-t-il des remplacements ce matin?

La Secrétaire : Oui, M. le

Président. M. Émond (Richelieu) est remplacé par Mme Boutin

(Jean-Talon); Mme Foster (Charlevoix—Côte-de-Beaupré) est remplacée par

M. Allard (Maskinongé); et M. Barrette (La Pinière) est remplacé

par M. Kelley (Jacques-Cartier).

Le Président (M. Simard) : Vous

connaissez nos règles, elles sont claires. Nous allons procéder par blocs

d'échange d'environ 17, 18 minutes, par alternance et, au terme du temps

qui nous est dévolu, nous allons procéder au vote sur nos crédits.

Puisque nous avons légèrement dépassé le temps

de début de notre séance, j'aurais besoin d'un consentement afin de poursuivre

au-delà de l'heure requise. Il y a consentement.

Et je cède immédiatement la parole au

porte-parole de l'opposition officielle. Cher collègue, soyez le bienvenu.

M. Kelley : Merci beaucoup, M.

le Président. Je suis très content d'être ici ce matin pour discuter les

crédits, pour la première fois, au ministère de la Cybersécurité et la

Transformation numérique. Je pense que je vais juste commencer avec des

questions.

Pendant la semaine de la relâche, M. le

ministre, on a eu deux nouvelles : une concernant un lien vers un site

pornographique, de ce que je comprends, c'était peut-être une erreur humaine,

mais une autre, un lien vers... sur le site du ministère des Transports, qui a

dirigé les gens vers des médicaments de Viagra, si je comprends bien les

nouvelles que j'ai vues. Dans ces deux incidents, ici, je veux bien comprendre,

dans votre rôle comme ministre responsable, pour bien informer vos collègues et

les autres ministères sur comment bien gérer notre système, quelles étapes

est-ce que vous avez prises depuis que vous a été nommé ministre pour s'assurer

que ce type d'événements n'arrive pas, mais aussi,

dans le deuxième cas, est-ce que vous avez fait une enquête avec vos collègues

pour mieux comprendre qu'est-ce qui est arrivé?

Caire : O.K. Tout d'abord, au niveau du ministère, ce

qu'on a fait, c'est : on a créé ce qu'on appelle le Centre

gouvernemental de cyberdéfense et, dans chaque ministère et organisme, des

centres opérationnels de cyberdéfense. Donc, l'objectif, c'est de créer un

réseau qui travaille en collaboration, au lieu que chaque organisation soit

responsable de la cybersécurité de ses systèmes d'information.

Donc, cette

complicité-là, cette interaction-là permet de mettre en place après ça, grâce à

la loi n° 95, des mesures,

les 15 mesures qu'on a demandées, 15 mesures minimum qu'on a

demandées à tous les ministères et organismes, de mettre en place pour

assurer la protection de leurs systèmes d'information. Dans le cas que vous

soulevez, M. le député de Jacques-Cartier, bien, c'est des erreurs humaines.

Donc, oui, on a fait des vérifications, on n'a pas fait d'enquête, on n'a pas

eu besoin de faire une enquête, c'est des vérifications, et des gens qui ont

les autorisations pour mettre en ligne ces sites-là, ces liens-là de

redirection, malheureusement ont commis une erreur, et, d'après moi, ils sont

en train de le payer très cher, M. le député. Donc, malheureusement, il n'y a

rien qu'on peut faire pour contrer l'erreur humaine, mais, en termes de

protection, ce qu'on a fait, c'est vraiment mettre en place un réseau qui

travaille en collaboration pour s'assurer de la protection de nos systèmes

d'information.

Kelley : Parfait, je comprends mieux maintenant le

contexte, les deux cas-là, mais encore, si jamais comme un lien est pris par un hacker puis... c'est sûr, un

site... Parce qu'on sait, le gouvernement a plein de sites, plein de liens

vers... si c'est des communiqués de presse,

des différents documents, mais quel type de surveillance est-ce que votre

ministère, et quand même le

gouvernement, en général, est capable de faire pour faire des révisions, juste

en général, pour voir comme tester des sites qui sont moins utilisés,

pour voir est-ce qu'il y a des points de rentrée, peut-être des sites

vulnérables? Quel type de révision est-ce que... est présentement en place pour

bien s'assurer que notre information est bien protégée?

M. Caire : Bien,

essentiellement, je vous dirais, de base, là, il y a d'autres mesures qu'on met

en place, mais de base, les trois tests qu'on va faire, c'est ce qu'on appelle

des balayages. Donc, on a un outil, qui est un outil québécois, soit dit en

passant, un excellent outil, qui va nous permettre de scanner les sites qui

sont visibles depuis Internet et chercher des vulnérabilités. Ça, c'est la

première chose qu'on va faire. Compte tenu du très grand volume de sites dont

le gouvernement dispose, qui sont visibles depuis Internet, évidemment, là, il

faut travailler sur augmenter notre capacité de volume, donc faire plus de ces

tests-là. Mais, essentiellement, ça, c'est les tests de base.

Il y a aussi des tests d'introduction. Donc, on

va essayer de forcer le système pour s'introduire dans le système, trouver des

vulnérabilités, des failles pour lesquelles on... qui seraient disponibles, et

donc par lesquelles on pourrait entrer dans le système. Puis là, à partir de

là, ce qu'un hacker ferait, donc, il pourrait prendre le contrôle du système ou

injecter un code malicieux. Donc, un hyperlien, comme vous le référez, ça peut

être fait par une injection de code. Donc, c'est quelqu'un qui va mettre ce

code-là, qui fait que l'hyperlien, au lieu de se rediriger vers l'endroit où on

veut, va vous rediriger vers un site moins licite.

Et le troisième type de test qu'on va faire,

c'est des simulations d'hameçonnage auprès des employés du gouvernement. Donc,

on va envoyer des courriels volontairement malicieux pour voir comment

l'employé va réagir par rapport à ce test d'hameçonnage là. Et évidemment vous

comprendrez qu'il n'y aura pas de conséquences négatives à cliquer sur le lien faussement malicieux, mais

ça nous permet après ça de faire de la pédagogie auprès de nos employés.

Donc, essentiellement, les trois grandes mesures qu'on va prendre pour tester

nos systèmes, c'est ça.

M. Kelley : Merci beaucoup. Oui, sur

la question des gens qui écrivent le code. Présentement, il y a combien de

gens, au sein du gouvernement du Québec, qui sont capables d'écrire, préparer

le code pour le gouvernement? Et, j'imagine, il faut souvent aller à

l'extérieur pour trouver ce type expertise. Mais est-ce que c'est quelque chose

qui vous préoccupe, notre capacité d'écrire le code à l'interne, puis avec les

défis de la main-d'oeuvre qui est soulignée dans

le cartable des crédits? Je veux juste avoir votre vision puis aussi juste un

état de la situation pour faire le recrutement des gens qui sont capables de faire ce type de travail pour le

gouvernement du Québec. Et, quand même, c'est quoi, notre approche pour

embaucher des gens à l'extérieur de l'État, des firmes privées? Alors, ça,

c'est la prochaine question pour vous, M. le ministre.

M. Caire : Oui. En termes d'emploi,

là, grosso modo, on est à 23 000 employés qui travaillent en TI, pas simplement des gens capables de générer du code,

là. Vous comprendrez qu'il y a toutes sortes de métiers en technologies

de l'information. On est à 23 000, globalement, au gouvernement du Québec.

On est à quoi, 4 000...

Caire : On est à

combien?

Caire : Non, c'est

une joke. On est à... externes, on est à 1 833 externes. Donc, on a

un ratio d'à peu près 20-80, qui est, je vous dirais, raisonnable dans les

circonstances. Au ministère de la Cybersécurité et du Numérique, c'est un peu

différent. Notre ratio internes-externes est plus de l'ordre de 70-30 parce

que... puis, même, on est peut-être plus, même plus à 60-40, là, on est à

38 %, je pense, d'externes, parce que, deux choses, d'abord, on a des

projets avec des niveaux de difficulté technologique très élevés :

l'identité numérique, la consolidation des CTI notamment, qui sont

techniquement complexes. Au niveau de la cybersécurité aussi, on met en place,

là, des mesures de protection, des mesures de chiffrement qui ont un niveau de

complexité qui est plus élevé, qui nécessitent une expertise dont nous ne disposons pas. Mais, par contre, les ententes

que nous avons avec ces externes-là, c'est qu'il doit y avoir... oui, il y

a un service, mais il y a aussi un transfert d'expertise. Donc, il faut,

pendant la prestation de service, que l'expertise qui est générée par ça soit

transférée à nos internes. Donc, on est à peu près dans ces ratios-là, M. le

député.

M. Kelley : Et encore sur la

main-d'oeuvre. Chaque ministère a dû faire face à la compétition avec le

secteur privé. Depuis que vous avez rentré en poste comme ministre, selon vous,

c'est quoi, les défis devant nous présentement pour recruter plus de talents?

Je comprends l'aspect de faire le transfert de certaines expertises avec les

entreprises privées. Mais juste, selon vous, quand la fonction publique lance

un appel d'offres pour trouver les gens qui sont capables de travailler dans

l'informatique, est-ce que c'est une question de salaire? Est-ce que c'est une

question, vraiment, il y a juste, dans ce monde, présentement, une grosse et

forte demande pour ce type de talent? Alors, je veux juste vous entendre sur

M. Caire : Bien,

en fait, la façon dont on procède, dans un premier temps, on souhaite

reconvertir ou requalifier des

employés qui sont en technologie de l'information déjà, mais qui travaillent

sur des technologies qui sont soit désuètes soit en voie de l'être, O.K.? C'est pour ça qu'on a mis en place l'Académie de

transformation numérique, pour permettre à ces employés-là de se

requalifier dans des technologies plus porteuses. C'est déjà des gens qui sont

au sein de la fonction publique, donc on sait qu'ils souhaitent embrasser une

carrière dans la fonction publique. Donc, la capacité de rétention avec ces

gens-là, elle est déjà démontrée. Ça, c'est un premier élément.

Un deuxième élément, on fait beaucoup

d'opérations de visibilité, des vitrines inversées pour montrer quels sont les

projets du gouvernement, parce qu'on a des projets qui sont attractifs par

eux-mêmes, à savoir, là, l'identité numérique. C'est un

défi technologique très important. J'ai derrière moi, là, des personnes qu'on a

recrutées du secteur privé parce que les

défis qu'on leur proposait étaient à la hauteur de leurs aspirations. Je vous

présente notre sous-ministre adjoint à la Transformation numérique,

sous-ministre adjoint à la sécurité de l'information, à la Cybersécurité, qui

ont vu dans ce que... puis ceci sans égard à ceux qui étaient déjà là, puis qui

sont des soldats de la première heure, puis qui sont d'une compétence

extraordinaire, puis mon Dieu que je vous aime. Donc... Mais c'est pour dire

que les projets qu'on met de l'avant sont attractifs, ont une valeur

d'attractivité, le ministère de la Cybersécurité et du Numérique aussi, parce

que ces talents-là ne sont plus dilués dans des ministères dont la vocation est

autre, donc ils se retrouvent vraiment au sein d'un ministère où cette

expertise-là est valorisée.

Troisième élément, vous l'avez soulevé, M. le

député, la question salariale, évidemment. Le gouvernement du Québec, on joue,

là, grosso modo, à peu près à 25 % en bas de ce qui se fait sur le marché

de nos grands compétiteurs, qui sont les sociétés d'État, qui sont les grandes

villes du Québec et qui sont les entreprises privées. Ceci étant dit, je ne

pense pas

Document details

Collection	Quebec — Committees
Citation	CFP 2022-04-26
Type	committee
Volume / chapter	fr travaux parlementaires commissions cfp 42 2 journal debats CFP 220426.html
Language	en
Format	html
Source	PROVINCIAL
Identifier	9258e531d7a1a91de8420b246e255d0f0da7f529

Source file is stored in the law ingest library (html).