Public Finance — 24 November 2021 (42nd Legislature, 2nd Session)

CFP 2021-11-24

Quebec — Committees

Le Président (M.

Simard) : Alors, soyez les bienvenus, et vous disposez de

10 minutes.

M. Lemay-Leclerc

(José) : Parfait, merci beaucoup. Donc, en premier, nous avons une problématique

qu'on a remarquée. En fait, c'est en partenariat avec notre partenaire... J'ai

consulté Jean-Philippe Racine, qui est président de la firme Groupe Cyberswat. Ce qu'on remarque, c'est que, là, en

jumelant la cybersécurité et le numérique, il n'y aura pas d'indépendance réelle entre les deux. Donc, ce

qu'il nous explique, là, il nous explique d'avoir une préoccupation à ce

sujet et souhaite que les impératifs de livraison du volet numérique n'aient

pas le dessus sur le volet cybersécurité.

À

titre d'exemple, ce

qu'ils font pour les entreprises, c'est qu'ils recommandent toujours de ne pas

mettre le service de cybersécurité sous la direction des technologies de

l'information car il y aurait un conflit d'intérêts dans la gestion de

l'infrastructure TI et la gestion de cybersécurité. Comme il nous dit, là, il

est donc primordial que le gouvernement assure une distinction claire entre la

TI et la cybersécurité. Qui plus est, il faudrait assurer une séparation

étanche entre les deux pour éviter que les intérêts des deux volets

s'entremêlent.

Donc, si je passe à

une deuxième problématique qu'on a remarquée, en ce qui concerne les réseaux

domestiques à des fins commerciales ou d'affaires... En fait, bien, nous, chez

Télétravail Québec, on suit de très près les télétravailleurs et on a vu très

bien, là, que les travailleurs, en travaillant de la maison, bien, ils

utilisent leur réseau domestique à des fins d'affaires ou commerciales.

Donc, on croit qu'il y aurait vraiment place à

arriver avec des règles ou des bonnes façons de faire pour limiter le piratage

et les vols de données. Ça permettrait vraiment, là, de s'aventurer, je pense, là-dedans

et de faire progresser la chose. On croit, dans le fond,

que le gouvernement doit clarifier ses intentions en ce qui concerne le

télétravail et surtout comment le tout sera opérationnalisé. Il faut s'assurer

que l'utilisation des réseaux domestiques par les fonctionnaires aussi ne

viendrait pas créer une brèche en matière de cybersécurité.

Donc, si on passe maintenant à la

problématique... à la troisième problématique, c'est en lien avec les réseaux

wifi publics, les réseaux publics qu'on utilise dans les commerces ou tout

lieu. En fait, ces réseaux, bien, comme ça le dit, c'est des réseaux

informatiques. Donc, on branche nos appareils sur ces réseaux-là, et il n'y a

pas vraiment de standard de sécurité en place jusqu'à maintenant. Et je pense

que ce ministère-là pourrait très bien répondre à ça, arriver avec, peut-être,

des normes, des guides afin que les commerces puissent avoir des réseaux qui

sont fiables et qu'on ne soit pas victimes, là, de piratage, là, à travers ces

réseaux.

Si on passe à la quatrième problématique, c'est

concernant les appareils informatiques vendus avec des configurations minimales

ou absentes de sécurité. En fait, quand on achète un appareil informatique, si

on achète un routeur ou une imprimante, souvent, presque toujours, les

configurations d'origine sont presque absentes. Pour se connecter à l'appareil,

il n'y a aucun mot de passe qui est requis ou bien c'est un mot de passe qui

est très connu, comme «admin» ou «1234».

Donc, ce qui a déjà été fait, en Californie, il

y a déjà une loi, qui a été passée en 2020, qui interdit la vente d'appareils

non configurés préalablement. Ça, c'est sûr que ça a un grand impact. C'est

très connu, là, dans plusieurs statistiques, qu'énormément de piratages sont

causés par ces configurations-là qui n'ont soit pas été corrigées dès l'achat,

ou soit que les paramètres ont été réinitialisés, et que, là, lors de

réinitialisation, le mot de passe par défaut a été appliqué, et là le pirate a

pu entrer très facilement. Donc, d'arriver avec une loi comme ça, ça réglerait

beaucoup de problèmes, c'est certain.

Puis, si je peux continuer, là, dans un même

ordre d'idées, le gouvernement doit statuer si la gestion des appels d'offres

en TI demeure comme elle l'est actuellement, soit à la discrétion des

ministères et organismes, ou si celle-ci est

rapatriée au sein du futur ministère de la Cybersécurité et du Numérique ou

même au Centre d'acquisitions gouvernementales.

Dans tous les cas, il faudrait s'assurer d'engager le personnel compétent et

s'assurer que les appels d'offres en TI respectent le plus haut standard

de qualité et de sécurité.

Maintenant, nos recommandations. En résumé, la

première est que les parlementaires reconnaissent le conflit d'intérêts et annoncent de quelle façon ils

s'assurent que le volet numérique n'aura pas le dessus sur le volet

cybersécurité; deuxième, que le

gouvernement clarifie ses intentions en ce qui concerne l'implantation du

télétravail dans la fonction publique

et que les mesures soient mises en place pour ne pas délaisser la cybersécurité;

en troisième, que le gouvernement mette en place une politique claire en

ce qui concerne l'utilisation de réseaux publics par les fonctionnaires; en

quatrième, que le gouvernement mette en place des balises claires avec des

mesures coercitives adéquates dans le cadre des appels d'offres en TI et

cybersécurité en mettant l'emphase sur la notion d'imputabilité; et, en

cinquième, que le gouvernement clarifie

l'instance qui sera responsable de piloter les appels d'offres en TI et

cybersécurité afin de savoir si ceux-ci sont rapatriés au sein du futur

ministère de la Cybersécurité et du Numérique ou au Centre d'acquisitions

gouvernementales.

Donc, je vous remercie beaucoup puis je suis

disponible pour vos questions.

Le Président (M. Simard) : Merci. M.

Caza, souhaitiez-vous, à ce stade-ci, intervenir?

M. Caza (Charles) : Non, pas à ce

stade-ci. Merci.

Le Président (M. Simard) : Très

bien. Je cède maintenant la parole à M. le ministre.

Caire :

Oui, bonjour. En fait, je vais avoir quelques questions pour vous, M.

Lemay-Leclerc. La première, j'ai trouvé le terme fort puis j'aimerais ça

vous entendre là-dessus, parce que vous parlez de conflit d'intérêts entre la

cybersécurité et le numérique, alors que, partout ailleurs, je vous dirais, on

voit ces deux éléments-là comme étant indissociables. On parle même de

«security by design». Dès la conception, on doit avoir... Donc, d'un côté, on a

ceux qui disent : Non seulement ce n'est pas un conflit d'intérêts, mais

ça doit collaborer à toutes les étapes de la conception, de la réalisation, du

déploiement et de l'exploitation, et vous, vous parlez, là, de conflit

d'intérêts. J'aimerais ça vous entendre là-dessus, parce qu'honnêtement c'est

la première fois que je l'entends, celle-là.

M. Lemay-Leclerc (José) : Bien, en

fait, le terme est un petit peu... Peut-être que ce n'est pas le meilleur

terme, mais, en fait, c'est surtout que la cybersécurité, en fait, surveille le

numérique. Donc, il ne faut pas que ce soit nécessairement les mêmes gens. Il

faut que ces gens-là n'aient rien qui les empêche de facilement surveiller, là.

Donc, c'est simplement une recommandation qu'on veut s'assurer qu'il n'y a pas

de mécanisme qui pourrait protéger ou qui pourrait permettre... Tu sais, je

pense qu'on... Dans le fond, il faudrait vraiment que la cybersécurité soit

quand même indépendante, même si elle est sous le même ministère.

Caire : Mais est-ce

que vous adhérez au principe de sécurité à la conception?

M. Lemay-Leclerc (José) : Oui, oui.

Caire : Donc,

est-ce qu'on peut dire que les experts de sécurité doivent être impliqués à la

conception, à la réalisation, à la mise en production, à l'exploitation?

M. Lemay-Leclerc (José) : Ah oui! Oui, bien sûr, à ce niveau-là, c'est très

important d'utiliser ces ressources-là, ces expertises-là. C'est

vraiment après, pour ce qui est de la surveillance, là...

Caire :

Si je résume votre pensée, M. Lemay-Leclerc, ce que vous dites, c'est qu'au nom

de la réalisation d'applications numériques il ne faut pas faire de compromis

sur la sécurité?

M. Lemay-Leclerc

(José) : Oui, un peu, oui.

Caire : O.K., mais vous ne voyez pas d'objection, au

contraire, à ce que ces deux spécialités-là travaillent de concert, là?

M. Lemay-Leclerc

(José) : Ah non! Puis c'est même... On l'encourage, là, qu'elles

travaillent ensemble.

Caire :

O.K. Donc, de les réunir au sein d'un même ministère, ça devient une nécessité,

dans les faits?

M. Lemay-Leclerc (José) : Oui, tant, quand même, qu'ils peuvent avoir quand

même un droit de surveillance, là, sur leurs collègues.

Caire :

Oui, c'est ça, j'entends ce que vous dites. Dans le fond, c'est... le

spécialiste de la cybersécurité devrait toujours avoir le dernier mot.

M. Lemay-Leclerc

(José) : Oui, exactement.

Caire : O.K., je comprends bien. Bon, sur l'implantation du

télétravail, je vous dirais que, sur le normatif, je vais vous dire ce

que j'ai répété à différents groupes, évidemment, ça relève de la prérogative

du Conseil du trésor d'établir les règles,

de discuter de ça avec nos partenaires syndicaux et d'émettre des directives

qui vont aller dans le sens de ces consensus-là.

contre, là où vous attirez mon attention, c'est quand vous parlez de la

sécurité des réseaux. Bon, évidemment, le gouvernement du Québec ne peut pas

obliger un individu à utiliser tel, ou tel, ou tel service, mais, quand

vous parlez de sécuriser le... À

part le réseau... Évidemment, celui du

gouvernement, sur lequel on a la mainmise puis, bon, on peut établir les

normes, on peut mettre en place tous les applicatifs qu'on veut pour s'assurer

de la sécurité des systèmes et des informations, mais, les réseaux domestiques,

vous voyez quoi, vous, comme intervention gouvernementale qui va, oui, aller

dans le sens de sécuriser le réseau, mais qui va quand même respecter la vie

privée des individus? Parce que, là, il y a une notion de vie privée là-dedans.

Le gouvernement ne peut pas prendre le contrôle des réseaux utilisés par les

individus chez eux.

M. Lemay-Leclerc

(José) : Même là, il faudrait faire une grande réflexion là-dessus,

peut-être. On pourrait impliquer, je pense, les fournisseurs Internet, les

grands fournisseurs, là, qui vont inclure un routeur qui est surveillé par le

fournisseur. Ça, c'est déjà un standard un peu mieux que de laisser la liberté

au travailleur d'aller chercher son routeur au Bureau en Gros ou un autre

commerce, et là, par la suite, il doit lui-même s'occuper de la sécurité de son

routeur. S'il peut y avoir des bonnes pratiques de partagées, ça peut être très

bien, là. Donc, oui, c'est là-dessus un peu qu'on y va, là.

Caire :

M. Caza, voulez-vous intervenir, là?

M. Caza

(Charles) : Pardon?

Caire : Vouliez-vous intervenir? Parce que je voyais qu'il y

avait une discussion. Vouliez-vous intervenir, M. Caza?

M. Caza

(Charles) : Non, non, c'est parce qu'on m'a demandé d'enlever la

bouteille Naya.

Caire :

O.K., mais parce que le ministère de la Cybersécurité et du Numérique... Tel

que rédigé dans la loi, il y a un mandat de cybersécurité qui est donné à ce

ministère-là, si l'Assemblée nationale adopte le projet de loi, qui dépasse les

frontières de l'État. Donc, vous amenez quelque chose qui est intéressant au

niveau des fournisseurs de services. Évidemment, ce ministère-là va pouvoir

édicter des normes pour ses propres réseaux. Il va pouvoir suivre des standards

pour ses propres réseaux, évidemment, parce qu'au niveau de l'État il ne

devrait pas y avoir de compromis sur la cybersécurité et la cyberdéfense.

Maintenant, si je

suis votre logique, ces standards-là pourraient s'appliquer aux fournisseurs de

services au Québec. Maintenant, est-ce que vous ne craignez pas que ça pourrait

avoir un impact sur le prix, donc la disponibilité du réseau, sur la

disponibilité des services? Parce qu'on l'a vu dans d'autres dossiers, quand on

amène des normes, des standards qui sont

plus

Document details

Collection	Quebec — Committees
Citation	CFP 2021-11-24
Type	committee
Volume / chapter	en travaux parlementaires commissions cfp 42 2 journal debats CFP 211124.html
Language	en
Format	html
Source	PROVINCIAL
Identifier	beb4cdab3a6fba41354336a515e662ef63a9dc2a

Source file is stored in the law ingest library (html).