Conseils à l’intention des institutions fédérales sur l’utilisation des dispositifs de stockage portatifs

Les dispositifs de stockage portatifs sont offerts dans une variété de modèles, de tailles et de styles. En général, l’expression « dispositif de stockage portatif » désigne tout dispositif électronique pouvant être utilisé pour stocker de l’information et pouvant être transporté facilement, tel que les périphériques qui se branchent dans un port USB (p. ex. clés USB et disques durs externes), les tablettes, les ordinateurs portatifs, les téléphones intelligents, les CD et les DVD. Étant donné que ces dispositifs sont souvent relativement petits et faciles à transporter, et qu’ils peuvent être dotés d’une énorme capacité de stockage, ils doivent être manipulés avec prudence, surtout s’ils servent à stocker des renseignements personnels.

Que doivent savoir les institutions fédérales au sujet de l’utilisation de dispositifs de stockage portatifs pour stocker des renseignements personnels?

En vertu de la Loi sur la protection des renseignements personnels, les institutions du gouvernement fédéral doivent respecter le droit des individus à la vie privée en gérant adéquatement la collecte, l’utilisation, la communication, la conservation et la suppression des renseignements personnels. Afin de se conformer à cette exigence, les institutions doivent prendre des mesures de sécurité appropriées pour protéger les renseignements personnels qu’elles recueillent contre la consultation, l’utilisation et la communication non autorisées.

Le Secrétariat du Conseil du Trésor (SCT) a établi un certain nombre de politiques et de directives qui décrivent les exigences que doit respecter le gouvernement du Canada, tant sur le plan de la sécurité que de la protection de ses fonds de renseignements personnels.

L’information et les conseils qui suivent ont été élaborés pour servir de complément aux documents du SCT et pour présenter aux organisations qui utilisent des dispositifs de stockage portatifs quelques suggestions utiles pour réduire les risques de consultation, d’utilisation et de communication non autorisées de renseignements personnels.

Comment les institutions fédérales peuvent-elles s’assurer que les renseignements personnels stockés sur des dispositifs de stockage portatifs sont protégés?

Le Commissariat à la protection de la vie privée du Canada a défini quatre types de mesures de contrôle pouvant offrir une protection contre les atteintes à la sécurité des renseignements personnels :

• mesures de contrôle physiques;
• mesures de contrôle technologiques;
• mesures de contrôle administratives;
• mesures de contrôle liées à l’application des mesures de sécurité par le personnel.

Ces mesures de contrôle s’appuient sur la Directive sur les pratiques relatives à la protection de la vie privée et sur la Politique sur la sécurité du gouvernement du SCT. Puisque les dispositifs de stockage portatifs sont généralement très faciles à retirer, à déplacer ou à égarer, nous recommandons aux institutions de s’assurer d’appliquer rigoureusement les quatre types de mesures de contrôle à la manipulation de ces périphériques lorsque ceux-ci contiennent des renseignements personnels. Nous encourageons également les institutions à consulter le site Web du SCT pour obtenir les dernières versions des politiques et des directives.

Mesures de contrôle physiques

Des mesures de contrôle physiques doivent être prises en tout temps pour protéger les dispositifs de stockage portatifs qui contiennent des renseignements personnels ou de nature délicate. Les institutions doivent, à tout le moins, veiller au respect des points suivants :

• les dispositifs en cours d’utilisation ne sont pas laissés sans surveillance;
• les dispositifs non utilisés sont toujours protégés par des mesures de contrôle de la sécurité physique rigoureuses, comme le rangement dans des classeurs verrouillés et des aires de stockage à accès restreint;
• des précautions particulières sont prises lors de l’élimination ou de la destruction des dispositifs ayant atteint la fin de leur cycle de vie pour s’assurer que les données qui y étaient stockées ne sont plus accessibles.

Norme importante du SCT : Norme opérationnelle sur la sécurité matérielle

Mesures de contrôle technologiques

Des outils technologiques devraient être utilisés pour protéger les renseignements de nature délicate conservés sur des dispositifs de stockage portatifs contre toute consultation, communication, reproduction, utilisation ou modification non autorisée. Les institutions doivent, à tout le moins, veiller au respect des points suivants :

• Tous les renseignements personnels ou de nature délicate stockés sur des dispositifs portatifs sont protégés en étant cryptés au niveau approprié;
• Des renseignements personnels sont stockés seulement sur des dispositifs fournis par l’institution et qui respectent les normes minimales de sécurité établies par cette dernière.

Norme importante du SCT : Norme opérationnelle de sécurité : Gestion de la sécurité des technologies de l’information (GSTI)

Mesures de contrôle administratives

Les institutions doivent établir des mesures de protection procédurales qui donnent un aperçu de la façon dont sont gérés les renseignements personnels conservés sur des dispositifs de stockage portatifs tout au long de leur cycle de vie. Les institutions doivent, à tout le moins, veiller au respect des points suivants :

• les politiques et les procédures liées à la protection des renseignements personnels conservés sur des dispositifs de stockage portatifs sont suivies dans le cadre des activités courantes;
• des pratiques de gestion du matériel sont appliquées pour répertorier et surveiller tout dispositif susceptible d’être utilisé pour stocker ou transmettre des renseignements personnels de nature délicate;
• les renseignements personnels et les dispositifs contenant des renseignements personnels sont recensés et portent la mention correspondant au niveau de sécurité approprié le plus élevé.

Directives importantes du SCT : Directive sur les pratiques relatives à la protection de la vie privée et Directive sur l’évaluation des facteurs relatifs à la vie privée

Mesures de contrôle liées à l’application des mesures de sécurité par le personnel

Les politiques ne sont efficaces que si les gens les mettent en pratique. Il est donc essentiel que les employés soient sensibilisés à la protection des renseignements personnels et à la sécurité, et qu’ils y contribuent activement. Les institutions doivent, à tout le moins, s’assurer que les employés :

• comprennent leurs rôles et leurs responsabilités à l’égard de la gestion des renseignements personnels tout au long du cycle de vie de ces derniers;
• comprennent leurs responsabilités à l’égard de la sécurité physique des renseignements personnels et des biens contenant des renseignements personnels;
• reconnaissent les risques inhérents au stockage de renseignements personnels sur des dispositifs portatifs.

Lignes directrices importantes du SCT : Directive sur les pratiques relatives à la protection de la vie privée, Annexe B : Procédures obligatoires pour les atteintes à la vie privée et Lignes directrices concernant la discipline

Soyez prêts!

Même les meilleures politiques et pratiques ne peuvent éliminer complètement les risques. Des erreurs se produiront inévitablement. Assurez-vous que les employés de tous les niveaux savent quoi faire en cas de problème. Les atteintes à la vie privée doivent être traitées sans tarder conformément aux Lignes directrices sur les atteintes à la vie privée. En outre, le Commissariat à la protection de la vie privée du Canada a publié des Conseils pour limiter et réduire le risque d’atteinte à la vie privée afin d’aider les institutions à tenir compte des facteurs pertinents pour traiter un éventuel cas d’atteinte à la vie privée.

Mars 2014