Annexe C : Lignes directrices sur la protection des renseignements et des biens

A. Sécurité du bureau d’archivage

Pour les renseignements et les biens protégés et classifiés, les registres, ou des parties de ceux-ci, les procédures ci-dessous doivent être appliquées :

• les gérer selon la catégorie de sécurité la plus élevée des renseignements conservés
• s’assurer que les employés qui s’occupent des documents possèdent la cote ou l’autorisation de sécurité appropriée
• classer et faire circuler les renseignements dans des chemises qui indiquent le contenu et portent la mention correspondant à la catégorie de sécurité la plus élevée des renseignements qui s’y trouvent
• gérer les zones où le courrier est ouvert comme des zones de sécurité ou des zones de haute sécurité
• limiter la distribution des dossiers aux employés possédant la cote ou l’autorisation de sécurité appropriée et ayant besoin de savoir
• identifier le personnel ayant un accès autorisé sur une liste d’accès approuvée par le gestionnaire responsable (comme le chef de projet)
• livrer le courrier portant la mention « ne peut être ouvert que par le destinataire » directement au destinataire prévu
• veiller à ce que le courrier classifié ne soit ouvert que par le responsable désigné pour l’enregistrement de ce courrier dans l’installation
• protéger les renseignements classifiés d’origine étrangère de la même manière que les renseignements canadiens de classification équivalente et les conserver dans un contenant distinct. Veuillez s’adresser au personnel du PSC de SPAC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour des conseils et une assistance complémentaires
• mettre en œuvre des mesures de précaution spéciales pour empêcher la divulgation ou l’accès non autorisé à des ressortissants non canadiens. Les renseignements classifiés d’origine étrangère et les renseignements portant des mentions restrictives comme « réservés aux Canadiens » ne peuvent être communiqués aux personnes n’ayant pas l’approbation des responsables du PSC de SPAC
• s’adresser au personnel du PSC de SPAC par courriel au tpsgc.dgsssiprojetintl-dobissintlproject.pwgsc@tpsgc-pwgsc.gc.ca pour obtenir de l’aide sur toute autre restriction concernant les contrats, programmes ou projets internationaux et multinationaux

A. Renseignements protégés et classifiés

Les documents originaux et les copies doivent porter les mentions suivantes :

• la mention Protégé A, B ou C doit figurer dans le coin supérieur droit de la page couverture du document
• la mention Confidentiel doit figurer dans le coin supérieur droit de la page couverture du document. Numéroter chaque exemplaire, inscrire le numéro de l’exemplaire sur la couverture de chaque exemplaire et tenir une liste des destinataires
• la mention Secret doit figurer dans le coin supérieur droit de chaque page du document. Numéroter chaque exemplaire, inscrire le numéro de l’exemplaire sur la couverture de chaque exemplaire et tenir une liste des destinataires
• la mention Très secret doit figurer dans le coin supérieur droit de chaque page et le nombre total de pages doit être indiqué sur toutes les pages (par exemple, page 2 de 10). Assigner un nombre entier unique à chaque exemplaire, inscrire le numéro de l’exemplaire sur chaque page et tenir une liste de distribution
• Les renseignements classifiés d’un gouvernement étranger, de l’Union européenne (UE), de l’Agence spatiale européenne ou de l’Organisation du traité de l’Atlantique Nord (OTAN) doivent porter à la fois la mention de classification étrangère et l’annotation concernant leur traitement selon l’équivalent canadien. Pour obtenir de plus amples renseignements, on peut consulter le chapitre 9 : Sécurité internationale de ce manuel et s’adresser au personnel responsable du PSC de SPAC par courriel au dgsssiprojetintl-dobissintlproject@tpsgc-pwgsc.gc.ca

B. Microformulaires

Microformulaire est un terme générique désignant tout support de stockage qui contient des micro-images. Les organisations doivent appliquer les procédures suivantes :

• attribuer la désignation ou la catégorie la plus élevée des renseignements contenus dans le microformulaire
• inscrire la mention « protégé ou classifié » sur les microformulaires contenant des renseignements protégés ou classifiés sous une forme lisible, ainsi que le numéro du microformulaire et le nombre total de microformulaire

C. Support de stockage électronique

Le support de stockage électronique peut être un CD, une clé USB, un disque dur amovible, une carte SD, une carte microSD, un téléphone, une tablette, un ordinateur portable.

Les organisations doivent appliquer les procédures suivantes :

• attribuer la désignation ou la catégorie la plus élevée des renseignements contenus sur le support de stockage électronique
• dans la mesure du possible, la mention de sécurité doit être lisible à l’œil nu et par machine. Si ce n’est pas possible, la mention de sécurité doit être lisible par machine
• le support de stockage amovible doit porter des étiquettes standards. S’il est permis de ne pas procéder à l’étiquetage, des procédures s’imposent pour garantir que l’information appropriée est enregistrée dans l’ordinateur
• conserver le support de la même manière que les documents papier, lorsqu’il n’est pas utilisé

Pour de plus amples renseignements, consulter le chapitre 7 : Sécurité des technologies de l’information de ce manuel.

Le personnel du PSC de SPAC peut fournir des conseils précis sur la façon d’inscrire la mention sur les divers supports de stockage électronique par courriel au ssi-iss@tpsgc-pwgsc.gc.ca.

A. Clés pour les armoires

Les clés (et les dispositifs comme les cartes, les combinaisons et les numéros de code utilisés pour ouvrir ou fermer les armoires) doivent être protégées selon le niveau supérieur de confidentialité des renseignements ou des biens auxquels elles donnent accès. Ces modalités s’appliquent également aux renseignements enregistrés qui permettraient de produire des clés. L’agent de sécurité d'entreprise (ASE) doit contrôler l’accès aux clés, combinaisons et numéros de code, et tenir des registres de distribution.

Les clés attribuées doivent être changées au moins une fois tous les 12 mois et lorsque les employés ayant accès à l’armoire sont mutés, congédiés ou n’ont plus à y avoir accès. Le bureau de la sécurité de l’organisation doit tenir un registre des dates de changement de clé et des motifs expliquant ces changements.

B. Précautions

Lorsque des renseignements et des biens protégés et classifiés sont retirés de contenants de stockage approuvés, les organisations doivent s’assurer qu’ils ne sont pas laissés sans surveillance et qu’ils ne peuvent pas être vus, ou qu’une discussion à leur sujet ne peut pas être entendue par des personnes ne possédant pas le niveau d’autorisation de sécurité approprié ou qui n’ont pas besoin de savoir.

Pour des conseils et une assistance complémentaires, s’adresser au personnel du PSC de SPAC par courriel au tpsgc.ssidie-issiid.pwgsc@tpsgc-pwgsc.gc.ca.

C. Matériel

Les organisations devant conserver des renseignements et des biens protégés et classifiés peuvent se procurer le matériel de sécurité approuvé par l’entremise de SPAC. De concert avec les responsables du PSC de SPAC, l’ASE, ou l’agent de sécurité d'entreprise remplaçant (ASER) doit déterminer le matériel requis et soumettre le formulaire d’achat. Une fois que les responsables du PSC de SPAC ont approuvé la demande, celle-ci est traitée, mais la facturation et la livraison du matériel se font entre l’acheteur (l’ASE) et le fournisseur. Voici quelques exemples du matériel le plus fréquemment demandé dans le cadre de cette procédure :