Audit de la Direction de l’infrastructure statistique – données fiscales

La gestion des microdonnées fiscales à Statistique Canada

L'assurance de la conformité aux conditions du PE est une responsabilité qui est partagée entre la DDF, les divisions clientes à l'étendue de Statistique Canada et les divisions fournissant des services à l'échelle de l'organisme.

Rôles et responsabilités

Les rôles et les responsabilités de chaque entité peuvent être résumés comme suit :

• La DDF est responsable de fournir aux divisions des programmes à l'étendue de Statistique Canada l'accès aux bases de données fiscales et d'encourager et de faciliter l'utilisation accrue de microdonnées fiscales. La DDF est également responsable d'assurer la sécurité des microdonnées fiscales à Statistique Canada.
• La Direction de l'informatique est responsable de la mise en œuvre de la Politique sur la sécurité informatique, de la sélection et de l'évaluation des produits de sécurité informatique en vue d'une mise en œuvre à l'échelle de l'organisme, de la sensibilisation des employés à la sécurité informatique et de la prestation de conseils aux divisions au sujet des exigences en matière de sécurité informatique du PE.
• La Division de la gestion de l'information est responsable de la protection générale des renseignements et du cadre stratégique en matière de sécurité.
• Les divisions clientes utilisant des microdonnées fiscales sont responsables et imputables de veiller à ce que les exigences en matière de sécurité physique et informatique soient respectées au sein de la division. La DDF délègue également la responsabilité de la conformité aux exigences de sécurité du PE aux directeurs des divisions. Les responsabilités suivantes sont déléguées : exigences relatives au traitement informatique et au stockage des fichiers; exigences relative au marquage, au stockage, à l'effacement et à la destruction de documents et de médias informatiques; et exigences relatives à la transmission électronique et au transport.

Politiques et directives

Statistique Canada dispose de plusieurs politiques et directives pertinentes qui s'appliquent au traitement des microdonnées fiscales :

• Directive sur la sécurité des renseignements statistiques de nature délicate;
• Politique sur la sécurité informatique;
• Manuel des pratiques de sécurité;
• Politique d'utilisation du réseau;
• Directive sur la gestion des fichiers de microdonnées statistiques.

Gestion du risque

En vertu des politiques du Conseil du Trésor, les programmes gouvernementaux doivent cerner les risques susceptibles d'entraver la réalisation des objectifs, évaluer les contrôles existants en place et trouver des stratégies d'atténuation visant à réduire les risques.

Au niveau opérationnel, le Groupe de planification du projet des données fiscales comprend les chefs de la DDF et tient compte des risques relatifs à la protection et à la confidentialité des microdonnées fiscales, ainsi que de la conformité de la DDF au PE conclu avec l'ARC. La DDF documente ses risques au moyen du document organisationnel Registre des risques. La DDF a tenu compte des sources externes et internes des risques et documenté les détails de ses stratégies d'atténuation des risques, de ses plans d'action dans la perspective de la qualité et de l'actualité des produits livrés, ainsi que de la sécurité des microdonnées fiscales.

Exigences de sécurité

En vertu du PE, Statistique Canada doit informer les utilisateurs de microdonnées fiscales des exigences de sécurité. La DDF communique avec les divisions clientes afin de s'assurer que ces dernières comprennent leurs responsabilités relatives à la sécurité des microdonnées fiscales.

Deux documents sont distribués aux utilisateurs de microdonnées fiscales des divisions clientes avant que l'accès soit accordé : la liste de contrôle de la DDF pour l'accord d'utilisation et les pratiques exemplaires contient une liste des exigences et des pratiques en matière de sécurité pour maintenir la confidentialité des microdonnées fiscales, qui respectent et dans certains cas, dépassent les exigences indiquées dans les conditions du PE. De plus, le directeur de la DDF envoie des rappels annuels aux directeurs des divisions clientes pour leur rappeler leurs responsabilités à l'égard des données fiscales. Le Protocole en cas d'atteinte portée aux renseignements et à la protection de la vie privée de Statistique Canada définit ce qui est considéré comme une atteinte à la protection des renseignements et énonce clairement que si l'atteinte met en cause des microdonnées fiscales, le directeur de la DDF doit être prévenu. Aucun incident ne mettant en cause des microdonnées fiscales traitées par des divisions clientes n'a été signalé.

Utilisations autorisées et emplacement

Le directeur (DDF) est responsable de surveiller l'emplacement et les utilisations des données fiscales au sein de Statistique Canada.L'annexe C-1 du PE mentionne une piste de vérification qui exige la conservation des renseignements suivants : les personnes autorisées à accéder aux microdonnées fiscales et à les utiliser, la période pendant laquelle cette autorisation est accordée et l'objectif et l'identification des fichiers de microdonnées fiscales dont l'accès doit être accordé.

Afin de gérer l'accès aux microdonnées fiscales, la DDF fait la distinction entre deux types d'utilisateurs :

• Les utilisateurs principaux sont ceux qui accèdent à des fichiers de microdonnées fiscales originaux détenus par la DDF. Seuls les employés qui présentent une demande à titre d'utilisateurs principaux peuvent accéder aux fichiers fiscaux de la DDF. Le système contrôle efficacement l'accès à ces fichiers et tient à jour des listes complètes des employés autorisés à accéder aux fichiers détenus par la DDF.
• Les utilisateurs secondaires sont les employés qui accèdent aux fichiers créés et conservés à l'extérieur des serveurs de la DDF et qui contiennent des microdonnées fiscales exportées des fichiers fiscaux originaux de la DDF. L'accès aux fichiers obtenus est contrôlé par les divisions clientes au moyen de permissions d'accès aux fichiers approuvées par les directeurs des divisions, et activées par la Division des opérations des technologies de l'information (DOTI). Le PE attribue la responsabilité d'autoriser les demandes d'accès aux microdonnées fiscales détenues à la DDF au directeur de la DDF. La Directive sur la SRSND attribue la responsabilité d'autoriser l'accès aux microdonnées fiscales détenues à l'extérieur de la DDF aux directeurs des divisions. Cette situation respecte l'exigence du PE.

La DDF utilise le système organisationnel appelé SDAD pour gérer et contrôler l'accès aux fichiers de produits de la DDF. Le SDAD est utilisé par la DDF pour tenir une piste de vérification sur : les personnes autorisées à accéder aux renseignements sur les contribuables; l'identification des fichiers de données qui doivent être accessibles; l'utilisation et l'objectif prévus; et la période pendant laquelle l'autorisation est accordée. Un essai a été effectué pour vérifier l'efficacité des processus de révocation et de réaffectation lorsque des employés quittent l'organisme ou changent de division. Les résultats révèlent que les accès sont rapidement révoqués. Le SDAD est un outil efficace pour répondre aux exigences du PE à cet égard.

Production de rapports

Conformément au PE, le directeur de la DDF est responsable de produire des rapports périodiques au statisticien en chef adjoint (SCA), Secteur de l'informatique et de la méthodologie sur l'emplacement et les utilisations des données fiscales à Statistique Canada.

Comme susmentionné, la DDF utilise le SDAD pour surveiller les utilisateurs primaires et secondaires dans le cadre de son processus de reddition de comptes au SCA, en fonction de leur accès direct aux fichiers fiscaux originaux de la DDF ou de leur accès à un fichier dérivé créé à partir d'un fichier de la DDF. Le PE n'exige pas que cette distinction soit faite.

Les rapports au SCA comprennent de l'information sur les autorisations d'accès actif et sont produits tous les mois et tous les trimestres, comme suit :

• Tableau 1 : Rapport d'accès aux fichiers de données fiscales par type d'utilisation – usager primaire;
• Tableau 2 : Rapport du nombre total d'usagers uniques primaires des fichiers de données fiscales par division;
• Tableau 3 : Rapport d'accès aux fichiers de données fiscales par type d'utilisation – usager secondaire;
• Tableau 4 : Rapport du nombre total d'usagers uniques secondaires des fichiers de données fiscales par division;
• Tableau 5 : Rapport du nombre total d'usagers uniques pour les fichiers de données fiscales par division;
• Tableau 6 : Rapport des dix plus grands utilisateurs des divisions;
• Tableau 7 : Rapport des utilisateurs par divisions– le trimestre courant et précédent.

La DDF surveille efficacement l'emplacement et les utilisations des microdonnées fiscales détenues par la division et fait des comptes rendus au SCA.

Les politiques de Statistique Canada permettent aux divisions clientes de créer des fichiers supplémentaires à partir des fichiers de microdonnées fiscales originaux. La responsabilité de protéger la confidentialité de cette information a été déléguée aux utilisateurs clients. Les directeurs de ces divisions sont habilités à approuver l'accès aux microdonnées fiscales contenues dans les fichiers conservés dans leur secteur de compétence. La Directive sur la SRSND exige que les directeurs des divisions fassent « annuellement état de l'emplacement, des utilisateurs et de l'utilisation des microdonnées fiscales fournies par d'autres divisions au directeur de la DDF ». La nécessité pour les directeurs des divisions de faire des comptes rendus annuels à la DDF ne cadre pas avec les rapports mensuels et trimestriels au SCA exigés à l'heure actuelle. La direction de la DDF a confirmé que les divisions clientes n'ont pas fourni l'information requise de façon régulière ou constante, ce qui ne répond pas aux exigences de la Directive.

Bien que la DDF soit en mesure de faire des comptes rendus sur l'emplacement et les utilisations des microdonnées fiscales qu'elle détient, il existe une lacune pour ce qui est des rapports sur l'emplacement et les utilisations des microdonnées fiscales détenues à l'extérieur de la DDF. Par conséquent, un segment des emplacements et des utilisateurs des renseignements fiscaux n'est pas déclaré au SCA comme l'exige le PE.

Registres d'accès

La clause 30 du PE stipule que l'ARC et Statistique Canada doivent s'assurer de la conservation et de la prestation sur demande d'une piste de vérification pour tous les accès aux renseignements fournis en vertu du PE. Dans le contexte de la protection de la sécurité des renseignements, une « piste de vérification » se définit comme un registre chronologique se rapportant à la sécurité indiquant qui a accédé à un système informatique et quelles opérations cette personne a exécutées pendant une période donnée, ce qui apporterait des preuves documentaires d'une séquence d'activités.

D'après les entrevues réalisées auprès des employés et des gestionnaires de la DDF, ainsi que du personnel de la DOTI, des registres d'accès réels aux fichiers fiscaux de la DFF et aux fichiers connexes stockés à l'étendue de l'organisme ne sont pas conservés. La direction de la DDF a déclaré comprendre que les exigences de la piste de vérification décrites à l'annexe C-1 (c.-à-d. qui est autorisé à accéder aux renseignements sur les contribuables; l'identification des fichiers de données qui doivent être accessibles; l'utilisation et objectifs prévus; et la période pendant laquelle l'autorisation est accordée) étaient suffisantes pour répondre aux exigences de la clause 30 du PE. Le PE n'est pas clair en ce qui concerne l'objectif prévu de cette exigence, sa portée et son étendue et la période de conservation pendant laquelle les registres d'accès devraient être tenus à jour.

Le partage de microdonnées fiscales avec d'autres ministères fédéraux et organismes statistiques des territoires et des provinces

Le PE conclu avec l'ARC permet à Statistique Canada de conclure des ententes avec des CS provinciaux et des ministères et organismes du gouvernement du Canada pour l'utilisation de renseignements sur les contribuables pour leur secteur de compétence. Les CS sont des organismes qui jouent à peu près le même rôle que Statistique Canada pour ce qui est de la collecte et de la prestation de produits statistiques à l'échelon provincial et sont assujettis à des lois provinciales similaires à la Loi sur la statistique. Ces organismes sont préapprouvés par l'ARC en vertu de la clause 11 du PE. Statistique Canada a conclu des ententes avec huit (8) CS. Les procédures pour obtenir des permissions et des registres d'autorisation des directeurs sont en place pour le transfert d'information aux CS et à trois ministères et organismes du gouvernement fédéral. L'autorisation est documentée et étayée officiellement dans les ordonnances de divulgation signées par le statisticien en chef.

Un échantillon de trois ententes a été sélectionné au hasard et passé en revue pour déterminer si les dispositions du PE concernant l'utilisation et la protection de ce genre de renseignement sont respectées. Les résultats ont révélé que dans chaque cas, l'entente établissait les modalités relatives à l'utilisation, à la divulgation, à la conservation et à la destruction de renseignements fiscaux conformément aux conditions stipulées dans le PE. L'exigence relative à la déclaration d'incidents de sécurité suspectés ou avérés mettant en cause des microdonnées fiscales fait partie des ententes écrites avec des organismes externes auxquels Statistique Canada fournit les renseignements confidentiels ou sur les contribuables obtenus en vertu du PE. Aucun incident mettant en cause des clients externes n'a été signalé.

Recommandations :

Le SCA du Secteur des études analytiques, de la méthodologie et de l'infrastructure, doit veiller à l'exécution des tâches suivantes :

• Mettre en place des mécanismes pour s'assurer que le SCA est informé de l'emplacement et des utilisations des renseignements fiscaux détenus dans les divisions clientes à l'étendue de Statistique Canada.
• Demander des précisions à l'ARC quant à la portée et à l'étendue d'une piste de vérification de tous les accès à l'information fournie en vertu du PE, et prendre des mesures appropriées pour mettre en œuvre l'exigence.

Réponse de la direction :

La direction accepte les recommandations.

• Le directeur de la DDF mettra en œuvre un processus de production de rapports pour veiller à ce que les utilisations et les utilisateurs secondaires des renseignements fiscaux soient fournis à la DDF et surveillés par cette dernière. Les renseignements pertinents seront intégrés aux rapports réguliers au SCA sur l'utilisation des données fiscales.
  
  Résultats attendus et calendrier : Système de demande d'accès de l'organisme (SDAO). Mise en œuvre prévue d'ici à juin 2014.
• Le directeur de la DDF discutera avec l'ARC et lui demandera des précisions.
  
  Résultats attendus et calendrier : Confirmation de l'intention de la clause 30 du PE en ce qui concerne les exigences d'information. Nota : Au cas où les précisions donneraient lieu à des exigences d'information différentes, un plan d'action pour la mise en œuvre sera élaboré pour assurer la conformité. Risques – coûts, collaboration de Services partagés Canada (SPC). Discussion à venir d'ici à décembre 2013. Mise en œuvre d'ici à septembre 2014.

Objectif 2 : Les renseignements sont utilisés, divulgués, conservés et détruits conformément aux modalités et aux conditions décrites dans le PE.

Respect des lignes directrices de la DDF et du PE

La liste de contrôle des pratiques exemplaires de la DDF comporte 11 éléments, qui ont trait à la sécurité physique et informatique. L'équipe de l'audit a passé en revue plusieurs pratiques et outils de sécurité essentiels en place pour ce qui est de l'utilisation, de la divulgation, du stockage et de la destruction des microdonnées fiscales. Les 33 employés répondaient aux exigences suivantes, ce qui répond aux exigences du PE ou les dépasse :

• Utilisation d'armoires de rangement sécurisées prévues par la Sécurité du Bureau;
• Accès à des imprimantes qui répondent aux exigences de confidentialité;
• Utilisation de déchiqueteuses approuvées prévues par la Sécurité du Bureau;
• Verrouillage de l'accès à l'ordinateur avant de quitter son poste de travail.

Des entrevues ont également été réalisées avec le personnel de la Technologie de l'information (TI) affecté au soutien de la DFF, l'équipe de la Sécurité des TI, les employés du réseau à SPC en affectation à Statistique Canada, l'équipe du SDAD et les directeurs de quatre (4) divisions clientes. Les exigences suivantes se rapportant à l'infrastructure de TI de Statistique Canada répondaient aux exigences du PE :

• Les serveurs renfermant des microdonnées fiscales délicates sont limités à un réseau fermé sécurisé (réseau A);
• Les serveurs n'ont pas de capacités de communication sans fil;
• Les serveurs sont conservés dans le centre de données sécurisé et sont gérés par l'équipe des TI/SPC;
• La politique de Statistique Canada sur les mots de passe s'applique au niveau du réseau. Les configurations relatives à la durée de vie des mots de passe et aux normes ont été mises à l'essai, et les mesures de contrôle en place répondent aux exigences du PE;
• Les pratiques pour l'utilisation du protocole de TEF répondent aux exigences du PE;
• Le logiciel Entrust est utilisé pour le préchiffrement des fichiers avant l'envoi par TEF;
• Les postes de travail sont livrés sans capacité sans fil et, lorsqu'il y a lieu, les capacités de communication sans fil des ordinateurs portatifs sont désactivées. Les ordinateurs portatifs pouvant être empruntés dans la réserve commune ont l'accès sans fil, mais ne peuvent pas se connecter au réseau A.

L'audit a conclu que dans certains cas, l'utilisation de dossiers partagés pour diffuser des données fiscales à d'autres employés n'était pas bien contrôlée et permettait l'accès non autorisé aux microdonnées fiscales.

Les employés des divisions clientes utilisent des dossiers partagés pour partager des microdonnées fiscales et y accéder. Cette pratique est conforme aux ententes d'utilisation de la DDF, à condition que ces dossiers partagés soient réservés aux utilisateurs autorisés seulement, avant d'être déclarés à la DDF. Dans ses ententes avec les divisions clientes, cette pratique est recommandée pour partager des fichiers renfermant des microdonnées fiscales, comme solution de rechange à l'utilisation de support de stockage amovible avec chiffrement.

L'équipe de l'audit a sélectionné deux fichiers créés par une division cliente et testé l'efficacité d'utiliser des dossiers partagés pour diffuser des microdonnées fiscales à d'autres employés de la division et à d'autres divisions. Les résultats ont permis de constater que ces deux dossiers n'étaient pas limités aux utilisateurs autorisés seulement. Bon nombre des employés ayant accès à ces deux dossiers partagés n'étaient pas indiqués dans les listes de la DDF des utilisateurs secondaires autorisés. Les fichiers renfermant des microdonnées fiscales étaient stockés dans les dossiers partagés existants à la division, au lieu d'être conservés dans des dossiers partagés créés spécifiquement pour les utilisateurs autorisés des microdonnées fiscales.

Bien que cette pratique fasse en sorte que les microdonnées fiscales restent dans un réseau fermé sécurisé et sont limitées aux employés de Statistique Canada en tout temps, le stockage de microdonnées fiscales dans des dossiers partagés accessibles à tous les employés d'une division ne limite pas l'accès aux utilisateurs autorisés seulement en cas de besoin absolu, comme l'exige le PE.

Des vulnérabilités ont également été relevées pendant l'audit et pourraient présenter un risque pour la confidentialité des microdonnées fiscales :

Ports USB actifs

L'équipe de l'audit a cerné des vulnérabilités relatives à la protection des microdonnées fiscales associées aux ports USB actifs sur les ordinateurs des utilisateurs de microdonnées fiscales.

Bon nombre d'employés ont indiqué qu'ils apportent des clés USB personnelles au travail et qu'ils transfèrent parfois de la musique, des photos et d'autres renseignements personnels à leur ordinateur de bureau. Un petit nombre d'utilisateurs ont déclaré utiliser les clés USB fournies par la division pour transporter des présentations électroniques, en précisant toutefois qu'aucunes microdonnées fiscales ne sont stockées dans ces clés. Certains utilisateurs ont également dit brancher leur téléphone cellulaire au port USB de leur ordinateur pour le charger. Ces appareils ont une grande capacité de stockage électronique et pourraient permettre aux utilisateurs d'y stocker des renseignements confidentiels. Les téléphones intelligents ont également un accès au réseau public sans fil, qui pourrait être activé pendant l'utilisation sur le réseau A.

Dans un environnement de travail électronique, où la gestion de gros ensembles de données est essentielle, l'accès à des ports USB actifs ouvre la porte à l'enlèvement de renseignements confidentiels des locaux de Statistique Canada, d'une manière intraçable et indétectable.

Dès que les renseignements confidentiels quittent le réseau fermé de Statistique Canada, ils ne peuvent plus être protégés. La Direction de l'informatique est en train d'examiner des solutions potentielles pour éliminer les risques associés aux ports USB actifs.

Période de conservation et destruction des microdonnées fiscales

Le PE exige la destruction des microdonnées fiscales qui ne sont plus nécessaires. Cependant, le PE ne précise pas de lignes directrices en ce qui concerne la façon de déterminer l'utilité des microdonnées. En fait, les microdonnées fiscales pourraient être conservées indéfiniment, puisqu'elles pourraient être utiles pour des études à venir.

La Directive sur la gestion des fichiers de microdonnées statistiques s'applique à tous les fichiers qui renferment des renseignements délicats, y compris les microdonnées fiscales. D'après la Directive, les fichiers de microdonnées fiscales tombent dans la catégorie des fichiers administratifs, qui ont une période de conservation de cinq ans. En avril 2013, la DDF a présenté une proposition pour demander une exemption de la conservation des fichiers de microdonnées fiscales, comme stipulé dans la Directive. La DDF a proposé que les fichiers fiscaux reçus de l'ARC soient considérés comme des fichiers de collecte, et dans certains cas, comme des fichiers principaux, ce qui pourrait prolonger leur période de conservation pour une période indéterminée.

La DDF reconnaît qu'il y a lieu de déterminer les périodes de conservation et les procédures de destruction des fichiers de microdonnées fiscales.

Recommandations :

Le SCA du Secteur des études analytiques, de la méthodologie et de l'infrastructure, doit veiller à l'exécution des tâches suivantes :

• Les dossiers partagés utilisés par les divisions clientes pour diffuser des microdonnées fiscales à d'autres employés de Statistique Canada sont réservés aux utilisateurs autorisés selon le principe du besoin de connaître et déclarés à la DDF;
• Les risques associés aux ports USB actifs sur les ordinateurs des utilisateurs de microdonnées fiscales sont considérés et gérés;
• Statistique Canada établit des périodes de conservation claires pour les fichiers qui contiennent des microdonnées fiscales.

Réponse de la direction :

La direction accepte les recommandations.

• Le directeur de la DDF mettra en œuvre un processus de production de rapports pour s'assurer que les utilisations et les utilisateurs secondaires des renseignements fiscaux seront fournis à la DDF et surveillés par cette dernière. Les renseignements pertinents seront intégrés aux rapports réguliers présentés au SCA. Le processus d'accès doit répondre au principe du besoin de connaître, selon la définition des rôles.
  
  Réalisations attendues et calendrier : La production de rapports sera incluse dans les conditions d'utilisation des données fiscales. Mise en œuvre prévue d'ici à janvier 2014. Système de demande d'accès de l'organisme (SDAO). Mise en œuvre prévue d'ici à septembre 2014.
• Le directeur de la DDF élaborera les conditions d'utilisation des données fiscales dans le contexte des pratiques de sécurité de l'organisme en ce qui concerne les appareils de stockage portatifs communiquées clairement aux programmes au moyen des données fiscales.
  
  Réalisations attendues et calendrier : Les lignes directrices révisées à l'intention des divisions utilisatrices de données incluront les conditions d'utilisation et l'attestation du directeur. Mise en œuvre prévue d'ici à janvier 2014.
• Le directeur de la DDF et du Secrétariat des données administratives (SDA) et le directeur de la Division de la gestion de l'information veilleront à ce que la Directive sur la gestion des fichiers de microdonnées statistiques soit révisée de manière à fournir des lignes directrices claires sur le traitement de tous les fichiers de données administratives.
  
  Réalisations attendues et calendrier : Mise à jour de la Directive sur la gestion des fichiers de microdonnées statistiques. Mise en œuvre prévue d'ici à juin 2014.