Charges de travail protégées dans le nuage public

Par : Reginald Maltais, Statistique Canada

Cet été, le besoin s'est accru de disposer de services flexibles auxquels on pourrait accéder en dehors des réseaux traditionnels et qu'on pourrait élargir rapidement, tout en maintenant la sécurité des renseignements confiés à la fonction publique. L'occasion pour la science des données de fournir des connaissances pertinentes afin d'aider les décideurs et la population en général n'a jamais été aussi grande. Les scientifiques des données doivent toutefois pouvoir s'assurer que les activités liées aux données et au travail se déroulent dans des environnements sécurisés. Le recours à l'infonuagique présente des avantages évidents pour les scientifiques des données, et l'évolution récente de la politique du gouvernement du Canada (GC) et les services d'infonuagique accessibles par l'intermédiaire de Services partagés Canada permettent d'offrir des avantages encore plus grands grâce à l'utilisation des services infonuagiques pour les charges de travail protégées.

Nouvelles directives relatives à l'infonuagique

Le GC a amorcé l'adoption d'une infrastructure infonuagique publique dès 2014. À l'époque, la politique sur l'utilisation de l'infonuagique manquait de clarté. On considérait comme très risqué de mettre des renseignements protégés dans le nuage, de sorte que seuls des projets en science des données reposant sur des données non classifiées pouvaient être réalisés.

En réponse à l'absence d'orientation claire sur l'utilisation du nuage public, la Stratégie d'adoption de l'informatique en nuage a été élaborée en 2016. Au même titre que l'Orientation sur l'utilisation sécurisée des services commerciaux d'informatique en nuage et l'Orientation relative à la résidence des données électroniques, toutes deux publiées en 2017, la manière d'utiliser l'infrastructure infonuagique publique pour les charges de travail non classifiées conformément à la politique du GC est devenue claire. À compter de 2018, le GC a adopté une politique axée essentiellement sur l'infonuagique et a commencé à accomplir le travail préparatoire en vue de l'adoption de services d'infonuagique publique pour les charges de travail protégées. Les ententes-cadres relatives aux services d'infonuagique de Services partagés Canada et la Directive sur les services et le numérique diffusée récemment fournissent les derniers éléments de l'orientation stratégique pour permettre aux ministères de passer aux charges de travail de catégorie Protégé B, intégrité moyenne et disponibilité moyenne (PBMM).

Maintenant, pour ne pas avoir recours à l'infrastructure infonuagique, une exemption doit être obtenue auprès du Comité d'examen de l'architecture intégrée du GC. Les obstacles à l'utilisation de l'infrastructure infonuagique et au traitement des données largement réparties ont été enlevés au niveau politique, et les équipes en science des données peuvent travailler en collaboration avec leurs services des technologies de l'information (TI) afin de tirer profit de l'infonuagique pour soutenir efficacement leurs charges de travail.

Résidence des données par rapport à souveraineté des données

La résidence des données fait référence à l'emplacement physique ou géographique des renseignements numériques d'une organisation lorsqu'elles sont inactives. Il incombe au dirigeant principal de l'information (DPI) du ministère de veiller à ce que les données protégées B résident géographiquement au Canada pour que les données puissent ainsi bénéficier des protections offertes par les lois canadiennes. Cette responsabilité ne s'applique pas aux données qui sont en transit.

La souveraineté des données se rapporte aux autres pays qui souhaitent appliquer leurs lois aux données canadiennes, peu importe l'endroit où résident géographiquement les données. Elle s'applique à l'accès aux données qui sont en transit et inactives. La question de la souveraineté est une question de risque, et c'est pourquoi le livre blanc Souveraineté des données et nuage public a été produit.

Si l'on s'attend à ce que la grande majorité des données protégées demeurent au Canada, des dispositions prévoient les options à envisager lorsque ce n'est peut-être pas possible. Les DPI ont la responsabilité d'évaluer les options en fonction d'un ensemble de critères, les critères minimaux étant les suivants :

• Réputation du ministère et du GC;
• Aspects juridiques et ententes;
• Valeur opérationnelle conférée par le service;
• Disponibilité sur le marché;
• Capacités techniques.

La distinction entre les données inactives et les données en transit est importante pour les charges de travail en science des données, car certains aspects des services des fournisseurs d'infonuagique peuvent se trouver en dehors de votre région de stockage de données privilégiée. Le fait de permettre la transmission des données de façon sécurisée entre les régions géographiques peut correspondre à la différence entre un service d'apprentissage automatique préconçu et la nécessité de concevoir votre propre système. La décision d'utiliser ou non ces types de services dépend des besoins du projet, qui doivent être évalués au cas par cas avec le propriétaire fonctionnel. La compréhension des flux de données et des risques associés à l'utilisation de différentes plateformes et de différents outils est une étape importante dans la mise en production des projets.

S'appuyer sur des bases solides et conformes

Dans le déploiement de l'infrastructure de TI traditionnelle, il peut être très long de répondre aux exigences de conformité organisationnelles. Cela a souvent eu pour effet d'entraîner des retards dans la mise en place des systèmes, en ralentissant la cadence des unités opérationnelles. Les exigences de conformité varient et évoluent aussi au fil du temps, ce qui rend les choses encore plus difficiles pour les scientifiques des données. Leur suivi doit être assuré par un professionnel attitré. Le développement et le maintien d'un environnement contrôlé exigent des investissements continus à plusieurs niveaux de l'infrastructure de TI. L'adoption de l'infrastructure infonuagique publique permet au GC d'hériter de la mise en œuvre par le fournisseur de contrôles de sécurité et de conformité généraux, ce qui contribue à assurer des normes élevées de protection des renseignements personnels et de sécurité des données.

Les fournisseurs d'infonuagique publique offrent aussi souvent des services de sécurité intégrés, lesquels permettent l'automatisation de certains aspects de la surveillance et de la sécurité par l'unité pertinente au sein de votre organisme. Cela diminue non seulement l'effort nécessaire pour configurer certains aspects de l'infrastructure de sécurité, mais appuie aussi l'organisme dans sa réaction rapide aux événements, ce qui réduit le risque global. En adoptant plusieurs couches de sécurité indépendantes, la force d'impulsion et l'efficacité d'une éventuelle attaque sont réduites, et l'effort nécessaire pour lancer une attaque réussie devient difficile et coûteux. La mise sur pied d'une telle infrastructure permet aussi aux scientifiques des données de travailler en étroite collaboration avec les partenaires des TI et de la sécurité, tout en permettant à chacun de s'attarder à son champ d'expertise, et contribue à réduire le délai global nécessaire pour mettre les produits en production.

Le modèle de sécurité partagée

L'utilisation de l'infrastructure infonuagique publique fait intervenir le concept de modèle de sécurité partagée, dans lequel le fournisseur d'infonuagique est responsable de la sécurité du nuage et le ministère est responsable de la sécurité dans le nuage. Cela signifie que le fournisseur d'infonuagique s'assurera que ses installations et ses services sont sécurisés jusqu'à ce que les ministères commencent à utiliser et à configurer les services fournis. Les aspects précis des services qui relèvent de la responsabilité du fournisseur ou du ministère dépendent de la manière dont le ministère utilise les services.

Un ensemble préliminaire de contrôles de base est présenté dans les Mesures de sécurité du nuage du GC, lesquels permettent d'assurer que les environnements informatiques en nuage sont protégés à la réception d'une activation aux termes de l'entente-cadre relative aux services d'infonuagique du GC. Des travaux sont aussi actuellement en cours pour automatiser la mise en œuvre des mesures de sécurité auprès de différents fournisseurs d'infonuagique, ce qui permet d'assurer l'uniformité et le succès de la mise en œuvre dans un délai rapide de prestation des services. Tandis que l'ensemble des mesures de sécurité de base ont été mises en place et qu'une nouvelle infrastructure configurée automatiquement a été déployée, les scientifiques des données peuvent travailler en collaboration avec leurs partenaires des TI afin de mettre à profit des configurations courantes leur permettant de déployer leurs charges de travail plus rapidement tout en garantissant au client que ses données sont sécurisées.

Un peu comme l'utilisation responsable de l'infrastructure infonuagique exige un changement dans la manière dont l'architecture des applications est mise en œuvre, un changement dans la mise en œuvre des mesures de sécurité est également nécessaire. L'ensemble des exigences de base est le même, mais les fournisseurs d'infonuagique peuvent dévoiler la personne à l'origine du changement et l'endroit à partir duquel le changement a été effectué. Cela permet aux scientifiques des données de se consacrer au déploiement de modèles à rendement élevé, tandis que le personnel de la sécurité peut détecter les erreurs de configuration et la non-conformité et réagir rapidement pour éviter que les risques se matérialisent.

Vision de la sécurité infonuagique pour le secteur public canadien

Le Centre canadien pour la cybersécurité (CCC) offre un moyen de surveiller toutes les activités liées à l'infonuagique chez différents fournisseurs, en contribuant à prévenir les attaques qui ont été lancées. Il agit comme un mécanisme de soutien pour le Centre des opérations de sécurité, en permettant de déceler les événements avant qu'ils ne deviennent des problèmes d'envergure. Par l'intermédiaire d'évaluations de fournisseurs, de documents relatifs à la sécurité et de capteurs infonuagiques, le CCC fournit un autre mécanisme de sécurité et aide les praticiens de la sécurité et les scientifiques des données à faire la démonstration à leur ministère qu'ils gèrent les risques associés à l'utilisation de l'infrastructure infonuagique publique.

Une approche pangouvernementale

Le CCC peut agir à titre de catalyseur de la cybersécurité non seulement pour le GC, mais pour l'ensemble des organisations canadiennes. De même, les Mesures de sécurité du nuage du GC fournissent un ensemble de pratiques exemplaires pour quiconque déploie des charges de travail dans l'infrastructure infonuagique publique. Ces dernières vont de pair avec le travail accompli par Services partagés Canada dans le cadre du Service de courtage infonuagique du GC afin que les fournisseurs d'infonuagique publique obtiennent une certification pour les charges de travail de catégorie PBMM. L'ensemble des politiques, des pratiques et des protections décrites représente les bases solides à partir desquelles les ministères, ou les organisations canadiennes voulant assurer la protection des renseignements personnels des Canadiens, peuvent établir des services fiables et sécurisés. Ensemble, ces dernières permettent le déploiement de charges de travail en science des données axées sur l'offre de services au moyen de données protégées à un niveau de risque raisonnable.

Étant donné l'évolution récente de la politique sur l'infonuagique, c'est une période emballante pour réaliser des travaux en science des données au GC. Les occasions d'acquérir de nouvelles connaissances et d'offrir des avantages aux Canadiens atteignent en ce moment un sommet sans précédent. Vous pouvez commencer à mettre vos charges de travail dans le nuage public en communiquant avec vos partenaires des TI et en découvrant comment vous pouvez tirer le meilleur parti de votre entente-cadre relative aux services d'infonuagique. Si votre ministère n'est pas prêt à tirer profit des services d'infonuagique, communiquez avec l'équipe de l'Analyse des données en tant que service (ADS) de Statistique Canada pour savoir si la plateforme d'ADS pourrait vous être utile.