PCCC, le programme canadien de certification en cybersécurité
Le cadre par lequel le gouvernement du Canada harmonise les exigences de cybersécurité imposées aux fournisseurs de la défense.
Qu’est-ce que le PCCC
Le Programme canadien de certification en cybersécurité est piloté par Services publics et Approvisionnement Canada, en collaboration avec le ministère de la Défense nationale.
Son objectif est d’harmoniser les exigences de cybersécurité imposées aux fournisseurs de la défense, plutôt que de laisser chaque contrat définir les siennes. Il s’applique contrat par contrat : les exigences sont précisées dans l’appel d’offres.
L’information visée
Là où les États-Unis parlent de CUI, le Canada a retenu la notion d’information désignée. Elle recouvre notamment des renseignements contractuels non classifiés, de l’information sur des marchandises contrôlées et de l’information protégée.
Comme du côté américain, ce sont la nature de cette information et la sensibilité du contrat qui déterminent le niveau exigé.
ITSP.10.171, le socle technique
Les contrôles du PCCC proviennent d’ITSP.10.171, publié par le Centre canadien pour la cybersécurité sous le titre « Protection de l’information désignée dans les systèmes et organisations à l’extérieur du gouvernement du Canada ».
Il s’agit de la version canadienne de NIST SP 800-171. Le Centre indique lui-même qu’il n’y a pas de changement technique substantiel entre les deux documents, ce qui explique pourquoi une entreprise qui se prépare pour l’un se prépare largement pour l’autre.
Deux précisions utiles. ITSP.10.171 suit la révision 3 de la norme américaine, là où le CMMC s’appuie sur la révision 2. Et ITSP.10.171 ne définit pas lui-même de niveaux : la structure en trois niveaux est une construction propre au programme canadien.
Les trois niveaux
| Niveau | Contrôles | Qui évalue | Quels travaux |
|---|---|---|---|
| Niveau 1 | 13 | L’entreprise elle-même, chaque année | Travaux à risque faible : soutien administratif, communications non techniques non classifiées, services informatiques de base sans données sensibles, intégration limitée aux réseaux |
| Niveau 2 | 98 | Un organisme accrédité par le Conseil canadien des normes, tous les trois ans, avec attestation annuelle | Travaux touchant de l’information de défense contrôlée et mandats plus sensibles |
| Niveau 3 | 200 | Le ministère de la Défense nationale, tous les trois ans, avec attestation annuelle | Risque le plus élevé : systèmes d’armes et plateformes militaires, accès à des infrastructures critiques, information partagée avec les partenaires du Groupe des cinq |
Les 13 contrôles du niveau 1
Les voici, tels que formulés par le gouvernement du Canada. La plupart des entreprises en appliquent déjà plusieurs sans le savoir.
Contrôle d’accès
- Gérer les comptes d’utilisateur
- N’accorder que les accès nécessaires
- N’utiliser que des systèmes et appareils approuvés
- Empêcher la divulgation publique de l’information visée
Identification et authentification
- Attribuer des comptes individuels avec mots de passe robustes
- Approuver les appareils avant qu’ils se connectent
- Activer l’authentification multifacteur
Protection des supports
- Effacer ou détruire les appareils en fin de vie
Protection physique
- Tenir la liste des personnes autorisées à accéder aux zones sécurisées
- Contrôler les entrées
Protection des systèmes et des communications
- Mettre en place les protections réseau de base
Intégrité des systèmes et de l’information
- Appliquer les mises à jour de sécurité
- Utiliser un antivirus et un anti-maliciel
Comment faire votre auto-évaluation
L’outil du Centre canadien pour la cybersécurité est gratuit et en ligne. L’exercice prend moins d’une heure.
Le résultat et sa date d’expiration s’inscrivent à votre profil de fournisseur dans CanadaBuys et accompagnent vos soumissions.
L’auto-évaluation est exigée au moment de l’attribution du contrat, et non au dépôt de la soumission. Ce point est souvent mal compris et fait renoncer des entreprises à soumissionner alors qu’elles en avaient le droit.
Conservez vos preuves pour la durée du cycle d’attestation.
L’auto-évaluation se renouvelle chaque année.
Calendrier
Et si vous êtes déjà certifié CMMC ?
Le Canada peut accepter un statut CMMC valide, au cas par cas, après avoir confirmé que l’évaluation couvre la portée requise. L’autorité technique du contrat conserve la faculté de vérifier des contrôles précis.
Il ne s’agit donc pas d’une équivalence automatique, et il ne faut pas la présenter comme telle. Mais le travail accompli d’un côté réduit réellement celui qui reste à faire de l’autre.
ISO 27001
ISO/IEC 27001 est une norme internationale de management de la sécurité de l'information. Elle ne remplace pas le PCCC, mais beaucoup d'entreprises la croisent dans les mêmes appels d'offres.
Sources officielles
- Le programme de Services publics et Approvisionnement CanadaLes pages officielles du PCCC : portée, niveaux et modalités.
- L’outil d’auto-évaluation du Centre canadien pour la cybersécuritéGratuit, en ligne, pour les 13 contrôles du niveau 1.
- Le document ITSP.10.171La norme technique canadienne de protection de l’information désignée.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.