Audit interne de la sécurité matérielle

Un examen de la documentation des IRSC relative à la continuité des activités et au rétablissement après une catastrophe a permis de relever plusieurs lacunes qui pourraient empêcher l’Agence de reprendre ses activités, ou de les reprendre rapidement, dans l’éventualité d’un incident. Bien que les services fournis par les IRSC ne soient pas considérés comme essentiels à la mission du gouvernement du Canada, tous les ministères et organismes devraient établir un programme de continuité des activités visant des services autres qu’essentiels.^{Note en bas de page 3}

Le plan actuel comporte des lacunes
Le plan de continuité des activités constitue la principale source de documentation sur la continuité des activités aux IRSC. Basé sur un scénario dans lequel les locaux des IRSC seraient inaccessibles, ce plan est axé sur l’obtention de locaux de remplacement pour permettre à la direction des IRSC de se réunir et de planifier le rétablissement. Les activités opérationnelles ne comportent aucun ordre de priorité puisque le plan ne prévoit pas le rétablissement immédiat des opérations. Les autres documents des IRSC liés à la continuité des activités incluent un plan de continuité des activités en cas de pandémie, un plan de rétablissement après une catastrophe et un rapport des options de récupération de la TI. Les services à rétablir en priorité ne sont pas les mêmes dans ces trois documents, lesquels ne reflètent peut-être pas les priorités opérationnelles actuelles des IRSC.

Il est nécessaire de mieux définir les rôles et les responsabilités pour s’assurer que le programme soit prêt en cas de besoin
Le plan de continuité des activités définit les rôles et les responsabilités d’une équipe de gestion de crise et identifie les titulaires de ces rôles et leurs remplaçants. Les responsabilités de l’équipe sont décrites une fois qu’un incident s’est produit; cependant, le rôle de l’équipe pour ce qui est de créer et d’approuver le plan et de s’assurer qu’il soit prêt n’est pas bien défini.

L’attribution des ressources et des services doit être clarifiée.
Le plan actuel de continuité des activités est axé sur la TI, mais la continuité des services requiert aussi du personnel et des données, en plus des systèmes et de la technologie. La structure de gouvernance devrait tenir compte de ces autres responsabilités.

Les plans de continuité des activités devraient refléter les priorités opérationnelles actuelles, et devraient être testés pour garantir qu’ils demeurent efficaces
Il faudrait développer le plan actuel et y ajouter des éléments clés visant à le clarifier et à en étendre la portée, c’est-à-dire :

• s’entendre sur les services indispensables à l’Agence en cas d’incident, et les définir clairement;
• définir tous les éléments nécessaires au soutien des activités désignées indispensables, y compris le personnel, l’information et les systèmes, dans les délais définis par la direction;   
• s’intégrer à d’autres processus clés comme la planification d’urgence, selon la nature de l’incident;
• tenir compte de la dépendance à  des tierces parties ou des engagements envers des tierces parties, c’est-à-dire les situations où les IRSC dépendent d’un service, comme le système de paiement commun, et les situations où ils se sont engagés à fournir un service à d’autres organismes, comme le CV commun;
• établir le calendrier et la méthode de revue/mise à jour ou de renouvellement du plan;  
• fournir des détails sur la surveillance, y compris sur la fréquence des tests, les types de tests à effectuer et la manière dont les résultats des tests guideront le processus de revue et de mise à jour.

L’ASM et l’équipe de la sécurité sont conscients de ces lacunes et révisent actuellement le plan de continuité des activités. Des options en matière de récupération de la TI sont explorées pour que la direction puisse tenir compte de l’information sur les coûts de récupération dans l’établissement de l’ordre de priorité des services indispensables.

Risques et répercussions
La planification inadéquate de la continuité des activités et du rétablissement après une catastrophe rend les IRSC vulnérables à des interruptions de service inutiles ou prolongées. L’engagement insuffisant de la haute direction pourrait amener l’Agence à se focaliser sur la continuité et le rétablissement de services opérationnels qui ne soutiennent pas directement ses priorités opérationnelles stratégiques, et donner lieu à une mauvaise utilisation des ressources.

1a) Établir, documenter et communiquer la structure de gouvernance pour le Programme de planification de la continuité des activités, en indiquant les rôles, les responsabilités et les obligations redditionnelles associés à chaque élément requis.

1b) Effectuer une analyse des répercussions sur les activités afin de déterminer les services essentiels à la poursuite des activités dans l’éventualité d’une interruption. Faire approuver par la haute direction l’ordre de priorité des activités et le niveau d’activité requis pour chaque service, en tenant compte des coûts associés à la continuité et/ou au rétablissement des services.

1c) Mettre à jour le plan de continuité des activités en fonction des résultats de 1a) et 1b), et s’assurer d’établir et de faire concorder les éléments connexes, y compris le plan de rétablissement après une catastrophe.

1d) Établir et documenter un processus pour tester, revoir et mettre à jour le plan de continuité des activités et ses éléments connexes, en décrivant comment les résultats des tests guideront les versions futures du plan.

1a) à 1d) Responsabilité
Agent de sécurité ministériel

Action 
D’accord
Le PCA actuel a été approuvé en octobre 2011 par le CHD. L’ASM consulte actuellement la direction pour déterminer les besoins actuels, examiner les hypothèses initiales pour le PCA-PRA et mettre à jour le PCA-PRA.

Des scénarios de catastrophe (PCA) seront élaborés et des exercices de simulation seront planifiés, exécutés et documentés afin de maintenir la vigilance et garantir l’utilisation optimale des ressources en cas de crise.

Date d’achèvement prévue
31 mars 2018

Les IRSC ont récemment mis à jour leur processus d’accueil et d’intégration pour y inclure une formation obligatoire sur la sensibilisation à la sécurité à l’intention des employés permanents et temporaires. Cette formation est offerte en ligne par l’École de la fonction publique du Canada. Il incombe aux superviseurs de s’assurer que cette formation soit suivie par les nouveaux employés. Durant la période comprise entre novembre 2015 et novembre 2016, les IRSC ont accueilli quatorze nouveaux employés permanents et temporaires, dont seulement deux ont complété la formation.   

Les outils de sensibilisation continue des employés à la sécurité incluent la page Intranet sur la sécurité et les communications organisationnelles sur des activités et des incidents particuliers dans le cadre de la semaine de sensibilisation à la sécurité au gouvernement du Canada, qui a lieu en février de chaque année. En février 2016, il a surtout été question de la sécurité des technologies de l’information, mais la sécurité matérielle a aussi été abordée dans de la documentation et des activités.

[révisé pour des raisons de sécurité]

Durant une inspection effectuée au milieu de la journée, aucun document classifié n’a été aperçu à la vue de tous ; cependant, certains documents contenant des renseignements personnels ou d’autres données sensibles ont été remarqués dans des bureaux et des postes de travail dont les occupants étaient absents.

Un document contenant de l’information sensible sur les employés a aussi été aperçu lors d’une inspection effectuée après les heures de travail. Nous avons remarqué de nombreux documents désignés PROTÉGÉconservés de manière non sécurisée dans des postes de travail jusqu’au lendemain matin, contrairement à ce qui est recommandé dans le document Protection et manipulation de l’information^{Footnote 4} des IRSC.

Risques et répercussions
Le personnel des IRSC joue un rôle important à la fois pour leur propre protection et la protection des biens et de l’information de l’Agence. Un manque de sensibilisation à la sécurité matérielle et au rangement adéquat des documents, ou encore un manque de directives détaillées à ce sujet pourrait compromettre la sécurité du personnel et de l’information.

2a) Revoir et mettre à jour le document Protection et manipulation de l’information pour y inclure des directives plus précises sur la manipulation et le rangement des dossiers des IRSC.

2b) S’assurer que les employés disposent des contenants de rangement adéquats et conformes à leurs besoins de rangement selon les documents qu’ils manipulent ; songer à implanter une politique en matière de rangement du bureau.

2c) S’assurer que la formation sur la sensibilisation à la sécurité et la documentation connexe couvrent les aspects liés à la sécurité matérielle, comme l’accès aux locaux et la protection adéquate des documents.

2d) S’assurer que les employés actuels et nouveaux suivent la formation sur la sensibilisation à la sécurité de l’EFPC, selon les besoins.

2a) Responsabilité
Agent de sécurité ministériel

Action
D’accord
L’équipe de la sécurité se chargera de mettre à jour les lignes directrices concernant la manipulation de l’information afin d’y ajouter des directives et des précisions.

Date d’achèvement prévue
Décembre 2017

2b) Responsabilité
Agent de sécurité ministériel

Action
Partiellement d’accord
Les besoins en rangement seront examinés et allégés avec de la formation, et l’application d’une politique en matière de rangement du bureau sera encouragée.

Date d’achèvement prévue
Septembre 2017

2c et d) Responsabilité
Agent de sécurité ministériel

Action
D’accord
L’équipe de la sécurité élabore actuellement la conception d’un programme de sensibilisation à la sécurité et une formation en ligne sur la gestion de l’information adaptée aux IRSC, car nous croyons que le module de formation de l’EFPC est trop général et rudimentaire. Nous coordonnerons nos efforts avec l’équipe de la gestion de l’information pour élaborer le contenu de la formation, et avec les RH pour rendre cette formation obligatoire pour tout le personnel

Date d’achèvement prévue
31 mars 2018

La Directive sur la gestion de la sécurité ministérielle^{Footnote 5} oblige l’Agence à « élaborer, documenter, mettre en œuvre et actualiser les processus de gestion systématique des risques liés à la sécurité afin d’assurer une adaptation continue aux besoins changeants du Ministère et au contexte des menaces ». Les évaluations de la menace et des risques constituent un élément clé de ces processus et servent à cerner les aspects où il est nécessaire d’appliquer des mesures de sécurité dépassant les niveaux de base obligatoires pour tout le gouvernement.

La dernière évaluation documentée des risques applicables à l’emplacement physique des IRSC remonte à 2009, lorsqu’une évaluation de la menace et des risques (EMR) a été effectuée concernant l’aire de réception et le bureau du président au 9e étage du 160, rue Elgin. Des recommandations ont été faites pour gérer les risques identifiés par rapport à trois aspects : sécurité des employés, sécurité du périmètre des locaux et sécurité de l’information/des biens classifiés. Bien que le comptoir de réception soit maintenant occupé 24 heures par jour suite à l’affectation de commissionnaires, et qu’un système de vidéosurveillance ait été installé, toutes les recommandations n’ont pas été appliquées. L’état des mesures de suivi n’a pas été surveillé officiellement jusqu’à leur application, ou jusqu’à l’acceptation des risques par la direction.

Le suivi de l’état des recommandations et des mesures correctives connexes est essentiel pour garantir que les risques soient à la fois compris et atténués ou acceptés par la direction. Les examens périodiques permettent de garantir que tout changement dans l’environnement interne ou externe soit identifié et soumis à une évaluation d’impact.

Bien que les IRSC occupent le même espace physique depuis leur fondation, des changements ont eu lieu dans leur environnement immédiat, comme l’arrivée de nouveaux locataires et les travaux de rénovation effectués au hall d’entrée de l’immeuble. Ces changements, conjugués à des changements internes, comme la modification des heures de travail ou les mouvements de personnel, pourraient accroître les risques pour la sécurité matérielle.

Risques et répercussions
Les risques non identifiés dans l’environnement physique pourraient poser une menace à la sécurité des employés et du fonds de renseignements des IRSC. Le manque de suivi pourrait faire en sorte que des risques identifiés demeurent sans suite ou soient réexaminés durant des activités ultérieures d’évaluation des risques.

3a) Effectuer une évaluation des menaces et des risques liés à la sécurité matérielle aux locaux des IRSC.

3b) Établir un calendrier et déterminer ce qui déclenche une revue et une réévaluation des risques liés à la sécurité matérielle.

3c) Surveiller assidûment l’état des risques identifiés et des mesures de suivi. S’assurer que la direction accepte officiellement les risques résiduels.  

3a et b) Responsabilité
Agent de sécurité ministériel

Action
D’accord
Les risques et les menaces identifiés par la dernière évaluation ont été atténués, et nos niveaux de menace et de risque demeurent faibles.
L’équipe de la sécurité se livrera à un examen et à une évaluation des risques en matière de la sécurité matérielle afin d’identifier les risques nouveaux ou changeants liés à la sécurité du personnel et des biens des IRSC.

Date d’achèvement prévue
30 septembre 2017

3c) Responsabilité
Agent de sécurité ministériel

Action
D’accord
L‘équipe de la sécurité des IRSC surveillera assidûment l’état des risques identifiés ainsi que les mesures correctives à prendre (3a et 3b) et s’assurera que les risques résiduels sont officiellement acceptés par la direction au moyen de séances d’information et d’avis écrits.

Date d’achèvement prévue
31 mars 2018

La majorité de l’information reçue et traitée par les IRSC est non classifiée ou désignée PROTÉGÉ B. Une quantité limitée d’information est considérée de nature plus délicate et peut être classifiée au niveau SECRET. Il s’agit principalement de documents confidentiels du Cabinet, dont la classification et la manipulation sont régies par la Politique sur la sécurité des documents confidentiels du Cabinet du Bureau du Conseil privé.^{Footnote 6}

Les documents confidentiels du Cabinet sont manipulés par un sous-groupe d’employés des IRSC; ces documents se composent de mémoires au Cabinet, de demandes budgétaires et de présentations au Conseil du Trésor, avec la documentation connexe et les notes d’information échangées avec le cabinet de la ministre. Le personnel clé chargé de recevoir et coordonner l’information avec le cabinet de la ministre dispose de classeurs de sécurité adéquats pour conserver l’information de nature délicate, cependant les employés qui manipulent ces documents n’en sont pas équipés.

Le document Protection et manipulation de l’information^{Footnote 7} des IRSC s’inspire de la Politique sur la sécurité des documents confidentiels du Cabinet et d’autres politiques du Conseil du Trésor. Le document vise à guider les IRSC sur la classification et la protection de l’information reçue, créée, traitée et conservée aux IRSC.

Les documents d’orientation recommandent de classifier les présentations au Conseil du Trésor au niveau SECRET. Cependant, la Politique sur la sécurité des documents confidentiels du Cabinet stipule que les présentations au Conseil du Trésor et la documentation connexe doivent être désignées, selon leur contenu, comme étant au moins PROTÉGÉ B.

Les entrevues avec des employés chargés de manipuler ces documents ont révélé l’utilisation de différentes classifications et l’utilité de fournir de plus amples directives. Des présentations au Conseil du Trésor classées au niveau SECRET n’étaient pas conservées dans des classeurs approuvés.

Bien que cela ne soit pas documenté, il est généralement entendu aux IRSC que les présentations au Conseil du Trésor ne sont plus aussi sensibles une fois approuvées par le Conseil et peuvent donc être manipulées et conservées différemment qu’avant leur approbation. Or selon la Politique sur la sécurité des documents confidentiels du Cabinet, « les renseignements confidentiels du Cabinet qui existent depuis plus de 20 ans peuvent être déclassés ou déclassifiés par l’organisme émetteur, selon les critères ministériels de déclassement ou de déclassification de l’information sensible. »

Risques et répercussions
La protection des documents confidentiels du Cabinet est une convention visant à « protéger le processus décisionnel collectif et la solidarité des ministres, et leur permet d’appuyer les décisions du gouvernement malgré des points de vue divergents. »^{Footnote 8} La divulgation de cette information en raison d’une manipulation fautive pourrait se répercuter sur le processus décisionnel du portefeuille de la santé et entraîner une perte de confiance envers les IRSC de la part d’autres ministères. Inversement, la classification à un niveau trop élevé peut entraîner des coûts inutiles et nuire à la productivité.

4a) Revoir les instructions pour la classification des présentations au Conseil du Trésor, les mettre à jour au besoin, et s’assurer que le personnel connaisse les exigences relatives à la gestion de ces documents durant tout leur cycle de vie.

4b) Identifier les employés qui manipulent des copies papier des documents confidentiels du Cabinet, et de leur fournir des contenants de rangement sécurisés.

4a et b) Responsibilities
Agent de sécurité ministériel

Action
D’accord
Moins de 1 % de l’information est classifiée SECRET aux IRSC. Les Finances manipulent une ou deux présentations au CT par année pour lesquelles ils disposent d’un classeur de sécurité. L’Unité des politiques et relations gouvernementales manipule des documents confidentiels du Cabinet et la correspondance ministérielle.

L’équipe de la sécurité se chargera de revoir les exigences et de fournir des directives au personnel concernant les procédures et processus liés à la manipulation des documents SECRET.

Date d’achèvement prévue
Juin 2017

Les membres du conseil d’administration des IRSC sont nommés par le gouverneur en conseil dans le cadre d’un processus défini par le Bureau du Conseil privé. Une partie de ce processus comporte une vérification des antécédents des candidats, composée des éléments suivants :

• vérification du dossier judiciaire par la GRC;
• vérification des indices du Service canadien de renseignement de sécurité; et
• vérification du dossier à l’Agence du revenu du Canada pour des questions de conformité.

Les résultats de la vérification des antécédents sont gardés confidentiels par le Bureau du Conseil privé et ne sont pas partagés avec les IRSC.

Bien que la source de cette exigence ne soit pas documentée, les membres du conseil d’administration sont tenus d’obtenir une cote de sécurité SECRET en vertu des pratiques internes. Or, un examen des cotes de sécurité des membres du conseil d’administration (CA) en novembre 2016 a révélé que seulement quatre des quatorze membres actifs détenaient une cote de ce niveau.

Des discussions avec le personnel ont révélé que la principale raison pour lequel les membres du CA ne détiennent pas une cote Secret est leur retard à remplir les formulaires requis et à les retourner aux IRSC.

Risques et répercussions
Le filtrage de sécurité est un des éléments requis pour réduire les risques d’usage inapproprié et de divulgation d’information de nature délicate. En l’absence d’une vérification des antécédents des membres du CA ayant besoin d’accéder à de l’information sensible, un risque d’utilisation malveillante ou de divulgation de l’information existe.

Bien que ce risque soit quelque peu atténué par la vérification des antécédents effectuée par le Bureau du Conseil privé, il incombe aux IRSC de s’assurer que les personnes à qui ils confient de l’information sensible aient bien obtenu les autorisations sécuritaires requises.

5a) Le niveau d’autorisation sécuritaire requis pour les membres du CA devrait être analysé, évalué par rapport aux vérifications actuellement effectuées dans le cadre du processus du gouverneur en conseil, et documenté.

5a et 5b) Responsabilité
Agent de sécurité ministériel

Action
D’accord

Le secrétariat de la gouvernance reçoit actuellement des conseils et des instructions de l’équipe de la sécurité des IRSC concernant le processus de filtrage de sécurité et l’importance de soumettre les membres à ce processus avant le début de leur mandat.

Le processus de sélection devrait intégrer le filtrage de sécurité dès le début.

Date d’achèvement prévue
Mars 2017

En vertu de la Politique sur la sécurité du gouvernement^{Footnote 9}, l’agent de sécurité ministériel doit relever, au niveau fonctionnel, de l’administrateur général (le président) ou du comité exécutif ministériel (le Comité de la haute direction). Ce rapport hiérarchique permet à l’agent de sécurité de remplir plus facilement son rôle qui est de recommander des mesures de redressement à l’administrateur général ou au comité exécutif ministériel (selon le cas) afin de corriger les lacunes observées dans le programme de sécurité de l’organisme.^{Footnote 10}

Aux IRSC, l’agent de sécurité ministériel cumule les fonctions de dirigeant principal de l’information et de directeur général de la gestion des technologies de l’information, et il relève de la vice-présidente à la planification et à la gestion des ressources. L’agent de sécurité ministériel présente des comptes rendus réguliers au président et peut en profiter pour lui parler directement de questions de sécurité; cependant, ce lien n’est pas officialisé dans l’organigramme.

Les agents de sécurité ministériels antérieurs ont été officiellement nommés dans leur rôle par une lettre du président qui leur déléguait les pouvoirs nécessaires; cependant, cela n’a pas été fait pour l’agent de sécurité ministériel actuel. La délégation officielle des pouvoirs assure la clarté des responsabilités et des obligations redditionnelles.

Conçu par l’agent de sécurité ministériel, le Plan de sécurité ministériel établit les objectifs de l’Agence en matière de sécurité pour une période de trois ans. Les plans de sécurité antérieur et actuel recommandaient des mesures à court et à moyen terme pour atteindre les objectifs en matière de sécurité.

En surveillant les progrès accomplis par rapport au plan, la haute direction peut savoir si l’Agence avance dans la poursuite des objectifs en matière de sécurité et l’atténuation des risques identifiés. Cependant, le CHD n’a pas reçu de rapports réguliers sur les progrès accomplis dans l’application des recommandations des derniers plans de sécurité ministériels, et bien que le plan actuel comporte des indicateurs de rendement et des recommandations relatives aux rapports, la fréquence et les destinataires des rapports ne sont pas décrits en détail.

Les rapports réguliers au CHD et au président sur les progrès accomplis dans la mise en œuvre du Plan de sécurité ministériel donneront de la visibilité aux questions de sécurité au niveau de la haute direction et contribueront à la surveillance du programme de sécurité.

Risques et répercussions
En l’absence de délégation officielle des pouvoirs et de lien hiérarchique clair entre l’agent de sécurité ministériel et la haute direction, les questions de sécurité risquent de ne pas faire l’objet d’un  suivi adéquat et y consacrer l’attention souhaitée dans la prise de décisions opérationnelles. Il est nécessaire de bien définir les obligations redditionnelles, les responsabilités et les voies de communication pour pouvoir réagir efficacement en cas d’incident lié à la sécurité.

6a) Procéder à la nomination officielle de l’agent de sécurité ministériel, en le faisant relever du président ou du CHD au niveau fonctionnel.

6b) Implanter un système de rapports périodiques réguliers au CHD sur les progrès accomplis en regard du Plan de sécurité ministériel.

6a) Responsabilité
Agent de sécurité ministériel

Action
D’accord
Une lettre de nomination de l’ASM par le président des IRSC est actuellement en préparation et sera soumise au président pour signature.

Date d’achèvement prévue
31 mars 2017

6b) Responsabilité
Agent de sécurité ministériel

D’accord
Les mises à jour régulières au CHD et au président sur les progrès du Plan de sécurité ministériel, ainsi que les autres mises à jour pertinentes seront fournies une fois par année et lorsque de nouveaux risques seront identifiés.

Date d’achèvement prévue
Septembre 2017

La Norme opérationnelle sur la sécurité matérielle^{Footnote 11} oblige les ministères à appliquer, en réponse aux incidents liés à la sécurité, des mesures permettant d’assurer que les incidents soient signalés aux responsables concernés de la sécurité et que des mesures correctives immédiates et à long terme soient prises dans les meilleurs délais. Bien que la réaction initiale à un incident soit primordiale pour garantir la protection des employés et des biens, l’analyse des incidents, les leçons à en tirer et les correctifs appliqués font aussi partie d’une gestion efficace et continue de la sécurité et des risques.

Les IRSC ont défini des procédures de gestion des incidents liés à la sécurité selon le type d’incident, c’est-à-dire :

• La Procédure des IRSC en cas d’incident menaçant ou de communication téléphonique ou écrite importune ou absurde décrivent aux employés la marche à suivre s’ils sont confrontés à des incidents, des lettres ou des appels menaçants.
• La Politique de la prévention de la violence en milieu de travail explique en détail comment rapporter ce type d’incident et y réagir.
• La page Intranet Voyager avec un appareil mobile des IRSC oblige les employés à rapporter la perte ou le vol d’un appareil électronique au Service de dépannage des IRSC.

Ces procédures sont axées sur la communication initiale des incidents et, dans certains cas, sur la réponse initiale. Aviser l’équipe de la sécurité des IRSC fait partie de toutes les procédures ; cependant, les mesures à prendre ensuite par l’équipe de la sécurité et d’autres intervenants ne sont pas complètement documentées.

Un cadre ou un processus documenté permettant le triage des incidents liés à la sécurité et la prise des mesures appropriées jusqu’à la clôture du dossier garantirait que tous les intervenants soient mobilisés au besoin. Une approche normalisée de collecte d’information sur les incidents liés à la sécurité permet aussi d’analyser les tendances et les éléments à risque et d’ainsi cerner des manques possibles dans la formation des employés sur la sécurité et leur sensibilisation à la question.

Risques et répercussions
En l’absence d’un processus bien défini de gestion des incidents liés à la sécurité, les rapports internes et externes sur les incidents risquent de ne pas être faits correctement. Le manque de perspective historique et de données d’analyse sur les incidents liés à la sécurité pourrait négliger l’évaluation de certains risques ou faire perdre des occasions importantes liées à la sensibilisation de la sécurité.  

7a) Établir et documenter un processus de classification des incidents liés à la sécurité afin de garantir :

• que les rapports aux intervenants internes et externes soient faits correctement;
• que des analyses soient effectuées et que des mesures correctives soient prises; et
• que les incidents soient surveillés jusqu’à la clôture du dossier pour permettre d’analyser les tendances et contribuer à l’évaluation des risques.

7a) Responsabilité
Agent de sécurité ministériel

Action
D’accord
L’équipe de la sécurité des IRSC a déjà mis en place des processus et des procédures de réponse à plusieurs types d’incidents, mais il établira un processus plus officiel.

Il est important de noter que les incidents sont très rares.

Date d’achèvement prévue
Octobre 2017