Vendre au gouvernement du Canada exige de respecter des exigences de sécurité infonuagique réparties sur plusieurs volets. Rien de tout ça n’est bien expliqué de façon centralisée. Néanmoins, les Gardes-fous infonuagiques du GC ont été fixés en 2019 et sont devenus obligatoires en mai 2022 — ce sont maintenant les contrôles de sécurité minimaux à mettre en place dans les 30 jours suivant l’obtention d’un compte infonuagique. Ils s’appliquent à l’IaaS, au PaaS et au SaaS. Si vous voulez des clients gouvernementaux, c’est la barre minimale à franchir.
L’exigence de résidence des données
C’est ici que la mission de Canner rejoint les exigences fermes du travail avec le gouvernement. Les données Protégé B — renseignements personnels, matériel confidentiel, opérations internes du gouvernement — doivent toutes se trouver dans un centre de données approuvé par le GC. Ça veut dire plus que d’être simplement situé au Canada, même si ça en fait partie. L’autre volet, c’est que les données ne doivent pas être exposées à des ordonnances d’accès d’un gouvernement étranger. C’est exactement le genre de chose que des lois comme le CLOUD Act visent, et une autre raison pour laquelle Canner n’est pas seulement basé au Canada, mais aussi à propriété et sous contrôle canadiens. L’analyse complète de pourquoi une région canadienne n’est pas une compétence canadienne se trouve dans le billet sur le CLOUD Act.
Protégé B et PBMM
La plupart des données qu’un fournisseur toucherait sont Protégé B — c’est la nature même du travail gouvernemental. Ça exige le profil PBMM (Protégé B, intégrité moyenne, disponibilité moyenne), défini dans le Profil de contrôle de sécurité du GC. Voir ITSG-33 pour les détails. En pratique, ça veut dire : chiffrement au repos et en transit, accès basé sur les rôles avec authentification multifacteur, actions d’administration journalisées et surveillées, segmentation réseau, cadence de correctifs, et réponse aux incidents avec des ententes de niveau de service définies. Aucune certification précise n’est réellement exigée ici, ce qui est intéressant en soi, mais SOC 2 et ISO 27001 couvrent essentiellement ces exigences tout en fournissant une preuve indépendante.
Figurer sur la liste d’approvisionnement
C’est pour ça que vous êtes ici. Voici comment ça se passe : ProServices (AchatsetVentes.gc.ca), le statut de courtier infonuagique approuvé de SPC (spécifiquement pour des plateformes comme Canner), les offres à commandes et les arrangements en matière d’approvisionnement — ces deux derniers étant déjà une offre de base du site ProServices.
Où en est Canner
Nous satisfaisons les garde-fous d’emplacement, de contrôle et d’architecture. Nous n’avons rien à justifier côté risque de compétence étrangère, nous avons TLS 1.3, chiffrement au repos des variables d’environnement, isolation des locataires, journalisation d’audit, MFA — les mécanismes au quotidien sont documentés sur la page sur la sécurité, et le cas structurel se trouve sur la page sur la souveraineté. SOC 2 Type I est dans notre feuille de route pour 2027. On est essentiellement prêts à frapper, mais les pièces coûteuses côté accréditation doivent être mises en place avant qu’on puisse se tailler une place dans l’un des nombreux jardins clos du Canada.
Foire aux questions
Un ministère peut-il utiliser un fournisseur infonuagique américain pour des données Protégé B?
Oui. AWS Canada et Microsoft Azure sont tous deux approuvés pour les charges de travail Protégé B en vertu des contrats d’approvisionnement du GC. Toutefois, l’évaluation des risques du ministère doit tenir compte de l’exposition au CLOUD Act, et des contrôles additionnels (des clés de chiffrement gérées par le client, par exemple) peuvent être exigés.
Un fournisseur a-t-il besoin de SOC 2 pour vendre au gouvernement?
Non, mais cela aide considérablement. SOC 2 fournit une preuve indépendante des contrôles de sécurité qui réduit le fardeau de l’évaluation de sécurité propre au ministère. Sans cela, les ministères doivent mener une évaluation plus approfondie, ce qui ralentit l’approvisionnement.
Quelle est la différence entre les Gardes-fous infonuagiques du GC et PBMM?
Les gardes-fous sont le seuil minimal qui doit être atteint dans les 30 premiers jours. PBMM est le profil de sécurité complet pour les charges de travail Protégé B. Voyez les gardes-fous comme l’examen d’entrée et PBMM comme la certification continue.