Cybersécurité municipale au Québec : obligations et par où commencer

Une municipalité détient des renseignements personnels sur chacun de ses citoyens : rôle d'évaluation, taxes, permis, loisirs, plaintes, parfois des dossiers de police ou de sécurité incendie. Elle exploite aussi des systèmes que personne ne peut arrêter longtemps : eau potable, feux de circulation, communications d'urgence. Voici ce que la loi exige d'elle en matière de protection des renseignements personnels, et par où une petite municipalité peut commencer côté sécurité, avec les sources.

Une municipalité est un organisme public

Au Québec, la protection des renseignements personnels dans le secteur public relève de la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (« Loi sur l'accès »). La Commission d'accès à l'information (CAI) rappelle que les ministères et organismes publics doivent protéger les renseignements personnels de tous les citoyens, de la collecte à la destruction. Les organismes municipaux font partie des organismes publics visés. La Loi 25 a modernisé cette loi par étapes, comme la loi du secteur privé.

Les obligations depuis 2022 et 2023

D'après la synthèse de la Commission sur les principaux changements apportés par la Loi 25, un organisme public doit notamment :

• Établir des règles de gouvernance à l'égard des renseignements personnels et les publier sur son site Internet (depuis septembre 2023). Ces règles doivent être approuvées par le comité sur l'accès à l'information et la protection des renseignements personnels de l'organisme, et prévoir les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements, un processus de traitement des plaintes, la description des activités de formation offertes au personnel, et des mesures particulières pour les renseignements recueillis dans le cadre d'un sondage.
• Obtenir un consentement manifeste, libre, éclairé et donné à des fins précises, demandé pour chaque fin, en termes simples et clairs, et présenté distinctement lorsqu'il est écrit (depuis septembre 2023).
• Réaliser une évaluation des facteurs relatifs à la vie privée (EFVP) pour tout projet d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services impliquant des renseignements personnels, et avant toute communication de renseignements hors Québec. Un nouveau logiciel de permis en ligne, un portail citoyen, un service infonuagique hébergé aux États-Unis : chacun appelle une EFVP proportionnée.
• Être transparent au moment de la collecte : fins, moyens, droits d'accès et de rectification, droit de retirer son consentement, tiers concernés, communication possible hors Québec.
• Aviser la Commission et les personnes concernées de tout incident de confidentialité présentant un risque de préjudice sérieux, et tenir un registre de tous les incidents, communiqué à la Commission sur demande.
• Assurer par défaut le plus haut niveau de confidentialité des paramètres de tout produit ou service technologique offert au public.
• Respecter le droit à la portabilité (depuis le 22 septembre 2024) : communiquer, sur demande, les renseignements informatisés recueillis auprès d'une personne dans un format structuré et couramment utilisé.
• Divulguer à la Commission toute banque de caractéristiques biométriques au plus tard 60 jours avant sa mise en service, et obtenir le consentement exprès pour toute identification biométrique.

La Commission publie aussi le registre des personnes responsables dans les organismes assujettis ; une municipalité doit y figurer avec un responsable joignable.

Ce que ces obligations impliquent techniquement

La gouvernance suppose de savoir où sont les renseignements. Une municipalité de taille modeste a souvent des données réparties entre un fournisseur de logiciel municipal, une messagerie infonuagique, des postes locaux et des boîtes de courriel personnelles d'élus. L'inventaire, puis la réduction de cette dispersion, sont le premier chantier ; l'EFVP en est l'outil naturel à chaque changement.

Le registre des incidents suppose une capacité à détecter les incidents. Sans journaux conservés ni surveillance, une municipalité découvre l'incident quand le citoyen l'appelle.

Par où commencer : les contrôles de base

Pour la sécurité technique, le Centre canadien pour la cybersécurité propose des Contrôles de cybersécurité de base pour les petites et moyennes organisations (version 1.2), conçus pour les organisations aux ressources limitées, ce qui décrit la plupart des municipalités du Québec hors des grands centres. Dans l'ordre où nous les recommandons à une municipalité :

1. Un plan d'intervention en cas d'incident, avec les contacts hors bande (le conseil, le directeur général, le fournisseur, la police).
2. Des sauvegardes chiffrées avec des copies hors ligne, restaurées au moins une fois par an en exercice.
3. L'authentification multifacteur sur la messagerie, l'accès à distance et les consoles d'administration, y compris pour les élus.
4. Les correctifs automatiques sur les postes et les serveurs, et un calendrier négocié avec le fournisseur du logiciel municipal.
5. Des logiciels de sécurité activés et surveillés.
6. La séparation des réseaux : bureaux, systèmes de traitement des eaux et équipements industriels ne doivent pas partager le même réseau plat.
7. La formation du personnel et des élus, une fois par an, avec des exercices d'hameçonnage.
8. Un site Web à jour, en HTTPS, avec ses extensions corrigées.

Les autres contrôles (mobiles, périmètre, infonuagique, contrôle d'accès, supports amovibles) suivent une fois ces huit en place.

Financement et accompagnement

Les programmes d'aide aux municipalités évoluent d'une année à l'autre. Plutôt que de citer un programme qui pourrait avoir changé, vérifiez les programmes en vigueur auprès du ministère des Affaires municipales et de l'Habitation et du ministère de la Cybersécurité et du Numérique, et consultez votre MRC : plusieurs mutualisent des services informatiques ou des contrats de sécurité. Le Centre canadien pour la cybersécurité offre gratuitement ses guides et, pour l'analyse de fichiers suspects, son outil Assemblyline.

Notre rôle

Nous accompagnons les municipalités de la Montérégie et du Québec sur les deux fronts : l'audit et la conformité (règles de gouvernance, registre, EFVP, plan d'action ordonné) et la surveillance 24/7 avec réponse aux incidents, pour que le registre se remplisse à partir de ce que vous avez vu, pas de ce que les citoyens vous ont appris.