[LA VERSION PRONONCÉE FAIT FOI]
Bonjour et merci pour cette introduction.
Comme l’a mentionné, je suis Shelly Bruce, chef du Centre de la sécurité des télécommunications, le plus important organisme gouvernemental dont vous n’avez jamais entendu parler.
J’exagère… mais pas tant que ça.
D’après un récent sondage, seuls 3 % des Canadiens peuvent reconnaître le CST à partir d’une description de son mandat. Plus de 80 % des répondants n’avaient aucune idée de ce dont il s’agissait. Et 11 % des répondants nous ont confondus avec le SCRS.
Pendant la majorité de nos 75 ans d’histoire, être dans l’ombre nous convenait parfaitement.
Mais les choses changent et je peux vous assurer qu’à l’avenir, vous entendrez davantage parler du CST. Je reviendrai sur ce sujet dans un instant.
Permettez-moi tout d’abord de vous présenter le CST : qui nous SOMMES et ce nous FAISONS.
Le CST est l’organisme national de cryptologie du Canada.
En termes plus simples, le CST est un organisme de chiffrage et de déchiffrage.
Et en termes encore plus clairs, le CST a une riche histoire en matière de renseignement électromagnétique étranger et de sécurité des télécommunications dont les origines remontent à la Deuxième Guerre mondiale.
Ce qui a commencé comme un corps de transmissions à l’appui de l’effort de guerre britannique est rapidement devenu une combinaison des opérations militaires et civiles de renseignement. À la fin de la guerre, cette opération avait surpassé toutes les attentes et démontré l’efficacité et l’importance que représentait le renseignement canadien pour le partenariat continu entre les États-Unis et le Commonwealth dans la nouvelle ère de l’après-guerre.
Créée en 1946, la Direction des télécommunications du Conseil national de recherches (DTCNR) est devenue l’organisme national cryptologique du Canada. En 1975, la DTCNR a été renommée Centre de la sécurité des télécommunications et relève depuis du ministère de la Défense nationale.
Nous célébrons cette année les 75 ans de leadership du CST à titre d’organisme national du Canada, responsable du renseignement électromagnétique étranger et de la sécurité des télécommunications. Et bien que les priorités du gouvernement aient changé pour suivre les enjeux du jour et que la technologie ait évolué de façon exponentielle au cours des derniers trois quarts de siècle, les bases de notre mission n’ont pas changé : nous continuons d’offrir un avantage en matière d’information aux les décideurs du Canada et de protéger les systèmes et l’information d’importance nationale.
Nous sommes très fiers des réalisations de nos prédécesseurs, dont certains sont mieux connus que d’autres, du rôle qu’ils ont joué lors d’événements marquants à l’échelle mondiale et pour jeter les fondations d’éléments importants de l’informatique, des mathématiques et de l’intelligence artificielle.
Et c’est pourquoi vous entendrez parler davantage du CST à l’avenir : parce que les défis que nous devons relever de nos jours au service des Canadiens ont changé.
Aujourd’hui, nous vivons dans le « cybermonde ». Et c’est la spécialité du CST.
Et notre effectif est le cœur battant de cette spécialité.
Le CST compte encore aujourd’hui de brillants ingénieurs et mathématiciens, des codeurs et des spécialistes du cassage de codes, des linguistes et des analystes. Le CST compte aussi des chercheurs, des informaticiens, des scientifiques des données et des développeurs de logiciels, des analystes en cybersécurité et des maliciels, des spécialistes de la rétro-ingénierie… Et tous ces spécialistes reçoivent l’appui de nombreuses équipes talentueuses de l’ensemble de l’organisme qui consacrent aussi leurs efforts au bon déroulement de notre mission qui vise à assurer la sécurité du Canada et des Canadiens.
Le CST est avant tout un organisme technique qui vise une innovation continuelle. De plus, le CST est un organisme qui s’engage envers la diversité et le travail d’équipe, parce que les problèmes auxquels nous sommes confrontés ne cessent de se complexifier et que nous avons besoin de perspectives, de compétences et d’états d’esprit différents pour les résoudre.
À l’instar de leurs prédécesseurs, les sommités d’aujourd’hui au CST continuent de trouver de nouvelles solutions innovantes pour le Canada.
Voilà qui résume notre histoire. C’est ce que nous faisons et qui nous sommes.
Je voudrais aborder un dernier sujet avant de discuter de la préparation à la cybersécurité.
Je tiens à insister sur l’importance du mandat de renseignement étranger du CST.
Il est difficile d’expliquer dans quelle mesure le CST a dû sans cesse innover au cours des sept dernières décennies pour suivre le rythme de l’évolution dynamique des télécommunications mondiales et de la technologie. Mais le CST garde le cap et nous arrivons toujours à fournir au gouvernement des informations importantes sur les motivations, les intentions, les capacités et les activités des cibles étrangères du renseignement du Canada.
Aujourd’hui, nous continuons de fournir du renseignement étranger unique, en temps opportun et utile portant sur les enjeux, les crises et les événements qui touchent le Canada.
Notre renseignement étranger aide à protéger et appuyer les missions militaires canadiennes déployées à l’étranger, et aide nos partenaires canadiens du domaine de la sécurité à perturber les menaces terroristes et extrémistes qui ciblent le Canada, ainsi que les activités de contre-espionnage, d’ingérence étrangère et de criminalité transnationale.
S’il y a une chose que nous avons découverte au fil des années, c’est que, comme tout le monde, les auteurs de menace traditionnels profitent de l’environnement de la cybersécurité d’aujourd’hui pour soutenir et faire progresser leurs activités.
Les connaissances découlant du renseignement étranger que nous fournissons au gouvernement sont importantes pour les preneurs de décisions et les responsables des politiques dans le cadre de leurs opérations quotidiennes et aussi dans le contexte spécifique de notre discussion d’aujourd’hui.
Il n’est pas surprenant que notre programme de renseignement étranger fasse également la lumière sur les cybermenaces mondiales — qu’elles soient parrainées par un État ou criminelles — tandis que des personnes mal intentionnées derrière les claviers évaluent les possibilités, élaborent des campagnes et exploitent des systèmes pour recueillir nos secrets, notre propriété intellectuelle, nos renseignements personnels et données financières, pour extorquer de l’argent ou pour se positionner à des fins encore plus malveillantes et perturbatrices.
Maintenant que nous sommes tous sur la même longueur d’onde et que nous avons fait connaissance, laissez-moi vous expliquer pourquoi toutes ces fondations sont importantes lorsqu’on parle de la cybersécurité au 21e siècle.
Les Canadiens ont rapidement adopté la technologie et nous sommes très à l’aise en ligne. La pandémie a accéléré cette tendance.
Aujourd’hui, nous considérons l’enthousiasme des Canadiens envers la technologie comme un avantage national distinct. Cela sous-tend la prospérité et la compétitivité du Canada et touche aussi la qualité de vie des Canadiens… Imaginez simplement comment nous aurions fait pour gérer la pandémie sans pouvoir vivre et travailler en ligne comme nous l’avons fait. Et comme nous le faisons encore d’ailleurs.
Certes, il y a des avantages à tirer des technologies émergentes et à être en ligne, mais d’un autre côté, on nous rappelle quotidiennement les risques liés à ces pratiques. On parle de risques contre notre vie privée, notre sécurité économique et même notre sécurité personnelle et notre bien-être physique.
J’aimerais vous présenter un bref aperçu du contexte des cybermenaces comme nous le voyons. Ensuite, je vous parlerai de ce que fait le CST pour aider à atténuer les risques contre la cybersécurité.
En gros, il faut savoir que les menaces et l’exposition aux menaces prennent de l’ampleur, tout comme le nombre d’auteurs de menaces qui veulent exploiter les vulnérabilités humaines et techniques.
Nos données classifiées, sensibles et de sources ouvertes nous révèlent plusieurs choses.
Premièrement, nous savons que le cybercrime est la menace la plus courante et la plus répandue contre les Canadiens et les entreprises canadiennes. La fraude en ligne, les rançongiciels et le vol de données personnelles sont des crimes très lucratifs. En plus, de nos jours les auteurs de menaces vendent leurs outils et compétences en ligne, donc il n’est même plus nécessaire d’avoir une expertise technique pour être cybercriminel. Il s’agit d’une industrie florissante qui compte même des bureaux de services à la clientèle.
L’infrastructure essentielle et les grandes entreprises sont les cibles les plus lucratives des rançongiciels, car ce sont les secteurs les moins en mesure de tolérer une perturbation de leurs activités et ils disposent d’importantes ressources financières.
Nous savons aussi que des auteurs de menaces parrainés par différents États sondent les systèmes du gouvernement du Canada et nos infrastructures essentielles nationales, comme notre réseau électrique, dans le cadre de leurs stratégies malveillantes.
Je tiens à préciser que si ce n’était des tensions internationales, nous ne pensons pas que ces auteurs de menaces parrainés par un État chercheraient à couper l’électricité au Canada, mais vous pouvez être certains qu’ils essaient de développer ces capacités, au cas où ils en auraient éventuellement besoin.
Et à mesure que la technologie opérationnelle utilisée pour contrôler les infrastructures essentielles et les systèmes industriels devient de plus en plus connectée à Internet, l’exposition aux menaces s’étend et devient plus complexe. Nous savons qu’une complexité accrue se traduit par des risques accrus.
Les auteurs de cybermenaces de tous les horizons sont intéressés par la propriété intellectuelle canadienne. Ils ciblent les nouvelles entreprises, les commerces, le milieu universitaire, les ministères du GC, des organismes de recherche… Ils ciblent les entités qui détiennent des renseignements précieux dont ils peuvent se servir pour des gains financiers, des avantages stratégiques, ou les deux. Par exemple, durant la pandémie, nous avons observé des auteurs de menaces cibler les organismes responsables de la recherche liée aux vaccins. L’espionnage commercial généralisé et systématique prive le Canada de son avantage en matière d’innovation, au détriment de notre prospérité et de notre compétitivité future.
Les auteurs de menaces parrainés par un État visent en outre à influencer le discours politique, à semer la discorde et à nuire à la confiance que l’on accorde à la démocratie en répandant de la désinformation à une échelle industrielle. Ces tactiques ne se limitent plus aux périodes d’élections. Il s’agit désormais d’un phénomène mondial constant. Et même si le Canada n’est pas dans la ligne de mire d’une campagne ciblée, l’interdépendance de nos espaces d’information mondiaux signifie que nous ressentirons l’impact collatéral de ces efforts.
Et ce ne sont là que quelques exemples des menaces auxquelles nous sommes confrontés.
Pour un aperçu plus en détail des défis de cybersécurité que le Canada doit relever, je vous recommande fortement de lire l’édition 2020 de l’Évaluation des cybermenaces nationales du CST. En vente dans toutes les bonnes librairies.
Je blague. Vous pouvez la consulter en ligne, gratuitement. Cyber.gc.ca.
La cybersécurité n’est pas quelque chose d’abstrait. Les systèmes numériques n’existent pas en vase clos. Ils existent en relation avec les personnes et ont des conséquences réelles sur leur vie privée, leur prospérité et leur bien-être.
Je sais que tout cela semble un peu sinistre, mais, bonne nouvelle : nous pouvons toutes et tous jouer un rôle dans la prévention de ces risques envers la cybersécurité en créant une culture canadienne de la cybersécurité!
Voici la position du CST
On compte deux développements majeurs survenus au cours des dernières années qui ont aidé le CST à se positionner comme un leader plus efficace dans cet espace.
Le premier événement est survenu en 2018. Je parle de la mise sur pied du Centre pour la cybersécurité, qui réunit sous un même toit et sous l’égide du CST des décennies d’expérience liée à la mission et d’expertise provenant de partout au sein du gouvernement fédéral. Le Centre pour la cybersécurité jour un rôle davantage tourné vers le public et son mandat est de travailler avec l’industrie et le milieu universitaire afin de rehausser la cybersécurité partout au Canada. C’est le Centre pour la cybersécurité qui est responsable de la rédaction de l’Évaluation des cybermenaces nationales. Le site Web du Centre pour la cybersécurité compte de nombreux conseils en matière de cybersécurité ainsi que des conseils techniques à l’intention de différents publics cibles. Encore une fois : cyber.gc.ca. Je vous recommande vivement de consulter notre site Web.
Pour vous donner un exemple récent, le Centre pour la cybersécurité a consacré une grande partie de ses activités de la dernière année à des sujets liés à la pandémie, notamment en travaillant en partenariat avec le secteur canadien de la santé. Ainsi, le Centre pour la cybersécurité a pu alerter les responsables du domaine de la santé des menaces des indicateurs à surveiller, leur donner des conseils techniques, de l’assistance pratique et de la formation en matière de cybersécurité. À l’heure actuelle, des équipes du Centre pour la cybersécurité aident à protéger la distribution des vaccins contre les compromissions de cybersécurité.
La deuxième évolution majeure a été la refonte de notre législation.
En 2019, le Parlement a adopté la Loi sur le CST qui compte un mandat à plusieurs volets qui se renforcent mutuellement et qui nous positionne pour aider à relever les défis de cybersécurité du Canada.
Premier volet : le renseignement étranger. J’ai déjà mentionné que nous sommes l’autorité nationale en matière de renseignement électromagnétique étranger, ce qui veut dire que nous ciblons, accédons, décodons et analysons des communications étrangères conformément aux priorités du gouvernement en matière de renseignement.
Deuxième volet : nous sommes l’autorité technique nationale en matière de cybersécurité, ce qui signifie que nous pouvons fournir des moyens de cyberdéfense non seulement au gouvernement fédéral, mais aussi aux systèmes non fédéraux désignés, par exemple les secteurs de l’infrastructure essentielle.
Troisième volet : nous pouvons effectuer des cyberopérations à l’étranger, ce qui signifie que nous pouvons prendre des mesures en ligne pour défendre les intérêts du Canada et les faire avancer dans le cyberespace.
Et, le CST a aussi le mandat de faire appel à son expertise technique pour prêter main-forte à des partenaires fédéraux, y compris les Forces armées canadiennes, à effectuer des cyberopérations dans le cadre de leurs mandats respectifs et conformément à leurs propres pouvoirs. Cette approche permet d’éviter des dédoublements coûteux de capacités entre les ministères du GC.
Le mandat intégré et légiféré du CST a été conçu pour découvrir, détecter, identifier, les auteurs de cybermenaces et intervenir afin de nuire à leurs activités. Nos pouvoirs nous permettent de travailler avec une vaste gamme de partenaires qui nous permettent d’accroître notre unique valeur technique et opérationnelle.
Par où commençons-nous?
Les auteurs de menaces ont besoin de trois choses pour être efficaces : de la motivation, des capacités et des occasions de frapper. Notre travail consiste à nuire à une ou plusieurs de ces variables de manière à empêcher la réussite des auteurs de menaces.
La première priorité du CST est d’accroître la cybersécurité au Canada. Autrement dit, « la meilleure défense est une bonne défense ».
Nous devons faire ce qui suit :
Nous devons faire du cyberespace une cible plus difficile à atteindre.
Nous devons mettre en place des conséquences plus graves pour ceux qui veulent accéder à nos renseignements et nos systèmes.
Nous devons créer une culture nationale de collaboration en matière de cybersécurité, basée sur des partenariats solides et des pratiques exemplaires.
Et, nous devons intervenir rapidement et efficacement lorsque des incidents se produisent.
En tant qu’organisme du gouvernement fédéral, nous avons commencé, il a deux décennies de cela, à tourner notre attention vers nos propres systèmes. Aujourd’hui, le Centre pour la cybersécurité du CST travaille en étroite collaboration avec nos partenaires du gouvernement du SCT et SPC pour protéger les réseaux du gouvernement fédéral du Canada.
Le CST a beaucoup appris en concevant et en exploitant de vastes réseaux de capteurs basés sur le réseau et sur l’hôte pour protéger les informations sensibles qui résident sur ces systèmes.
Nous bloquons chaque jour des milliards d’actions contre des ministères et organismes qui se trouvent dans notre périmètre de protection. Nos défenses sont alimentées par l’intelligence artificielle et sont constamment perfectionnées grâce à ce que nous apprenons jour après jour. C’est ainsi que nous protégeons les secrets du Canada, nos recherches, notre propriété intellectuelle et les données personnelles des Canadiens.
Alors le système public fédéral est bien protégé. Qu’en est-il du secteur privé? Le CST joue un rôle plus large sur le plan national. Nous utilisons nos connaissances uniques découlant de nos capteurs fédéraux et de nos opérations de renseignement classifié et nous intégrons ces informations à nos évaluations publiques des menaces, ainsi qu’à nos conseils pratiques et notre soutien aux entreprises canadiennes.
Nous publions des alertes et des conseils lorsqu’une attention urgente est nécessaire, par exemple dans les cas des compromissions Solar Winds et Microsoft Exchange.
Nous avons mis en place d’étroits partenariats internationaux qui durent depuis plusieurs décennies et qui rendent possibles de précieux échanges d’informations techniques et sur les menaces.
Nous partageons également des indicateurs spécifiques de compromis avec des partenaires du secteur privé lorsque ces derniers peuvent aider à renforcer les défenses des cibles potentielles.
De plus, nous partageons des outils et des solutions que nous avons élaborés à l’interne. Je pense notamment à AssemblyLine, un outil d’analyse et de détection de logiciels malveillants, qui a été téléchargé par des entreprises canadiennes et étrangères de premier plan environ 3000 fois au cours des quatre dernières années, et nous voyons maintenant d’autres experts en cybersécurité et développeurs de sources ouvertes du monde entier s’appuyer sur cet outil et l’améliorer constamment.
Nous travaillons en étroite collaboration avec nos partenaires nationaux des télécommunications, de l’énergie, des finances, du transport et, surtout depuis la dernière année, du secteur de la santé. Nous avons rehaussé la barre pour ceux et celles qui combattent la pandémie, tant au gouvernement que dans les hôpitaux, les centres de recherche médicale, les universités ou dans le cadre du développement d’un vaccin et de sa distribution.
Nous appliquons ce que nous avons appris dans le cadre de notre mission afin de rendre Internet plus sécuritaire pour les Canadiens.
Sur le plan national, nous comptons le Bouclier canadien, une application téléchargeable gratuitement de l’autorité canadienne pour les enregistrements Internet qui empêche les utilisateurs de se connecter par inadvertance à des sites Web malveillants. Depuis son lancement l’année dernière, le Bouclier canadien a bloqué plus de 20 millions de tentatives de connexions à des domaines malveillants.
Nous nous efforçons d’empêcher des auteurs de menaces d’usurper des domaines du gouvernement du Canada. Depuis mars dernier, nous avons travaillé avec des partenaires du secteur privé pour supprimer plus de 7000 domaines malveillants qui se faisaient passer pour des sources officielles du gouvernement. Ce travail est particulièrement important depuis le début de la pandémie. L’Agence de la santé publique du Canada et les sites Web liés à prestation canadienne d’urgence ont été certains des domaines les plus souvent usurpés. Cela a contribué à réduire le risque que les Canadiens soient exposés à de la désinformation, soient victimes de fraudes ou de campagnes d’hameçonnage visant à voler leurs renseignements personnels.
On compte aussi notre programme Pensez cybersécurité, une campagne de sensibilisation qui offre des conseils en cybersécurité efficaces, faciles à mettre en œuvre et présentés de façon décontractée.
L’objectif de Pensez cybersécurité est d’armer 38 millions de Canadiens des connaissances de base en cybersécurité pour qu’ils puissent prendre la place qui leur revient dans les premiers rangs des défenses du Canada contre les cybermenaces.
Consultez Pensez cybersécurité dans les médias sociaux. Vous verrez ce dont je parle.
Ce ne sont que quelques exemples qui illustrent comment nous essayons d’accroître la sécurité du Canada en ligne, en dissuadant les auteurs de cybermenaces de s’attaquer à notre pays.
Mais le Canada n’existe pas en vase clos. Même la meilleure posture de sécurité nationale doit considérer la place du Canada dans le contexte mondial de la cybersécurité, au sein d’une collectivité de pays qui partagent les mêmes valeurs et qui s’engagent envers un Internet ouvert, sûr, accessible et inclusif.
Notre premier objectif est d’accroître la cybersécurité du Canada et notre deuxième objectif est de créer de la stabilité et de la prévisibilité dans le cyberespace mondial.
Comment y parvenons-nous?
Le Canada travaille avec ses partenaires internationaux afin de définir ce qui est considéré comme un comportement responsable pour assurer sa cybersécurité, puis promouvoir ces paramètres conformément aux normes convenues en matière de cybersécurité. Le CST appuie ses collègues d’Affaires mondiales Canada qui sont à la tête de cet effort, de concert avec des groupes multilatéraux et des partenaires alliés, et qui élaborent la stratégie internationale de cybersécurité du Canada ainsi que notre initiative de « cyberdiplomatie ».
Définir des comportements de cybersécurité qui représentent une norme est très important.
Ainsi, le Canada est en position d’intervenir lorsque ses intérêts nationaux sont menacés par ce que nous considérons des comportements irresponsables en matière de cybersécurité. Notre intervention peut s’appuyer sur un large éventail de mesures traditionnelles, y compris des interventions diplomatiques ou même des attributions publiques. Au cours des dernières années, nous avons décrié publiquement les comportements irresponsables en cybersécurité qui dépassaient les bornes.
Le Canada ne doit pas seulement faire la promotion des nouvelles normes en cybersécurité, mais aussi les respecter.
Le Parlement a donné au CST le mandat d’utiliser ses capacités techniques de manière responsable dans le cyberespace — au-delà de la collecte de renseignement — pour protéger et promouvoir les intérêts du Canada dans les domaines des affaires internationales, de la défense et de la sécurité, notamment en prenant des mesures pour perturber les comportements irresponsables en ligne.
Ces pouvoirs et les activités qu’ils rendent possibles sont des outils essentiels pour le Canada.
D’un autre côté, nous devons nous assurer que ces activités s’inscrivent dans les paramètres des comportements normalisés du cyberespace.
La Loi sur le CST renforce la position du Canada sur ce qui constitue un comportement raisonnable et proportionnel dans le cyberespace, et qui respecte les lois internationales et les valeurs canadiennes.
Les cyberopérations étrangères du Canada doivent satisfaire aux priorités du gouvernement du Canada. Elles ne doivent pas dépasser les limites prévues par la loi et les politiques et doivent être autorisées par le ministre de la Défense nationale, après avoir consulté le ministre des Affaires étrangères.
Je ne peux pas vous en dire plus sur ces activités, mais il est important de souligner que nos cyberopérations à l’étranger font l’objet d’examens par des organes d’évaluation indépendants.
Une fois réunis, ces efforts — rehausser la sécurité, définir des comportements appropriés, être exemplaires — aideront à améliorer la préparation du Canada en matière de cybersécurité et notre résilience dans le monde numérique. Les activités du CST n’élimineront pas entièrement la motivation, les capacités ou les occasions de frapper des cybercriminels, mais elles servent à créer de nouveaux obstacles et mises en garde visant à dissuader les auteurs de menaces. Et en fin de compte, cela nous permettra de diriger notre attention sur ceux qui sont les plus déterminés à essayer d’atteindre leurs objectifs malveillants.
Pour conclure…
Le CST s’engage à protéger les renseignements des Canadiens et les infrastructures essentielles de notre pays, et à créer un écosystème numérique sécuritaire au Canada.
Notre mandat nous demande d’observer les menaces, de nous y préparer, de les contrecarrer, d’intervenir, et, au fil du temps, de les prévenir.
Notre culture d’innovation, notre expérience, notre diversité et notre expertise façonnent l’approche que nous adoptons pour relever cet immense défi, mais le CST ne peut pas faire cavalier seul.
Le gouvernement non plus.
Il s’agit d’un sujet de société qui nécessite l’intervention de l’ensemble de la société.
Dans chacun des exemples d’aujourd’hui, vous avez entendu parler des partenaires avec lesquels nous travaillons et grâce auxquels nous amplifions notre valeur unique à l’échelle nationale, et parfois internationale.
C’est pourquoi le CST s’ouvre à autant de nouveaux horizons, pour continuer à faire évoluer ces partenariats.
C’est pourquoi, je l’espère, de plus en plus de Canadiens commencent à comprendre qui nous sommes et ce que nous faisons.
Certes, le CST n’est pas encore entièrement à l’aise face au public.
Or, assurer la sécurité du Canada et des Canadiens en innovant et grâce à l’excellence technique… ça fait partie de l’ADN de notre organisme.
J’ai confiance.
Je suis certaine que si nous jouons tous notre rôle — le gouvernement, le secteur privé, les citoyens canadiens — nous pouvons être mieux préparés et plus résilients, tous ensemble.
Et nous pourrons en venir à penser à Internet non pas comme un endroit où se cachent des menaces, mais comme un endroit où nous pouvons promouvoir le commerce numérique et faire avancer les intérêts du Canada, et où les Canadiens peuvent en toute confiance et en toute sécurité vivre et travailler en ligne.