500. Généralités Le gouvernement fédéral est chargé d'attribuer les cotes de sécurité appropriées à ses renseignements et à ses biens; il doit également faire en sorte que ces cotes soient respectées. Les cotes en usage au gouvernement sont : PROTÉGÉ A, B et C, ainsi que CONFIDENTIEL, SECRET, TRÈS SECRET. Lorsqu'on attribue à l'entreprise privée un contrat comprenant la protection de données ou de biens selon une de ces cotes de sécurité, il incombe à l'agent de sécurité d'entreprise de consulter le ministère compétent afin de savoir quelle cote de sécurité a été attribuée aux documents internes à l'appui de ce contrat. Leur auteur doit alors veiller à ce que cette cote soit clairement indiqué et à ce que les documents soient protégés comme il se doit. 4. 5. Les carences dans la manipulation et la protection des PROTÉGÉ et CLASSIFIÉS sont la principale cause des difficultés qui entraînent la suspension ou la révocation d'une attestation d'organisation désignée ou d'une attestation de sécurité d'installation. En adoptant les procédures décrites dans le présent chapitre, on pourra réduire les risques d'infraction et/ou de contravention aux règles de la sécurité. Seules les personnes qui ont subi l'enquête de sécurité ou la vérification de la fiabilité en bonne et due forme et qui ont le besoin de connaître doivent avoir accès à ces renseignements et à ces biens. Il faut prendre des précautions pour s'assurer que les personnes qui n'ont pas d'attestation et qui peuvent se trouver à proximité des renseignements ou des biens visés n'y auront pas accès. Il faut porter une attention particulière aux exigences relatives au contrôle et à l'enregistrement des renseignements et des biens et aux procédures à appliquer pour les emballer et les transmettre, conformément à la Politique du gouvernement sur la sécurité. Il existe d'autres exigences pour la manipulation des renseignements et des biens COMSEC, en plus des mesures de protection exposées dans le présent chapitre. (Veuillez consulter le Manuel de contrôle du matériel industriel COMSEC.) 50 Mise en garde sur la sécurité pour les publications produites par les entrepreneurs Lorsque l'entrepreneur produit, pour le compte du gouvernement du Canada, une publication renfermant des renseignements PROTÉGÉS, il faut reproduire la mise en garde suivante sur la page de couverture et la page de titre: Cette publication renferme des renseignements PROTÉGÉS, dont il faut assurer la protection en vertu des dispositions de la Politique du gouvernement sur la sécurité. Elle a été produite par (nom de l'entrepreneur) en vertu des dispositions (du contrat ou de l'autorisation portant le numéro) pour le compte du (gouvernement du Canada ou du ministère, selon le cas). Il est interdit de remettre ou de transmettre cette publication ou les renseignements qu'elle renferme à toute personne qui n'est pas autorisée par l'organisation émettrice. Sauf indication contraire du contrat, toutes les publications et brochures et tous les guides CLASSIFIÉS produits par un entrepreneur pour le gouvernement du Canada doivent comprendre, en plus des indicateurs normaux de classification de la sécurité prescrits dans le présent chapitre, la mise en garde suivante, sur la page couverture et la page de titre : Cette publication renferme des renseignements CLASSIFIÉS touchant l'intérêt national du Canad Elle a été produite par (nom de l'entrepreneur) en vertu des dispositions (du contrat ou de l'autorisation portant le numéro) pour le compte du (gouvernement du Canada ou ministère le cas échéant) et doit être protégée manipulée et transportée 1
Canada ou ministère, le cas échéant) et doit être protégée, manipulée et transportée conformément à la Politique du gouvernement sur la sécurité. La Loi sur la protection de l'information interdit de remettre ou de transmettre cette publication ou les renseignements CLASSIFIÉS qui y sont reproduits à toute personne qui n'est pas autorisée à les recevoir.." Lorsqu'un entrepreneur produit des publications CLASSIFIÉES pour le compte d'un ministère ou d'une organisation d'un gouvernement étranger, cette mise en garde doit être formulée conformément aux modalités précisées dans les documents contractuels. Pour des conseils ou de l'aide, on peut s'adresser à la DSII. 50 Annotation des renseignements protégés et classifiés Généralités Les renseignements PROTÉGÉS et CLASSIFIÉS doivent au moins être annotés conformément aux normes précisées dans le présent manuel. Annotation Les organisations doivent appliquer les procédures suivantes pour annoter l'information : e. f. g. h. pour les Renseignements PROTÉGÉS, inscrire la mention PROTÉGÉ dans le coin supérieur droit de la page de couverture du document et, au besoin, les lettres A, B ou C pour indiquer le niveau de la cote de protection; pour les renseignements CONFIDENTIEL, inscrire la classification dans le coin supérieur droit de chaque page du document; pour les renseignements SECRET, inscrire la classification dans le coin supérieur droit de chaque page du document; pour les renseignements TRÈS SECRET, inscrire la classification dans le coin supérieur droit de chaque page du document et indiquer le nombre total de pages sur chaque page de ce document (par exemple, page 2 de 10); annoter les lettres ou les formulaires d'accompagnement ou de transmission ou les bordereaux de transmission pour indiquer le niveau plus élevé de classification ou de protection des pièces jointes; annoter tous les documents utilisés dans la préparation des renseignements PROTÉGÉS et CLASSIFIÉS, par exemple les notes, les ébauches, les copies conformes et les photocopies; les lettres utilisées dans l'annotation doivent être plus grosses que celles qui dont utilisées dans le texte du document; les formulaires imprimés qui ne deviennent PROTÉGÉS et CLASSIFIÉS que lorsqu'ils sont remplis doivent être annotés comme suit : CONFIDENTIEL (une fois rempli) j. k. en plus d'annoter les différentes pages conformément aux modalités précisées ci-dessus, les documents doivent porter la mention appropriée sur la première et sur la dernière de couverture; les documents en feuilles détachées doivent porter une mention sur chaque feuille; les graphiques, les plans et les dessins, entre autres, doivent porter une mention évidente près de la marge ou du titre; on doit pouvoir lire clairement cette mention lorsque le 2
document est plié; l. les mentions de sécurité doivent comprendre la cote de classification ou de protection applicable et la date ou l'activité donnant lieu à la déclassification ou la décote du document, s'il est possible de le déterminer à la date à laquelle l'information est créée ou réunie. Annotation des exemplaires Les organisations doivent appliquer les procédures suivantes pour le contrôle des exemplaires des documents CLASSIFIÉS : contrôler les exemplaires des documents CONFIDENTIEL comme s'il s'agissait de documents SECRET, dans les cas où une évaluation des menaces et des risques le justifie; pour les renseignements SECRET, numéroter chaque exemplaire, inscrire le numéro de l'exemplaire sur la couverture de chaque exemplaire et tenir une liste des destinataires; pour les documents TRÈS SECRET, attribuer un numéro entier et unique à chaque exemplaire, en inscrivant ce numéro sur chaque page, et tenir une liste des destinataires. Les destinataires des documents TRÈS SECRET ne doivent pas les copier sans l'autorisation expresse de la DSIC. 4. Annotation des microformulaires Le terme générique microformulaire désigne tous les supports d'archivage renfermant des micro-images. Les organisations doivent appliquer les procédures suivantes pour l'annotation des microformulaires : i ii attribuer une classification de sécurité ou une cote de protection correspondant au niveau supérieur de classification ou de protection des renseignements reproduits dans le microformulaire; annoter les microformulaires comprenant des renseignements PROTÉGÉS en y indiquant la mention PROTÉGÉ pour qu'elle soit lisible, de même qu'en rappelant le numéro de chaque microformulaire et le nombre total de microformulaires; annoter les microformulaires comportant des renseignements CLASSIFIÉS en y indiquant la cote de classification adéquate sous une forme lisible, en y indiquant le numéro de chaque microformulaire et le nombre total de microformulaires. 5. Annotation du matériel d'archivage électronique e. Il faut attribuer une classification de sécurité et de cote de protection correspondant au niveau supérieur de classification ou de protection des renseignements au matériel électronique sur lequel sont archivés des renseignements PROTÉGÉS et CLASSIFIÉS. Dans toute la mesure du possible, la mention de sécurité doit être lisible par les personnes comme par les machines. Si cela n'est pas possible, par exemple pour certains types de disques durs, la mention de sécurité doit être lisible à la machine. Le matériel d'archivage électronique comprend les disquettes, les disques durs (amovibles et permanents), les cartouches d'archivage, les imprimés d'ordinateur, les terminaux à écran, les bandes et les cassettes magnétiques, de même que les cartes et les bandes perforées. Le matériel d'archivage amovible devrait porter des étiquettes normalisées. Si on autorise l'invalidation de l'étiquetage, il faut appliquer des procédures pour s'assurer qu'on archive les bons renseignements sur l'ordinateur. (Cf. le chapitre 8 du présent manuel.) La DSIC peut donner certains conseils sur la manière d'annoter les différents formulaires d'archivage électronique 3
6. Documentation internationale Les documents doivent être annotés conformément aux protocoles d'entente, aux accords ou autres normes et lignes directrices internationales sur la sécurité. Pour des conseils et de l'aide, on peut s'adresser à la DSIC. 50 Gestion des dossiers Généralités Les organisations doivent conserver les dossiers en se dotant d'installations adéquates, par exemple un bureau d'archivage, pour recevoir, distribuer et archiver ou conserver les renseignements et les biens PROTÉGÉS et CLASSIFIÉS. Enregistrement des renseignements et des biens PROTÉGÉS Sauf indication expresse dans un contrat, il n'est pas nécessaire de tenir des registres de renseignements et de biens PROTÉGÉS, à l'exception des renseignements et des biens PROTÉGÉS C, qui doivent être enregistrés comme des renseignements et des biens CLASSIFIÉS. Les personnes qui reçoivent des renseignements et des biens PROTÉGÉS ou qui y ont accès doivent participer à une séance d'information sur leurs responsabilités en ce qui concerne la protection de ces renseignements et de ces biens. Enregistrement des renseignements et des biens CLASSIFIÉS On doit tenir le registre des dates, des noms et des opérations pour tous les renseignements et les biens CLASSIFIÉS; ce registre doit indiquer : i ii iv. v. v les dates de réception dans les installations; les dates de distribution dans les installations; l'origine dans les installations; les dates de reproduction dans les installations; les dates de destruction dans les installations; les dates de transmission en dehors des installations. Lorsqu'on transmet des renseignements et des biens en dehors des installations, il faut respecter les modalités de l'article 505 du présent chapitre. Les registres faisant état de la distribution, de la diffusion et du retour dans les installations doivent comprendre la signature des responsables qui en accusent réception. Les personnes qui ont accès à des renseignements et à des biens CLASSIFIÉS doivent participer à une séance d'information sur leurs responsabilités en ce qui concerne la protection de ces renseignements et de ces biens et toutes les restrictions particulières concernant leur utilisation ou leur diffusion. vi Tous les registres de renseignements et de biens CLASSIFIÉS et tous les renseignements et biens CLASSIFIÉS doivent pouvoir être inspectés par les agents locaux de la sécurité industrielle de la DSIC 4. Sécurité du bureau d'archivage Dans la gestion des bureaux d'archivage ou de certaines parties de ces bureaux, dans lesquels on 4
conserve ou traite des renseignements PROTÉGÉS, on doit veiller à appliquer les procédures suivantes : e. f. g. h. j. ces bureaux doivent être gérés, à tout le moins, comme des zones de sécurité; les employés des bureaux d'archivage qui ont accès à des renseignements PROTÉGÉS doivent être titulaires d'une attestation de sécurité du personnel ou d'une attestation de vérification approfondie de la fiabilité au niveau supérieur exigé; les documents PROTÉGÉS et CLASSIFIÉS doivent être classés et diffusés dans des chemises annotées et indiquant clairement qu'elles renferment ce type de documents; on doit indiquer sur les dossiers la cote de sécurité la plus élevée des documents qui y sont conservés; les zones où l'on dépouille le courrier doivent être gérées conformément aux normes de sécurité sur les salles de courrier (cf. l'article 505 de ce chapitre); seuls les employés qui justifient de l'attestation de vérification approfondie de la fiabilité et le besoin connaître peuvent emporter des dossiers PROTÉGÉS hors des bureaux d'archivage; seuls les employés titulaires de la cote de sécurité voulue et le besoin de connaître peuvent emporter des dossiers CONFIDENTIEL hors des bureaux d'archivage; seuls les employés justifiant des cotes de sécurité voulues et le besoin de connaître peuvent emporter les dossiers TRÈS SECRET et SECRET hors des bureaux d'archivage. Les membres du personnel titulaires de ces droits d'accès doivent être inscrits dans une liste approuvée par le gestionnaire compétent (par exemple, le gestionnaire du projet); les renseignements CLASSIFIÉS d'origine étrangère doivent faire l'objet des mêmes mesures de protection que les renseignements canadiens de classification équivalente (en cas de doute, veuillez consulter la DSII); il faut prendre des précautions particulières pour éviter de diffuser sans autorisation, auprès de citoyens étrangers, des renseignements et des biens CLASSIFIÉS ou pour empêcher qu'ils y aient accès. Ces citoyens ne doivent pas avoir accès à des renseignements portant des mentions restrictives comme RÉSERVÉS AUX CANADIENS sans l'approbation préalable de la DSIC. D'autres restrictions peuvent s'appliquer aux contrats, aux programmes ou aux projets bilatéraux et/ou multinationaux. (En cas de doute, veuillez contacter la DSIC.) 5. Sécurité des zones dans lesquelles on dépouille le courrier Les zones dans lesquelles on dépouille le courrier doivent être gérées comme des zones de sécurité ou de haute sécurité, selon le cas. Le courrier portant la mention Ne doit être ouvert que par le destinataire doit être livré directement à ce destinataire. Le courrier CLASSIFIÉ ne doit être ouvert que par le responsable désigné pour l'enregistrement de ce courrier dans les installations. 504. Protection des renseignements et des biens Archivage Les renseignements protégés et les biens PROTÉGÉS doivent être conservés, à tout le moins, dans un contenant fermant à clé. Les renseignements et les biens PROTÉGÉS C et tous les renseignements CLASSIFIÉS doivent être conservés dans une armoire de sécurité approuvée et conforme au guide G1-001 émis par la sous-direction de la sécurité technique de la GRC. Les renseignements et les biens PROTÉGÉS ou CLASSIFIÉS peuvent être conservés sur des étagères libres dans une salle protégée, uniquement après une inspection et avec l'approbation de la DSIC et seulement au niveau approuvé par cette dernière. Les renseignements et les biens PROTÉGÉS et CLASSIFIÉS ne doivent pas être conservés dans la même armoire que des effets négociables ou des biens attrayants. 5
Les organisations qui doivent conserver des renseignements et des biens PROTÉGÉS et CLASSIFIÉS peuvent acheter l'équipement de sécurité approuvé par l'entremise de Travaux publics et Services gouvernementaux Canad En collaboration avec l'agent local de la sécurité industrielle, l'agent de sécurité de l'entreprise ou son substitut doit déterminer l'équipement permettant de répondre aux exigences précisées et soumettre une demande à l'agent local de la sécurité industrielle à l'aide du formulaire intitulé «Document de demande d'inscription pour l'achat d'équipement», reproduit dans l'annexe 5-A du présent chapitre. Lorsque l'agent local de la sécurité industrielle a donné son accord, TPSGC traite la demande, toutefois, en ce qui concerne le paiement et consigne pour la livraison de l'équipement, ceci tombe sous la responsabilité de l'entreprise (l'agent de sécurité de l'entreprise) et du fournisseur. Le lecteur trouvera, dans l'annexe 5-B de ce chapitre, des exemples de biens d'équipement qu'on peut acheter conformément à cette procédure. Clés pour les armoires Les clés (et les dispositifs comme les instruments, les cartes, les combinaisons et les numéros de code utilisés pour ouvrir et fermer les armoires) doivent être protégées selon le niveau supérieur de confidentialité des renseignements ou des biens auxquels elles donnent accès. Ces modalités s'appliquent également aux renseignements enregistrés qui permettraient de produire des clés. Lorsqu'on remet des clés, on doit demander à la personne qui les reçoit d'apposer sa signature dans un registre. On doit noter dans ce registre, que l'agent de sécurité de l'entreprise doit conserver, le numéro des clés, les coordonnées des armoires qu'elles permettent d'ouvrir et les noms des destinataires de ces clés. Le bureau de sécurité de l'organisation doit conserver un registre des dates de changement de clé et des motifs expliquant ces changements. Il faut changer les clés confiées à des employés : i ii au moins une fois tous les douze (12) mois; lorsque les employés qui ont accès aux armoires sont mutés, congédiés ou n'ont plus à y avoir accès. Lorsqu'on a tenté ou qu'on a pu essayer d'ouvrir une armoire, on doit en changer immédiatement les clés. Précautions à prendre pendant l'utilisation Il faut prendre des mesures particulières pour protéger les renseignements et les biens PROTÉGÉS et CLASSIFIÉS contre la divulgation et l'accès sans autorisation lorsqu'on les sort des armoires ou des contenants approuvés. Voici les points particuliers à observer : on ne doit pas laisser sans surveillance des renseignements et des biens PROTÉGÉS et CLASSIFIÉS; on doit s'assurer que les personnes qui ne sont pas titulaires de l'attestation de sécurité ou de la cote de fiabilité voulue ou qui n'ont pas le besoin de connaître ne peuvent pas consulter les renseignements et les biens PROTÉGÉS et CLASSIFIÉS ou entendre des discussions à ce sujet. 505. Utilisation des ordinateurs portatifs Dans l'éventualité où il faut utiliser des ordinateurs portatifs pour traiter des renseignements PROTÉGÉS ou CLASSIFIÉS, ces ordinateurs ne DOIVENT PAS être enlevés de l'organisation qui possède l'attestation de sécurité d'installation ou la vérification de l'organisation désignée. Dans l'éventualité où il serait nécessaire de transporter ces mêmes ordinateurs portatifs, il faut obtenir 6
une permission écrite de l'agent de sécurité d'entreprise ou d'un agent de sécurité d'entreprise remplaçant par le biais d'un ordre de mission de courrier (voir annexe 5D, appendice A-1 de ce chapitre). L'entreposage des ordinateurs portatifs qui traitent des renseignements PROTÉGÉS ou CLASSIFIÉS doit être conforme aux procédures de sécurité mises en œuvre par l'organisation pour le niveau de sensibilité des renseignements. 506. Emballage et transmission des renseignements et des biens CLASSIFIÉS et PROTÉGÉS La sécurité des renseignements et des biens PROTÉGÉS et CLASSIFIÉS pendant la transmission dépend : de la qualité de l'emballage; du relevé en cours de transport; du relevé de livraison; de la transmission par un service postal approuvé ou par un messager titulaire d'une attestation de sécurité. (Veuillez contacter la DSII en ce qui concerne les services postaux approuvés et les messagers titulaires d'une attestation de sécurité.) Les renseignements et les biens PROTÉGÉS et CLASSIFIÉS doivent être emballés et transmis conformément aux normes exposées dans l'annexe 5-C du présent chapitre. En outre, il faut prendre des procédures particulières pour le transport en mains propres et/ou l'expédition en vrac de certains renseignements et biens PROTÉGÉS et CLASSIFIÉS. Ces procédures sont précisées dans les annexes 5-D et 5-E (et dans les appendices de ces annexes) du présent chapitre. 507. Enlèvement temporaire de renseignements et de biens CLASSIFIÉS et PROTÉGÉS 4. 5. On ne peut emporter, hors des établissements d'une organisation, pour les transporter ou s'en servir hors du Canada, des renseignements ou des biens PROTÉGÉS et CLASSIFIÉS sans l'approbation préalable de la DSIC. Au Canada, à l'exception du matériel TRÈS SECRET, PROTÉGÉ C et COMSEC, on peut emporter temporairement, en dehors des établissements d'une organisation, des renseignements et des biens PROTÉGÉS et CLASSIFIÉS. Il faut demander l'autorisation écrite de l'agent de sécurité de l'entreprise ou de son substitut autorisé au moyen d'un ordre de mission de messager. (Cf. l'appendice A-1 de l'annex 5-D de ce chapitre.) L'agent de sécurité de l'entreprise ou son substitut enregistre les renseignements et les biens à emporter et se font délivrer un accusé de réception Si on autorise l'enlèvement, du jour au lendemain, de renseignements et de biens PROTÉGÉS et CLASSIFIÉS, il faut faire savoir à l'employé qu'il ne s'agit pas d'une autorisation permanente et que les renseignements et les biens visés peuvent rester en sa possession en permanence. L'agent de sécurité de l'entreprise ou son substitut doit justifier et enregistrer le matériel lorsqu'il est retourné et remettre à l'employé un accusé de réception du matériel retourné. 508. Reproduction Les reproductions de documents PROTÉGÉS doivent être annotées selon les mêmes modalités que des originaux. Les renseignements CLASSIFIÉS ne doivent être reproduits qu'avec l'autorisation de 7
l'agent de sécurité de l'entreprise ou d'un substitut autorisé. Les documents reproduits doivent être annotés, enregistrés et justifiés selon les mêmes modalités que les originaux. 4. Certains documents CLASSIFIÉS portent une mise en garde qui en interdit ou en restreint la reproduction. Il faut alors demander l'autorisation de l'auteur avant de les reproduire. On ne doit JAMAIS reproduire, sans l'autorisation écrite de la DSIC, des documents TRÈS SECRET, PROTÉGÉS C et COMSEC. Il faut prendre des précautions particulières lorsqu'on se sert de photocopieurs. On doit apposer bien en vue, près de chaque photocopieur, les avis portant sur la marche à suivre pour la reproduction des documents. Il faut veiller à s'assurer qu'on ne laisse pas de documents originaux sur les photocopieurs et qu'on enlève toutes les copies, y compris les documents à jeter. Les contrats d'impression et/ou de microfichage des documents PROTÉGÉS et CLASSIFIÉS ne doivent être attribués qu'à des entreprises commerciales titulaires de l'attestation de sécurité d'installation ou de l'attestation de l'organisation désignée voulue. 509. Reclassification et déclassification Les documents dont les mentions de classification prévoient un calendrier de déclassification ou de décote peuvent être déclassifiés ou décotés selon ce calendrier, sauf si on a reçu un avis produisant l'effet contraire. Les documents qui ne comportent pas ces mentions ne peuvent être déclassifiés ou décotés qu'après avoir reçu l'autorisation écrite de l'auteur par l'entremise de la DSIC. Lorsqu'une organisation considère que des documents CLASSIFIÉS devraient être déclassifiés ou décotés, elle doit soumettre à la DSII une demande écrite comportant des détails complets, y compris une justification. Lorsque la DSIC transmet un avis officiel autorisant la reclassification d'un document, tous les exemplaires doivent être annotés de nouveau et porter la nouvelle mention de classification, à savoir: (Document déclassifié) ou (Document décoté au niveau) ou (Document surcoté au niveau) (en vertu des pouvoirs de) (Lettre de TPSGC en date du) ou (LVERS en date du) ou (Contrat en date du) 510. Conservation Les documents et les biens PROTÉGÉS et CLASSIFIÉS doivent, lorsqu'une proposition n'est pas acceptée ou à la fin d'un contrat, être rendus à la DSIC pour élimination, ou encore, avec l'accord écrit de la DSIC, être détruits par l'organisation ou être retournés à l'auteur. Sur demande, les organisations peuvent être autorisées à conserver ces documents avec l'approbation de l'auteur, et livrée par l'entremise de la DSIC. Les demandes d'autorisation de conservation doivent faire état des documents visés, de la période pendant laquelle ils seront conservés et de la raison justifiant leur conservation. Si l'organisation a été autorisée à conserver des documents PROTÉGÉS et CLASSIFIÉS pour une durée précise après la fin du contrat, la demande de conservation doit comprendre des détails sur cette autorisation. À moins de recevoir par écrit l'autorisation permettant de les conserver, les documents PROTÉGÉS et 8
CLASSIFIÉS doivent être éliminés conformément aux dispositions du présent manuel et aux instructions de la DSIC. 51 Destruction Sauf indication contraire, il faut retourner à la DSIC, pour élimination, les renseignements et les biens PROTÉGÉS C, TRÈS SECRET, COMSEC et les renseignements et les biens étrangers CLASSIFIÉS. Sauf indication contraire, l'organisation peut, avec l'approbation de la DSIC, détruire les renseignements et les biens PROTÉGÉS A et B, SECRET, et CONFIDENTIEL d'origine canadienne. Nota : il faut noter la destruction des renseignements et des biens CLASSIFIÉS dans un certificat de destruction, dont un exemplaire doit être transmis à la Section du contrôle des documents de la DSIC. Il faut éliminer conformément aux dispositions suivantes les renseignements et les biens PROTÉGÉS et CLASSIFIÉS dont on a autorisé la destruction : e. on ne doit les détruire qu'à l'aide de biens d'équipement de destruction approuvés ou dans un établissement autorisé par la DSIC; les renseignements qui attendent d'être détruits ou qu'on achemine à l'établissement où ils seront détruits doivent être PROTÉGÉS selon les modalités prescrites pour les renseignements et les biens comportant la plus haute de protection et de classification; les renseignements et les biens PROTÉGÉS et CLASSIFIÉS qu'on attend de détruire doivent être conservés à part des autres renseignements et biens à détruire; un employé possédant l'autorisation de sécurité ou de viabilité voulue, selon le cas, doit surveiller la destruction des renseignements PROTÉGÉS ou CLASSIFIÉS, respectivement; les exemplaires excédentaires et les documents à jeter qui pourraient comprendre des renseignements PROTÉGÉS et CLASSIFIÉS doivent être protégés selon le niveau de classification voulu et être détruits rapidement. 51 Règles de sécurité : contraventions, violations et compromissions Les organisations doivent instituer une procédure pour s'assurer d'enregistrer les cas présumés ou réels de contraventions (*), de violations et de compromissions relativement aux règles de sécurité et les signaler immédiatement à l'agent de sécurité de l'entreprise. Elles doivent conserver les dossiers pendant deux ans suivant les incidents; ces dossiers doivent pouvoir être inspectés par l'agent local de la sécurité industrielle. Lorsqu'on lui signale ces cas, l'agent de sécurité de l'entreprise doit immédiatement procéder à une enquête préalable sur l'incident afin de connaître toutes les circonstances et de répondre aux questions suivantes : e. Quelle est la nature de l'incident et quand et où s'est-il produit? Qui l'a signalé et à qui et quand l'a-t-il fait? Quels sont les renseignements ou les biens visés (dans les détails)? Quel est le degré de sécurité et quelle est la description des renseignements ou des biens visés? Qui est l'auteur des documents ou l'émetteur des biens? 9
f. g. h. Quand, pendant combien de temps et dans quels cas les renseignements et les biens ont-ils été vulnérables à la divulgation sans autorisation et à qui ont-ils été communiqués ou transmis? Quelles mesures a-t-on prises pour protéger les renseignements ou les biens et limiter les dégâts? A-t-on perdu des renseignements ou des biens ou a-t-il été impossible de les justifier? Lorsque les résultats de l'enquête préliminaire révèlent une violation ou une compromission présumée ou réelle relativement aux renseignements et aux biens, l'agent de sécurité de l'entreprise doit prévenir immédiatement la DSIC. Il doit lui transmettre, le plus rapidement possible, un rapport complet sur l'enquête préalable, de même que tous les résultats de l'enquête ultérieure. 51 Communication de vive voix et transmission des messages Il en faut pas se servir de téléphones ou de télécopieurs non protégés pour transmettre des renseignements CLASSIFIÉS ou spéciaux. Il faut coordonner par l'entremise de la DSIC/COMSEC les besoins en téléphones et en télécopieurs protégés. Toutes les salles de conférence utilisées pour discuter de renseignements CLASSIFIÉS : doivent être des locaux de réunion sécurisés, aménagés dans une zone de sécurité ou à haute sécurité; doivent être protégées contre l'écoute acoustique ou électronique et ne pas comprendre d'appareils comme : i ii iv. des téléphones; des intercoms; des radios, des magnétoscopes à cassettes. 10