Questions et réponses 44^e législature, 1^re session Du 22 novembre 2021 au 6 janvier 2025

En ce qui concerne les technologies de puces et les dispositifs contenant ces technologies importés de pays étrangers, en particulier ceux dont le Canada n’est pas un allié : a) quelles mesures de protection, s'il y a lieu, sont actuellement en place pour garantir que ces technologies sont sans danger et ne contiennent aucun élément, comme des éléments d’exécution de code distant, qui pourraient être préjudiciables au Canada à un moment donné; b) que fait le gouvernement, s'il y a lieu, pour régler le problème de la vulnérabilité découverte dans le cadre logiciel avancé de micropuces, qui expose les dispositifs au risque d’exécution de code distant; c) en plus de la vulnérabilité en b), quelles autres vulnérabilités le gouvernement a-t-il constatées en ce qui a trait à ces puces et à leur connexion à Internet; d) pour chaque vulnérabilité en c), quelles mesures le gouvernement a-t-il prises, s'il y a lieu, pour s’y attaquer; e) quelles mesures le gouvernement a-t-il établies pour gérer les risques, y compris des mises à jour de micrologiciels ou des correctifs à distance, qui pourraient amener de nouvelles vulnérabilités après leur déploiement; f) le gouvernement effectue-t-il régulièrement des essais de pénétration des dispositifs importés avant d’approuver leur emploi dans l’infrastructure publique, et, le cas échéant, qui est chargé de superviser ces essais; g) le gouvernement exige-t-il la conformité aux normes ou aux cadres internationaux en matière de cybersécurité lors de la passation de marchés relatifs à ces dispositifs ou de leur déploiement, et, si ce n’est pas le cas, pourquoi pas?

En ce qui concerne les atteintes à la vie privée survenues depuis le 1^er mars 2020, ventilées par ministère, organisme ou autre entité du gouvernement : a) combien d’atteintes sont survenues; b) quels sont les détails de chaque atteinte, y compris (i) la date, (ii) le nombre de personnes dont les renseignements ont été touchés, (iii) le résumé ou la description de l’incident, (iv) le programme ou service du gouvernement touché par l’atteinte, (v) le fait que l’on a communiqué ou non avec les personnes dont les renseignements ont été touchés, (vi) la date et le mode de communication avec ces personnes, (vii) le fait que l’on a avisé ou non le Commissariat à la protection de la vie privée, (viii) la description des mesures offertes aux personnes touchées, comme des services gratuits de surveillance du crédit?

En ce qui concerne les mesures prises par le gouvernement en réaction à la vulnérabilité du logiciel Log4J rendue publique en décembre 2021, ventilées par ministère, organisme et société d’État : a) quels ministères, organismes et sociétés d’État ont désactivé leurs services Web en réaction à cette vulnérabilité et quels sont précisément les services Web qui ont été désactivés; b) pendant combien de jours chacun des services Web est-il resté hors service; c) quels sont les services Web qui sont toujours désactivés et quelle est la date prévue du rétablissement de chaque service en ligne; d) à ce jour, quelles ont été précisément les mesures prises pour neutraliser la menace posée par Log4J; e) pour chaque service qui était désactivé, vers quelles ressources a-t-on redirigé les utilisateurs afin qu’ils aient accès aux services?

En ce qui concerne les atteintes à la vie privée survenues depuis le 1^er janvier 2022, ventilées par ministère, organisme ou autre entité du gouvernement : a) combien d’atteintes sont survenues; b) quels sont les détails de chaque atteinte, y compris (i) la date (ii) le nombre de personnes dont les renseignements ont été touchés, (iii) le résumé ou la description de l’incident, (iv) le programme ou service du gouvernement touché par l’atteinte, (v) le fait que l’on a communiqué ou non avec les personnes dont les renseignements ont été touchés, (vi) la date et le mode de communication avec ces personnes, (vii) le fait que l’on a avisé ou non le Commissariat à la protection de la vie privée, (viii) la description des mesures offertes aux personnes touchées, comme des services gratuits de surveillance du crédit?

En ce qui concerne les atteintes à la protection des renseignements personnels qui se sont produites depuis le 1^er mars 2023, ventilé par ministère, organisme ou autre entité gouvernementale : a) combien d’atteintes se sont produites; b) quels sont les détails de chacune, y compris (i) la date, (ii) le nombre de personnes dont les renseignements ont été affectés, (iii) un résumé ou une description de l’incident, (iv) le programme ou le service du gouvernement affecté par l’atteinte, (v) si les personnes dont les renseignements ont été affectés ont été avisées de l’atteinte, (vi) la date à laquelle les personnes ont été avisées, et par quelle méthode, (vii) si le commissaire à la vie privée a été avisé, (viii) une description des mesures offertes aux personnes affectées, telles que des services gratuits de surveillance du crédit, (ix) le coût estimé des correctifs nécessaires au problème ou à la vulnérabilité qui a mené à l’atteinte, (x) le coût du dédommagement des personnes dont les renseignements ont été affectés, le cas échéant?

En ce qui concerne l’investissement de 49 millions de dollars du gouvernement dans le centre de renseignement et de cybersécurité de Mastercard à Vancouver, dans le cadre du Fonds stratégique pour l’innovation, depuis le 23 janvier 2020 : a) à ce jour, quel est le nombre réel d’emplois (i) créés directement par cet investissement, (ii) maintenus directement par cet investissement; b) en ce qui concerne les emplois mentionnés en a), où sont-ils situés et combien sont des emplois (i) à plein temps, (ii) à temps partiel, (iii) permanents, (iv) temporaires; c) quelle méthode a été utilisée pour estimer que 380 emplois seraient créés et maintenus grâce à cet investissement de 49 millions de dollars; d) comment le gouvernement s’assure-t-il que son investissement de 49 millions de dollars répond bien aux objectifs de la Stratégie nationale de cybersécurité; e) à ce jour, quels objectifs de la Stratégie nationale de cybersécurité cet investissement a-t-il permis de réaliser; f) quelles sont les conditions rattachées à cet investissement; g) parmi les conditions mentionnées en f), lesquelles n’ont pas été respectées; h) jusqu’à quelle date les conditions mentionnées en f) doivent-elles être respectées?

En ce qui concerne l’investissement de 49 millions de dollars du gouvernement dans le centre de renseignement et de cybersécurité de Mastercard à Vancouver, dans le cadre du Fonds stratégique pour l’innovation, depuis le 23 janvier 2020 : a) à ce jour, quel est le nombre réel d’emplois (i) créés directement par cet investissement, (ii) maintenus directement par cet investissement; b) en ce qui concerne les emplois mentionnés en a), où sont-ils situés et combien sont des emplois (i) à plein temps, (ii) à temps partiel, (iii) permanents, (iv) temporaires; c) quelle méthode a été utilisée pour estimer que 380 emplois seraient créés et maintenus grâce à cet investissement de 49 millions de dollars; d) comment le gouvernement s’assure-t-il que son investissement de 49 millions de dollars répond bien aux objectifs de la Stratégie nationale de cybersécurité; e) à ce jour, quels objectifs de la Stratégie nationale de cybersécurité cet investissement a-t-il permis de réaliser; f) quelles sont les conditions rattachées à cet investissement; g) parmi les conditions mentionnées en f), lesquelles n’ont pas été respectées; h) jusqu’à quelle date les conditions mentionnées en f) doivent-elles être respectées?