Le Cadre des compétences en matière de cybersécurité du Canada

3.1 Attributs d’un cadre de compétence réaliste pour le marché canadien

L’adoption et la simplification du cadre de la NICE pour le marché du travail du Canada rendent l’utilisation du cadre canadien plus facile pour les entreprises et les industries ayant du mal à interpréter le cadre de la NICE dans sa forme initiale.

Comme il est indiqué à la figure 3, l’adoption du cadre de la NICE dans un contexte canadien repose sur la considération de cinq attributs principaux. Ces attributs ont été déterminés en fonction de certaines critiques et de certains problèmes structurels entourant le cadre de la NICE, et en tenant compte de la rétroaction obtenue de la collectivité dans le cadre de consultations.

Figure 3 : Attributs souhaités pour le Cadre canadien des compétences en matière de cybersécurité

Spécificité et précision

Bien que le cadre de la NICE décrive l’ensemble complet des rôles de travail en cybersécurité, il devrait être possible de mettre l’accent sur ceux qui sont les plus pertinents pour combler les écarts de compétences en cybersécurité au Canada et répondre au contexte canadien.

Utilisabilité et accessibilité

Le cadre devrait faciliter l’utilisation, la lisibilité et l’accessibilité du contenu pour tous les lecteurs et utilisateurs potentiels, dont ceux qui ne sont pas familiers avec le travail en cybersécurité. Plus précisément, le cadre ne devrait pas isoler la cybersécurité, mais bien intégrer les concepts dans un contexte opérationnel et organisationnel plus large.

Clarté des concepts

Il convient de décrire clairement les rôles liés à la cybersécurité et de tenir compte tant des rôles techniques et multidisciplinaires que des rôles de spécialistes et de généralistes.

Adaptabilité

Compte tenu de la nature dynamique de ce document, il convient de mettre en place un mécanisme permettant d’intégrer rapidement les rôles nouveaux ou émergents qui résultent des technologies comme l’automatisation, l’infonuagique, l’intelligence artificielle, l’informatique quantique, ainsi que des connaissances, compétences et aptitudes qui soutiennent l’ensemble des activités de cybersécurité. Le cadre doit constamment évoluer en fonction du travail.

Évolutivité

Un cadre devrait pouvoir s’adapter facilement aux organisations de toutes tailles et aux différents contextes de l’industrie. Cela comprend la capacité des organisations à identifier et à développer les talents non techniques de sorte à soutenir leurs besoins en matière de sécurité.

3.2 Adapter le cadre canadien aux petites et moyennes organisations

Le cadre canadien peut être adapté aux PMO. En cybersécurité, la plupart des PMO présentent les caractéristiques suivantes :

• On y retrouve rarement des spécialistes en cybersécurité;
• Les rôles liés à la conception et au développement sont externalisés ou on doit acquérir des systèmes ou des applications grand public;
• Les personnes doivent souvent assumer plusieurs rôles, dont des tâches liées à la cybersécurité.

Par conséquent, lorsque les organisations examinent le cadre de la NICE, elles peuvent se sentir dépassées par l’ampleur de la tâche. Il est toutefois possible d’établir des scénarios ou de présenter des exemples qui aideront les PMO à adapter le cadre de la NICE en fonction du cadre canadien des compétences en matière de cybersécurité, ainsi qu’à définir les connaissances, compétences et aptitudes basées sur le rôle qui soutiendront la cybersécurité au sein des organisations.

La section suivante traitera des deux scénarios qui se produisent généralement dans les PMO.

1. Organisation de taille moyenne avec personnel informatique interne

On y retrouve une expertise technique à l’interne, mais plusieurs rôles liés à la cybersécurité sont assumés par des personnes qui occupent d’autres fonctions et ne sont généralement pas des spécialistes en cybersécurité, ou par de petites équipes de TI responsables de la détection et de l’intervention en cas d’incident. Dans cet exemple, le dirigeant principal ou la dirigeante principale de l’information (DPI) dirigerait la petite équipe de TI et serait responsable des aspects techniques du programme de cybersécurité, alors que les gestionnaires du niveau de la direction resteraient responsables de l’établissement des priorités organisationnelles et de la définition du contexte de risque. Il incomberait probablement à l’équipe de TI d’assumer toutes les fonctions Protection et défense, alors que les activités spécialisées seraient externalisées et confiées à une tierce partie.

Figure 4 : Rôles techniques possibles dans une organisation de taille moyenne

 

Description detaillée - Potential technical roles in a medium organization

La figure 4 souligne certains rôles de travail pris en compte dans le Cadre canadien des compétences en matière de cybersécurité de deux des grandes catégories d’emploi que des spécialistes non initiés et non initiées en cybersécurité pourraient occuper dans les petites et moyennes organisations.

Dans la catégorie de supervision et de gouvernance :

• Les dirigeants principaux ou dirigeantes principales de l’information (DPI), les dirigeants principaux ou dirigeantes principales de la sécurité de l’information (DPSI) et le personnel de soutien assumeraient les rôles d’équipe de direction en cybersécurité, d’autorisateurs ou autorisatrices et de planificateurs ou planificatrices de politiques et de stratégies en cybersécurité.
• Les gestionnaires des systèmes d’information assumeraient le rôle de gestionnaires de la sécurité des systèmes d’information.
• Les gestionnaires de programme ou de secteur d’activités assumeraient le rôle de gestionnaires de programme.
• Les DPI et le personnel de soutien assumeraient les rôles de gestionnaires de projets de TI, de gestionnaires du soutien des produits, de gestionnaires des investissements et des portefeuilles de TI, de spécialistes de l’approvisionnement et d’analystes de l’intégrité de la chaîne d’approvisionnement.
• Les dirigeants principaux et dirigeantes principales des finances assumeraient le rôle d’analystes financiers et financières et des risques.
• Les agents ou agentes de communications assumeraient le rôle de spécialistes des communications.
• Les avocats-conseil ou avocates-conseil assumeraient les rôles de conseillers ou conseillères juridiques, d’agents ou agentes à la protection des renseignements personnels et de gestionnaires de la protection de la vie privée.
• assumeraient le rôle de développeurs ou développeuses de curriculum pédagogique en cybersécurité.

Dans la catégorie de protection et de défense :

• Les gestionnaires des TI ou des systèmes, les dirigeants principaux ou dirigeantes principales de l’information ou les dirigeants principaux ou dirigeantes principales de la sécurité de l’information assumeraient le rôle de gestionnaires de la sécurité des systèmes.
• Le personnel du bureau des services TI ou des services à la clientèle ou les administrateurs ou administratrices de système ou de réseau ont souvent des tâches liées à la cyberdéfense qui sont généralement comprises dans les rôles d’analystes de la cyberdéfense et de soutien des infrastructures de cyberdéfense, d’intervenants ou intervenantes en cas d’incident lié à la cyberdéfense, d’évaluateurs ou évaluatrices des vulnérabilités et d’analystes en criminalistique numérique.

2. Petite organisation avec une dépendance limitée à l’égard des TI et sans personnel informatique

La plupart des rôles de travail techniques seraient externalisés, mais l’organisation continuerait d’assumer les principales fonctions Supervision et gouvernance liées à la cybersécurité. Cette personne assumerait effectivement le rôle de généraliste de la sécurité.

Figure 5: Rôles techniques possiblement externalisés dans une petite organisation

 

Description detaillée - Rôles techniques possiblement externalisés dans une petite organisation

La figure 5 montre que les généralistes de la sécurité dans une petite ou moyenne organisation assumeraient les fonctions de cybersécurité dans la catégorie de supervision et de gouvernance, comme la détermination des exigences et des priorités en matière de cybersécurité. Toutefois, les rôles de travail techniques seraient externalisés dans le cas des catégories de conception et développement, d’exploitation et maintenance et de protection et défense. Ce serait notamment le cas pour ce qui est des produits, des services et de l’expertise en matière de TI et de cybersécurité.

3.3 Généralistes en cybersécurité

Dans plusieurs PMO et même des organisations plus grandes dont les activités ne dépendent pas fortement d’Internet, on retrouve des personnes à qui des responsabilités en cybersécurité ont été confiées sans qu’elles aient nécessairement d’expérience en informatique ou en cybersécurité.

Si on tient compte du nombre de PMO dans l’environnement commercial du Canada, cela représente un très grand nombre de personnes sur le marché du travail canadien dont la principale responsabilité consiste à établir et à gérer la cybersécurité au sein de leur organisation et qui pourraient ne pas occuper l’un des rôles définis dans le cadre de la NICE ou le cadre canadien. En règle générale, ces personnes :

• accomplissent des tâches liées à la cybersécurité à temps partiel parallèlement à d’autres responsabilités;
• utilisent les connaissances, compétences et aptitudes en cybersécurité qui conviennent au contexte opérationnel, technique et de menace;
• ne sont pas considérées comme étant des professionnelles de la cybersécurité et ne suivent pas le parcours professionnel en cybersécurité.

À défaut d’avoir un terme précis, le présent document utilise « généraliste de la sécurité » pour les distinguer des spécialistes en cybersécurité mentionnés dans les rôles principaux. Dans un environnement organisationnel, le ou la généraliste de la sécurité n’est généralement pas spécialisé dans le domaine de la sécurité, mais est souvent responsable des activités liées à la sécurité physique, contractuelle, du personnel et de la prévention des pertes, en plus de la cybersécurité. Il arrive souvent, par exemple, que le ou la chef de la direction, le dirigeant principal ou la dirigeante principale de l’information (DPI), le dirigeant principal ou la dirigeante principale de l’information (DPF), l’agent ou l’agente de sécurité d’entreprise, le ou la gestionnaire des ressources humaines ou un haut fonctionnaire occupe un tel poste.

Ils doivent, entre autres, faire ce qui suit :

• évaluer la posture de cybersécurité de l’organisation;
• faciliter la détermination des risques de l’organisation en matière de cybersécurité;
• déterminer les contrôles de cybersécurité non techniques;
• identifier les spécialistes techniques internes ou externes et assurer la liaison avec eux pour ce qui est des contrôles techniques;
• élaborer des politiques et des plans organisationnels en matière de cybersécurité;
• conseiller les membres de la direction sur la formation et la sensibilisation à la sécurité;
• superviser et soutenir les spécialistes techniques, tant internes qu’externes, dans l’exercice de leurs fonctions en cybersécurité;
• coordonner la prise de mesures d’intervention en cas d’incident de cybersécurité;
• surveiller les mesures d’intervention et d’atténuation, en faire rapport et recommander des plans d’action basés sur conseils techniques;
• coordonner les activités d’analyse rétrospective des événements et des incidents et intégrer les leçons apprises aux politiques et procédures organisationnelles.

Pour bon nombre de ces tâches, on retrouve de multiples ressources en ligne pour guider les généralistes de la sécurité dans l’exécution de leurs tâches. L’efficacité de ces tâches repose toutefois sur les connaissances, compétences et aptitudes requises pour soutenir le processus décisionnel et la prise de mesures. Il est peu probable que les généralistes aient une formation ou une éducation approfondie en cybersécurité. On devrait donc leur offrir les occasions d’apprentissage nécessaires pour acquérir les compétences qui conviennent à leurs responsabilités, ainsi qu’au contexte technique, opérationnel et de menace. Comme le démontrent les exemples illustrés dans la figure ci-dessous, on doit souvent faire appel à des compétences tirées de certains des rôles de travail appartenant à chacune des grandes catégories d’emplois.

Figure 6 : Fonctions des généralistes de la sécurité

 

Description detaillée - Cyber security generalist functions

La figure 6 met l’accent sur les compétences requises par les généralistes de la cybersécurité qui occupent des rôles axés sur la gestion dans chaque grande catégorie.

Supervision et gouvernance : Gestion des risques, des politiques et des programmes

Conception et développement : Exigences et supervision des projets

Exploitation et maintenance : Gestion du suivi et du contrôle

Protection et défense : Gestion des vulnérabilités et intervention en cas d’incident

Connaissance de base

• Contexte technique (p. ex. structure informatique organisationnelle, logiciels, dispositifs et politiques)
• Contexte de la cybermenace (dont les risques délibérés, accidentels et naturels)
• Contexte opérationnel (priorités, objectifs, marché, tendances)
• Contexte juridique, politique et éthique de la sécurité
• Gestion des risques liés à la cybersécurité dans le cadre du risque organisationnel
• Gestion des incidents de cybersécurité (propres à un domaine)
• Processus de cybersécurité, technologies, tendances et enjeux émergents
• Sources d’expertise et ressources en cybersécurité

Compétences et aptitudes de base

• Prodiguer des conseils aux entreprises dans le contexte juridique et politique de la cybersécurité
• Faire preuve de prévoyance et planifier la sécurité de manière à soutenir les activités numériques et la croissance de l’organisation
• Transformer le cyberrisque en risque organisationnel
• Faire la distinction entre la conformité et le risque
• Interpréter les évaluations des menaces et des risques dans un contexte opérationnel
• Évaluer l’efficacité des contrôles de sécurité par rapport aux objectifs de sécurité de l’organisation

Compétences communes

Pour tous les rôles principaux liés à la cybersécurité, peu importe le secteur d’activités ou la catégorie d’emplois, de nombreuses compétences communes s’appliquent, selon le rôle, au niveau de base, intermédiaire ou avancé. Tous les professionnels de la cybersécurité, peu importe leur rôle, devraient avoir les connaissances de base nécessaires pour appliquer les éléments suivants dans leur domaine ou contexte de travail :

• systèmes de TI et réseautique;
• architecture de systèmes et modèles;
• protocoles Internet, systèmes et dispositifs;
• fondements de la cybersécurité;
  • cadre de sécurité intégrée;
  • stratégies et approches liées à la cybersécurité;
  • contexte des menaces et exposition aux menaces courantes (du personnel, physiques, informatiques ou logiques, chaîne d’approvisionnement);
  • processus et sources de renseignement sur les cybermenaces;
  • analyse de la cybersécurité;
  • politiques, processus et pratiques exemplaires en matière de gestion de la cybersécurité;
  • systèmes, outils et applications de cybersécurité;
  • règlementation et conformité (p. ex. respect de la vie privée, échange d’information, production de rapports, normes obligatoires, etc.);
  • normes nationales et de l’industrie;
• résolution de problème et réflexion complexe dans des environnements dynamiques;
• assurance d’une connaissance plus vaste de la situation en matière de sécurité;
• conscience de soi pour ce qui est des connaissances, compétences et aptitudes requises pour répondre aux changements organisationnels, techniques et liés aux menaces.

3.4 Rôles principaux liés à la cybersécurité

Reconnaissant que la cybersécurité est une responsabilité partagée, la présente publication décrit la profession de la cybersécurité en fonction du travail qui est généralement effectué à temps plein et qui exige des connaissances, compétences et aptitudes uniques par rapport aux autres professions. Par ailleurs, conformément au cadre canadien des compétences en matière de cybersécurité, on décrit également la profession de la cybersécurité en fonction des titres et des rôles de travail qui sont pertinents au marché du travail du Canada et au milieu élargi des affaires dans les quatre principaux secteurs d’activités ou catégories d’emplois en cybersécurité : Supervision et gouvernance, Conception et développement, Exploitation et maintenance et Protection et défense. On retrouve une définition détaillée de ces secteurs d’activités, de ces catégories d’emplois et des rôles de travail connexes dans les annexes A, B, C et D.

Les rôles principaux liés à la cybersécurité sont divisés en grandes catégories et sous-groupes professionnels semblables à ceux établis dans le cadre de la NICE ^{Note de bas de page 4}.

• Supervision et gouvernance – La principale responsabilité de ce sous-groupe professionnel est d’assurer la direction et la gestion du programme de cybersécurité. Il comprend des rôles techniques et non techniques.
• Conception et développement (« Securely provision » dans la NICE) – Ce sous-groupe professionnel soutient la conception et le développement de l’infrastructure numérique, des systèmes et des logiciels. Il comprend des rôles essentiellement techniques.
• Exploitation et maintenance – La principale responsabilité de ce sous-groupe professionnel est d’assurer une exploitation sécurisée des systèmes numériques et de la gestion des données. Tous les rôles compris dans ce sous-groupe sont de nature technique.
• Protection et défense – Ce sous-groupe professionnel est axé sur les opérations de cybersécurité. Tous les rôles compris dans ce sous-groupe professionnel sont de nature technique.

Compétences communes (fondements pour les personnes spécialisées dans la cybersécurité)

Pour tous les rôles principaux liés à la cybersécurité, peu importe le secteur d’activités ou la catégorie d’emplois, de nombreuses compétences communes s’appliquent, selon le rôle, au niveau de base, intermédiaire ou avancé (comme indiqué à la section 3.2). Tous les professionnels de la cybersécurité, peu importe leur rôle, devraient avoir les connaissances de base nécessaires pour appliquer les éléments suivants dans leur domaine ou contexte de travail :

• apprentissage continu soutenant le perfectionnement des connaissances liées aux menaces émergentes, aux innovations technologiques sur le plan de la sécurité et à un environnement de cybersécurité en constante évolution;
• communications (orales et verbales) adaptées au contexte de l’organisation, dont la rédaction de rapports techniques;
• réflexion stratégique et sens des affaires pour comprendre le contexte opérationnel et des risques liés à la cybersécurité;
• travail d’équipe et collaboration avec autrui, y compris des personnes non spécialisées dans la cybersécurité;
• respect de l’éthique et responsabilités professionnelles;
• formation et sensibilisation en matière de cybersécurité dans leur domaine.

3.5 Rôles connexes à la cybersécurité

Plusieurs rôles sont également liés aux autres fonctions organisationnelles qui contribuent généralement aux résultats de l’organisation en matière de cybersécurité à temps partiel ou de façon opportune ^{Note de bas de page 5}. Il s’agit de rôles connexes à la cybersécurité qui exigent certaines connaissances, compétences et aptitudes en cybersécurité, mais qui ne sont généralement pas considérés comme étant occupés par des spécialiste de la cybersécurité ^{Note de bas de page 6}. Par exemple, dans certaines organisations, un ou une analyste des activités et des politiques s’occupera probablement d’un large éventail d’enjeux et seulement quelques-uns de ces enjeux concerneront la prise en charge de la cybersécurité organisationnelle. Il ne s’agit pas de nuire à son rôle de soutien à la cybersécurité organisationnelle, mais plutôt de suggérer que le travail accompli concerne souvent bien plus que la cybersécurité à proprement dit.

De même, les cadres supérieurs, les gestionnaires de programme, les analystes de politiques, les analystes financiers, les spécialistes des communications, les architectes d’entreprise, les techniciens et techniciennes informatiques, etc. peuvent assumer des responsabilités liées à la cybersécurité sans avoir à s’y consacrer à temps plein. Leurs rôles ne sont donc pas compris dans les rôles principaux liés à la cybersécurité abordés dans la présente publication. Ces rôles sont mentionnés à l’annexe E. Par exemple, un échantillonnage de rôles de travail types associés à la cybersécurité est fourni dans le tableau 1 ci-dessous. Bien qu’ils exercent des responsabilités en cybersécurité et doivent démontrer des connaissances, compétences et aptitudes particulières en matière de cybersécurité, leurs principales responsabilités sont souvent plus vastes ou axées sur d’autres activités non liées à la cybersécurité. Il importe de souligner que la catégorie Protection et défense n’est pas incluse dans la figure, puisque ce secteur d’activités ou cette catégorie d’emplois est utilisé exclusivement dans le domaine de la cybersécurité.

Tableau 1 : Échantillonnage des rôles de travail types associés à la cybersécurité