Un client vous envoie le plan d’une pièce militaire. À partir de ce moment, la loi vous concerne, que vous fabriquiez la pièce ou non.

Le Programme des marchandises contrôlées (PMC) n’est pas une certification. C’est une inscription obligatoire. Et elle touche aussi votre fournisseur MSP s’il peut voir vos plans.

Rappel rapide

Le PMC découle de la Loi sur la production de défense. Services publics et Approvisionnement Canada (SPAC) le gère. Il contrôle qui peut examiner, posséder ou transférer des biens et des technologies militaires au Canada.

Vous ne « réussissez » pas le PMC. Vous êtes inscrit ou vous êtes en infraction.

Les certifications de cybersécurité exigées dans les contrats de défense (CPCSC et CMMC) sont une autre question. J’en parle dans un article à part.

Ce qu’est une marchandise contrôlée

Ce sont surtout des articles de défense, leurs composants et les technologies qui s’y rattachent. La liste officielle est l’annexe de la Loi. Elle reprend notamment la liste des munitions (groupe 2 de la Liste des marchandises et technologies d’exportation contrôlée), certains biens stratégiques (article 5504), la technologie des missiles (groupe 6) et les articles de défense américains visés par l’ITAR (la réglementation américaine sur le commerce des armes).

Le mot que presque tout le monde manque est « technologies ». Un plan, un dessin technique ou une spécification d’une pièce militaire est une marchandise contrôlée. Recevoir le fichier suffit.

Le verbe compte aussi. La loi vise quiconque examine sciemment une marchandise contrôlée. Examiner, c’est regarder. Un machiniste qui ouvre le plan sur son écran examine une marchandise contrôlée.

Comment savoir si vous devez vous inscrire

Un client vous envoie des plans de pièces destinées à un usage militaire? Un donneur d’ordre américain vous dit que ses documents sont « ITAR »? Un appel d’offres exige votre numéro d’inscription au PMC avant de vous transmettre les documents? Vous avez besoin d’une licence d’exportation d’Affaires mondiales Canada pour un article de défense?

Un seul oui et vous devez être inscrit avant de recevoir quoi que ce soit. Pas après.

En cas de doute, demandez son classement au client. C’est lui qui connaît la pièce.

L’inscription est gratuite. Le traitement prend jusqu’à 32 jours ouvrables quand le dossier est complet et l’inscription est valide cinq ans au maximum. Vous nommez une personne autorisée (généralement le propriétaire ou un cadre supérieur) et un représentant désigné pour chaque établissement. Ce représentant suit une formation obligatoire. La personne autorisée, chaque représentant désigné et chaque propriétaire de 20 % ou plus des actions passent une évaluation de sécurité.

Ce que ça change chez vous

L’inscription n’est que le début.

Chaque employé qui a accès aux marchandises contrôlées doit avoir été évalué par votre représentant désigné. Vous transmettez un rapport de ces évaluations tous les six mois.

Vous devez avoir un plan de sûreté écrit pour chaque lieu de travail. Qui a accès, où sont les documents, comment ils circulent, où sont les sauvegardes. Toute atteinte confirmée ou soupçonnée doit être déclarée à SPAC, qui fait des inspections de conformité.

Selon les orientations de SPAC sur l’infonuagique, les données contrôlées devraient être hébergées au Canada. Ailleurs, il faut vérifier auprès d’Affaires mondiales Canada si une licence d’exportation est requise. Les données doivent être chiffrées en transit et au repos.

Une infraction à la loi peut coûter jusqu’à 2 millions de dollars d’amende et 10 ans d’emprisonnement, en plus de la suspension ou de la révocation de l’inscription.

Le risque ne vient pas toujours de l’extérieur. En 2016, la GRC a porté des accusations contre quatre personnes, dont un résident de Pierrefonds, pour la vente à des entreprises chinoises d’une technologie de capteurs développée chez Teledyne DALSA, à Waterloo. Selon la GRC, d’anciens employés auraient soustrait la technologie à leur employeur. C’est l’entreprise elle-même qui avait porté plainte.

Les évaluations de sécurité du personnel et la liste des accès visent exactement ce scénario.

Une note pour les fournisseurs MSP

Votre inscription couvre vos dirigeants, vos administrateurs et vos employés autorisés (article 37(4) de la Loi). Elle ne couvre pas votre fournisseur MSP. C’est une autre entreprise.

La loi définit aussi le transfert comme le fait d’en communiquer le contenu de quelque façon que ce soit. Donner accès à vos plans à un technicien non inscrit est donc un problème pour lui et pour vous.

Un fournisseur MSP qui gère votre parc informatique a souvent tout ce qu’il faut pour voir vos plans. Il a des comptes administrateurs sur le serveur de fichiers, sur SharePoint et sur les boîtes courriel. Il prend le contrôle à distance des postes. Il gère vos sauvegardes. S’il peut examiner ces données dans son travail normal, il doit être inscrit au PMC et n’affecter à votre compte que du personnel évalué.

SPAC l’écrit noir sur blanc pour les fournisseurs infonuagiques. Un fournisseur non inscrit peut enfreindre la loi si son assistance technique ou sa maintenance comprend l’examen des données. Le modèle de plan de sûreté exige aussi que les sauvegardes contenant des marchandises contrôlées soient conservées dans un emplacement inscrit. Vos sauvegardes sont dans le centre de données de votre MSP? Cet endroit doit l’être aussi.

L’autre option est technique. Vous isolez les données contrôlées pour que votre MSP ne puisse pas les voir, par exemple dans un environnement séparé géré par vos employés évalués, chiffré avec des clés que vous seul détenez. C’est faisable. Par contre, il faut pouvoir le prouver lors d’une inspection.

Des fournisseurs MSP canadiens sont déjà inscrits au PMC. Demandez son numéro d’inscription au vôtre.

Est-ce la porte d’entrée de la défense?

Pour une PME qui touche à des pièces ou à des plans militaires, oui. C’est la première étape et c’est la seule que vous pouvez faire seul, sans contrat en main.

Sans inscription, certains donneurs d’ordre ne peuvent même pas vous envoyer l’appel d’offres. Côté américain, l’exemption canadienne de l’ITAR est réservée aux entreprises inscrites au PMC.

Par contre, ce n’est pas la seule porte. Un contrat qui donne accès à des renseignements protégés ou classifiés passe par le Programme de sécurité des contrats. Là, vous devez être parrainé lors d’un appel d’offres ou d’un contrat. Comptez jusqu’à quatre mois pour une vérification d’organisation désignée et six mois ou plus pour une attestation de sécurité d’installation.

Si vous avez déjà ISO 27001

Le PMC rejoint ISO 27001 sur plusieurs points. La sélection des candidats (mesure 6.1 de l’annexe A) correspond aux évaluations de sécurité du personnel. La sécurité physique (thème 7) et le transfert de l’information (5.14) couvrent une partie du plan de sûreté. La gestion des incidents (5.24 à 5.28) prépare la déclaration des atteintes. Les relations avec les fournisseurs (5.19 à 5.22) couvrent votre MSP.

Ajoutez les marchandises contrôlées à votre inventaire et à votre appréciation des risques. Ne bâtissez pas un deuxième système à côté.

En pratique

Minimalement, voici l’ordre que je suivrais.

  1. Faites l’inventaire de ce que vos clients vous envoient : plans, spécifications, mentions « ITAR » ou « Controlled Goods ».
  2. Inscrivez-vous au PMC avant de recevoir des documents contrôlés. Prévoyez plus de six semaines.
  3. Limitez qui y a accès : un dossier, un groupe d’accès, une liste de noms. Moins de personnes, moins d’évaluations à faire.
  4. Vérifiez où les données et les sauvegardes sont hébergées.
  5. Demandez à votre fournisseur MSP son numéro d’inscription au PMC. S’il n’en a pas, retirez-lui l’accès aux données contrôlées ou changez de fournisseur.
  6. Écrivez votre plan de sûreté à partir du modèle de SPAC, en incluant l’accès à distance et les appareils portatifs.

Bref, le PMC commence le jour où un plan militaire arrive dans votre boîte courriel, pas le jour où vous signez un contrat. Savez-vous aujourd’hui qui, chez vous et chez votre MSP, peut ouvrir les plans que vos clients vous envoient?

Vous recevez des plans de vos clients et vous n’êtes pas certain d’être visé? Parlons-en.

Références