Cybersécurité des municipalités : Loi sur l'accès et Loi 25

Le 30 novembre 2023, une cyberattaque a paralysé l'hôtel de ville de Lac-Mégantic, son écocentre, son centre sportif et la station touristique Baie-des-Sables. Un an plus tôt, en novembre 2022, Westmount voyait ses serveurs chiffrés par un rançongiciel revendiqué par le groupe LockBit. Petites ou grandes, les municipalités québécoises sont dans la mire.

Pourtant, bien des directions générales voient encore la Loi 25 comme une loi « pour les entreprises ». C'est en partie vrai : la loi du secteur privé ne s'applique pas aux municipalités. Mais la Loi 25 a aussi modernisé la loi qui les vise directement, la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels. Et celle-ci contient des obligations de sécurité bien concrètes.

Voici le cadre légal en clair, puis les priorités d'une municipalité qui n'a pas de service TI.

Quelle loi s'applique à une municipalité ?

La Loi sur l'accès range les organismes municipaux parmi les organismes publics (art. 3). Ils comprennent notamment les municipalités, les communautés métropolitaines, les régies intermunicipales, les sociétés de transport en commun et certains organismes contrôlés ou financés majoritairement par une municipalité (art. 5). De son côté, la loi du secteur privé précise qu'elle ne s'applique pas aux organismes publics visés par la Loi sur l'accès (P-39.1, art. 3).

En 2021, la Loi 25 a modifié les deux lois. Les obligations se ressemblent, sans être identiques :

L'obligation de sécurité elle-même est formulée de la même façon dans les deux lois : des mesures raisonnables compte tenu de la sensibilité des renseignements, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support (A-2.1, art. 63.1).

Pour les petites municipalités, le Règlement excluant certains organismes publics de l'obligation de former un comité est en vigueur depuis le 1er juin 2023. Le ministère des Affaires municipales précise qu'en l'absence de comité, c'est la direction générale qui en exerce les fonctions.

Notez enfin que les municipalités ne figurent pas parmi les organismes publics visés par la Loi sur la gouvernance et la gestion des ressources informationnelles (G-1.03), qui encadre la sécurité de l'information des ministères et des réseaux de l'éducation et de la santé. Pour une municipalité, le socle légal reste donc la Loi sur l'accès. Validez votre situation avec votre conseiller juridique.

Pourquoi les municipalités sont ciblées

Une municipalité détient beaucoup plus de renseignements qu'on l'imagine : comptes de taxes et paiements, demandes de permis, plaintes, dossiers d'employés et de pompiers, inscriptions des enfants aux activités de loisirs, images de caméras. Elle exploite aussi des services essentiels, comme l'eau potable et les eaux usées, de plus en plus pilotés par des systèmes automatisés. Leur protection ressemble à celle de l'informatique industrielle des manufacturiers.

Les moyens, eux, restent modestes. Selon la Fédération québécoise des municipalités, les campagnes d'hameçonnage visant les organismes municipaux ont augmenté de 13 % de 2021 à 2022. Et lorsqu'il évalue une municipalité, le Fonds d'assurance des municipalités du Québec regarde notamment s'il existe un plan de relance, si les employés ont été formés et si des outils comme le pare-feu, le RPV et l'authentification à deux facteurs sont en place.

Prenons une municipalité de 4 000 habitants des Laurentides : une direction générale, une greffière, une trésorière, trois employés de bureau et un fournisseur TI qui passe une fois par mois. Les élus reçoivent les documents du conseil sur leur adresse personnelle. Et le poste qui surveille la station de pompage est accessible à distance par un logiciel de prise de contrôle dont le mot de passe n'a jamais changé. Rien d'exceptionnel, et c'est justement le problème.

Les priorités pour une petite municipalité

Voici la checklist que notre équipe utilise comme point de départ avec un organisme municipal :

• Authentification multifacteur sur tous les comptes de courriel, élus compris, avec une adresse municipale pour les affaires du conseil.
• Inventaire des systèmes et des fournisseurs : taxation, permis, paie, site Web, installations d'eau.
• Accès à distance aux installations d'eau séparé du réseau administratif, protégé par l'authentification multifacteur et journalisé.
• Sauvegardes testées, dont une copie hors ligne, selon la règle 3-2-1-1-0.
• Tout changement de coordonnées bancaires d'un fournisseur confirmé par téléphone, au numéro déjà au dossier (voyez la fraude au changement de coordonnées bancaires).
• Règles de gouvernance publiées sur le site de la municipalité.
• EFVP avant tout nouveau système ou service en ligne, comme un portail citoyen ou le paiement des taxes en ligne.
• Registre des incidents tenu à jour ; notre modèle de registre peut servir de point de départ.
• Plan de réponse qui prévoit le maintien des services essentiels et les communications aux citoyens.
• Clauses de sécurité et d'avis d'incident dans les contrats des fournisseurs TI.
• Formation annuelle des employés et des élus sur l'hameçonnage.

Si vous faites tester votre portail citoyen ou votre réseau, exigez une autorisation écrite de la municipalité avant tout test d'intrusion : sans elle, l'accès non autorisé à un ordinateur est une infraction au Code criminel (art. 342.1).

Quand l'incident survient

La Loi sur l'accès demande d'abord de prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter que l'incident se répète. Concrètement : isolez les postes touchés, appelez votre fournisseur TI et votre assureur, et conservez les traces.

Si l'incident présente un risque de préjudice sérieux, la municipalité doit aviser avec diligence la Commission d'accès à l'information et les personnes concernées. Dans tous les cas, l'incident est consigné au registre. Le déroulement de l'avis est détaillé dans notre article sur la déclaration d'un incident à la CAI. Prévoyez aussi une communication claire au conseil et aux citoyens : en cas de panne, ce sont eux qui appelleront l'hôtel de ville.

Notre équipe peut évaluer la posture de votre municipalité et vous remettre un plan priorisé, adapté à vos moyens, dans le cadre d'un audit de cybersécurité. Pour les municipalités du Grand Montréal, un expert peut aussi venir vous rencontrer sur place, à l'hôtel de ville.