Politique de classification de sécurité du gouvernement

La politique de classification de sécurité gouvernementale (GSCP) est un système de classification des données gouvernementales sensibles au Royaume-Uni .

Historiquement, le système de marquage de protection du gouvernement était utilisé par les organismes gouvernementaux au Royaume-Uni ; il divise les données en NON CLASSIFIÉ, PROTÉGÉ, RESTREINT, CONFIDENTIEL, SECRET et TRÈS SECRET. Ce système a été conçu pour les documents papier ; il n'est pas facilement adapté au travail gouvernemental moderne et n'est pas largement compris.

Le GSCP utilise trois niveaux de classification : OFFICIEL, SECRET et TRÈS SECRET. Ce système est plus simple que l'ancien et il n'y a pas de relation directe entre les anciennes et les nouvelles classifications. La mention « non classifié » est volontairement omise du nouveau modèle. Les organismes gouvernementaux ne sont pas censés signaler automatiquement les données existantes, il peut donc y avoir des cas où des organisations travaillant sous le nouveau système traitent encore certaines données marquées selon l'ancien système.

Les propriétaires d’actifs d’information demeurent responsables des informations. La nouvelle politique ne précise pas d’exigences particulières en matière de sécurité informatique. Les systèmes informatiques doivent être conçus et utilisés conformément aux directives existantes du CESG .

Toute personne qui travaille avec le gouvernement – ​​y compris les entrepreneurs et les fournisseurs – est responsable de la protection des informations avec lesquelles elle travaille, que celles-ci portent ou non un marquage de protection.

L'agrégation n'entraîne pas automatiquement une augmentation du marquage de protection. Par exemple, une base de données contenant des milliers d'enregistrements qui sont individuellement OFFICIELS ne doit pas être rebaptisée base de données SECRET. Au lieu de cela, les propriétaires d'informations sont censés prendre des décisions sur les contrôles en fonction d'une évaluation des risques et doivent déterminer quelles sont les informations agrégées, qui doit y accéder et comment.

Les données du secteur public sont de type OFFICIEL, notamment un large éventail d'informations sur les activités quotidiennes du gouvernement. Elles ne sont soumises à aucun risque particulier. Les données personnelles sont généralement de type OFFICIEL. Les données doivent être protégées par des contrôles basés sur les meilleures pratiques commerciales plutôt que par des technologies spécialisées coûteuses et difficiles et par la bureaucratie. Il n'est pas nécessaire de marquer chaque document comme « OFFICIEL » – il est entendu que c'est la valeur par défaut pour les documents gouvernementaux.

Les organisations peuvent ajouter des « descripteurs » pour mettre en évidence des types particuliers de données officielles, par exemple des informations commerciales sensibles sur des contrats ou des données diplomatiques qui ne doivent pas être consultées par le personnel local des ambassades. Ces descripteurs ne nécessitent pas automatiquement de contrôles spéciaux. « OFFICIEL » comprendra généralement les types de données qui étaient auparavant NON CLASSIFIÉES, RESTREINTES ou CONFIDENTIELLES ; mais cela peut varier.

Le modèle de menace pour les données OFFICIELLES est similaire à celui des grandes organisations du secteur privé ; il anticipe que des pirates informatiques, des groupes de pression, des criminels et des journalistes d'investigation pourraient tenter d'obtenir des informations. Le modèle de menace ne garantit pas une protection contre des attaques très persistantes et habiles, par exemple de la part de groupes criminels organisés ou de gouvernements étrangers ; celles-ci sont possibles, mais des contrôles normaux les rendraient plus difficiles, et des contrôles beaucoup plus stricts seraient disproportionnés. Les personnes ayant un accès régulier aux informations OFFICIELLES devraient être soumises à un contrôle BPSS .

OFFICIAL peut inclure des données soumises à des exigences réglementaires distinctes, telles que la loi sur la protection des données (données personnelles) ou PCI DSS (paiements par carte).

OFFICIAL-SENSITIVE est une mise en garde supplémentaire pour les données OFFICIELLES où il est particulièrement important d'appliquer les règles de nécessité de connaître . Les documents OFFICIAL-SENSITIVE doivent être marqués, mais ils ne sont pas nécessairement suivis.

Il ne s'agit pas d'une classification. « Sensible » est une mise en garde concernant un petit sous-ensemble d'informations marquées OFFICIELLES qui nécessitent un traitement spécial par le personnel.

« Informations très sensibles », qui pourraient (par exemple) nuire gravement à la défense nationale ou aux enquêtes criminelles. Les données ne doivent être marquées comme SECRET que si le responsable principal des risques liés aux informations (qui est un poste au niveau du conseil d'administration d'une organisation) convient qu'elles ont un impact élevé et que les données doivent être protégées contre des attaquants très compétents. Bien que certaines technologies spécialisées puissent être utilisées pour protéger les données, l'accent reste fortement mis sur la réutilisation d'outils de sécurité commerciaux.

SECRET est un grand pas en avant par rapport à OFFICIEL ; les organismes gouvernementaux sont mis en garde contre toute prudence excessive et l’application de règles beaucoup plus strictes alors que le niveau OFFICIEL serait suffisant.

Les personnes ayant un accès régulier aux informations SECRET doivent généralement disposer d'une habilitation SC . Les données SECRET peuvent souvent être exemptées de divulgation FOIA .

Données avec des niveaux d'impact exceptionnellement élevés ; une compromission aurait des conséquences très graves, par exemple de nombreux décès. Cela nécessite un niveau de protection extrêmement élevé et les contrôles devraient être similaires à ceux utilisés sur les données « Top Secret » existantes, y compris les produits approuvés par le CESG. Très peu de risques peuvent être tolérés dans le cadre de données « TOP SECRET », bien qu'aucune activité ne soit totalement sans risque.

Les personnes ayant un accès régulier aux informations TOP SECRET doivent généralement disposer d'une autorisation DV . Les informations TOP SECRET sont supposées être exemptées de divulgation FOIA . La divulgation de telles informations est supposée être supérieure au seuil de poursuites en vertu de la loi sur les secrets officiels .

Les instructions de manipulation spéciales sont des marquages ​​supplémentaires utilisés en conjonction avec un marquage de classification pour indiquer la nature ou la source de son contenu, limiter l'accès à des groupes désignés et/ou pour signifier la nécessité de mesures de manipulation renforcées. En plus d'un paragraphe près du début du document, les instructions de manipulation spéciales comprennent des descripteurs, des mots de code, des préfixes et des mises en garde nationales.

Un DESCRIPTEUR est utilisé avec la classification de sécurité pour identifier certaines catégories d'informations sensibles et indique la nécessité de prendre des précautions de bon sens pour limiter l'accès. Les descripteurs habituels sont « COMMERCIAL », « LOCSEN » et « PERSONAL ».

Un mot de code est un mot unique exprimé en lettres MAJUSCULES qui suit la classification de sécurité pour fournir une couverture de sécurité pour un actif ou un événement particulier. Ils ne s'appliquent généralement qu'aux actifs SECRET et TOP SECRET.

Le préfixe UK est ajouté à la classification de sécurité de tous les actifs envoyés à des gouvernements étrangers ou à des organisations internationales. Ce préfixe désigne le Royaume-Uni comme pays d'origine et indique que le gouvernement britannique doit être consulté avant toute divulgation éventuelle.

Les réserves nationales suivent la classification de sécurité. Sauf mention explicite, les informations portant une réserve nationale ne sont pas envoyées à des gouvernements étrangers, à des sous-traitants étrangers, à des organisations internationales ni communiquées à des ressortissants étrangers. Exemple

« TOP SECRET – RÉSERVÉ AUX ROYAUMES UNIS ET AU ROYAUME-UNI UNIQUEMENT »

À l’exception des ambassades britanniques et des missions diplomatiques ou des unités ou établissements de service, les actifs portant la mention nationale UK EYES ONLY ne sont pas envoyés à l’étranger.

Comme dans le modèle GPMS précédent, le choix de la classification ne porte que sur la confidentialité des données. Cependant, contrairement à l'ancien modèle qu'il remplace, le GSCP ne considère pas les conséquences d'une compromission comme le facteur principal, mais se base plutôt sur la capacité et la motivation des acteurs potentiels de la menace (attaquants) et sur l'acceptabilité de ce risque pour l'entreprise.

Lorsqu'un attaquant compétent et motivé, tel qu'un service de renseignement étranger ou un groupe criminel grave et organisé, est considéré comme étant dans le champ d'application des données à classer, l'entreprise doit implicitement accepter ce risque pour classer les données comme étant OFFICIELLES. Si elle n'accepte pas ou ne peut pas accepter ce risque, elle doit au moins initialement considérer les données comme SECRET, bien que ce niveau puisse être réduit au niveau OFFICIEL ou augmenté au niveau TRÈS SECRET ultérieurement lorsque les conséquences d'une compromission sont également prises en compte.

L’implication de cette approche et la nature binaire de la détermination de l’acceptabilité ou non d’un risque provenant d’attaquants compétents et motivés signifient que les données ne peuvent pas facilement progresser à travers le GSCP de manière linéaire comme elles le faisaient à travers le GPMS.

Il s'agit d'une complexité souvent perdue par les propriétaires d'actifs d'information auparavant habitués à la structure hiérarchique strictement croissante des GPMS (par exemple NON CLASSIFIÉ, PROTÉGÉ, RESTREINT, CONFIDENTIEL, SECRET, TOP SECRET).

En revanche, les données GSCP commencent soit par une classification OFFICIELLE OU SECRETE en fonction de la nature de la menace et de son acceptabilité pour l'entreprise, puis augmentent ou diminuent en fonction des conséquences de la compromission.

Les données OFFICIELLES peuvent donc être classées TOP SECRET, mais ne peuvent pas être SECRETES à moins que le risque précédemment accepté pour un attaquant compétent ne soit révisé.

Les données SECRET peuvent être réduites au niveau OFFICIEL lorsqu'aucune conséquence grave ne peut être identifiée suite à une violation potentielle, ou SECRET peut également être élevé au niveau TOP SECRET si des conséquences graves peuvent survenir.

Les niveaux d'impact prennent également en compte l'intégrité et la disponibilité, mais le système de niveaux d'impact sur l'entreprise (BIL) du CESG est également en cours de révision et, dans la plupart des contextes pratiques, il est désormais tombé en désuétude.

Il n’est donc plus strictement vrai que plus les conséquences d’une atteinte à la confidentialité des données sont importantes, plus la classification est élevée, puisque les données à fort impact (y compris les éléments pouvant constituer une menace pour la vie) peuvent toujours être classées comme OFFICIELLES si le propriétaire de l’entreprise concerné estime qu’il n’est pas nécessaire de les protéger d’un attaquant ayant les capacités d’un service de renseignement étranger ou d’un crime grave et organisé.

À l’inverse, certaines données ayant des conséquences bien moindres (par exemple des enquêtes policières en cours sur un groupe criminel ou des informations de renseignement relatives à d’éventuelles poursuites), mais pour lesquelles l’entreprise n’acceptera pas d’être compromise par un tel attaquant, pourraient être classées SECRET.

Les directives publiées en avril 2014 lors de la mise en œuvre du GSCP et toujours disponibles sur les sources du gouvernement britannique suggéraient que les systèmes d'information du gouvernement britannique continueraient d'être accrédités comme auparavant, en utilisant normalement les normes d'assurance de l'information CESG 1 et 2. Cette norme a cependant été progressivement abandonnée par les déclarations des blogs GDS et NCSC depuis mai 2014 et la norme IS1 & 2 elle-même n'est plus maintenue ni obligatoire. L'accréditation a également été largement remplacée par des modèles d'assurance alternatifs alignés sur diverses pratiques commerciales.

Le rapport du NAO « Protecting Information across Government » (septembre 2016) s'est montré quelque peu critique à l'égard du passage à ce modèle et de l'adoption du GSCP dans son ensemble

Les directives publiées existantes continuent de suggérer que les supports de stockage qui contiennent des données du gouvernement britannique doivent toujours être détruits ou purgés conformément à la politique n° 5 de HMG IA . Cependant, la terminologie de ces directives et d'autres documents n'a pas été entièrement mise à jour pour refléter les changements des marquages ​​de protection GPMS aux classifications GSCP et, en tant que telle, sa valeur est désormais sans doute quelque peu réduite en tant que norme publiée.

Les classifications supérieures nécessitent toujours un contrôle plus strict du personnel .

La politique gouvernementale de classification des données de sécurité a été finalisée et publiée en décembre 2012. Des directives supplémentaires et des processus de soutien ont été élaborés au fil du temps. La politique est entrée en vigueur le 2 avril 2014. Les procédures de passation de marchés publics ont pris en compte la nouvelle politique à compter du 21 octobre 2023 afin que les nouvelles exigences de sécurité puissent être prises en compte dans les contrats passés à compter de cette date.