Périmètre ITSP.10.171 séparation logique en 5 étapes

En bref : Le périmètre ITSP.10.171 séparation logique désigne la portion du système d’information qu’une organisation doit réellement mettre en conformité, une fois le périmètre restreint aux seuls systèmes qui traitent l’« information désignée ». Cette information est un renseignement non classifié mais délicat, lié à un contrat fédéral : ni secret, ni destiné au grand public. La norme autorise cette réduction explicitement, à condition que la séparation soit réelle, documentée et vérifiable, pas seulement déclarée.

Vous dirigez une PME manufacturière, un contrat fédéral exige la conformité à ITSP.10.171, et votre parc informatique compte un poste sous Windows 7 ou Windows 10 qui pilote toujours une machine à commande numérique (CNC). Votre premier réflexe est de croire qu’il faudra tout remplacer et tout auditer. Ce n’est pas ce que la norme demande, et le confondre avec ce qu’elle demande coûte cher pour rien.

Dans cet article

Sur quoi porte exactement l’obligation ITSP.10.171 ?

ITSP.10.171 est la norme technique qui encadre la protection de l’information désignée, publiée par le Centre canadien pour la cybersécurité. Elle définit les mesures de sécurité qu’une organisation doit appliquer pour protéger ce que la norme appelle l’« information désignée » : des renseignements non classifiés, mais de nature délicate, liés à des contrats du gouvernement fédéral. On n’est pas dans le secret ni le très secret, les catégories réservées aux dossiers de la défense nationale et du renseignement. On n’est pas non plus dans l’information destinée à monsieur et madame Tout-le-Monde. L’information désignée se situe entre les deux : elle mérite une protection, sans exiger une habilitation de sécurité pour y toucher.

Concrètement, cette information change de visage selon votre secteur. Chez un usineur qui fabrique une pièce pour un sous-traitant de la défense, l’information désignée est souvent le plan technique de la pièce : ses tolérances, ses matériaux, ses spécifications. Chez un transporteur, c’est l’information logistique : quoi transporter, quand, vers quelle base. Le dénominateur commun n’est pas le secteur d’activité, c’est le lien avec un contrat fédéral qui touche à la défense ou à des marchandises contrôlées. Comprendre cette portée est le point de départ de tout exercice de périmètre ITSP.10.171 séparation logique : c’est cette information, et seulement elle, qui trace la frontière du périmètre restreint.

ITSP.10.171 dérive de la norme américaine NIST SP 800-171, le cadre que le département de la Défense des États-Unis utilise dans son propre programme de certification, le CMMC (Cybersecurity Maturity Model Certification). Le Canada a adapté ce cadre à son contexte, notamment via le programme canadien de certification en cybersécurité, le CPCSC, aussi désigné PCCC en français. ITSP.10.171 en est le cœur technique. Si vous partez de zéro sur ce sujet, notre guide complet du CPCSC et du PCCC donne la vue d’ensemble du programme ; cet article se concentre sur un point précis, et souvent mal compris.

Périmètre ITSP.10.171 séparation logique : que permet la norme ?

ITSP.10.171, à sa section 1.1, permet explicitement de limiter le périmètre de conformité à la portion de l’organisation qui traite, stocke ou transmet l’information désignée. C’est la partie la moins comprise de la norme. Le reste de votre environnement, la comptabilité, le poste de la réceptionniste, le portable du représentant qui ne voit jamais un plan technique, n’a pas à répondre aux mêmes exigences.

La norme accepte la séparation logique, pas seulement physique. Vous n’avez pas besoin d’un bâtiment séparé ni d’un réseau physiquement isolé. En pratique, la séparation logique s’appuie sur quelques leviers techniques :

un sous-réseau distinct pour les systèmes qui traitent l’information désignée ;
des comptes dédiés, réservés aux personnes qui en ont réellement besoin ;
des contrôles d’accès qui empêchent l’information désignée de circuler hors de sa zone.

C’est suffisant, à condition que la séparation soit démontrable, pas seulement affirmée.

Un mot revient souvent dans les discussions sur ce sujet : « enclave ». Il vient du guide produit par Services publics et Approvisionnement Canada (SPAC) pour aider les fournisseurs à interpréter la norme, pas de ITSP.10.171 elle-même. La distinction compte : le guide SPAC illustre une façon de faire, il n’ajoute pas d’exigence. Ce que la norme exige, c’est un périmètre bien découpé et documenté, peu importe le nom qu’on lui donne.

ITSP.10.171 est aussi la norme technique qui sous-tend le futur niveau 2 du CPCSC. Pour qui se prépare déjà au niveau 2 du PCCC, la réduction du périmètre est un des premiers leviers à activer, avant même de penser aux contrôles techniques.

Voici la différence, en un coup d’œil.

Élément	Périmètre complet	Périmètre restreint (séparation logique)
Systèmes visés	L’ensemble du parc informatique	Seuls les systèmes qui traitent l’information désignée
Effort de mise en conformité	Proportionnel à la taille de toute l’organisation	Proportionnel à la taille de la zone isolée
Preuve à fournir	Conformité démontrée partout	Conformité démontrée dans la zone, plus preuve de la séparation elle-même
Risque principal	Coût et délai qui grimpent avec la taille de l’organisation	Un découpage mal justifié, jugé non conforme à la vérification

Réduire le périmètre n’est pas un raccourci comptable. C’est une décision technique qui doit résister à un examen : un vérificateur qui trouve un chemin entre la zone isolée et le reste du réseau invalide la séparation, et avec elle, tout l’exercice.

Faut-il chiffrer en FIPS ?

Non, pas obligatoirement, et c’est une confusion fréquente. L’exigence 03.13.11 de ITSP.10.171 porte sur l’usage de la cryptographie pour protéger la confidentialité de l’information désignée ; le type de chiffrement retenu est un paramètre que chaque organisation définit elle-même, et la norme recommande le recours à un chiffrement conforme FIPS (Federal Information Processing Standards, les normes de chiffrement fédérales américaines) sans l’imposer comme seul choix possible.

FIPS est ce que la norme appelle un paramètre organisationnel : une exigence que chaque organisation ajuste selon son contexte, plutôt qu’un seuil unique imposé à tous. Vous pouvez choisir un chiffrement conforme FIPS parce que votre secteur ou votre client final l’exige par contrat, ou opter pour un autre standard de chiffrement reconnu si votre analyse de risque le justifie. Ce que vous ne pouvez pas faire, c’est ne pas chiffrer du tout, ou chiffrer avec un algorithme dépassé et prétendre que l’exigence ne s’applique pas.

Plusieurs fournisseurs de solutions de sécurité présentent FIPS comme une exigence non négociable pour vendre leur produit. Vérifiez le texte de la norme avant de signer, pas la fiche commerciale.

Faut-il respecter une exigence de résidence des données au Canada ?

Non : ITSP.10.171 ne contient aucune exigence de résidence des données au Canada. C’est un contraste avec d’autres discussions de conformité où l’hébergement canadien revient souvent, et une confusion qui coûte cher : des organisations écartent des fournisseurs infonuagiques parfaitement viables, ou paient une prime pour un hébergement local, en pensant répondre à une exigence qui n’existe pas dans le texte de la norme.

Ce qui compte pour ITSP.10.171, c’est la protection de l’information désignée, où qu’elle se trouve, pas sa localisation géographique. La vérification à faire porte ailleurs : sur votre contrat avec votre fournisseur infonuagique. Ce contrat vous permet-il d’appliquer les contrôles exigés par la norme (chiffrement, contrôle d’accès, journalisation, gestion des incidents) sur les systèmes hébergés chez lui ? Le fournisseur s’engage-t-il à les respecter, ou vous laisse-t-il les mettre en place vous-même ?

Un contrat mal calibré peut vous empêcher de démontrer la conformité même si vos données sont hébergées au Canada. À l’inverse, un contrat bien négocié avec un fournisseur à l’étranger peut suffire. La question n’est pas où, elle est comment.

Une précision s’impose ici : rien dans cet article n’est un avis juridique ou contractuel. La lecture exacte de vos obligations, notamment contractuelles, revient à votre conseiller juridique.

Comment isoler sans tout reconstruire ?

C’est la question qui inquiète le plus les dirigeants de PME manufacturières, et c’est là que la norme est la plus généreuse envers vous, à condition d’être honnête sur ce que vous isolez réellement.

Dans un atelier typique, l’écart entre l’état actuel et la norme ressemble rarement à un problème d’un seul bloc. Il ressemble plutôt à une accumulation de petites choses :

un poste sous Windows 7 ou Windows 10 qui pilote une machine à commande numérique, qu’on n’ose pas mettre à jour de peur de casser la production ;
des mots de passe collés sur l’écran ;
le compte d’un employé parti depuis trois ans, encore actif dans le système ;
des plans techniques qui circulent sur une clé USB ;
des sauvegardes dont personne n’a jamais vérifié qu’elles se restaurent.

ITSP.10.171 est construite pour couvrir ce genre d’écarts, pas pour les ignorer.

La bonne nouvelle : isoler certaines machines est une stratégie reconnue, pas un contournement. Le poste qui pilote votre CNC n’a pas à entrer dans le périmètre de conformité s’il est correctement séparé du reste du réseau et qu’il ne touche jamais, directement ou indirectement, à l’information désignée. S’il y touche, parce que le plan de la pièce transite par ce poste par exemple, l’isolement doit couvrir ce chemin-là aussi, pas seulement la machine.

C’est très exactement ce que signifie, en pratique, un périmètre ITSP.10.171 séparation logique appliqué à un atelier de production.

Pour les systèmes qu’on ne peut ni isoler complètement ni mettre à jour dans l’immédiat, comme certains équipements industriels liés à un système d’exploitation en fin de vie, un plan de contingence documenté (surveillance renforcée, accès restreint, absence de connexion directe à internet) peut faire partie d’une démonstration de conformité honnête. Ce que la vérification ne pardonne pas, c’est l’absence de plan, pas l’existence d’un vieux système.

Restreindre le périmètre, c’est clôturer l’atelier qui touche à l’information désignée, pas reconstruire l’usine au complet.

Par où commencer ?

Concrètement, cinq gestes, dans l’ordre.

Identifiez précisément où circule l’information désignée dans votre organisation : quels contrats, quels documents, quels postes, quelles personnes y touchent.
Cartographiez les chemins entre cette information et le reste de votre réseau : partages de fichiers, comptes ayant accès, connexions entre systèmes.
Découpez le périmètre autour de ce qui touche réellement à l’information désignée, en séparation logique si une séparation physique n’est pas réalisable.
Documentez la séparation elle-même : c’est cette preuve, autant que la conformité des systèmes isolés, qu’une vérification examine en premier.
Traitez les cas particuliers, vieux systèmes industriels ou équipements impossibles à mettre à jour, avec un plan de contingence écrit plutôt qu’en les excluant sans justification.

Ces cinq gestes forment, dans l’ordre, la démarche que nous appliquons pour documenter un périmètre ITSP.10.171 séparation logique devant un vérificateur.

Combien cela coûte-t-il, exactement ? La réponse dépend de plusieurs variables : la taille de la zone isolée, le nombre de systèmes concernés, leur état actuel. C’est un sujet qui mérite son propre article.

Le réflexe le plus coûteux, chez une PME manufacturière, est d’acheter du matériel neuf ou de migrer des systèmes avant d’avoir validé où passe réellement le périmètre. Un découpage mal posé au départ se corrige rarement sans reprendre l’exercice depuis le début. Avant d’investir, faites valider votre découpage par un regard indépendant : quelques heures de travail bien ciblées peuvent éviter des mois d’efforts qui ne comptent pour rien dans la démonstration finale. Nous accompagnons des fournisseurs industriels et technologiques dans cette lecture, vous pouvez faire valider votre découpage de périmètre CPCSC avant d’engager la moindre dépense.

Planifier un appel exploratoire

Pour aller plus loin avec Factero :

accompagnement PCCC et ITSP.10.171

Foire aux questions

Le mot « enclave » est-il un terme officiel de la norme ITSP.10.171 ?

Non. « Enclave » vient du guide d’interprétation publié par Services publics et Approvisionnement Canada pour aider les fournisseurs, pas du texte de la norme elle-même. ITSP.10.171 parle de périmètre de conformité et de séparation logique, jamais d’enclave. Le mot circule beaucoup dans les discussions sur le sujet, mais il n’ajoute aucune exigence : ce que la norme demande reste un périmètre bien découpé et documenté, peu importe le vocabulaire employé pour le nommer. C’est précisément ce que vise un périmètre ITSP.10.171 séparation logique : un découpage documenté, pas un vocabulaire officiel à respecter.

Un chiffrement non conforme FIPS empêche-t-il d’être conforme à ITSP.10.171 ?

Pas nécessairement. L’exigence 03.13.11 recommande le chiffrement conforme FIPS sans l’imposer comme seul choix : c’est un paramètre organisationnel, que chaque organisation ajuste selon son contexte et son analyse de risque. Un autre standard de chiffrement reconnu peut convenir, à condition de le documenter clairement. Ce qui n’est pas acceptable, c’est l’absence de chiffrement, ou un algorithme dépassé présenté comme suffisant.

Mes données doivent-elles être hébergées au Canada pour respecter ITSP.10.171 ?

Non, la norme ne contient aucune exigence de résidence des données au Canada. Ce qui compte, c’est votre capacité à démontrer les contrôles exigés (chiffrement, contrôle d’accès, journalisation, gestion des incidents) sur les systèmes qui traitent l’information désignée, où qu’ils soient hébergés. La vérification à faire porte sur votre contrat avec votre fournisseur infonuagique, pas sur la géographie du centre de données.

Une petite entreprise a-t-elle moins d’exigences à respecter sous ITSP.10.171 qu’une grande organisation ?

Non, la norme ne prévoit aucun allègement basé sur la taille de l’entreprise. Le levier reconnu est le même pour tous : réduire le périmètre de conformité à la portion qui traite réellement l’information désignée, par séparation logique. Une PME dont l’information désignée touche peu de systèmes finit souvent avec un périmètre plus petit, non parce que la norme l’exempte, mais parce qu’elle a moins à isoler.

Un vieux poste sous Windows 7 relié à une machine de production m’empêche-t-il d’être conforme à ITSP.10.171 ?

Pas s’il est isolé du reste du réseau et qu’un plan de contingence documente comment vous gérez le risque : surveillance renforcée, accès restreint, absence de connexion directe à internet. S’il ne touche jamais, directement ou indirectement, à l’information désignée, il n’a même pas à entrer dans le périmètre. Ce que la vérification pénalise, c’est l’absence de plan, pas l’existence d’un système ancien.

ITSP.10.171 : réduire son périmètre par séparation logique, sans tricher

Besoin d’aide sur ce sujet ?