Rôles et responsabilités des intervenants de l'ICPG

La Directive sur les services de certification offerts par le gouvernement du Québec   désigne divers intervenants :

• Les intervenants de l'ICPG
• Agent de vérification de l'identité (AVI)
• Gestionnaire des encadrements administratif et technique (GEAT)
• Gestionnaire de clés et certificats (GCC)
• Gestionnaire de l'infrastructure opérationnelle (GIO)
• Gestionnaire de l'utilisation (GU) décisionnel et opérationnel
• Abonné
• Utilisateur

Modèle fonctionnel de l'ICPG

Adopté par le Secrétariat du Conseil du trésor en 1999, le modèle fonctionnel de l'ICPG intègre divers intervenants et leurs fonctions. Ce modèle s'illustre comme suit.

(cliquer pour agrandir le diagramme)

Répartition graphique des rôles et responsabilités des intervenants de l'ICPG

On compte plusieurs partenaires pour assurer le fonctionnement de l'ICPG :

• le Secrétariat du Conseil du trésor (SCT);
• le ministère des Services gouvernementaux (MSG);
• le ministère de la Justice (MJQ);
• les agents de vérification de l'identité (AVI);
• les ministères et organismes (MO).

On peut illustrer leurs rôles et responsabilités comme suit :

(cliquer pour agrandir le diagramme)

Agent de vérification de l'identité (AVI)

L'AVI doit notamment :

• vérifier l'identité des abonnés;
• expliquer et faire signer à l'abonné une entente d'abonnement;
• conserver les ententes d'abonnement et, sur demande, les transmettre au gestionnaire de clés et certificats (GCC);
• transmettre au GCC le compte rendu de la vérification effectuée ainsi que le secret partagé;
• respecter les exigences opérationnelles du GCC;
• conserver, selon les lois applicables, les renseignements recueillis dans le cadre de la vérification de l'identité et classifier ces renseignements de manière à pouvoir les retracer;
• respecter la confidentialité des données recueillies selon les lois applicables, notamment le secret partagé;
• protéger ses équipements contre toute atteinte à leur sécurité et à leur intégrité.

Gestionnaire des encadrements administratif et technique (GEAT)

Cette fonction est assumée par le Conseil du trésor et son secrétariat. Le GEAT doit notamment :

• désigner officiellement les gestionnaires de clés et de certificats (GCC), les gestionnaires de l'infrastructure opérationnelle (GIO) et les agents de vérification de l'identité (AVI);
• s'assurer du maintien des niveaux de confiance des certificats délivrés dans le cadre de l'ICPG;
• déterminer les règles, normes, spécifications techniques et fonctionnelles applicables par chaque intervenant.

Gestionnaire de clés et de certificats (GCC)

Le GCC doit notamment :

• mettre en place les mécanismes de communication permettant d'assurer la cohérence opérationnelle entre les différents intervenants de l'ICPG avec qui il collabore;
• s'assurer que ses exigences opérationnelles soient respectées par les agents de vérification de l'identité (AVI);
• délivrer les clés et certificats;
• procéder aux opérations subséquentes sur les certificats pendant tout leur cycle de vie;
• inscrire et publier dans le répertoire les certificats de chiffrement et la liste des certificats annulés;
• maintenir le niveau de confiance des clés et certificats par différents moyens de contrôle et mesures de sécurité;
• planifier et assurer l'implantation, l'exploitation, l'entretien et l'évolution de l'infrastructure opérationnelle;
• rendre opérationnelles les ententes de reconnaissance réciproque.

Gestionnaire de l'infrastructure opérationnelle (GIO)

Le GIO voit à :

• installer, exploiter, entretenir les composantes logicielles et matérielles;
• assurer l'assistance technologique de 3^e niveau;
• conseiller le gestionnaire de clés et de certificats (GCC) sur l'évolution des infrastructures technologiques.

Gestionnaire de l'utilisation (GU) décisionnel

Le GU décisionnel doit notamment :

• analyser les risques par processus d'affaires;
• définir les orientations en matière de sécurité de l'information numérique;
• déterminer quel type de personne aura le droit d'utiliser son application;
• déterminer les niveaux de service requis;
• consigner les orientations et modalités du service dans une entente de service avec un gestionnaire de clés et certificats (GCC) désigné.

Gestionnaire de l'utilisation (GU) opérationnel

Le GU opérationnel doit notamment :

• intégrer dans ses applications informatiques, les fonctionnalités de l'infrastructure à clés publiques gouvernementale (ICPG);
• gérer les droits d'usage et les habilitations de la clientèle;
• offrir une assistance à la clientèle;
• informer le gestionnaire de clés et de certificats (GCC) de tout élément pouvant mener à l'annulation de certificats;
• traiter toute information reçue du GCC lui permettant d'associer, dans un registre des droits d'accès, un certificat à un utilisateur.

Abonné

L'abonné doit notamment :

• faire vérifier son identité par un agent de vérification de l'identité (AVI) et lui fournir les pièces et renseignements requis selon le type de certificats exigé par le ministère ou l'organisme gestionnaire de l'organisation;
• s'assurer de l'utilisation des clés pour les seules fins autorisées;
• s'assurer d'une utilisation sécuritaire des clés;
• s'assurer de la confidentialité de ses clés privées (certificats d'individu);
• aviser de tout changement aux renseignements inscrits aux certificats;
• respecter l'entente d'abonnement qu'il a signée.

Utilisateur

L'utilisateur doit quant à lui :

• vérifier la validité et la portée du certificat avant de l'utiliser;
• utiliser les certificats avec des applications ICPG.