Lutter contre les réseaux de botnets: nos réponses à vos questions

Voici les réponses aux questions non posées pendant l’événement Lutter contre les réseaux de botnets

L’Autorité canadienne pour les enregistrements Internet (CIRA) a tenu le 23 juin la discussion de groupe virtuelle : Battling botnets: A security balancing act (Lutter contre les réseaux de botnets : un exercice d’équilibre en matière de sécurité) (en anglais seulement).

La discussion, animée par Hannah Daley du Wire Report, portait sur la création d’un cadre de blocage des ordinateurs botnets à l’échelle des réseaux. Le groupe réunissait Mark Buell (de l’Internet Society), Andy Kaplan-Myrth (de TekSavvy), Leah Michalopulos (de l’Association canadienne de l’électricité) et le président et chef de la direction de CIRA, Byron Holland.

En janvier dernier, le Conseil de la radiodiffusion et des télécommunications canadiennes (CRTC) a proposé un cadre de travail pour surveiller la façon dont les fournisseurs de services Internet (FSI) bloquaient le trafic malveillant sur leurs réseaux. Cette proposition a servi de contexte à la discussion de groupe sur la responsabilité de protection des Canadiens contre les réseaux de botnets et autres cybermenaces malveillantes. La soumission de CIRA au CRTC soutient que tout cadre de filtrage visant à assurer la sécurité de réseau doit être axé sur les menaces réelles pour le réseau, et doit intégrer responsabilité, transparence, non-discrimination et proportionnalité.

Depuis la tenue de cette discussion de groupe, le CRTC a demandé des renseignements supplémentaires aux principaux FSI sur leurs pratiques de gestion de trafic.

L’auditoire a posé de nombreuses questions au cours de la discussion. Comme il n’a malheureusement pas été possible de répondre à toutes ces questions en direct, nous avons rassemblé les principales questions restées en suspens et les réponses de CIRA, de même que l’enregistrement intégral de l’événement :

Panel – Battling botnets: A security balancing act (Discussion de groupe – Lutter contre les réseaux de zombies : un exercice d’équilibre en matière de sécurité) (en anglais seulement).

1) Mon fournisseur de services Internet a mis en place un système de blocage des pourriels qui achemine un faible pourcentage de mes courriels légitimes vers le dossier de courrier indésirable. Devrait-on avoir la possibilité de désactiver le blocage des pourriels?

Chez CIRA, nous croyons que les utilisateurs devraient avoir le pouvoir de contrôler la façon dont ils accèdent à l’information en ligne. Dans notre soumission au CRTC sur les réseaux de botnets, nous avons fait valoir que le droit des utilisateurs de se retirer de tout mécanisme ou cadre de blocage devrait être protégé. Selon le respect du principe de transparence, l’utilisateur d’un abonnement ou d’un service devrait avoir accès à des informations claires indiquant s’il a la possibilité de s’en retirer et à quel moment. Dans le cas du blocage de contenu, les implications d’un refus devraient être limpides pour les utilisateurs, et ces derniers devraient être en mesure de se retirer sans contraintes excessives.

2) Les FSI devraient-ils donner la priorité au contrôle des réseaux de botnets plutôt qu’à l’application des droits d’auteur pour le compte d’autrui?

Tout cadre de blocage devrait se focaliser sur les menaces techniques qui font du réseau une arme. Le blocage ne devrait pas être utilisé pour contrôler le contenu ou le discours en ligne, car il existe d’autres mesures plus adéquates pour lutter contre le contenu illégal. Selon nous, il y a une différence fondamentale entre le filtrage du trafic dangereux dans le but de favoriser la sécurité du réseau et le blocage du contenu pour servir des intérêts commerciaux particuliers.

3) Comment encourager les FSI à investir dans la protection de leurs clients sans intervention du gouvernement?

Les FSI ont révélé qu’ils bloquaient et géraient déjà le trafic de leur propre initiative, sans intervention du gouvernement. Ils le font pour diverses raisons, notamment pour protéger leurs réseaux contre les menaces sécuritaires ou techniques. Dans un marché concurrentiel, les FSI pourraient se démarquer par les mesures qu’ils prennent pour protéger les utilisateurs de leur réseau. Malheureusement, le secteur des télécommunications au Canada est largement considéré comme un « oligopole » où l’accès à Internet dans un marché donné n’est fourni que par une ou deux entreprises. Dans un marché concurrentiel, les utilisateurs finaux ont la possibilité de changer de fournisseur s’ils trouvent que leur FSI ne prend pas assez de mesures pour les protéger. Une concurrence accrue entre les FSI inciterait ces derniers à offrir davantage de services de cybersécurité dans le cadre d’une proposition de valeur visant à prendre des clients à leurs concurrents.

4) Le gouvernement devrait-il se concentrer sur des mesures incitant les fournisseurs et les exploitants d’infrastructures essentielles à être sécurisés, comme le font les États-Unis?

Le Canada a toujours adopté une approche généralisée à la lutte contre les cybermenaces. L’habileté numérique, l’échange d’informations sur les menaces, les logiciels antivirus, les bloqueurs de pourriels, les partenaires d’applications et de logiciels et les entreprises de télécommunications sont autant de facteurs déterminants. Alors que les cybermenaces se multiplient et gagnent en complexité, il est plus important que jamais d’investir dans l’infrastructure et les technologies nécessaires pour assurer notre sécurité. De manière générale, CIRA appuie les efforts gouvernementaux pour augmenter l’adoption de services, de technologies et de meilleures pratiques en matière de cybersécurité. CIRA a récemment salué l’annonce par le gouvernement fédéral d’un nouveau financement de 80 millions de dollars pour appuyer la cybersécurité par le biais du programme Réseau d’innovation pour la cybersécurité. Nous appuierons également les programmes qui aident à rembourser les dépenses associées à l’adoption de technologies de cybersécurité dans les secteurs mal desservis comme celui des petites et moyennes entreprises.