Un appel d’offres pour un UAS de sécurité publique doit définir les données collectées, leur cheminement, les personnes autorisées à y accéder, la préservation de leur intégrité, leur durée de conservation et leur traitement après la perte d’un appareil, un incident cyber ou la fin du contrat. Il s’agit d’exigences opérationnelles, pas de détails à confier au fournisseur de l’aéronef après l’achat.
Cartographiez le flux de données avant de choisir les contrôles
Commencez par le dossier de mission, et non par une liste générique de contrôles de sécurité. Suivez chaque type de donnée depuis le capteur jusqu’à l’utilisateur autorisé et au dépôt final.
La Recommandation ITU-T F.749.18 décrit les services UAS d’urgence selon quatre couches : dispositif, réseau, service et application. Ce modèle est utile pour les achats, car un contrôle appliqué à une couche ne protège pas automatiquement les autres.
| Étape des données | Périmètre habituel | Question de l’acheteur |
|---|---|---|
| Capture | Vidéo, images, télémétrie, localisation, mesures de capteurs et actions de l’opérateur | Quelles données sont nécessaires à la mission et lesquelles ne doivent pas être collectées ? |
| Transmission | Liaison de commande, télémétrie, flux de charge utile, réseau mobile, relais ou liaison satellite | Où les données sont-elles exposées, chiffrées, mises en mémoire tampon, retransmises ou perdues ? |
| Accès opérateur | Contrôleur, terminal mobile, poste de travail, navigateur ou console de commandement | Qui peut consulter, contrôler, annoter, exporter ou supprimer chaque classe de données ? |
| Stockage | Support de l’aéronef, stockage amovible, serveur local, cloud fournisseur ou dépôt de l’organisme | À qui appartient chaque copie, où est-elle hébergée et comment les accès sont-ils journalisés ? |
| Utilisation et partage | Commandement de l’incident, enquête, revue technique, formation ou partenaires autorisés | Quelle finalité, quelle autorité et quelles règles d’occultation et de partage s’appliquent ? |
| Conservation et élimination | Archivage, gel juridique, suppression courante, restitution de l’appareil ou sortie de contrat | Quel événement déclenche la durée de conservation et comment la suppression de toutes les copies est-elle vérifiée ? |
Consignez les chemins inconnus comme des exigences ouvertes. L’acheteur ne doit pas supposer qu’un flux vidéo en direct, une carte amovible, le cache du contrôleur, le cloud du fournisseur et l’archive de l’organisme suivent la même politique d’accès ou de suppression.
Fixez des exigences pour les données au repos et en transit
Les recommandations de cybersécurité de la CISA pour les UAS préconisent d’évaluer la protection des liaisons de commande, de télémétrie, de charge utile, de vidéo et d’audio, ainsi que le stockage embarqué et les systèmes de transfert. L’équipe achats doit traduire ces recommandations en exigences applicables à la configuration commandée et à son environnement opérationnel.
- Identifier chaque chemin de transfert par radio, réseau, câble, support amovible, API ou cloud.
- Définir les exigences de chiffrement et de gestion des clés pour les données sensibles en transit et au repos.
- Exiger des utilisateurs nommés, des accès fondés sur les rôles, une authentification robuste et une activité de compte vérifiable.
- Séparer les équipements opérationnels des accès inutiles à internet ou au réseau de l’organisme lorsque la mission l’exige.
- Maîtriser les logiciels, micrologiciels, applications mobiles, mises à jour, vulnérabilités et changements de configuration.
- Prévoir la perte d’un appareil, la compromission d’identifiants, les fichiers malveillants, les transferts échoués et l’indisponibilité des services cloud.
Cette liste ne prouve pas qu’un concept PZLON répond déjà à un profil de sécurité gouvernemental. Le fournisseur doit préciser l’implémentation actuelle, les preuves, les exclusions, les dépendances et les modifications nécessaires pour respecter la politique de l’acheteur.
Traitez la conservation comme une politique, pas comme un réglage de stockage par défaut
La durée de conservation appropriée dépend de la mission, de la classe de données, de la juridiction, de la politique d’archivage, des obligations de confidentialité, de l’usage probatoire et des gels juridiques en cours. L’acheteur doit définir ces règles avant que le fournisseur n’active une synchronisation automatique ou un stockage cloud indéfini.
- Classer les vidéos opérationnelles, la télémétrie, les annotations, les journaux, les exports et les analyses dérivées.
- Nommer le propriétaire autorisé, le dépositaire, les utilisateurs, les réviseurs et les destinataires externes.
- Définir l’événement qui déclenche la conservation et la durée approuvée pour chaque classe.
- Préciser l’historique d’audit, les contrôles d’intégrité, l’occultation, le gel juridique, la sauvegarde, la restauration et l’export.
- Documenter la suppression sur les aéronefs, contrôleurs, supports amovibles, systèmes locaux, stockages cloud et copies de support.
Le calendrier de conservation relève de l’organisme responsable. Le fournisseur peut expliquer les capacités et les limites du système, mais il ne doit pas choisir implicitement la politique juridique ou opérationnelle de l’organisme.
Demandez des preuves au fournisseur, pas de simples assurances
Un questionnaire de sécurité n’est utile que si les réponses sont vérifiables. Demandez des preuves correspondant au matériel, au logiciel, à l’hébergement, à la région, aux options et au modèle d’assistance proposés.
- Une architecture à jour et un schéma des flux de données pour la configuration commandée
- Les emplacements des données, les hébergeurs, les sous-traitants, les accès d’assistance à distance et les transferts transfrontaliers
- La conception des identités, rôles, authentifications, journaux, chiffrements, clés et certificats
- L’inventaire des logiciels et micrologiciels, le processus de mise à jour, la durée d’assistance et le traitement des vulnérabilités
- Les formats d’export, horodatages, identifiants de configuration, journaux d’audit et contrôles d’intégrité
- La sauvegarde, la reprise après sinistre, la notification d’incident, la restitution des données, la fermeture des comptes et la suppression vérifiée
Si un élément n’est pas disponible, consignez l’écart et son effet sur l’acceptation. Ne remplacez pas une preuve manquante par une affirmation générale telle que « cloud sécurisé », « qualité militaire » ou « conforme par conception ».
Testez le flux de données dans des conditions représentatives
L’acceptation doit confirmer le flux de travail que l’organisme compte exploiter. Placez la configuration testée sous contrôle des modifications et conservez le dossier d’essai avec le résultat.
Figez la configuration d’essai
Consignez l’aéronef, la charge utile, le contrôleur, les radios, les applications, le micrologiciel, les comptes, le réseau, la région cloud et les outils d’export inclus.
Testez les accès et les transferts
Vérifiez les rôles autorisés, l’authentification, les chemins de données, les journaux, l’état du chiffrement, les exports et les tentatives d’accès refusées sans exposer de données sensibles réelles.
Introduisez des conditions dégradées
Vérifiez la perte de liaison, le fonctionnement hors ligne, la synchronisation retardée, l’absence d’un appareil, l’échec d’un envoi, la révocation d’un compte et l’indisponibilité d’un service fournisseur.
Vérifiez le dossier d’incident
Confirmez les horodatages, l’équipement source, l’opérateur, la configuration, les annotations, le support original, l’historique des modifications et l’export de preuves convenu.
Démontrez la restauration et la sortie
Restaurez depuis la sauvegarde approuvée, restituez les données dans un format exploitable, fermez les comptes et vérifiez la suppression dans le scénario de fin de contrat.
Les équipes locales chargées du droit, des archives, de la confidentialité, de l’aviation et de la cybersécurité doivent examiner les exigences finales. Cette liste facilite la préparation des achats ; elle ne remplace ni une politique propre à la juridiction ni un avis juridique.
Questions fréquentes des acheteurs
Quelles exigences de sécurité des données inclure dans un appel d’offres UAS de sécurité publique ?
Définissez les données collectées, chaque chemin de transfert, les lieux de stockage autorisés, les rôles utilisateurs, l’authentification, le chiffrement, la journalisation, la conservation, l’export, la suppression, la réponse aux incidents et les preuves du fournisseur. Reliez chaque exigence critique à un document, une inspection ou un essai d’acceptation représentatif.
Combien de temps conserver les données UAS de sécurité publique ?
Il n’existe pas de durée universelle. L’organisme doit définir une durée pour chaque classe de données selon la finalité de la mission, le droit applicable, la politique d’archivage, le besoin probatoire, les obligations de confidentialité et les gels juridiques. Le système doit appliquer cette politique sans copies invisibles ni stockage indéfini par défaut.
Le cloud d’un fournisseur peut-il servir de dépôt de preuves ?
Uniquement après vérification du lieu d’hébergement, des contrôles d’accès, du chiffrement, des journaux d’audit, des capacités d’export, des sauvegardes et restaurations, des sous-traitants, de la notification d’incident, de la restitution des données et de la suppression sécurisée. Un portail fournisseur ne doit pas devenir par défaut l’unique dossier de preuve.
Que doivent devenir les données UAS à la fin d’un contrat ?
Le contrat doit définir un export exploitable, un transfert vérifié au propriétaire autorisé, le traitement des sauvegardes et copies de support, la fermeture des comptes et la preuve de suppression. Ces exigences de sortie doivent être testées avant que le fonctionnement ne dépende du fournisseur.