Canada ITSG-33 en AI: Voldoen aan het beveiligingscontroleframework van CSE in agentomgevingen
Canadese federale instanties, hun aannemers en private organisaties die overheidsgeclassificeerde informatie verwerken, zetten AI-agenten in bij documentverwerking, burgerdienstprocessen, regelgevingsbeoordelingen en programma-administratie.
Veel van deze workflows omvatten Protected A- en Protected B-informatie – de Canadese classificaties voor gevoelige overheidsdata waarvan ongeoorloofde openbaarmaking ernstige schade kan toebrengen aan individuen, organisaties of overheidsprocessen.
Daardoor vallen AI-agent-inzettingen volledig binnen de reikwijdte van ITSG-33, het Information Technology Security Guidance-framework dat is gepubliceerd door het Canadian Centre for Cyber Security.
ITSG-33 is het Canadese kader voor risicobeheer op het gebied van IT-beveiliging, nauw afgestemd op NIST 800-53 en dient als basis voor cloudbeveiligingsbeoordelingen, vereisten van het Contract Security Program en FedRAMP-equivalente cloudauthorisatie in de Canadese federale context.
Net als de Amerikaanse tegenhangers biedt ITSG-33 geen uitzondering voor AI-agenten of geautomatiseerde systemen die toegang hebben tot beschermde informatie. De toegangscontroles, auditvereisten, encryptieverplichtingen en vereisten voor incidentrespons die menselijke medewerkers beschermen bij toegang tot Protected B-data, gelden ook voor AI-agenten.
Dit artikel legt uit wat ITSG-33 vereist voor AI-ondersteunde workflows die beschermde overheidsinformatie verwerken, benoemt de compliance-gaten die agentic-inzettingen creëren in de Canadese context, schetst beste practices voor het beheren van AI-agenttoegang tot Protected A- en B-data, en onderbouwt waarom gegevenslaagbeheer de architectuur is die voldoet aan de beveiligingscontrolevereisten van ITSG-33 voor agentic-systemen.
Samenvatting
Belangrijkste idee: De beveiligingscontroles van ITSG-33 – toegangscontrole, audit en verantwoording, identificatie en authenticatie, systeem- en communicatiebeveiliging, en incidentrespons – gelden voor AI-agenten die toegang hebben tot Protected A- en Protected B-informatie. Canadese overheidsinstanties en aannemers die AI inzetten op beschermde informatiestromen zonder hun beveiligingscontrole-implementatie aan te passen voor AI-agenten, werken met compliance-gaten die het Treasury Board Secretariat en het Canadian Centre for Cyber Security steeds vaker zullen onderzoeken.
Waarom dit relevant is: Organisaties die Protected B-data verwerken, lopen het risico uitgesloten te worden van federale aanbestedingen, verplichte meldingen van datalekken onder PIPEDA, en boetes tot C$10 miljoen onder Quebec’s Law 25 bij niet-conforme gegevensverwerking. Het Contract Security Program screent organisaties en hun beveiligingsstatus voordat toegang tot Protected B-data wordt verleend – en AI-inzettingen zonder de databeheercontroles die ITSG-33 vereist, vormen een compliance-risico voor elk overheidscontract dat de organisatie heeft.
Belangrijkste punten
- De beveiligingscontroles van ITSG-33 gelden zonder uitzondering voor AI-agenten die toegang hebben tot Protected A- en B-informatie. Het framework reguleert toegang tot geclassificeerde overheidsinformatie, ongeacht of de gebruiker menselijk of geautomatiseerd is. Een AI-agent die Protected B-data leest, verwerkt of verzendt, valt onder dezelfde toegangscontrole-, audit- en encryptievereisten als een menselijke medewerker met dezelfde functie.
- Protected B-data moet binnen de Canadese rechtsbevoegdheid blijven – ook bij verwerking door AI-systemen. Cloudservices die Protected B-data verwerken, moeten worden beoordeeld door het Canadian Centre for Cyber Security op het Protected B/Medium Integrity/Medium Availability (PBMM)-profiel. AI-inferentie-pijplijnen die Protected B-data via niet-gekeurde cloudinfrastructuur of infrastructuur zonder garanties voor Canadese dataresidentie sturen, creëren een datasoevereiniteitsprobleem dat ITSG-33 niet toestaat.
- Auditvereisten onder ITSG-33 eisen operationeel-niveau logs voor Protected B-toegangsgebeurtenissen. De AU (Audit en Verantwoording) controlegroep vereist dat toegang tot beschermde informatie op operationeel niveau wordt geregistreerd – wat werd benaderd, door wie, met welke autorisatie en wanneer. AI-agenten die via gedeelde serviceaccounts werken, leveren logs op die aan geen van deze vereisten voldoen. De audittrail moet elke Protected B-toegangsgebeurtenis koppelen aan een specifieke geautoriseerde persoon wiens identiteit kan worden geverifieerd.
- De toegangscontrolevereisten van ITSG-33 gelden voor AI-agentworkflows op operationeel niveau. De AC controlegroep vereist dat toegang tot beschermde informatie beperkt blijft tot geautoriseerde gebruikers en processen, waarbij rolgebaseerde toegangscontrole het least-privilege-principe afdwingt. Voor AI-agenten betekent dit dat toegang per operatie moet worden afgebakend tot alleen de Protected B-data die de specifieke taak vereist – niet op sessieniveau via brede serviceaccount-credentials.
- De beoordeling van uw AI-inzet door het Contract Security Program is een risico voor aanbestedingsgeschiktheid. Organisaties die federale contracten willen aangaan waarbij Protected B-data betrokken is, moeten aantonen dat hun informatiesystemen – inclusief AI-systemen – voldoen aan de beveiligingscontroles voor dat classificatieniveau. Een AI-inzet die geen ITSG-33-conforme toegangscontrole, audittrail en dataresidentie voor Protected B-data kan aantonen, vormt een risico voor contractgeschiktheid, niet alleen een technisch compliance-gat.
Wat ITSG-33 vereist voor AI-ondersteunde workflows
ITSG-33 biedt een catalogus van beveiligingscontroles, georganiseerd in technische, operationele en managementklassen, afgestemd op NIST SP 800-53. Voor Protected B/PBMM-naleving zijn vier controlegroepen het meest direct van toepassing op AI-agent-inzettingen: Access Control (AC), Audit en Verantwoording (AU), Identificatie en Authenticatie (IA), en Systeem- en Communicatiebeveiliging (SC). Elk van deze groepen correspondeert met mogelijkheden die de meeste AI-inzettingen momenteel niet bieden.
Access Control (AC Family)
De AC-controles van ITSG-33 vereisen dat toegang tot Protected B-informatie beperkt blijft tot geautoriseerde gebruikers en processen, waarbij het least-privilege-principe wordt gehandhaafd. Voor AI-agenten betekent dit twee dingen. Ten eerste moet de agent een geauthentiseerde identiteit hebben die kan worden geverifieerd voordat toegang tot beschermde informatie plaatsvindt. Ten tweede moet toegang worden beperkt tot het strikt noodzakelijke voor de specifieke taak – een agent die gemachtigd is om een beschermde map met documenten te lezen, is niet automatisch gemachtigd om alle bestanden te downloaden, data extern te verzenden of aanpalende beschermde informatietypes te benaderen. Op attributen gebaseerde toegangscontrole op operationeel niveau is het mechanisme dat aan deze vereiste voldoet voor agentic-systemen.
Audit en Verantwoording (AU Family)
De AU controlegroep vereist uitgebreide audittrail van alle toegang tot Protected B-data, waarbij logs beschermd zijn tegen manipulatie. De auditregistratie moet vastleggen wie toegang had tot beschermde informatie, wat werd benaderd, welke operatie werd uitgevoerd en wanneer – in een formaat dat compliance-audits en forensisch onderzoek ondersteunt. AI-agenten die via gedeelde serviceaccounts werken, leveren infrastructuurniveau logs op die API-calls registreren zonder operationeel detail, individuele toewijzing of manipulatiebestendige bescherming zoals vereist door de AU-groep. Standaard AI-inferentielogs zijn geen ITSG-33-conforme auditrecords voor Protected B-toegangsgebeurtenissen.
Identificatie en Authenticatie (IA Family)
De IA-controles van ITSG-33 vereisen dat gebruikers en processen uniek worden geïdentificeerd en geauthenticeerd voordat ze toegang krijgen tot beschermde informatie. Multi-factor authentication is verplicht voor toegang tot Protected B-systemen. Voor AI-agenten betekent unieke identificatie dat elke agent een eigen identiteitsbewijs moet hebben – geen gedeelde serviceaccount – gekoppeld aan de specifieke workflow en de menselijke autorisator die het heeft gedelegeerd. Wanneer meerdere agenten credentials delen, of wanneer het authenticatieregister de toegang niet kan herleiden tot een specifieke menselijke beslisser, kan niet worden aangetoond dat aan de IA-controles is voldaan.
Systeem- en Communicatiebeveiliging (SC Family)
De SC-controles vereisen dat Protected B-data wordt versleuteld met AES-256 Encryptie tijdens transport en opslag. Voor AI-agent-inzettingen betekent dit dat elk onderdeel van de inferentie-pijplijn – API-calls, model-inferentieomgevingen, vector databases, tijdelijke agentopslag en outputkanalen – Protected B-data moet versleutelen met gevalideerde cryptografische implementaties. De vertrouwelijkheid, integriteit en beschikbaarheid van Protected B-data moet worden gewaarborgd over elk datapad dat de agent aanraakt, niet alleen op applicatieniveau.
Dataresidentie voor Protected B: De cloudbeoordelingsvereiste
Een van de meest operationeel relevante ITSG-33-vereisten voor AI-inzettingen is de cloudservicebeoordelingsplicht. Cloudservices die Protected B-workloads verwerken, moeten worden beoordeeld door het Canadian Centre for Cyber Security op het PBMM-profiel.
Deze beoordeling verifieert dat de cloudinfrastructuur voldoet aan de beveiligingscontrolevereisten voor Protected B-data – inclusief dataresidentie binnen Canada. AI-agenten die Protected B-data verwerken via niet-PBMM-gekeurde cloudservices, of via services zonder gedocumenteerde Canadese dataresidentie, werken buiten de toegestane infrastructuur voor dat classificatieniveau.
Algemene commerciële cloudregio’s – inclusief Canadese regio’s van grote hyperscalers die niet specifiek voor PBMM zijn beoordeeld – voldoen niet automatisch aan deze vereiste.
Welke Data Compliance Standards zijn van belang?
Lees nu
Waar AI-inzettingen ITSG-33-compliancegaten creëren
De compliancegaten die AI-agent-inzettingen introduceren in door ITSG-33 gereguleerde omgevingen lijken structureel op die in andere regelgevende kaders, met één extra dimensie: de Canadese dataresidentie- en PBMM-cloudbeoordelingsvereiste creëert blootstelling op infrastructuurniveau die niet alleen via applicatielaagconfiguratie kan worden opgelost.
Niet-gekeurde cloudinfrastructuur voor Protected B AI-workloads
Het meest voorkomende ITSG-33-gat in Canadese AI-inzettingen is het gebruik van cloudinfrastructuur die niet is beoordeeld op het PBMM-profiel. Grote AI-platforms – commerciële LLM-aanbieders, AI-orkestratiediensten en vector databaseleveranciers – draaien doorgaans op multiregio-cloudinfrastructuur zonder CSE PBMM-beoordeling voor de Canadese overheid. Organisaties die deze platforms inzetten op Protected B-workflows, verwerken overheidsgeclassificeerde informatie op infrastructuur buiten de toegestane grens, ongeacht de toegangscontrole op applicatieniveau.
Gedeelde serviceaccounts en ontbrekende individuele toewijzing
ITSG-33 kan niet worden nageleefd door AI-agent-inzettingen die gedeelde serviceaccount-credentials gebruiken. Wanneer meerdere AI-agenten een serviceaccount delen, kan de auditlog een specifieke Protected B-toegangsgebeurtenis niet toewijzen aan een specifieke geautoriseerde persoon. Het Contract Security Program vereist dat organisaties aantonen wie toegang had tot beschermde informatie – een audittrail met alleen een serviceaccountnaam voldoet niet aan deze vereiste voor Protected B-data.
Onvoldoende encryptiedekking in AI-inferentie-pijplijnen
De SC-controles van ITSG-33 vereisen AES-256 Encryptie voor Protected B-data in transport en opslag. AI-inferentie-pijplijnen omvatten meerdere transport- en opslagpunten: API-calls naar het model, model-inferentieomgevingen, vector databases en outputkanalen. Organisaties die alleen encryptie op applicatieniveau hebben bevestigd, hebben mogelijk geen dekking op elk punt in de pijplijn. Elk niet-versleuteld segment is een SC-controle-gat voor elke Protected B-data die erdoorheen gaat.
Beste practices voor ITSG-33-conforme AI-agenttoegang tot beschermde informatie
1. Gebruik PBMM-gekeurde cloudinfrastructuur voor Protected B AI-workloads
Elke AI-inferentie-pijplijn die Protected B-data verwerkt, moet draaien op cloudinfrastructuur die door het Canadian Centre for Cyber Security is beoordeeld op het PBMM-profiel, met gedocumenteerde Canadese dataresidentie. Organisaties dienen specifieke PBMM-beoordelingsdocumentatie op te vragen bij AI-leveranciers en cloudproviders voordat een Protected B-workflow wordt ingezet – algemene FedRAMP Moderate-autorisatie is geen vervanging voor CSE PBMM-beoordeling.
2. Wijs unieke identiteitscredentials toe aan elke AI-agentworkflow
Elke AI-agent die toegang heeft tot Protected B-informatie moet werken onder een unieke identiteitscredential die op workflow-niveau is uitgegeven en gekoppeld aan de specifieke menselijke autorisator die de taak heeft gedelegeerd. Gedeelde serviceaccounts en gedeelde API-sleutels voldoen niet aan de IA-controlevereisten van ITSG-33. Het authenticatie-evenement en de delegatieketen moeten in elk auditrecord worden vastgelegd, zodat de individuele toewijzing wordt geborgd zoals vereist door het Contract Security Program en de ITSG-33 AU-controles.
3. Handhaaf toegangscontrole op operationeel niveau met ABAC
Implementeer op attributen gebaseerde toegangscontrole (ABAC) die elk AI-agent Protected B-dataverzoek evalueert op basis van het geauthenticeerde profiel van de agent, het classificatieniveau van de gevraagde data, de workflowcontext en de specifieke operatie. Least-privilege handhaving op operationeel niveau betekent dat een agent die gemachtigd is om een Protected B-document te lezen, niet automatisch het document kan downloaden, extern kan doorsturen of toegang heeft tot records buiten de specifieke taakomvang.
4. Implementeer manipulatiebestendige auditlogging voor alle Protected B-agenttoegangsgebeurtenissen
Zorg voor operationeel-niveau auditlogging voor elke AI-agent Protected B-interactie: geauthenticeerde agentidentiteit, menselijke autorisator, specifieke data benaderd, uitgevoerde operatie, uitkomst van beleidsevaluatie en tijdstempel. Logs moeten manipulatiebestendig zijn, worden bewaard volgens het records management-beleid van het Treasury Board en worden geïntegreerd in de SIEM van de organisatie voor realtime anomaliedetectie.
5. Werk incidentresponsplannen bij voor AI-gerelateerde Protected B-incidenten
ITSG-33 vereist incidentresponsplannen die alle relevante cyberbeveiligingsgebeurtenissen kunnen adresseren. AI-inzettingen introduceren nieuwe Protected B-incidentcategorieën: ongeautoriseerde agenttoegang, prompt injection die tot data-exfiltratie leidt, modelcompromittering en incidenten bij leveranciers die de Canadese dataresidentie raken. Elk vereist gedefinieerde detectiecriteria, beheersmaatregelen en meldingsverplichtingen onder PIPEDA en de meldingsvereisten van het Treasury Board.
Hoe Kiteworks ITSG-33-naleving ondersteunt voor AI-agent-inzettingen
Het beheren van AI-agenttoegang tot Protected B-informatie onder ITSG-33 vereist een platform dat de beveiligingscontroles afdwingt die het framework vereist – op de gegevenslaag, niet op de modellayer, en binnen de Canadese dataresidentiegrenzen. Het Kiteworks Private Data Network biedt Canadese overheidsinstanties en hun aannemers een governance-architectuur die elke AI-agentinteractie met beschermde overheidsinformatie onderschept voordat toegang plaatsvindt, waarbij geauthenticeerde identiteit, ABAC-beleid, FIPS 140-3 Level 1 gevalideerde encryptie en manipulatiebestendige auditlogging voor elke operatie worden afgedwongen.
Unieke agentidentiteit en delegatieketen voor ITSG-33 IA- en AU-controles
Kiteworks authenticeert elke AI-agent voordat toegang tot Protected B plaatsvindt, met een unieke credential per workflow, gekoppeld aan de menselijke autorisator die de taak heeft gedelegeerd. De volledige delegatieketen – identiteit van de autorisator, identiteit van de agent, benaderde Protected B-data, uitgevoerde operatie – wordt vastgelegd in elke auditlog-entry. Dit voldoet aan de IA-controlevereisten van ITSG-33 voor individuele toewijzing en levert het AU-auditrecord dat het Contract Security Program vereist: een manipulatiebestendige log die elke toegang tot beschermde informatie koppelt aan een specifieke geautoriseerde persoon.
Operationeel-niveau ABAC voor ITSG-33 AC-controles en least-privilege handhaving
De datapolicy-engine van Kiteworks evalueert elk agent Protected B-dataverzoek aan de hand van een multidimensionaal beleid: het geauthenticeerde profiel van de agent, het classificatieniveau van de gevraagde data, de workflowcontext en de specifieke operatie. Een agent die gemachtigd is om een Protected B-record te lezen, kan het niet downloaden, extern doorsturen of toegang krijgen tot Protected B-data buiten de geautoriseerde scope. Deze handhaving per operatie voldoet aan de least-privilege AC-controles van ITSG-33 voor AI-agenttoegang – en vervangt de ontoereikende sessieniveau serviceaccount-credentialing waar de meeste huidige inzettingen op vertrouwen.
FIPS 140-3 Encryptie en SIEM-geïntegreerde audittrail
Alle Protected B-data die via Kiteworks wordt benaderd, is beschermd door FIPS 140-3 gevalideerde encryptie tijdens transport en opslag, waarmee wordt voldaan aan de SC-controlevereisten van ITSG-33 op elk punt in het agentdatapad. Elke Protected B-interactie wordt vastgelegd in een manipulatiebestendige, operationeel-niveau auditlog die direct in de SIEM van de organisatie wordt gevoed. Wanneer een ITSG-33-compliancebeoordeling of datalekmeldingsbeoordeling bewijs vereist van toegangscontrole voor Protected B AI-workflows, is het bewijspakket een rapport – geen onderzoek dat meerdere infrastructuurlogs moet doorzoeken.
Flexibele inzetopties die Canadese dataresidentie ondersteunen
Kiteworks biedt on-premises, private cloud- en hybride inzetconfiguraties die Protected B-data binnen de Canadese grenzen houden – waarmee wordt voldaan aan de dataresidentievereisten van ITSG-33 voor Protected B-cloudworkloads. Organisaties kunnen Kiteworks inzetten binnen door de Canadese overheid goedgekeurde infrastructuur, zodat AI-agenttoegang tot Protected B-data binnen de door CSE beoordeelde perimeter blijft die vereist is voor dat classificatieniveau. Veilige inzetopties breiden dezelfde governance-architectuur uit naar hybride omgevingen waarin beschermde informatie zich verplaatst tussen on-premises repositories en cloud-gehoste AI-workflows.
Voor Canadese overheidsinstanties en aannemers die AI-agenten willen inzetten op Protected B-workflows zonder hun ITSG-33-compliancepositie in gevaar te brengen, biedt Kiteworks de governance-infrastructuur die elke AI-agentinteractie met beschermde overheidsinformatie van meet af aan verdedigbaar maakt. Lees meer over Kiteworks voor de overheid of vraag een demo aan.
Veelgestelde vragen
ITSG-33 is van toepassing op AI-agenten die toegang hebben tot Protected B-informatie. De AC-, AU-, IA- en SC-controles van het framework reguleren toegang tot beschermde overheidsinformatie, ongeacht of de gebruiker een menselijke medewerker of een geautomatiseerd proces is. Een AI-agent die Protected B-data leest, verwerkt of verzendt, valt onder dezelfde toegangscontrole-, auditlogging-, authenticatie- en encryptievereisten als een menselijke medewerker met dezelfde functie. ITSG-33-naleving vereist dat organisaties hun beveiligingscontrole-implementatie uitbreiden naar AI-agentworkflows die Protected B-data verwerken.
Nee. ITSG-33 vereist dat cloudservices die Protected B-data verwerken, worden beoordeeld door het Canadian Centre for Cyber Security op het PBMM-profiel. Een SOC 2-certificering van een leverancier, ISO 27001-certificering of zelfs FedRAMP Moderate-autorisatie is geen vervanging voor een CSE PBMM-beoordeling in de Canadese federale overheidscontext. Organisaties moeten specifieke PBMM-beoordelingsdocumentatie opvragen bij cloudproviders en AI-leveranciers voordat een Protected B-workflow via hun infrastructuur wordt ingezet. Datasoevereiniteit voor Protected B vereist Canadese dataresidentie, bevestigd door CSE-beoordeling, niet door leveranciersverklaringen op basis van andere kaders.
De AU-controlefamilie van ITSG-33 vereist dat auditrecords voor Protected B-toegangsgebeurtenissen de geauthenticeerde identiteit van de gebruiker (of het proces), de specifieke benaderde data, de uitgevoerde operatie en een manipulatiebestendige tijdstempel vastleggen – op operationeel niveau, niet alleen op sessie- of API-callniveau. Voor AI-agenten betekent dit dat elke Protected B-interactie moet worden gelogd met de unieke identiteitscredential van de agent, de menselijke autorisator die de workflow heeft gedelegeerd, het specifieke Protected B-document of record dat is benaderd en het type operatie. Infrastructuurlogs en AI-inferentielogs die alleen API-calls of sessiegebeurtenissen vastleggen, voldoen niet aan deze vereiste. De kwaliteit van de audittrail is de basis van het ITSG-33-compliancebewijs.
ITSG-33 vereist dat cloudservices die Protected B-data verwerken, worden beoordeeld op het PBMM-profiel met bevestigde Canadese dataresidentie. Dit betekent dat AI-platforms Protected B-data niet mogen routeren via infrastructuur buiten Canada of via cloudregio’s die niet specifiek zijn beoordeeld op PBMM-naleving. Bij het evalueren van AI-platforms moeten aannemers elk onderdeel van de inferentie-pijplijn – modelhosting, API-gateway, vector database, outputlevering – toetsen aan de PBMM-dataresidentievereiste. Inzetopties waarbij alle Protected B-verwerking binnen door Canada beoordeelde infrastructuur blijft, zijn de enige architectuur die voldoet aan deze vereiste voor ITSG-33 Protected B-naleving.
Het Contract Security Program screent organisaties en hun beveiligingsstatus voordat toegang tot Protected B-data wordt verleend bij overheidscontracten. Een AI-inzet die geen ITSG-33-conforme toegangscontrole, audittrail en dataresidentie voor Protected B-data kan aantonen, vertegenwoordigt een beveiligingsstatus-gat dat de contractgeschiktheid kan beïnvloeden. Naast aanbestedingsrisico’s creëert onvoldoende bescherming van Protected B-data meldingsverplichtingen bij datalekken onder PIPEDA en mogelijke boetes onder Quebec’s Law 25. Organisaties dienen een formele risicobeoordeling uit te voeren van hun AI-inzettingen ten opzichte van de PBMM-controlevereisten van ITSG-33 voordat ze inschrijven op federale contracten waarbij Protected B-data betrokken is.
Aanvullende bronnen
- Blog Post
Zero‑Trust strategieën voor betaalbare AI-privacybescherming - Blog Post
Hoe 77% van de organisaties faalt op het gebied van AI-databeveiliging - eBook
AI Governance Gap: Waarom 91% van de kleine bedrijven Russisch roulette speelt met databeveiliging in 2025 - Blog Post
Er bestaat geen “–dangerously-skip-permissions” voor uw data - Blog Post
Toezichthouders zijn klaar met vragen of u een AI-beleid heeft. Ze willen bewijs dat het werkt.