Questions fréquentes
100 questions sur la cybersécurité au Québec
100 questions que nous posent les PME, les MSP et les municipalités, avec des réponses courtes et, quand un fait est en jeu, sa source. Dix thèmes, de la Loi 25 à la formation des équipes.
01 · 10 questions
Les bases et les risques
Ce qu'une PME, un MSP ou une municipalité du Québec doit savoir avant de parler d'outils.
La cybersécurité, c'est quoi concrètement pour une PME ?
- C'est l'ensemble des mesures qui protègent vos systèmes, vos données et votre capacité à travailler : accès protégés, sauvegardes testées, mises à jour, surveillance, et des employés qui savent reconnaître une attaque. Pour une PME, ce n'est pas un projet informatique isolé mais une routine de gestion, comme la comptabilité ou la sécurité physique des locaux.
Ma PME est-elle vraiment une cible ?
- Oui, parce que les attaques ne visent presque jamais une entreprise en particulier. Des outils automatisés balayent Internet à la recherche de systèmes exposés, de mots de passe faibles et de courriels qui mordent à l'hameçon. Une PME avec moins de protections est simplement plus facile à atteindre qu'une grande organisation, et souvent mieux payée qu'un particulier.
Quelles sont les attaques les plus fréquentes contre les entreprises au Québec ?
- L'hameçonnage par courriel reste la porte d'entrée la plus courante, suivie de la compromission de comptes (mots de passe réutilisés, absence d'authentification multifacteur), des rançongiciels et de la fraude au virement bancaire. Les services exposés sur Internet mal mis à jour, comme un VPN ou un accès à distance, complètent la liste des points d'entrée habituels.
Combien coûte un incident de cybersécurité ?
- Le coût dépend de l'arrêt des opérations, de la reconstruction des systèmes, des honoraires d'intervention, des obligations légales (avis aux personnes touchées, à la Commission d'accès à l'information) et de la perte de clients. La partie la plus chère est presque toujours le temps d'arrêt. Une évaluation préalable de vos actifs critiques permet de chiffrer ce risque pour votre organisation.
Par où commencer quand on part de zéro ?
- Par un inventaire : quels systèmes, quelles données, qui y accède. Ensuite, quatre mesures qui éliminent la majorité des risques courants : authentification multifacteur partout, sauvegardes hors ligne testées, mises à jour appliquées rapidement, et une formation courte des employés sur l'hameçonnage. Un audit vous donne cet inventaire et l'ordre des priorités.
Un antivirus suffit-il ?
- Non. Un antivirus traditionnel reconnaît des logiciels malveillants connus. Il ne protège pas contre un mot de passe volé, un courriel d'hameçonnage convaincant ou une configuration exposée. Il reste utile comme une couche parmi d'autres, idéalement remplacé par une solution de détection et de réponse sur les terminaux (EDR) supervisée par quelqu'un.
Quel budget une PME devrait-elle consacrer à la cybersécurité ?
- Il n'existe pas de pourcentage universel. La bonne méthode part de vos actifs critiques et de ce qu'un arrêt d'une semaine vous coûterait. Les mesures de base (authentification multifacteur, sauvegardes, mises à jour, formation) coûtent peu et couvrent l'essentiel ; la surveillance continue et les tests d'intrusion se justifient dès que l'arrêt de vos systèmes devient coûteux.
Quelle est la différence entre mon fournisseur TI et un fournisseur de cybersécurité ?
- Votre fournisseur TI fait fonctionner vos systèmes : postes, réseau, courriel, sauvegardes. Un fournisseur de cybersécurité vérifie que ces systèmes résistent à une attaque, surveille les signes d'intrusion et intervient lors d'un incident. Les deux rôles sont complémentaires ; un regard indépendant évite que celui qui construit soit aussi celui qui juge.
Une cyberassurance remplace-t-elle la prévention ?
- Non. Les assureurs exigent de plus en plus des mesures de base avant de couvrir : authentification multifacteur, sauvegardes, détection sur les terminaux, plan de réponse. Une police couvre une partie des coûts après un incident ; elle ne restaure ni votre réputation ni vos données. La prévention réduit à la fois la prime et la probabilité d'une réclamation.
Comment savoir si mon entreprise est déjà compromise ?
- Des signes fréquents : connexions à des heures inhabituelles, règles de redirection inconnues dans les boîtes de courriel, comptes créés sans raison, ralentissements, fichiers renommés ou chiffrés, alertes d'authentification que personne n'a demandées. Sans journaux ni surveillance, ces signes passent inaperçus ; une revue des accès et des journaux est la première étape d'une vérification.
02 · 10 questions
Loi 25 et conformité
Les obligations légales au Québec et les cadres que vos clients ou partenaires peuvent exiger.
C'est quoi, la Loi 25 ?
- La Loi 25 (adoptée en 2021 sous le nom de projet de loi 64) a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé au Québec. Elle impose aux entreprises des obligations concrètes : désigner un responsable, tenir un registre des incidents, publier une politique de confidentialité, encadrer le consentement et évaluer les projets qui touchent des renseignements personnels.Commission d'accès à l'information — Principaux changements apportés par la Loi 25
La Loi 25 s'applique-t-elle à ma petite entreprise ?
- Oui, dès que vous recueillez, détenez, utilisez ou communiquez des renseignements personnels au Québec : noms, courriels, numéros de téléphone, données de clients ou d'employés. La loi ne fixe pas de seuil de taille. Une entreprise de deux personnes a les mêmes obligations de principe qu'une grande, adaptées à la sensibilité des renseignements et à ses moyens.CAI — Champ d'application de la Loi (entreprises)
Qui doit être le responsable de la protection des renseignements personnels ?
- Par défaut, la personne ayant la plus haute autorité dans l'entreprise, souvent le président ou la direction générale. Cette fonction peut être déléguée par écrit à une autre personne. Le titre et les coordonnées du responsable doivent être publiés, notamment sur le site web, pour que quiconque puisse exercer ses droits d'accès ou de rectification.CAI — Responsable de la protection des renseignements personnels
Que faire en cas d'incident de confidentialité selon la Loi 25 ?
- Consigner l'incident dans un registre, prendre les mesures pour limiter le préjudice, puis évaluer s'il présente un risque de préjudice sérieux. Dans ce cas, vous devez aviser la Commission d'accès à l'information et les personnes concernées. Un incident inclut l'accès, l'utilisation ou la communication non autorisés, et la perte de renseignements personnels.CAI — Incidents de confidentialité et mesures de sécurité
Quelles sont les sanctions prévues par la Loi 25 ?
- La Commission d'accès à l'information peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les poursuites pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial. Le montant retenu est le plus élevé des deux. Les personnes touchées peuvent aussi réclamer des dommages.CAI — Sanctions
Dois-je obtenir un consentement pour les témoins (cookies) de mon site web ?
- Oui pour les technologies qui permettent d'identifier, de localiser ou de profiler une personne, comme les outils d'analyse d'audience avec témoins. Le consentement doit être manifeste, libre et éclairé, et les paramètres de confidentialité doivent offrir le plus haut niveau de protection par défaut. Un bandeau qui bloque réellement ces outils jusqu'au consentement est la pratique attendue.
C'est quoi, une évaluation des facteurs relatifs à la vie privée (EFVP) ?
- Une analyse à mener avant tout projet d'acquisition, de développement ou de refonte d'un système qui traite des renseignements personnels, ou avant de communiquer des renseignements hors du Québec. Elle documente les renseignements en jeu, les risques pour les personnes et les mesures pour les réduire. Sa profondeur est proportionnée à la sensibilité des renseignements.
Loi 25 ou LPRPDE : laquelle s'applique à moi ?
- La loi québécoise s'applique aux entreprises qui exercent au Québec. La LPRPDE, la loi fédérale, s'applique aux organisations sous compétence fédérale (banques, télécommunications, transport interprovincial) et aux échanges interprovinciaux ou internationaux de renseignements. Beaucoup d'entreprises québécoises sont soumises aux deux ; les exigences de la Loi 25 sont généralement les plus strictes.
Ai-je besoin d'ISO 27001 ?
- ISO/IEC 27001 est une norme internationale de système de gestion de la sécurité de l'information. Elle devient pertinente quand des clients, des appels d'offres ou des partenaires l'exigent, ou quand vous voulez un cadre reconnu pour structurer vos contrôles. Une PME peut s'en inspirer sans se faire certifier ; la certification demande un audit externe et un suivi annuel.
SOC 2 et PCI DSS, c'est pour qui ?
- SOC 2 concerne les fournisseurs de services qui traitent des données de clients, souvent des entreprises en logiciel-service, et rassure leurs clients sur leurs contrôles. PCI DSS s'impose à toute organisation qui traite, stocke ou transmet des données de cartes de paiement, avec des exigences proportionnées au volume. Un audit préalable indique l'écart à combler avant de s'engager.
03 · 10 questions
Hameçonnage et courriel
Le vecteur d'attaque numéro un, et ce que vous pouvez faire dès cette semaine.
Comment reconnaître un courriel d'hameçonnage ?
- Vérifiez le domaine réel de l'expéditeur, pas seulement le nom affiché. Méfiez-vous de l'urgence (« sous 24 heures »), des menaces, des salutations génériques, des liens dont le texte ne correspond pas à la destination, et des pièces jointes inattendues, surtout compressées. En cas de doute, contactez l'organisme par un canal que vous connaissez déjà, jamais via le courriel reçu.
J'ai cliqué sur un lien suspect, que faire ?
- Ne saisissez rien de plus. Déconnectez l'appareil du réseau si un fichier a été ouvert, changez immédiatement le mot de passe du compte concerné depuis un autre appareil, activez l'authentification multifacteur et prévenez votre responsable informatique ou votre fournisseur de sécurité. Signalez le courriel plutôt que de le supprimer : il sert à l'enquête.
C'est quoi, la fraude du président ou la fraude au virement ?
- Un fraudeur se fait passer pour un dirigeant, un fournisseur ou un comptable et demande un virement urgent ou un changement de coordonnées bancaires. Le courriel est souvent crédible parce qu'il suit une vraie compromission de boîte courriel. La parade est procédurale : toute modification bancaire ou tout virement inhabituel est confirmé par téléphone à un numéro déjà connu.
SPF, DKIM, DMARC : à quoi ça sert ?
- Ce sont trois enregistrements dans le DNS de votre domaine. SPF liste les serveurs autorisés à envoyer en votre nom, DKIM signe vos courriels, DMARC dit aux destinataires quoi faire si un message échoue à ces vérifications et vous envoie des rapports. Ensemble, ils rendent l'usurpation de votre domaine beaucoup plus difficile et améliorent la livraison de vos courriels légitimes.
Comment savoir si une boîte de courriel a été compromise ?
- Cherchez des règles de transfert ou de suppression automatique que personne n'a créées, des connexions depuis des lieux inhabituels dans le journal du compte, des messages envoyés que l'utilisateur ne reconnaît pas, et des plaintes de contacts qui reçoivent des courriels étranges. Ces vérifications sont rapides dans Microsoft 365 et Google Workspace et devraient faire partie d'une revue régulière.
Faut-il faire des simulations d'hameçonnage auprès des employés ?
- Oui, si elles servent à former et non à piéger. Une campagne bien menée mesure le taux de clics, montre immédiatement les indices manqués et se répète quelques fois par année avec des scénarios réalistes. Le résultat utile n'est pas un taux de zéro, mais des employés qui signalent vite les messages suspects, ce qui donne à l'équipe le temps d'agir.
L'hameçonnage passe-t-il aussi par texto et par téléphone ?
- Oui. Par texto, ce sont de faux avis de livraison, de remboursement ou de banque avec un lien à cliquer. Par téléphone, un interlocuteur se présente comme le soutien technique, une institution financière ou même un collègue, parfois avec une voix imitée. Les mêmes réflexes s'appliquent : ne rien fournir sur sollicitation, raccrocher et rappeler à un numéro connu.
Un filtre anti-pourriel suffit-il contre l'hameçonnage ?
- Il bloque une grande partie des messages, mais les attaques ciblées passent régulièrement, surtout celles envoyées depuis une boîte légitime déjà compromise. Le filtre doit être complété par l'authentification multifacteur, la protection des liens et pièces jointes au moment du clic, un bouton de signalement pour les employés et une revue des règles de transfert dans les boîtes.
L'authentification multifacteur arrête-t-elle l'hameçonnage ?
- Elle arrête la plupart des vols de mots de passe, mais pas tous. Certaines attaques capturent le code à usage unique en temps réel ou lassent l'utilisateur de notifications jusqu'à l'approbation. Les méthodes résistantes à l'hameçonnage, comme les clés de sécurité et les passkeys, ferment cette porte. Choisissez-les pour les comptes d'administration et les dirigeants en priorité.
À qui signaler une tentative d'hameçonnage au Canada ?
- À votre équipe informatique d'abord, pour bloquer l'expéditeur et vérifier les autres boîtes. Ensuite au Centre antifraude du Canada pour les tentatives de fraude, et au Centre canadien pour la cybersécurité pour les incidents touchant une organisation. Si des renseignements personnels ont été exposés, la Loi 25 impose de consigner l'incident et, selon le risque, d'aviser la Commission d'accès à l'information.Centre canadien pour la cybersécurité — Signaler un incident · Centre antifraude du Canada
04 · 10 questions
Mots de passe et accès
Les comptes sont la cible ; voici comment les rendre difficiles à voler et faciles à révoquer.
À quoi ressemble un bon mot de passe en 2026 ?
- Long avant d'être compliqué : une phrase de passe de quatre mots ou plus, unique par service, jamais réutilisée. Les changements forcés tous les trois mois n'améliorent pas la sécurité et poussent aux variantes prévisibles ; on change un mot de passe quand il a pu être compromis. Un gestionnaire de mots de passe rend tout cela possible sans mémoire surhumaine.
Un gestionnaire de mots de passe est-il sûr ?
- Oui, nettement plus que la réutilisation ou les fichiers de notes. Un gestionnaire génère et stocke des mots de passe uniques, chiffrés par un mot de passe maître que vous seul connaissez. Protégez ce compte maître par une phrase de passe forte et l'authentification multifacteur, choisissez une solution d'entreprise avec partage contrôlé, et prévoyez la récupération en cas de départ d'un employé.
C'est quoi, l'authentification multifacteur (MFA) ?
- Une deuxième preuve d'identité en plus du mot de passe : un code généré par une application, une notification à approuver, une clé de sécurité physique ou une passkey. Un mot de passe volé ne suffit plus à entrer. C'est la mesure au meilleur rapport effort-protection pour une PME ; elle devrait être obligatoire sur le courriel, l'accès à distance et tout compte d'administration.
Les passkeys, c'est quoi et faut-il les adopter ?
- Une passkey remplace le mot de passe par une paire de clés cryptographiques liée à votre appareil et déverrouillée par empreinte, visage ou code. Rien à taper, rien à hameçonner : le site frauduleux ne peut pas obtenir la clé. Microsoft, Google, Apple et la plupart des grands services les prennent en charge. Commencez par les comptes d'administration et les dirigeants.
Mes employés doivent-ils être administrateurs de leur poste ?
- Non. Un compte standard suffit au travail quotidien et limite ce qu'un logiciel malveillant peut faire s'il s'exécute. Les droits d'administration sont réservés à des comptes distincts, utilisés seulement pour installer ou configurer, avec authentification multifacteur. Cette séparation est l'une des mesures les plus efficaces contre les rançongiciels, et l'une des moins coûteuses.
Que faire des accès quand un employé quitte l'entreprise ?
- Les révoquer le jour même, à partir d'une liste tenue à jour : courriel, VPN, applications infonuagiques, partages de fichiers, codes d'alarme, cartes d'accès, mots de passe partagés. Transférez la boîte courriel et les fichiers à un responsable plutôt que de garder le compte actif. Un processus de départ écrit évite les comptes oubliés, qui sont une porte d'entrée classique.
Peut-on partager un compte entre plusieurs employés ?
- Évitez-le. Un compte partagé empêche de savoir qui a fait quoi, complique la révocation lors d'un départ et rend l'authentification multifacteur pénible. Quand un service ne permet pas les comptes individuels, utilisez le partage contrôlé d'un gestionnaire de mots de passe, changez le secret à chaque départ et journalisez son usage.
Comment sécuriser l'accès à distance à mes systèmes ?
- Jamais de bureau à distance exposé directement sur Internet. Passez par un VPN ou une solution d'accès à confiance zéro, avec authentification multifacteur, des comptes individuels, des mises à jour appliquées rapidement sur la passerelle et une journalisation des connexions. Les passerelles d'accès à distance non corrigées sont parmi les points d'entrée les plus exploités contre les PME.
C'est quoi, le principe du moindre privilège ?
- Chaque personne, chaque compte de service et chaque application n'obtient que les accès nécessaires à sa tâche, ni plus, ni pour plus longtemps que nécessaire. Appliqué aux partages de fichiers, aux rôles infonuagiques et aux droits d'administration, ce principe limite les dégâts d'un compte compromis et simplifie les audits. Une revue des accès par trimestre le maintient dans le temps.
À quelle fréquence revoir les accès ?
- Au moins une fois par trimestre pour les accès sensibles (administration, finances, renseignements personnels) et à chaque changement de poste ou départ. La revue confirme que chaque compte existe encore pour une raison, que les droits correspondent au rôle et que les comptes de service ont un propriétaire. C'est aussi une exigence courante des cadres comme ISO 27001 et SOC 2.
05 · 10 questions
Rançongiciels et incidents
Quoi faire quand ça arrive, à qui le dire, et comment s'en relever.
C'est quoi, un rançongiciel ?
- Un logiciel malveillant qui chiffre vos fichiers et vos serveurs, puis exige une rançon pour la clé de déchiffrement. Les groupes actuels volent aussi les données avant de les chiffrer et menacent de les publier, ce qui transforme l'incident en incident de confidentialité au sens de la Loi 25. Il entre le plus souvent par hameçonnage, accès à distance exposé ou compte compromis.
Que faire dans la première heure d'un incident ?
- Isoler les systèmes touchés du réseau sans les éteindre, couper les accès à distance et les comptes suspects, prévenir la direction et votre intervenant en sécurité, et commencer un journal horodaté des faits et des décisions. Ne payez rien et ne négociez pas seul. Conservez les preuves : elles servent à l'enquête, à l'assureur et aux obligations légales.
Faut-il payer la rançon ?
- Les autorités canadiennes le déconseillent : payer ne garantit ni la récupération des données ni le silence des attaquants, et finance d'autres attaques. Un paiement peut aussi contrevenir aux sanctions économiques selon le groupe visé. La décision revient à la direction avec ses conseillers juridiques et son assureur ; des sauvegardes hors ligne testées rendent la question secondaire.Centre canadien pour la cybersécurité — Rançongiciels : comment les prévenir et s'en remettre
Qui dois-je aviser après une attaque au Québec ?
- Selon le cas : la police (Sûreté du Québec ou service municipal) pour porter plainte, le Centre canadien pour la cybersécurité pour signaler l'incident, votre assureur dans les délais de la police, et la Commission d'accès à l'information ainsi que les personnes concernées si des renseignements personnels présentent un risque de préjudice sérieux. Vos clients et partenaires touchés doivent aussi être informés.
C'est quoi, la règle de sauvegarde 3-2-1 ?
- Trois copies de vos données, sur deux supports différents, dont une hors site et idéalement hors ligne ou immuable, c'est-à-dire impossible à modifier depuis le réseau. Un rançongiciel chiffre aussi les sauvegardes accessibles ; seule une copie déconnectée garantit la reprise. La sauvegarde n'existe que si sa restauration a été testée récemment.
Ai-je besoin d'un plan de réponse aux incidents ?
- Oui, même court. Une page qui dit qui décide, qui appelle qui (intervenant, assureur, avocat, autorités), où sont les sauvegardes, comment communiquer sans le courriel compromis, et quelles étapes suivre dans les premières heures. Testé une fois par année en exercice sur table, ce plan fait la différence entre une journée difficile et une semaine d'arrêt.
Combien de temps prend la reprise après un rançongiciel ?
- De quelques jours à plusieurs semaines, selon l'état des sauvegardes, l'étendue du chiffrement et la disponibilité des équipes. La reprise passe par la reconstruction des systèmes à partir de sources saines, le changement de tous les mots de passe et la vérification qu'aucun accès persistant ne subsiste. Un plan de reprise avec des priorités par système raccourcit ce délai.
Que demande mon assureur après un incident ?
- Un avis rapide, souvent dans les 24 à 72 heures, l'accès aux intervenants qu'il approuve, un journal des faits, les preuves conservées et la démonstration que les mesures exigées au contrat (authentification multifacteur, sauvegardes, détection) étaient en place. Lisez votre police avant l'incident : les exclusions et les délais s'y trouvent.
Un vol de données sans chiffrement est-il un incident ?
- Oui. Une extraction de renseignements personnels, même sans interruption de service, est un incident de confidentialité qui doit être consigné et évalué selon la Loi 25, et souvent notifié. Ces attaques sont discrètes ; elles se détectent par la surveillance des transferts sortants inhabituels et des accès aux dépôts de données, pas par une panne.
Que faire après l'incident pour que ça ne se reproduise pas ?
- Une revue à froid : comment l'attaquant est entré, ce qui a ralenti la détection, ce qui a fonctionné. Puis des correctifs classés par priorité, souvent l'authentification multifacteur, la segmentation, la surveillance et la formation, avec des dates et un responsable. Un test d'intrusion quelques mois plus tard vérifie que la porte est bien fermée.
06 · 10 questions
Tests d'intrusion et audits
Mesurer avant d'investir : ce qu'un test ou un audit livre réellement.
C'est quoi, un test d'intrusion ?
- Une attaque simulée, autorisée et encadrée par contrat, menée par des spécialistes qui utilisent les méthodes des attaquants pour trouver les failles de vos systèmes avant eux. Le résultat est un rapport : chaque faille avec sa preuve, sa gravité, son impact pour votre entreprise et le correctif recommandé. Le test se termine par un retest après correction.
Quelle différence entre un balayage de vulnérabilités et un test d'intrusion ?
- Le balayage est automatisé : il compare vos systèmes à une base de vulnérabilités connues et produit une liste, avec des faux positifs. Le test d'intrusion ajoute le jugement humain : enchaîner plusieurs faiblesses, contourner une protection, mesurer l'impact réel. Le balayage se fait souvent ; le test d'intrusion, périodiquement et après un changement important.
À quelle fréquence faire un test d'intrusion ?
- Au moins une fois par année et après tout changement majeur : nouvelle application, migration infonuagique, refonte du réseau. Certains cadres l'exigent explicitement, comme PCI DSS pour l'environnement des cartes de paiement. Entre deux tests, un balayage régulier et la surveillance couvrent les nouvelles vulnérabilités publiées.
Combien coûte un test d'intrusion ?
- Le prix dépend de la portée (nombre de systèmes, d'applications, d'adresses), de la profondeur (boîte noire, grise ou blanche), de la durée et de l'inclusion du retest. Un test ciblé sur une application web coûte moins qu'un test complet de l'infrastructure externe et interne. Un cadrage préalable, gratuit, permet une soumission précise plutôt qu'une fourchette.
Boîte noire, grise ou blanche : laquelle choisir ?
- En boîte noire, les testeurs ne savent rien, comme un attaquant externe. En boîte blanche, ils ont accès au code, à la documentation et aux comptes, ce qui trouve plus de failles en moins de temps. La boîte grise, avec un compte utilisateur et quelques informations, est le compromis le plus courant pour une PME qui veut des résultats réalistes et complets.
Que contient un rapport de test d'intrusion ?
- Une portée et une méthode, un résumé pour la direction, chaque constat avec sa gravité (souvent un score CVSS), les preuves (requêtes, captures), l'impact concret, le correctif recommandé et un délai suggéré, puis un plan de correction ordonné. Un bon rapport se lit par un gestionnaire et par un technicien ; il termine sur un retest planifié.
Audit de sécurité ou test d'intrusion : par lequel commencer ?
- Par l'audit si vous n'avez jamais dressé l'état des lieux : il couvre l'organisation, les processus, les accès, les sauvegardes et la conformité, pas seulement la technique. Par le test d'intrusion si vous exposez une application ou un service critique sur Internet et voulez savoir s'il tient. Les deux se complètent ; l'audit dit quoi prioriser, le test vérifie.
Un test d'intrusion peut-il casser mes systèmes ?
- Le risque existe mais se gère : portée et règles d'engagement écrites, systèmes sensibles exclus ou testés hors des heures d'affaires, techniques destructrices interdites, contact d'urgence des deux côtés. Un test sérieux est moins risqué qu'une attaque réelle, qui n'aura aucune de ces précautions. Prévenez votre fournisseur TI et votre hébergeur avant le début.
Que faire après le rapport ?
- Corriger dans l'ordre des gravités, en commençant par ce qui est exploitable depuis Internet, puis retester pour confirmer. Les constats organisationnels (absence d'authentification multifacteur, comptes partagés, correctifs en retard) sont souvent plus importants que les failles techniques isolées. Fixez un responsable et une date par constat ; sans cela, le rapport dort dans un tiroir.
Un audit peut-il couvrir la Loi 25 en même temps ?
- Oui. Un audit de conformité vérifie le responsable désigné, le registre des incidents, la politique de confidentialité, le consentement, les EFVP et les mesures de sécurité qui protègent les renseignements personnels. Les mêmes contrôles servent aussi ISO 27001 ou SOC 2. Le livrable est un écart documenté et un plan d'action, pas un certificat.
07 · 10 questions
Surveillance, SOC et réponse
Voir l'attaque avant qu'elle vous voie : ce que la surveillance continue change.
C'est quoi, un SOC ?
- Un centre des opérations de sécurité : des personnes, des outils et des procédures qui surveillent vos systèmes en continu, analysent les alertes et interviennent lors d'un incident. Pour une PME, il prend la forme d'un service externalisé, disponible 24 heures sur 24, plutôt qu'une équipe interne. Son utilité se mesure au temps entre l'intrusion et la réaction.
EDR et antivirus, quelle différence ?
- L'antivirus reconnaît des logiciels malveillants connus et les bloque. Un EDR (détection et réponse sur les terminaux) observe les comportements sur chaque poste et serveur, détecte des attaques sans signature connue, isole une machine à distance et conserve l'historique pour l'enquête. Il ne vaut que s'il est supervisé : une alerte sans réponse n'arrête rien.
MDR, ça veut dire quoi ?
- Détection et réponse gérées : un fournisseur exploite pour vous l'EDR et les autres capteurs, trie les alertes, enquête et intervient, souvent en isolant les machines et en bloquant les comptes. C'est la manière pour une PME d'obtenir une surveillance 24 heures sur 24 sans embaucher une équipe. Vérifiez les délais d'intervention contractuels et ce qui est inclus dans la réponse.
Pourquoi conserver les journaux (logs) et combien de temps ?
- Sans journaux, on ne sait ni comment un attaquant est entré ni ce qu'il a touché, ce qui empêche d'évaluer un incident de confidentialité. Conservez au minimum les journaux d'authentification, de courriel, d'accès à distance et d'administration, de façon centralisée et protégée contre l'effacement. Une rétention de douze mois est un repère courant ; plus longtemps si un cadre l'exige.
C'est quoi, un SIEM ?
- Un système qui collecte les journaux de toutes vos sources (postes, serveurs, courriel, infonuagique, réseau), les corrèle et déclenche des alertes selon des règles. C'est l'outil central d'un SOC. Pour une PME, il vaut mieux un SIEM exploité par un fournisseur qu'un produit installé et laissé sans surveillance ; la valeur est dans les règles et les personnes qui les lisent.
À quoi servent les honeypots et les senseurs ?
- Un honeypot est un système-leurre qui n'a aucune raison légitime d'être contacté : toute connexion est une tentative d'attaque. Déployés en réseau, ces senseurs révèlent quels services sont visés, depuis où et avec quelles méthodes, sans aucune donnée client. Ces signaux alimentent la détection et permettent de bloquer les sources actives avant qu'elles atteignent vos systèmes.
Combien de temps une intrusion reste-t-elle inaperçue ?
- Sans surveillance, des semaines, parfois des mois : l'attaquant explore, élève ses privilèges et exfiltre avant de se manifester, souvent par un rançongiciel. Avec une détection sur les terminaux et une revue des journaux, ce délai se compte en heures. Réduire ce temps est l'objectif principal de la surveillance, plus que d'empêcher toute intrusion.
La surveillance 24/7 est-elle abordable pour une PME ?
- Oui, en service partagé : le coût est mensuel, par poste ou par serveur surveillé, sans embauche ni équipement. Il se compare à une fraction du coût d'une seule journée d'arrêt. Le bon niveau dépend de vos actifs critiques ; commencez par le courriel, les postes et les accès à distance, qui concentrent la majorité des incidents.
Que se passe-t-il quand une alerte est déclenchée ?
- Un analyste la qualifie : vrai incident ou faux positif. Si c'est réel, il isole la machine ou bloque le compte, vous prévient par le canal convenu, enquête sur l'origine et l'étendue, puis vous accompagne dans la correction et, si nécessaire, les obligations légales. Le contrat précise les délais de prise en charge et ce qui exige votre autorisation.
La surveillance aide-t-elle à respecter la Loi 25 ?
- Oui : la loi exige des mesures de sécurité raisonnables et une réaction aux incidents, avec une évaluation du risque de préjudice. Détecter vite, savoir ce qui a été touché grâce aux journaux et documenter les actions sont exactement ce qu'il faut pour tenir le registre des incidents et décider des avis à donner. Sans surveillance, on découvre l'incident trop tard pour bien répondre.
08 · 10 questions
Infonuagique et télétravail
Microsoft 365, Google Workspace, AWS, Azure : la sécurité change de forme, pas d'importance.
Mon fournisseur infonuagique s'occupe-t-il de ma sécurité ?
- En partie seulement. Le fournisseur sécurise l'infrastructure ; vous restez responsable de la configuration, des identités, des accès, des données et de leur sauvegarde. C'est le modèle de responsabilité partagée. La majorité des incidents infonuagiques viennent d'une mauvaise configuration ou d'un compte compromis, donc de votre côté de la ligne.
Comment sécuriser Microsoft 365 ou Google Workspace ?
- Authentification multifacteur pour tous, résistante à l'hameçonnage pour les administrateurs ; comptes d'administration séparés ; blocage des protocoles anciens ; règles d'accès conditionnel ; audit des règles de transfert ; protection des liens et pièces jointes ; journaux d'audit activés et conservés. Ces réglages existent déjà dans votre abonnement, ils demandent surtout d'être appliqués et vérifiés.
Dois-je sauvegarder mes données Microsoft 365 ou Google Workspace ?
- Oui. Le fournisseur garantit la disponibilité de son service, pas la récupération de vos données après une suppression, un rançongiciel ou une erreur humaine au-delà des corbeilles et des périodes de rétention. Une sauvegarde indépendante de vos courriels, fichiers et sites collaboratifs, testée par restauration, relève de vous, comme pour un serveur local.
VPN ou accès à confiance zéro ?
- Le VPN ouvre un tunnel vers le réseau entier une fois l'utilisateur authentifié. L'accès à confiance zéro vérifie l'identité, l'appareil et le contexte pour chaque application, sans donner accès au réseau. Pour une PME, les deux sont acceptables si l'authentification multifacteur est en place ; la confiance zéro réduit les dégâts d'un poste compromis et simplifie le télétravail.
Comment sécuriser le télétravail ?
- Des appareils gérés par l'entreprise, chiffrés, à jour et supervisés par un EDR ; l'authentification multifacteur sur tout ; un accès aux applications par VPN ou confiance zéro ; des consignes claires sur le Wi-Fi public, les appareils personnels et le partage de fichiers ; et une manière de joindre l'équipe TI en cas de doute. Le poste à la maison est un poste de l'entreprise.
Puis-je laisser mes employés utiliser leurs appareils personnels ?
- Oui, avec des limites : accès aux applications par navigateur ou par des applications gérées, authentification multifacteur, séparation des données professionnelles, effacement à distance de la partie entreprise, et pas d'accès aux données sensibles depuis un appareil non chiffré. Une politique écrite, acceptée par l'employé, précise ce qui est permis et ce qui arrive en cas de perte.
Quelles sont les erreurs de configuration infonuagique les plus courantes ?
- Des espaces de stockage accessibles publiquement, des clés d'accès dans le code ou dans des dépôts, des comptes racine utilisés au quotidien sans authentification multifacteur, des ports d'administration ouverts à tout Internet, des journaux d'audit désactivés et des rôles trop larges. Un audit de configuration selon les recommandations du fournisseur les trouve en quelques heures.
Mes données sont-elles chiffrées dans le nuage ?
- Généralement au repos et en transit par défaut, avec des clés gérées par le fournisseur. Cela protège contre le vol physique de disques, pas contre un compte compromis qui lit les données normalement. La question utile est donc : qui peut y accéder, avec quelle authentification, et est-ce journalisé. Les clés gérées par le client s'imposent pour les données les plus sensibles.
Puis-je héberger des renseignements personnels hors du Québec ?
- Oui, à condition de mener une évaluation des facteurs relatifs à la vie privée qui conclut que les renseignements bénéficient d'une protection adéquate, et d'encadrer le transfert par contrat. Cela s'applique aux services infonuagiques américains courants. Documentez où sont les données, qui y accède et sous quel droit ; les grands fournisseurs offrent des régions canadiennes.
Le Wi-Fi de mon bureau est-il un risque ?
- Il l'est si le mot de passe est partagé avec les visiteurs, si les appareils personnels et les serveurs sont sur le même réseau ou si l'équipement n'a jamais été mis à jour. Un réseau invité séparé, un chiffrement récent (WPA3 ou WPA2 avec une longue phrase de passe), des mises à jour des points d'accès et une segmentation des équipements sensibles suffisent à la plupart des PME.
09 · 10 questions
Fournisseurs, MSP et municipalités
La sécurité se joue aussi chez ceux qui ont vos accès, et les organismes publics ont leurs propres règles.
Quel est le minimum de sécurité à exiger de mon fournisseur TI ou MSP ?
- Authentification multifacteur sur ses propres outils d'administration, comptes nommés plutôt que partagés, journalisation de ses accès à vos systèmes, sauvegardes hors ligne testées, plan de réponse aux incidents, mises à jour dans des délais définis, et un engagement écrit sur la notification en cas d'incident chez lui. Ses accès à vos systèmes sont vos accès.
Qu'est-ce que le risque lié aux tiers ?
- Le risque qu'un fournisseur (logiciel, hébergeur, comptable, MSP) soit compromis et serve de passerelle vers vous, ou perde vos données. Il se gère par un inventaire des fournisseurs qui ont des accès ou des données, des exigences contractuelles, la limitation de leurs accès au strict nécessaire, et une vérification périodique. Les attaques contre les fournisseurs de services gérés visent précisément leurs clients.
Quelles questions poser à un fournisseur avant de lui confier des données ?
- Où sont hébergées les données, qui y accède, comment sont-elles chiffrées et sauvegardées, quelles certifications ou audits externes (SOC 2, ISO 27001) existent, quel est le processus de notification en cas d'incident, quels sont les délais de restauration, et comment les données sont restituées ou détruites à la fin du contrat. Exigez des réponses écrites.
Quelles sont les obligations d'une municipalité québécoise en cybersécurité ?
- Une municipalité est un organisme public soumis à la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels, elle aussi modernisée par la Loi 25 : responsable désigné, registre et notification des incidents, évaluations des facteurs relatifs à la vie privée, mesures de sécurité proportionnées. Ses services aux citoyens et ses systèmes de contrôle exigent en plus une continuité des activités.
Par où une petite municipalité doit-elle commencer ?
- Par l'inventaire des systèmes et des données de citoyens, la désignation du responsable, l'authentification multifacteur sur le courriel et les accès à distance, des sauvegardes hors ligne testées et une courte formation des employés et des élus. Ensuite, un audit fixe les priorités et sert d'appui aux demandes budgétaires et aux programmes d'aide.
Je suis un MSP : comment protéger mes clients et moi-même ?
- Sécurisez d'abord vos outils d'administration à distance et vos consoles : authentification multifacteur résistante à l'hameçonnage, comptes nommés, journalisation, segmentation par client, mises à jour rapides. Offrez la surveillance et la réponse en service, avec un partenaire de sécurité si vous n'avez pas l'équipe. Un incident chez un MSP touche tous ses clients en même temps.
Comment évaluer la cybersécurité dans un appel d'offres ?
- Demandez des preuves plutôt que des promesses : rapports d'audit ou de certification, résultats d'un test d'intrusion récent, politiques écrites, plan de réponse aux incidents, engagements de notification et de délais de restauration, et références. Pondérez ces critères comme le prix. Un fournisseur sérieux répond sans difficulté ; l'absence de réponse est une réponse.
Quelles clauses de sécurité mettre dans un contrat avec un fournisseur ?
- Confidentialité, localisation et restitution des données, mesures de sécurité minimales, notification des incidents dans un délai précis, droit d'audit ou fourniture de rapports d'audit, sous-traitance encadrée, assurance, et conséquences en cas de manquement. Pour les renseignements personnels, la Loi 25 exige un contrat écrit qui encadre leur communication à un tiers.
Les logiciels libres sont-ils moins sûrs ?
- Non par nature. Leur sécurité dépend, comme pour les logiciels commerciaux, de la maintenance, des mises à jour et de la configuration. Le risque réel est le composant oublié : une bibliothèque vulnérable dans une application ou un serveur que personne ne met à jour. Un inventaire des composants et un suivi des vulnérabilités publiées, comme le catalogue KEV de la CISA, règlent la question.
Existe-t-il de l'aide financière pour la cybersécurité des PME au Québec ?
- Des programmes gouvernementaux et sectoriels existent et changent régulièrement ; ils couvrent souvent une partie d'un audit, d'un plan de sécurité ou d'une formation. Vérifiez auprès des organismes de développement économique de votre région et des programmes du gouvernement du Québec et du Canada avant de lancer un projet. Un audit préalable produit le plan que ces programmes demandent.
10 · 10 questions
Formation et culture
Les employés sont la première ligne de défense quand on leur donne les moyens de l'être.
À quelle fréquence former les employés ?
- Une formation courte à l'embauche, un rappel au moins une fois par année et des exercices réguliers, par exemple des simulations d'hameçonnage trimestrielles. Les sessions de trente minutes centrées sur des cas réels retiennent mieux que les longues présentations. L'objectif est un réflexe : signaler vite, sans crainte d'être blâmé.
Que devrait couvrir une formation de base ?
- Reconnaître l'hameçonnage par courriel, texto et téléphone ; les mots de passe et l'authentification multifacteur ; quoi faire et qui appeler en cas de doute ou d'erreur ; le partage sécurisé de fichiers ; le télétravail et les appareils ; et les obligations de confidentialité envers les renseignements personnels. Adaptez les exemples aux outils que vos équipes utilisent vraiment.
Les dirigeants ont-ils besoin d'une formation particulière ?
- Oui. Ils sont les cibles privilégiées de la fraude au virement et de l'usurpation d'identité, ils détiennent les accès les plus larges, et ils décident pendant un incident. Une session dédiée couvre ces attaques, leurs propres comptes, la prise de décision en crise et leurs responsabilités légales, dont celle de responsable de la protection des renseignements personnels.
C'est quoi, un exercice sur table ?
- Une simulation d'incident en salle, sans toucher aux systèmes : on déroule un scénario réaliste (rançongiciel un vendredi soir, boîte courriel du comptable compromise) et chacun dit ce qu'il ferait. En deux heures, on trouve les trous du plan : qui décide, comment communiquer, où sont les sauvegardes. C'est l'exercice au meilleur rendement pour une direction.
Comment obtenir que les employés signalent leurs erreurs ?
- En ne punissant jamais un signalement, même tardif. Un employé qui a cliqué et le dit dans la minute permet d'agir avant les dégâts ; celui qui a peur se tait et l'attaquant gagne des jours. Un bouton de signalement simple, une réponse rapide et un merci public à ceux qui signalent installent ce réflexe mieux que toute politique.
Ai-je besoin d'une politique de sécurité écrite ?
- Oui, courte et lue : quelques pages qui disent ce qui est attendu (mots de passe, authentification multifacteur, appareils, partage de données, signalement) et ce qui est interdit. Elle sert de référence pour la formation, les contrats de travail et les audits, et elle est souvent exigée par les assureurs et les clients. Une politique de quarante pages que personne ne lit ne protège rien.
Comment intégrer la sécurité à l'arrivée d'un nouvel employé ?
- Des comptes créés avec les accès de son rôle seulement, l'authentification multifacteur activée avant la première connexion, un gestionnaire de mots de passe fourni, un appareil géré et chiffré, la politique de sécurité signée et une formation de trente minutes dans la première semaine. Ce parcours documenté est aussi le modèle du processus de départ.
Mes employés peuvent-ils utiliser des outils d'IA générative au travail ?
- Oui, avec des règles : aucun renseignement personnel, secret commercial ou donnée de client dans un outil grand public ; préférence pour des offres d'entreprise dont les données ne servent pas à l'entraînement ; et vérification des résultats avant usage. Les attaquants utilisent aussi ces outils pour rédiger des courriels d'hameçonnage sans fautes, ce qui rend la vigilance plus nécessaire.
Comment savoir si la formation fonctionne ?
- Par des mesures simples suivies dans le temps : taux de clics et surtout taux de signalement lors des simulations, délai entre l'envoi d'un courriel piégé et le premier signalement, nombre d'incidents évités grâce à un employé, adoption de l'authentification multifacteur et du gestionnaire de mots de passe. Un taux de signalement qui monte vaut plus qu'un taux de clics qui baisse.
Quelles habitudes quotidiennes font la différence ?
- Verrouiller son poste en se levant, vérifier l'expéditeur avant de cliquer, ne jamais approuver une notification d'authentification qu'on n'a pas déclenchée, confirmer par téléphone tout changement bancaire, redémarrer pour appliquer les mises à jour, et signaler ce qui semble étrange. Aucune n'exige de compétence technique ; toutes ferment une porte utilisée par les attaquants.
Votre question n'est pas ici ?
Écrivez-nous ou appelez-nous : une réponse humaine, et une première étape proposée si vous le souhaitez.