FAQ sur la cybersécurité pour les PME

Oui. Une petite taille ne rend pas une entreprise invisible. Certaines attaques sont ciblées, mais beaucoup reposent sur des campagnes automatisées qui recherchent des comptes compromis, des services exposés, des logiciels vulnérables ou des configurations faibles.

Le niveau de risque dépend davantage des systèmes utilisés, des données détenues, des accès disponibles et des conséquences d’une interruption que du seul nombre d’employés.

Il faut commencer par comprendre l’environnement réel de l’entreprise : systèmes importants, données sensibles, comptes privilégiés, fournisseurs, sauvegardes, services exposés et dépendances opérationnelles.

Les premières priorités sont généralement de protéger les comptes importants avec une authentification multifacteur appropriée, vérifier les sauvegardes et les restaurations, corriger les systèmes exposés, encadrer les accès et établir une procédure de signalement des incidents. Un audit ou un scan peut ensuite fournir un portrait plus structuré et aider à prioriser les actions.

Non. L’équipe informatique ou le fournisseur TI joue un rôle important, mais les décisions concernant les risques, les budgets, les fournisseurs, les obligations légales et la continuité des activités relèvent aussi de la direction.

La cybersécurité concerne également les ressources humaines, les finances, les opérations, les communications et toute personne qui utilise les systèmes ou traite des renseignements sensibles.

Les impacts dépendent de l’incident et de l’entreprise. Ils peuvent comprendre une interruption des activités, une perte ou une divulgation de données, des coûts de restauration, le recours à des spécialistes, des obligations de notification, une perte de confiance, des litiges ou des difficultés contractuelles.

Il n’existe pas de coût universel applicable à toutes les PME. Une estimation sérieuse doit tenir compte des systèmes touchés, de la durée de l’interruption, des données concernées, des obligations applicables et des capacités de reprise de l’entreprise.

Le choix dépend de la question à résoudre.

• Un scan de vulnérabilité recherche des faiblesses techniques connues dans un périmètre défini.
• Un audit évalue plus largement les pratiques, les contrôles, les responsabilités, les processus et la gouvernance.
• Un accompagnement aide l’entreprise à suivre un plan d’action, prendre des décisions et améliorer sa posture dans le temps.

Une discussion initiale permet de définir l’objectif, le périmètre et le type d’intervention réellement utile.

Le scan de vulnérabilité est principalement technique. Il recherche notamment des logiciels vulnérables, des services exposés, certains défauts de configuration et des correctifs manquants.

L’audit est plus large. Il peut examiner la gouvernance, les responsabilités, la gestion des accès, les sauvegardes, la réponse aux incidents, les fournisseurs, les politiques et les pratiques de l’organisation.

Le test d’intrusion comprend des vérifications manuelles et des tentatives d’exploitation autorisées afin d’évaluer ce qu’un attaquant pourrait réellement accomplir dans un périmètre précis.

Le test d’intrusion est généralement plus ciblé et plus intrusif. Il nécessite des règles d’engagement détaillées. Le bon choix dépend de l’objectif, du niveau de maturité et des exigences contractuelles de l’entreprise.

Source : Centre canadien pour la cybersécurité, Choisir une solution de cybersécurité ↗

Un scan ponctuel fournit un portrait de l’environnement au moment de l’analyse. Un suivi récurrent permet d’observer l’évolution de l’exposition, de vérifier certains changements et de repérer de nouvelles vulnérabilités pendant la période convenue.

La portée, la fréquence et les livrables doivent être définis dans le mandat. Un suivi récurrent ne remplace pas la gestion quotidienne des correctifs, la surveillance opérationnelle ou la réponse aux incidents.

Un scan de vulnérabilité est une analyse technique destinée à repérer des faiblesses connues dans les systèmes compris dans le périmètre : versions vulnérables, correctifs manquants, services exposés, ports ouverts ou certaines configurations à risque.

Le résultat doit être analysé et remis en contexte. Un outil peut produire des faux positifs ou signaler une vulnérabilité qui n’a pas la même importance dans tous les environnements.

Le mandat commence par la définition de l’objectif, du périmètre, des actifs autorisés, des exclusions et des périodes d’analyse. Les systèmes sensibles ou fragiles doivent être signalés avant le lancement.

Le scan est ensuite configuré et exécuté selon le périmètre convenu. Les résultats sont analysés, validés lorsque cela est possible, puis présentés dans un rapport accompagné de recommandations et d’un ordre de priorité.

L’entreprise doit généralement préparer la liste des actifs autorisés, les adresses IP et domaines concernés, les exclusions, les systèmes sensibles, les coordonnées des responsables, les périodes d’analyse, les éventuels comptes techniques et les règles de communication en cas de découverte urgente.

Le périmètre doit être approuvé avant le lancement afin d’éviter l’analyse d’un système non autorisé.

Le scan est configuré pour limiter son impact, mais aucun prestataire sérieux ne devrait promettre un risque nul. Certains équipements anciens, fragiles, industriels ou mal configurés peuvent réagir de façon imprévisible à une analyse réseau.

Avant l’intervention, il faut identifier les systèmes sensibles, définir les exclusions nécessaires et convenir d’une période adaptée. Le scan ne doit pas modifier volontairement les systèmes ni supprimer de données.

Il n’existe pas de fréquence universelle. Elle dépend du niveau de risque, de l’exposition, du rythme des changements, des exigences des clients, des contrats, de l’assureur et des ressources disponibles.

Un nouveau scan peut notamment être pertinent après une modification importante, l’ajout d’un service exposé, une migration, un incident ou une série de corrections. La fréquence doit être proportionnée aux risques de l’organisation.

Selon le périmètre autorisé, le scan peut couvrir des adresses IP externes, des serveurs, des postes, des équipements réseau, des machines virtuelles et certains environnements infonuagiques.

La couverture réelle dépend de l’architecture, de la visibilité disponible, des accès autorisés et des limitations techniques. Les applications Web, les environnements industriels et les services infonuagiques peuvent nécessiter des méthodes d’évaluation spécifiques.

Un scan réseau classique ne couvre pas automatiquement Microsoft 365. Une évaluation de Microsoft 365 nécessite généralement une analyse de configuration portant notamment sur les identités, les rôles, l’authentification, les règles de partage, les accès administratifs, les journaux et les politiques de sécurité. Cette analyse doit être définie séparément dans le périmètre.

Sa participation n’est pas toujours obligatoire, mais elle est souvent utile. Le fournisseur TI peut aider à confirmer l’architecture, les plages d’adresses, les systèmes sensibles, les changements prévus et les contraintes d’exploitation.

Il est également souvent responsable d’une partie des corrections. L’objectif est de faciliter la collaboration, tout en maintenant un regard indépendant sur les risques observés.

Cela dépend du type d’analyse. Un scan externe ou non authentifié peut être réalisé sans compte administrateur, mais sa visibilité est plus limitée.

Une analyse authentifiée peut nécessiter un compte technique contrôlé pour vérifier plus précisément les versions, les correctifs et certaines configurations. Les accès doivent être limités au besoin, protégés et retirés ou désactivés à la fin du mandat.

Cela dépend de l’outil, de la configuration et du périmètre. Les données peuvent comprendre des adresses IP, noms d’hôtes, ports, services, versions logicielles, résultats de détection et informations techniques nécessaires à l’analyse.

Avant le mandat, l’entreprise doit connaître les catégories de données traitées, leur lieu de traitement, leur durée de conservation, les sous-traitants concernés et les mesures de protection applicables. L’absence de transfert de données hors de l’entreprise doit être vérifiée pour la solution réellement utilisée.

Un audit est une évaluation structurée de la posture de cybersécurité d’une organisation. Il examine un périmètre défini et compare les pratiques observées à des critères, à un référentiel ou à des exigences convenues.

L’audit peut couvrir la gouvernance, les accès, les actifs, les sauvegardes, la réponse aux incidents, les fournisseurs, les politiques, les configurations et la sensibilisation. Le rapport présente les constats, les écarts, les risques et les actions recommandées.

Le mandat comprend généralement une phase de cadrage, la collecte de documents, des entrevues, l’examen de preuves, certaines vérifications techniques et l’analyse des écarts.

Les constats sont ensuite validés avec les personnes concernées avant la remise du rapport. La méthode exacte dépend du périmètre, du référentiel retenu, de la taille de l’environnement et de la disponibilité des preuves.

La durée dépend du périmètre, de la complexité de l’environnement, du nombre d’intervenants, de la disponibilité des documents et du niveau de profondeur attendu.

Le calendrier doit être confirmé lors du cadrage. Il faut distinguer la durée totale du mandat du temps réellement demandé aux équipes internes.

Les personnes clés doivent généralement participer au cadrage, fournir des documents, répondre à certaines questions et valider les constats. Avant le démarrage, un calendrier doit préciser les intervenants attendus et les contributions nécessaires.

Oui, à condition d’adapter la méthode à la réalité de l’entreprise. L’audit peut établir un point de départ, identifier les risques les plus importants et éviter de disperser les ressources dans des actions peu prioritaires.

L’objectif n’est pas de sanctionner l’absence de maturité, mais de produire un plan d’amélioration réaliste et proportionné.

Oui. Un rapport d’audit contient souvent des informations sensibles sur les systèmes, les accès, les fournisseurs, les processus et les faiblesses de l’entreprise.

Les conditions de confidentialité, les personnes autorisées, les méthodes de transmission, la conservation et la destruction des informations doivent être encadrées dans le mandat. Aucun résultat ne doit être communiqué à un tiers sans base contractuelle, légale ou autorisation appropriée.

Les livrables doivent être définis dans le mandat. Ils peuvent comprendre une synthèse destinée à la direction, un rapport technique, une liste de constats, une évaluation des risques et un plan d’action priorisé.

La synthèse doit expliquer les conséquences possibles et les décisions attendues. Le détail technique doit fournir aux responsables des corrections suffisamment d’information pour comprendre et traiter les constats.

Le score CVSS peut aider à exprimer la gravité technique d’une vulnérabilité, mais il ne représente pas à lui seul le risque pour l’entreprise.

La priorité doit aussi tenir compte de l’exposition, de l’importance du système, de l’existence d’une exploitation connue, des données concernées, des mesures compensatoires, de la disponibilité d’un correctif et des conséquences opérationnelles.

Source : FIRST, Spécification CVSS v4.0 ↗

Non. Certaines mesures exigent une intervention urgente, tandis que d’autres peuvent être planifiées.

La décision doit tenir compte du risque, de l’effort, des dépendances, des risques de changement et des ressources disponibles. Lorsqu’une correction immédiate est impossible, des mesures temporaires ou compensatoires peuvent parfois réduire l’exposition en attendant une solution durable.

Cela dépend de l’organisation et du mandat. Les corrections peuvent être réalisées par l’équipe interne, le fournisseur TI, un intégrateur, un éditeur ou un spécialiste.

Le consultant qui produit le rapport doit préciser les actions recommandées et peut accompagner leur priorisation. Les corrections ne sont incluses que si le mandat le prévoit explicitement.

Le processus d’escalade doit être défini avant l’analyse. Lorsqu’un constat semble présenter un risque urgent, la personne autorisée doit être informée rapidement par le canal convenu, sans attendre la remise du rapport final.

Le constat doit être validé autant que possible avant toute conclusion. Les décisions de correction, d’isolement ou de suspension d’un service appartiennent à l’organisation, avec l’appui de ses responsables techniques et de sécurité.

La Loi 25 est la loi québécoise qui a modernisé plusieurs dispositions relatives à la protection des renseignements personnels. Elle a modifié notamment la Loi sur la protection des renseignements personnels dans le secteur privé.

Elle renforce les responsabilités des entreprises concernant la gouvernance, la transparence, le consentement, la sécurité, les incidents, les évaluations des facteurs relatifs à la vie privée et les droits des personnes.

Source : Commission d’accès à l’information, Principaux changements apportés par la Loi 25 ↗

La Loi sur le privé s’applique aux entreprises qui recueillent, détiennent, utilisent ou communiquent des renseignements personnels dans le cadre de leurs activités au Québec, sous réserve des règles et exceptions applicables.

La taille de l’entreprise ne suffit pas à l’exclure. Les renseignements sur les clients, employés, candidats, fournisseurs individuels ou utilisateurs peuvent être concernés. Le périmètre exact doit être déterminé selon les activités et les renseignements réellement traités.

Les obligations dépendent du contexte, mais elles comprennent notamment :

• désigner un responsable de la protection des renseignements personnels;
• publier son titre et ses coordonnées;
• établir des politiques et pratiques de gouvernance;
• encadrer la collecte, l’utilisation, la communication, la conservation et la destruction;
• protéger les renseignements par des mesures appropriées;
• tenir un registre des incidents;
• traiter les demandes des personnes;
• réaliser une évaluation des facteurs relatifs à la vie privée dans les situations prévues.

Source : Commission d’accès à l’information, Responsabilité des entreprises ↗

La Commission d’accès à l’information peut imposer des sanctions administratives pécuniaires ou entamer des poursuites pénales selon le manquement.

Une sanction administrative pécuniaire peut atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial. Certaines amendes pénales peuvent atteindre 25 millions de dollars ou 4 % du chiffre d’affaires mondial. Le régime applicable et le montant dépendent de la nature du manquement et des circonstances.

Source : Commission d’accès à l’information, Sanctions ↗

Lorsqu’un incident impliquant un renseignement personnel présente un risque de préjudice sérieux, l’entreprise doit aviser la Commission d’accès à l’information et les personnes concernées. Elle doit également prendre des mesures raisonnables pour réduire le risque de préjudice et prévenir de nouveaux incidents de même nature.

Les incidents doivent être consignés dans un registre, même lorsqu’ils ne présentent pas nécessairement un risque de préjudice sérieux.

Source : Commission d’accès à l’information, Incidents de confidentialité et mesures de sécurité ↗

Les obligations sont déjà en vigueur, mais il reste préférable d’entreprendre une démarche structurée maintenant plutôt que d’attendre un incident, une plainte ou une demande d’un client.

La première étape consiste à documenter les renseignements détenus, les finalités, les systèmes, les fournisseurs, les accès, les pratiques de conservation et les mesures existantes. L’entreprise peut ensuite identifier les écarts et prioriser les actions. Une simple déclaration de bonne foi ne remplace pas les obligations applicables.

Une évaluation des facteurs relatifs à la vie privée peut être obligatoire dans plusieurs situations prévues par la loi, notamment pour un projet d’acquisition, de développement ou de refonte d’un système d’information ou d’une prestation électronique de services impliquant des renseignements personnels, ainsi qu’avant certaines communications de renseignements personnels à l’extérieur du Québec.

L’évaluation doit être proportionnée à la sensibilité, à la finalité, à la quantité, à la répartition et au support des renseignements concernés.

Source : Commission d’accès à l’information, Guide sur les EFVP ↗

SPF indique quels systèmes sont autorisés à envoyer des courriels pour un domaine. DKIM ajoute une signature cryptographique permettant au destinataire de vérifier qu’un message signé n’a pas été modifié et qu’il est associé au domaine indiqué. DMARC utilise les résultats SPF et DKIM, avec l’alignement des domaines, pour appliquer une politique et produire des rapports.

Ces mécanismes réduisent certains risques d’usurpation du domaine, mais ils ne bloquent pas toutes les formes d’hameçonnage.

Il faut vérifier les enregistrements DNS, leur syntaxe, les sources d’envoi autorisées, la signature DKIM, l’alignement DMARC et la politique réellement appliquée.

La présence d’un enregistrement ne suffit pas : une configuration trop permissive, incomplète ou non surveillée peut laisser subsister des risques. Les rapports DMARC peuvent aider à identifier les sources légitimes et les tentatives d’utilisation non autorisée.

La gestion des identités et des accès regroupe les processus et contrôles utilisés pour créer, modifier, vérifier et retirer les accès aux systèmes et aux données.

Elle couvre notamment l’arrivée, la mobilité et le départ des employés, les comptes administrateurs, les comptes de service, les accès des fournisseurs, l’authentification et les revues périodiques des droits.

Elle applique notamment le principe du moindre privilège : accorder à une personne, une application ou un système uniquement les accès nécessaires à sa fonction, pendant la durée nécessaire. Les droits doivent être révisés périodiquement, particulièrement pour les administrateurs, les fournisseurs et les comptes de service.

L’authentification multifacteur ajoute au moins un facteur de vérification au mot de passe. Elle réduit fortement le risque associé au vol d’identifiants, mais elle ne rend pas une compromission impossible.

Certaines techniques peuvent contourner des méthodes traditionnelles de MFA. Les passkeys, les clés FIDO2 et d’autres méthodes résistantes à l’hameçonnage offrent une protection supérieure aux codes par SMS ou aux approbations simples.

Source : Centre canadien pour la cybersécurité, MFA résistant à l’hameçonnage ↗

Le processus de départ doit être préparé avant la date de fin d’emploi. Il faut notamment désactiver les comptes, révoquer les sessions et jetons, retirer les accès aux applications, changer les secrets partagés, récupérer les appareils et transférer les informations professionnelles nécessaires.

Les ressources humaines, le gestionnaire et les responsables TI doivent coordonner l’action. Le niveau d’urgence dépend du contexte du départ et des risques identifiés.

Microsoft protège l’infrastructure de son service, mais l’organisation demeure responsable de ses utilisateurs, de ses accès, de ses appareils, de ses données et de nombreuses configurations.

La posture réelle dépend notamment des licences, de l’authentification, des rôles administratifs, des règles de partage, des applications tierces, des journaux, des politiques d’accès et des paramètres propres au tenant. Une configuration par défaut ne doit pas être considérée comme adaptée à tous les risques.

Microsoft 365 comprend différents mécanismes de disponibilité, de corbeille, de conservation et de restauration. Microsoft propose également un service distinct appelé Microsoft 365 Backup.

Ces mécanismes ne répondent pas automatiquement à tous les besoins. L’entreprise doit définir les données à protéger, la durée de conservation, le délai de restauration, les scénarios de perte et les responsabilités avant de décider si une solution complémentaire est nécessaire.

Source : Microsoft Learn, Vue d’ensemble de Microsoft 365 Backup ↗

La responsabilité est partagée entre le fournisseur du service et le client. Le fournisseur protège certaines composantes de la plateforme, tandis que le client reste responsable de ses comptes, de ses droits, de ses configurations, de ses appareils, de l’usage du service et de ses obligations concernant les données.

La répartition exacte varie selon le service utilisé. Elle doit être vérifiée dans la documentation et les engagements contractuels du fournisseur.

Une cyberassurance est une police qui peut couvrir certains coûts et services liés à un incident cyber, selon les garanties, limites, franchises et exclusions du contrat.

Elle peut notamment prévoir des services de réponse aux incidents, d’expertise, de restauration, de gestion juridique, de notification ou de communication. Elle ne remplace pas les mesures de prévention et ne couvre pas automatiquement tous les incidents.

Les exigences varient selon l’assureur, le secteur, la taille, les données détenues et le niveau de couverture demandé.

Le questionnaire peut porter sur l’authentification multifacteur, les sauvegardes, les mises à jour, la protection des postes, les accès administratifs, la segmentation, la formation, les plans d’intervention et les fournisseurs. Les réponses doivent être exactes, documentées et cohérentes avec les mesures réellement déployées.

L’assureur peut vouloir mieux comprendre l’exposition et les mesures de protection de l’entreprise avant de proposer une couverture, renouveler le contrat ou analyser un risque particulier.

Il faut confirmer exactement le document demandé. Un scan technique, un audit organisationnel, une attestation et un questionnaire d’assurance ne sont pas interchangeables.

Il n’existe pas d’obligation générale imposant à toutes les PME québécoises de détenir une cyberassurance.

Elle peut toutefois être exigée par un client, un donneur d’ordre, un bailleur, un partenaire ou un contrat. La décision doit tenir compte des risques, de la capacité financière de l’entreprise, des garanties proposées et des exclusions.

Un rançongiciel est un logiciel malveillant utilisé pour rendre des systèmes ou des données indisponibles, généralement afin d’exiger un paiement. Certaines opérations comprennent aussi le vol de données et des menaces de divulgation.

La présence de sauvegardes peut faciliter la restauration, mais elle n’empêche pas nécessairement le vol ou la publication des données.

Il faut déclencher le plan de réponse aux incidents et contacter les personnes prévues. Les systèmes touchés peuvent devoir être isolés pour limiter la propagation, mais les actions doivent être coordonnées afin de préserver les preuves et de ne pas aggraver la situation.

Il faut rapidement mobiliser les responsables internes, le fournisseur TI, un spécialiste de la réponse aux incidents, l’assureur lorsque pertinent et les conseillers juridiques selon la situation. Évitez les actions improvisées si leurs conséquences ne sont pas comprises.

Source : Centre canadien pour la cybersécurité, Guide sur les rançongiciels ↗

Le paiement ne garantit ni la récupération des données ni l’arrêt de leur divulgation. Il peut encourager le modèle criminel, entraîner de nouvelles demandes ou exposer l’entreprise à d’autres risques, notamment juridiques.

La décision appartient à l’organisation, mais elle ne doit pas être prise isolément. Avant toute décision, il faut consulter les spécialistes en réponse aux incidents, les conseillers juridiques, l’assureur et les autorités pertinentes.

Source : Centre canadien pour la cybersécurité, Guide sur les rançongiciels ↗

Non. Une sauvegarde n’est utile que si elle contient les données nécessaires, demeure accessible après l’incident et peut être restaurée dans un délai acceptable.

Il faut également protéger les sauvegardes contre l’altération et la suppression, tester les restaurations, documenter les procédures, définir les systèmes prioritaires et prévoir les dépendances techniques et humaines.

Source : Centre canadien pour la cybersécurité, Conseils sur les sauvegardes ↗

Le plan de continuité décrit comment maintenir les activités essentielles pendant une interruption. Le plan de reprise décrit comment restaurer les systèmes, les données et les capacités nécessaires après l’incident.

Les deux doivent être coordonnés. Une procédure technique de restauration ne suffit pas si l’entreprise ne sait pas comment fonctionner pendant l’indisponibilité.

Le RTO, ou objectif de délai de reprise, correspond au délai visé pour rétablir un service après une interruption.

Le RPO, ou objectif de point de reprise, correspond à la quantité de données que l’organisation accepte de perdre, exprimée en durée. Par exemple, un RPO de plusieurs heures implique que la restauration pourrait revenir à un état antérieur de plusieurs heures.

Ces objectifs doivent être définis selon les besoins opérationnels, puis validés par des tests.

La fréquence dépend de la criticité des systèmes, du rythme des changements, des exigences contractuelles et du niveau de risque.

Les tests doivent être suffisamment réguliers pour démontrer que les données peuvent être restaurées et que les procédures restent applicables. Un test doit également être envisagé après un changement important de système, de fournisseur, d’architecture ou de méthode de sauvegarde.

Un plan de réponse aux incidents définit les rôles, les contacts, les critères d’escalade, les méthodes de communication et les principales actions à entreprendre lorsqu’un incident survient.

Il doit notamment préciser comment détecter, analyser, contenir, éradiquer et récupérer, ainsi que la façon de documenter les décisions. Il doit être adapté à l’entreprise et testé au moyen d’exercices.

Source : Centre canadien pour la cybersécurité, Développer un plan de réponse aux incidents ↗

La réponse dépend de la nature de l’incident, des données concernées, du secteur, des contrats et des obligations applicables.

Un cybercrime peut être signalé aux services policiers et aux organismes fédéraux compétents. Lorsqu’un incident de confidentialité impliquant des renseignements personnels présente un risque de préjudice sérieux, la Loi sur le privé prévoit un avis à la Commission d’accès à l’information et aux personnes concernées. L’entreprise doit également vérifier les obligations envers son assureur, ses clients et ses partenaires.

Une formation est réellement utile lorsqu’elle correspond aux risques et aux responsabilités des participants. Elle peut aider les employés à reconnaître des situations suspectes, protéger leurs comptes, utiliser les outils correctement et signaler rapidement un événement.

Une formation utile est claire, concrète et adaptée aux activités de l’entreprise. Elle explique les comportements attendus et la méthode de signalement interne à partir de scénarios réalistes.

Les sujets peuvent inclure l’hameçonnage, les mots de passe, l’authentification multifacteur, le partage de données, les appareils mobiles, le travail à distance et le signalement des incidents. Des rappels et exercices réguliers sont préférables à une intervention isolée sans suivi.

La formation ne remplace toutefois pas les contrôles techniques, la gouvernance ou les procédures. Elle fait partie d’un ensemble de mesures complémentaires.

L’accompagnement stratégique aide la direction à comprendre les risques, prioriser les actions, suivre les recommandations et coordonner les intervenants.

Il peut porter sur la gouvernance, les politiques, les fournisseurs, les exigences de clients ou d’assureurs, la Loi 25, la préparation aux incidents et le suivi d’un plan d’amélioration. Le périmètre est adapté aux besoins convenus.

Le fournisseur TI assure généralement l’exploitation et le soutien des systèmes. RDCybersécurité apporte un regard spécialisé sur les risques, la gouvernance, les priorités et les contrôles.

Les rôles sont complémentaires. Selon le mandat, le fournisseur TI peut contribuer au cadrage, fournir des informations et appliquer certaines corrections. RDCybersécurité ne remplace pas automatiquement le fournisseur existant.

Le mandat peut aussi être adapté à une entreprise qui utilise un fournisseur externe ou qui dispose de ressources techniques limitées.

Il faut toutefois identifier qui possède les accès, qui peut approuver les changements et qui réalisera les corrections. Lorsque des travaux dépassent le périmètre du mandat, l’entreprise peut devoir mobiliser un fournisseur technique approprié.

RDCybersécurité accompagne des PME dont les risques et contraintes varient selon les opérations, les données, les clients et les obligations contractuelles.

Avant d’accepter un mandat, le périmètre, les compétences nécessaires et les particularités sectorielles sont vérifiés.

Cela dépend de l’intervention, de l’environnement et des contraintes de sécurité. Les entrevues, l’analyse documentaire et certaines vérifications peuvent être réalisées à distance.

Une présence sur place peut être utile ou nécessaire pour certains environnements, équipements, ateliers ou activités de formation. La méthode est confirmée pendant le cadrage.

Oui. Certaines interventions répondent à un besoin ponctuel, tandis que d’autres nécessitent un suivi dans le temps.

La durée, la fréquence, le périmètre, les livrables et les responsabilités sont définis dans la proposition ou le contrat.

Le Cybersecurity Maturity Model Certification est un programme américain utilisé pour vérifier la mise en œuvre de certaines exigences de cybersécurité chez les fournisseurs et sous-traitants qui traitent des informations liées aux contrats du département américain de la Défense.

Le niveau et le type d’évaluation dépendent notamment des informations traitées et des exigences intégrées au contrat.

Source : Site officiel du programme CMMC ↗

Oui, si elle participe directement ou indirectement à une chaîne d’approvisionnement visée et si des exigences CMMC lui sont transmises contractuellement.

Le fait d’être située au Québec ne suffit ni à rendre le CMMC applicable ni à en exempter l’entreprise. Il faut examiner les contrats, les clauses transmises par les clients et les catégories d’informations réellement traitées.

Il faut d’abord déterminer les contrats concernés, les informations traitées, les systèmes inclus dans le périmètre et les exigences réellement applicables. Les écarts doivent ensuite être documentés et traités selon les règles en vigueur.

Au 13 juillet 2026, les autorités américaines ont annoncé la suspension immédiate des exigences de la phase II, initialement prévue le 10 novembre 2026, tandis que les exigences d’autoévaluation de la phase I demeurent en place. Information vérifiée le 27 juillet 2026 ; elle sera revue lorsque les autorités publieront de nouvelles directives.

Source : Annonce officielle sur la suspension de la phase II ↗