Article · Cabinets comptables
Sécurité TI pour les cabinets de comptabilité et de tenue de livres
Les cabinets comptables détiennent exactement ce que les criminels recherchent : numéros d’assurance sociale, coordonnées bancaires, états financiers et la confiance de clients qui agissent sur la foi de vos courriels. Ce guide présente les risques propres à la profession et les mesures qui permettent d’y répondre.
- Publié le
- Lecture de 7 min
Sur cette page
À retenir
- La période des impôts entraîne une hausse prévisible de l’hameçonnage qui imite des clients, les autorités fiscales et les éditeurs de logiciels ; préparez le personnel avant qu’elle commence.
- Délaissez les pièces jointes par courriel au profit d’un portail client sécurisé ou d’un partage chiffré protégé par l’authentification multifacteur.
- Vérifiez par téléphone, à un numéro que vous avez déjà au dossier, toute modification des coordonnées de paiement ou bancaires.
- Protégez vos logiciels d’impôt et de gestion de cabinet avec des comptes individuels et l’authentification multifacteur, et retirez rapidement les accès du personnel saisonnier.
- Chiffrez les appareils, gérez-les de façon centralisée et conservez des sauvegardes protégées et testées des dossiers clients.
- Les obligations de conservation et de protection des renseignements personnels dépendent de votre ordre professionnel, de votre territoire et de vos mandats ; faites-les confirmer par des conseillers qualifiés.
Pourquoi les cabinets comptables sont des cibles attrayantes
Les cabinets de comptabilité et de tenue de livres concentrent au même endroit des renseignements personnels et financiers sensibles provenant de nombreux clients. Une seule boîte aux lettres compromise peut exposer des années de déclarations de revenus, de registres de paie et de pièces d’identité. Ces renseignements peuvent servir au vol d’identité, à de fausses déclarations fiscales ou à des fraudes ciblant vos clients.
Les cabinets se trouvent aussi au cœur des mouvements d’argent. Vos clients s’attendent à recevoir de vous des courriels sur des paiements, des remboursements, des factures et des déclarations : un message convaincant qui semble provenir de votre cabinet a donc une réelle autorité. Les criminels exploitent cette confiance par la compromission du courriel d’affaires, en envoyant des instructions bancaires modifiées depuis une boîte aux lettres piratée ou un sosie de votre adresse. Et comme le travail est saisonnier et rythmé par les échéances, le personnel est débordé et sous pression précisément au moment où les attaques augmentent.
Les tactiques d’hameçonnage de la période des impôts à connaître
Avant la période de pointe, présentez au personnel des exemples réalistes de ces leurres, et faites en sorte que le signalement d’un courriel suspect soit rapide et sans reproche.
Faux documents de clients
Courriels de nouveaux clients ou de clients existants contenant des pièces jointes ou des liens présentés comme des feuillets T4, des reçus ou des états financiers, qui mènent en réalité à des pages d’hameçonnage d’identifiants ou à des logiciels malveillants.
Usurpation de l’identité des autorités fiscales
Messages qui semblent provenir de l’Agence du revenu du Canada (ARC) ou d’une autre autorité et pressent d’agir au sujet d’un compte, d’un remboursement ou d’un examen. Vérifiez par les voies officielles, jamais au moyen des liens contenus dans le message.
Alertes de logiciels et de portails
Fausses notifications de logiciels d’impôt, de portails de documents ou de Microsoft 365 demandant au personnel de se connecter pour conserver son accès, conçues pour capturer les mots de passe et les codes d’authentification multifacteur.
Approches de clients potentiels
Un nouveau contact demande de l’aide, puis envoie un lien vers ses documents, qui s’avère être une page d’hameçonnage ou un fichier malveillant.
Portails clients et échange sécurisé de documents
Les pièces jointes par courriel sont un moyen peu sûr de transmettre des documents sensibles. Les messages peuvent être envoyés à la mauvaise adresse, interceptés, transférés ou laissés dans des boîtes aux lettres pendant des années. Ils habituent aussi les clients à ouvrir des pièces jointes qui semblent venir de vous, ce qui aide les attaquants qui usurpent l’identité du cabinet.
Un portail client sécurisé, qu’il fasse partie de votre logiciel de gestion de cabinet ou d’un service dédié d’échange de fichiers, permet aux clients de téléverser et de télécharger des documents par une connexion authentifiée, avec journalisation des accès et possibilité de les révoquer. Exigez que les clients utilisent l’authentification multifacteur lorsque le portail le permet. Si vous utilisez Microsoft 365, le partage SharePoint ou OneDrive avec des liens réservés à des personnes précises et assortis d’une date d’expiration, ou le chiffrement des messages de Microsoft Purview, peut constituer une solution de rechange adéquate pour les échanges occasionnels.
Dites clairement à vos clients comment vous communiquerez avec eux et comment vous ne le ferez pas : par exemple, que vous n’enverrez jamais de changement de coordonnées bancaires par courriel et que les documents arrivent toujours par le portail. Ce message rend l’usurpation d’identité plus difficile à réussir.
Contrer la fraude aux paiements et la fraude bancaire
La compromission du courriel d’affaires se déjoue surtout par des processus plutôt que par la technologie. Mettez le processus par écrit et appliquez-le chaque fois.
Vérifier par un autre canal
Toute demande de modification des coordonnées bancaires, de redirection d’un remboursement ou de paiement à un nouveau bénéficiaire est confirmée par téléphone, à un numéro déjà au dossier, jamais à celui fourni dans la demande.
Exiger une double approbation
Les paiements qui dépassent un seuil convenu, ainsi que toute modification de bénéficiaire, doivent être approuvés par une deuxième personne.
Signaler les courriels externes
Utilisez l’identification des expéditeurs externes et la protection contre l’emprunt d’identité dans Microsoft 365 pour que le personnel voie quand un message d’apparence interne provient en fait de l’extérieur.
Surveiller les règles de boîte aux lettres
Configurez des alertes pour toute nouvelle règle de boîte de réception qui transfère ou masque des messages, un signe fréquent de compromission d’une boîte aux lettres.
Agir vite
Si vous soupçonnez un paiement frauduleux, communiquez immédiatement avec la banque, puis avec votre fournisseur TI et votre assureur. La rapidité augmente les chances de récupérer les fonds.
Mesures techniques pour un cabinet comptable
- Authentification multifacteur sur Microsoft 365, les logiciels de préparation des déclarations, la gestion de cabinet, les plateformes comptables infonuagiques, les services bancaires et tout accès à distance, avec des méthodes résistantes à l’hameçonnage pour les associés et les administrateurs.
- Comptes individuels pour chaque membre du personnel dans chaque système ; évitez les identifiants partagés pour les logiciels d’impôt ou les services gouvernementaux en ligne, afin que chaque action soit attribuable et que les accès puissent être retirés proprement.
- Ordinateurs portables et de bureau gérés et chiffrés, avec protection des terminaux, correctifs automatiques et sans droits d’administrateur local au quotidien.
- Authentification du courriel (SPF, DKIM et DMARC) sur votre domaine, pour qu’il soit plus difficile pour les criminels d’envoyer des courriels qui semblent provenir de votre cabinet.
- Accès aux dossiers clients selon le moindre privilège, organisés pour que chaque employé ne voie que les clients et les années liés à son travail.
- Sauvegardes protégées des dossiers clients et des données du cabinet, y compris au moins une copie immuable ou hors ligne, avec des tests de restauration réguliers.
- Impression et numérisation sécurisées, y compris la numérisation vers courriel ou vers dossier configurée sans authentification héritée.
Personnel saisonnier et télétravail
Bien des cabinets ajoutent du personnel temporaire et des contractuels pour la période de pointe. Chaque nouvelle personne est une nouvelle identité à sécuriser, puis à retirer. Utilisez une liste de contrôle d’intégration normalisée qui prévoit la remise d’un appareil géré ou la restriction de l’accès depuis les appareils personnels au moyen de stratégies de protection des applications, attribue les accès selon le rôle et consigne une date de fin.
Retirer à temps les accès du personnel saisonnier est tout aussi important. Désactivez les comptes le dernier jour de travail, révoquez les sessions, récupérez les appareils et retirez l’accès aux systèmes tiers comme les logiciels d’impôt et les portails. Les comptes laissés actifs après la saison constituent une exposition courante et évitable.
Pour le télétravail, exigez des appareils gérés ou un accès par applications approuvées, évitez les copies locales des dossiers clients sur des ordinateurs personnels et assurez-vous que l’impression à domicile de documents clients est couverte par vos politiques de confidentialité.
Conservation des documents et obligations en matière de vie privée
Les cabinets comptables sont soumis à des attentes qui se chevauchent : lois sur la protection des renseignements personnels, normes professionnelles des ordres comptables provinciaux, règles de tenue de registres fiscaux qui s’appliquent aux clients et modalités de chaque lettre de mission. Les durées de conservation et les exigences de destruction sécuritaire peuvent varier selon le type de document et le client.
La technologie peut soutenir la politique que vous établissez, quelle qu’elle soit : étiquettes et stratégies de conservation dans Microsoft 365, archives de dossiers structurées, élimination sécuritaire et documentée des anciens appareils et supports de stockage, et journaux d’audit indiquant qui a consulté quoi. La politique elle-même, et la marche à suivre en cas d’atteinte à la vie privée, relèvent des lignes directrices de votre ordre professionnel et de conseillers juridiques et en protection des renseignements personnels qualifiés. Ne conservez que ce dont vous avez besoin, aussi longtemps que nécessaire : les données que vous ne détenez plus ne peuvent pas être volées.
Une liste de contrôle avant la saison
Avant la période de pointe : confirmez l’authentification multifacteur sur chaque système, offrez un rappel de sensibilisation à l’hameçonnage, testez la restauration de dossiers clients, vérifiez que les appareils sont à jour et chiffrés, rappelez à vos clients comment vous communiquerez avec eux et préparez les listes de contrôle d’arrivée et de départ du personnel saisonnier.
Questions fréquentes
Le courriel est-il sûr pour envoyer des documents fiscaux aux clients ?
Le courriel standard n’est pas un bon moyen de transmettre des documents sensibles. Un portail client sécurisé ou un partage chiffré avec contrôle d’accès réduit les risques d’erreur de destinataire, d’interception et d’usurpation d’identité.
Combien de temps notre cabinet doit-il conserver les dossiers clients ?
Cela dépend des exigences de votre ordre professionnel, des règles de tenue de registres fiscaux, des modalités de vos mandats et des lois sur la protection des renseignements personnels. Faites confirmer votre politique de conservation par des conseillers qualifiés, puis configurez vos systèmes en conséquence.
Que faire si un client dit avoir reçu de notre part un courriel suspect ?
Traitez la situation comme une possible compromission de boîte aux lettres. Communiquez avec votre fournisseur TI pour vérifier les journaux de connexion et les règles de boîte de réception, réinitialisez les identifiants et révoquez les sessions au besoin, avertissez les clients touchés par un canal de confiance et consultez vos conseillers au sujet de toute obligation de notification.
Les petits cabinets de tenue de livres ont-ils besoin des mêmes mesures que les grands cabinets ?
Les mesures essentielles sont les mêmes, car les données et les menaces sont les mêmes. L’authentification multifacteur, les appareils gérés, l’échange sécurisé de documents, la vérification des paiements et les sauvegardes testées s’adaptent bien à un cabinet de quelques personnes.
Services connexes
Produits et forfaits
Préparez votre cabinet avant la prochaine période des impôts
Nous aidons les cabinets de comptabilité et de tenue de livres à resserrer la sécurité de Microsoft 365, à sécuriser leurs appareils, à mettre en place des sauvegardes protégées et à former leur personnel, selon une portée écrite.