Article · Cybersécurité
L’essentiel de la cybersécurité pour les petites et moyennes entreprises canadiennes
Pas besoin d’un service de sécurité pour être nettement mieux protégé. L’autorité nationale canadienne en matière de cybersécurité publie un ensemble de contrôles de base conçus pour des organisations comme la vôtre. Ce guide les explique en termes concrets et vous suggère par où commencer.
- Publié le
- Lecture de 7 min
Sur cette page
À retenir
- Le Centre canadien pour la cybersécurité publie des contrôles de cybersécurité de base rédigés expressément pour les petites et moyennes organisations.
- La plupart de ces contrôles sont réalisables avec des outils pour lesquels vous avez peut-être déjà des licences, comme Microsoft 365 Business Premium.
- Commencez par les contrôles qui stoppent les incidents les plus courants : authentification multifacteur, correctifs, sauvegardes protégées, protection des terminaux et sensibilisation du personnel.
- Rédigez un plan d’intervention en cas d’incident avant d’en avoir besoin, en précisant qui appeler et comment joindre ces personnes si le courriel est hors service.
- CyberSécuritaire Canada est un programme fédéral qui permet aux PME de faire évaluer leurs pratiques de sécurité de façon indépendante selon une norme nationale fondée sur les contrôles de base.
- Les obligations en matière de protection des renseignements personnels et de déclaration des atteintes varient selon la province et le secteur ; faites confirmer les vôtres par des conseillers qualifiés.
Pourquoi les petites et moyennes organisations sont ciblées
Bien des propriétaires croient que les attaquants ne s’intéressent qu’aux grandes entreprises. En réalité, une grande partie de la cybercriminalité actuelle est automatisée et opportuniste. Les campagnes d’hameçonnage, les outils qui devinent les mots de passe et les balayages à la recherche d’appareils d’accès à distance non corrigés ne vérifient pas la taille de l’organisation avant de frapper. Un petit cabinet comptable, une entreprise de construction ou une clinique qui détient des données clients précieuses, effectue des paiements réguliers et dispose d’une supervision TI limitée constitue une cible attrayante.
Pour les petites entreprises, les conséquences les plus fréquentes sont la compromission du courriel d’affaires, où un attaquant se sert d’une boîte aux lettres piratée pour détourner des paiements, et les rançongiciels, qui chiffrent les fichiers et les systèmes, souvent après les avoir copiés, avant qu’une rançon soit exigée. Les deux sont perturbateurs et coûteux, et les deux deviennent beaucoup moins probables grâce à quelques mesures de base bien appliquées.
Les contrôles de base du Centre canadien pour la cybersécurité
Le Centre canadien pour la cybersécurité, qui relève du Centre de la sécurité des télécommunications, est l’autorité fédérale canadienne en matière de cybersécurité. Parmi ses publications figure un document de contrôles de cybersécurité de base destiné aux petites et moyennes organisations. Il vise à aider les organisations sans équipe de sécurité dédiée à se concentrer sur les mesures qui offrent la meilleure protection pour l’effort consenti.
Le document commence par des étapes organisationnelles, comme déterminer quels renseignements et quels systèmes sont les plus importants pour votre entreprise et qui est responsable des décisions de sécurité, puis il énonce des contrôles dans plusieurs domaines : planification de l’intervention en cas d’incident, application automatique des correctifs, logiciels de sécurité, configuration sécuritaire des appareils, authentification robuste des utilisateurs, formation de sensibilisation du personnel, sauvegarde et chiffrement, sécurité des appareils mobiles, défenses périmétriques, sécurisation des services infonuagiques et des services TI impartis, sécurité des sites Web, contrôle d’accès et gestion des supports amovibles.
Ces lignes directrices peuvent être consultées gratuitement sur le site Web du Centre pour la cybersécurité, et il vaut la peine de les lire directement. Les sections qui suivent traduisent leurs thèmes en premières étapes concrètes pour un bureau type sous Microsoft 365 en Colombie-Britannique ou en Alberta.
Premières étapes concrètes, thème par thème
Authentification robuste
Activez l’authentification multifacteur pour le courriel, l’accès à distance, les services bancaires, la comptabilité et la paie. Utilisez un gestionnaire de mots de passe pour que le personnel puisse avoir des mots de passe uniques sans les noter.
Correctifs
Activez les mises à jour automatiques des systèmes d’exploitation, des navigateurs et des applications courantes. Faites un suivi distinct des pare-feu, des appareils RPV et des autres équipements réseau, car ils ne se mettent pas à jour d’eux-mêmes.
Logiciels de sécurité
Utilisez une protection des terminaux à jour sur chaque ordinateur, avec la protection contre les falsifications activée et une personne chargée d’examiner les alertes.
Configuration sécuritaire
Changez les mots de passe par défaut, désactivez les services inutilisés, retirez les droits d’administrateur local des comptes d’usage quotidien et chiffrez les ordinateurs portables.
Sauvegarde et chiffrement
Sauvegardez régulièrement les données importantes, conservez au moins une copie hors de portée des rançongiciels et testez les restaurations. Chiffrez les données sur les appareils portables.
Formation de sensibilisation
Apprenez au personnel à reconnaître l’hameçonnage, à vérifier par téléphone, à un numéro connu, toute modification des coordonnées de paiement, et à signaler rapidement ses erreurs sans crainte de reproches.
Contrôle d’accès
N’accordez à chaque personne que les accès nécessaires à son rôle, révisez-les quand les rôles changent et désactivez rapidement les comptes des personnes qui partent.
Services infonuagiques et impartis
Déterminez quelles responsabilités de sécurité assument vos fournisseurs infonuagiques et TI et lesquelles vous reviennent, et demandez à vos fournisseurs comment ils protègent vos données et leur propre accès à celles-ci.
Rédiger un plan d’intervention simple en cas d’incident
Les contrôles de base font de la planification des incidents un point de départ, et non une réflexion après coup. Pour une petite entreprise, un plan utile tient en quelques pages.
Définir ce qui constitue un incident
Par exemple : une boîte aux lettres que l’on soupçonne compromise, un rançongiciel, un ordinateur portable non chiffré perdu, ou un employé qui envoie des données clients à la mauvaise personne.
Nommer les personnes
Indiquez qui décide, qui s’occupe de l’intervention technique, qui communique avec le personnel et les clients, ainsi que les contacts externes comme votre fournisseur TI, votre cyberassureur, votre avocat et votre banque.
Prévoir l’indisponibilité du courriel
Gardez une liste de contacts imprimée ou hors ligne avec les numéros de cellulaire, car un locataire compromis pourrait être justement ce à quoi vous ne pouvez plus vous fier.
Documenter les premières actions
Par exemple : débrancher du réseau les appareils touchés sans les éteindre, réinitialiser les identifiants et révoquer les sessions, préserver les journaux, et appeler votre assureur avant de faire appel à des intervenants externes si votre police l’exige.
Savoir où signaler
Les cyberincidents peuvent être signalés au Centre canadien pour la cybersécurité, et la fraude au Centre antifraude du Canada et à votre service de police local. Les atteintes à la vie privée peuvent entraîner des obligations de notification distinctes.
CyberSécuritaire Canada : de quoi s’agit-il et est-ce pour vous ?
CyberSécuritaire Canada est un programme fédéral dirigé par Innovation, Sciences et Développement économique Canada. Il permet aux petites et moyennes organisations de faire évaluer leurs pratiques de sécurité par un organisme tiers accrédité, selon une norme nationale fondée sur les contrôles de base du Centre pour la cybersécurité. Les organisations qui satisfont à la norme peuvent afficher le symbole du programme, dont certaines se servent pour démontrer leurs bonnes pratiques à leurs clients et partenaires ou pour répondre aux questionnaires de sécurité des fournisseurs.
La participation est volontaire, entraîne des frais facturés par l’organisme d’évaluation et exige que les contrôles soient réellement en place et documentés. Pour bien des PME, la valeur la plus immédiate consiste à utiliser ces mêmes contrôles de base comme cadre structuré d’autoévaluation et de plan d’amélioration. Si vos clients ou vos contrats commencent à exiger des preuves de vos pratiques de sécurité, le programme mérite d’être envisagé. Consultez le site Web officiel du programme pour connaître les exigences et le processus actuels.
Obligations en matière de vie privée et d’atteintes
Le droit de la cybersécurité et celui de la protection des renseignements personnels se recoupent. Les organisations du secteur privé au Canada peuvent être assujetties à la loi fédérale sur la protection des renseignements personnels (LPRPDE), et la Colombie-Britannique comme l’Alberta ont chacune leur propre loi sur la protection des renseignements personnels dans le secteur privé (Personal Information Protection Act, ou PIPA), qui s’applique à de nombreuses organisations exerçant leurs activités dans ces provinces. Certaines de ces lois prévoient l’obligation de déclarer certaines atteintes à un organisme de réglementation et d’aviser les personnes concernées, et des règles sectorielles peuvent s’appliquer dans des domaines comme la santé.
Les règles applicables dépendent de votre organisation, de votre secteur et de l’endroit où se trouvent vos clients. Votre fournisseur TI peut vous aider à mettre en place des mesures de protection, à tenir un registre des incidents et à soutenir une enquête, mais la détermination de vos obligations juridiques relève de conseillers juridiques et de spécialistes de la protection des renseignements personnels qualifiés.
Si vous ne faites que cinq choses ce trimestre
Activez l’authentification multifacteur partout où c’est possible, confirmez l’application automatique des correctifs sur chaque ordinateur, vérifiez qu’au moins une copie de sauvegarde est hors ligne ou immuable et qu’une restauration fonctionne, déployez et surveillez la protection des terminaux, et donnez une courte séance de sensibilisation à l’hameçonnage assortie d’un processus clair de vérification des changements de paiement.
Questions fréquentes
Où puis-je consulter les contrôles de base du Centre canadien pour la cybersécurité ?
Les contrôles de cybersécurité de base pour les petites et moyennes organisations sont publiés gratuitement sur le site Web du Centre canadien pour la cybersécurité, avec d’autres conseils destinés aux entreprises et au public.
CyberSécuritaire Canada est-il obligatoire ?
Non. C’est un programme fédéral volontaire. Certaines organisations y participent pour démontrer leurs pratiques de sécurité à leurs clients ou partenaires, tandis que d’autres se contentent d’utiliser les contrôles de base sous-jacents comme cadre d’autoévaluation.
Nous ne sommes que dix. Ces contrôles s’appliquent-ils vraiment à nous ?
Oui. Les contrôles de base ont été rédigés pour les petites et moyennes organisations justement parce qu’elles subissent les mêmes attaques automatisées que les grandes. La plupart s’adaptent bien à une petite structure et peuvent être mis en œuvre avec des outils pour lesquels vous avez peut-être déjà des licences.
Podium Catchers peut-elle nous rendre conformes aux lois sur la protection des renseignements personnels ?
Nous aidons à mettre en place et à documenter des mesures de protection techniques qui soutiennent des activités respectueuses de la vie privée, mais nous ne fournissons ni avis juridique ni attestation de conformité. Vos conseillers juridiques et en protection des renseignements personnels doivent confirmer vos obligations.
Services connexes
Produits et forfaits
Mesurez votre entreprise par rapport aux contrôles de base
Une évaluation de sécurité compare vos contrôles actuels aux lignes directrices reconnues pour les petites entreprises et transforme les lacunes en un plan concret et priorisé.