La cybersécurité d’une PME devient plus facile à organiser lorsque chaque préoccupation correspond à une tâche précise. « Améliorer la sécurité » reste difficile à attribuer. « Confirmer qui peut récupérer le compte courriel de l’entreprise » devient une vérification qu’une personne peut réaliser et documenter. Commencez avec une liste courte et des responsables identifiés.
Cette liste sert à la préparation des entreprises du Québec et du Canada. Elle ne constitue pas une certification et ne remplace pas l’évaluation de vos applications, de vos obligations et de vos risques opérationnels.
1. Identifier ce qui doit être protégé
Recensez vos activités essentielles et les technologies qui les soutiennent. Incluez les courriels, les finances, les fichiers partagés, les dossiers clients, les accès à distance et le site web. Attribuez un responsable métier à chaque activité. Cette personne doit expliquer les conséquences d’une perte d’accès et les solutions temporaires acceptables.
Notez ensuite où se trouvent les renseignements et qui administre les accès. Un inventaire général n’a pas besoin de contenir des secrets : le nom du système, le responsable, le fournisseur et le contact de récupération forment une base utile. Les identifiants administratifs doivent rester dans un système sécurisé adapté.
Dans un bureau fictif, l’exercice peut révéler qu’une seule personne sait renouveler le domaine. Désigner un second responsable autorisé et documenter le renouvellement apporte déjà une amélioration concrète, avant l’achat d’un outil supplémentaire.
2. Attribuer la protection des comptes
Les mesures fondamentales du Centre canadien pour la cybersécurité présentent l’authentification multifacteur comme une protection de base. Vérifiez où la MFA est disponible et si vos comptes professionnels l’utilisent. Consignez les exceptions, leur justification et la personne chargée de les résoudre.
Commencez par les comptes qui contrôlent d’autres systèmes : administration courriel, domaine, sauvegardes et gestion à distance. Déterminez qui approuve la création des comptes et l’accès aux finances ou aux renseignements sensibles. Évitez d’utiliser une seule identité d’employé partagée pour faciliter l’administration.
- Recensez les administrateurs et confirmez le besoin de leurs accès.
- Définissez la récupération sécurisée lors de la perte d’un téléphone ou d’une méthode d’authentification.
- Reliez les départs d’employés au retrait des accès.
- Nommez la personne responsable de la prochaine revue.
3. Suivre les correctifs et les exceptions
Un processus de correctifs dépasse la simple consigne d’installer les mises à jour. Identifiez qui vérifie leur application, qui planifie les redémarrages et comment traiter une application qui bloque une mise à jour. Maintenez une liste des appareils non pris en charge et des exceptions non résolues, avec une décision pour chaque situation.
Le premier livrable utile peut être un inventaire indiquant le système d’exploitation, l’employé et la dernière vérification des correctifs. Ajoutez le responsable du suivi lorsqu’un portable ne se connecte plus depuis plusieurs semaines. Convenez aussi du traitement des appareils personnels utilisés pour le travail.
Demandez ce que fait la protection des postes, qui reçoit ses alertes et quand elles sont examinées. L’abonnement à un produit et le service d’intervention sont deux éléments à vérifier séparément au contrat.
4. Donner aux employés une façon simple de signaler
Préparez une instruction courte que les employés pourront retrouver avant un incident. Expliquez où signaler une demande de connexion inattendue, une facture suspecte ou la perte possible d’un appareil. Prévoyez un autre moyen de contact lorsque le courriel professionnel ne fonctionne plus. Précisez les renseignements utiles sans demander de mot de passe ni de dossier client sensible.
Faites un exercice avec une fausse demande de modification des instructions de paiement. Demandez à l’équipe comptable comment elle vérifierait le changement par un contact déjà connu. L’objectif consiste à découvrir les lacunes du processus, sans mettre une personne dans l’embarras.
Incluez les nouveaux employés, le personnel temporaire et les gestionnaires dans le même mécanisme. Notez qui reçoit les signalements en l’absence du contact habituel. Un processus entièrement dépendant d’une personne a besoin d’un remplaçant autorisé.
5. Relier la sécurité à la reprise des activités
Demandez au responsable de chaque système critique quelle preuve démontre la possibilité de restaurer ses renseignements. Consignez le dernier test, le résultat et les éléments manquants. Le guide sur la sauvegarde et la reprise aide à préparer ces vérifications.
Préparez une fiche de contacts incluant la direction, le soutien TI et les fournisseurs essentiels. Définissez qui peut autoriser une interruption, une restauration et une aide spécialisée. Conservez une copie accessible sans devoir utiliser le système touché.
Les contrôles de cybersécurité de base du Centre canadien offrent un cadre plus large sur les comptes, les correctifs, la sensibilisation et les sauvegardes. Utilisez-les pour vérifier votre préparation; le présent article ne constitue pas une norme complète.
6. Organiser un premier mois réaliste
Voici une séquence illustrative pour une entreprise qui commence sa revue. Adaptez-la à votre environnement et faites traiter les constats urgents par les personnes autorisées. Un problème sérieux connu ne devrait pas attendre simplement parce qu’il apparaît plus tard dans le calendrier proposé.
- Première semaine : recenser les systèmes essentiels, les administrateurs et les contacts de récupération. Inscrire les inconnues.
- Deuxième semaine : vérifier la protection des comptes et les mouvements de personnel. Attribuer les exceptions.
- Troisième semaine : examiner l’inventaire, les correctifs et les instructions de signalement.
- Quatrième semaine : réaliser un exercice de reprise convenu, examiner les écarts et approuver les prochaines actions.
Donnez un état simple à chaque tâche : à commencer, en cours, vérifiée ou bloquée. L’état « vérifiée » doit correspondre à une preuve, par exemple une revue d’accès terminée ou un test documenté. À la fin du mois, la direction devrait pouvoir expliquer les changements et les responsabilités restantes.
Questions fréquentes sur la préparation
Un antivirus suffit-il pour une PME?
Il couvre une partie de l’environnement. Le plan doit aussi attribuer les comptes, les correctifs, les signalements, les changements d’accès et la reprise. Vérifiez les responsabilités réellement comprises dans vos services actuels.
Cette liste confirme-t-elle la conformité?
Non. Les exigences contractuelles, sectorielles et légales demandent une revue distincte. Ce guide organise des questions opérationnelles; il n’établit ni certification ni conclusion juridique.
Par où commencer si personne ne gère les TI?
Désignez d’abord un responsable décisionnel, puis préparez l’inventaire et les questions ouvertes. Les services TI et de cybersécurité de DITC peuvent être définis à partir de ces renseignements et d’un périmètre écrit.
Passer à l’étape suivante
DITC accompagne les entreprises du Québec et du Canada en français et en anglais. Décrivez votre environnement et vos priorités pour convenir d’un périmètre précis.
Explorer nos services