Un signalement de presse évoque une cyberattaque survenue au Canada, sans que la nature exacte de l’incident ou son ampleur ne soit précisée. Ce type de nouvelle, même incomplète, offre l’occasion de revenir sur ce que la réglementation québécoise attend des organisations en pareille situation.

L’essentiel

  • Une cyberattaque a été signalée au Canada par la presse, sans détails sur la méthode ni l’ampleur des dommages.
  • De nombreux incidents touchant des PME ne font jamais les manchettes, ce qui ne réduit pas le risque réel.
  • Au Québec, la Loi 25 impose un registre des incidents et une notification possible à la Commission d’accès à l’information.
  • Le Centre canadien pour la cybersécurité recommande des mesures de base accessibles à toute organisation, peu importe sa taille.

Que sait-on réellement de cet incident ?

Selon les informations disponibles, la presse rapporte qu’une cyberattaque est survenue au Canada, sans préciser le type d’attaque, le secteur touché, l’ampleur des dommages ni l’identité des organisations concernées. Aucun détail technique n’a été rendu public à ce stade, ce qui limite l’analyse à des constats généraux plutôt qu’à un compte rendu précis des faits.

Nous n’avons pas accès à des éléments qui permettraient d’identifier la victime, la méthode d’intrusion ou les conséquences précises de cet événement. Il serait donc inexact, et peu utile pour nos lecteurs, d’ajouter des détails que la source ne fournit pas. Ce que ce type de signalement permet, en revanche, c’est de rappeler le cadre dans lequel toute organisation québécoise, PME comme OBNL, doit désormais évaluer son exposition et sa capacité de réaction.

Pourquoi ce flou ne change rien à la vigilance nécessaire ?

Le manque de détails publics sur cet incident ne réduit pas le risque réel : les rançongiciels et les fraudes par courriel touchent des organisations de toutes tailles au Canada, PME et OBNL compris, souvent sans jamais faire les manchettes nationales.

Beaucoup d’incidents touchant de petites organisations ne font jamais l’objet d’une couverture médiatique détaillée, faute d’intérêt public suffisant ou parce que l’organisation touchée choisit de ne pas communiquer publiquement. Cela ne signifie pas que ces incidents sont rares. Un signalement flou comme celui-ci est surtout un rappel utile : la question n’est pas de savoir si ce genre d’événement peut arriver, mais si votre organisation serait en mesure d’y répondre de façon structurée.

Que doit faire une organisation québécoise en cas d’incident de confidentialité ?

La Loi 25 impose à toute organisation québécoise de tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice sérieux est présent, d’en aviser la Commission d’accès à l’information ainsi que les personnes concernées, peu importe la taille de l’organisation.

La Loi sur la protection des renseignements personnels dans le secteur privé, connue sous le nom de Loi 25, encadre la façon dont les organisations québécoises doivent réagir à un incident touchant des renseignements personnels. Elle prévoit notamment la tenue d’un registre des incidents de confidentialité, quelle que soit leur gravité apparente. Ces obligations s’appliquent aux PME et aux OBNL au même titre qu’aux grandes organisations, ce qui surprend encore certains dirigeants habitués à penser que ce type de règle vise surtout les grandes entreprises.

Quelles mesures de base réduisent l’exposition à ce type de scénario ?

Le Centre canadien pour la cybersécurité recommande des mesures accessibles à toute organisation : mises à jour régulières, sauvegardes testées, authentification renforcée et personnel sensibilisé. Ces mesures ne suppriment pas le risque, mais rendent une intrusion ou une fraude nettement plus difficile à réaliser.

Aucune de ces mesures, prise isolément ou même combinée, ne permet d’affirmer qu’une organisation est à l’abri : il n’existe pas de protection absolue contre les cyberattaques, et il faut se méfier de tout discours qui prétend le contraire. L’objectif réaliste est de réduire fortement l’exposition et de limiter les conséquences si un incident survient malgré les précautions prises.

FAQ

Cet incident concerne-t-il notre secteur d’activité ?

Nous ne pouvons pas répondre précisément, puisque la source disponible ne précise ni le secteur touché ni la nature de l’attaque. Ce qui est vérifiable, en revanche, c’est que les rançongiciels et les fraudes par courriel frappent des organisations de tous les secteurs au Canada, sans distinction de taille. Une PME ou un OBNL ne devrait donc pas attendre qu’un incident touche directement son secteur pour évaluer son exposition. La question utile n’est pas de savoir si votre secteur est visé par cet événement précis, mais si votre organisation dispose des mesures de base recommandées et d’un plan pour réagir si un incident survenait.

La Loi 25 nous oblige-t-elle à notifier chaque incident ?

Pas systématiquement. La Loi 25 exige la tenue d’un registre pour tout incident de confidentialité, même mineur, mais la notification à la Commission d’accès à l’information et aux personnes concernées n’est requise que lorsqu’il existe un risque de préjudice sérieux, une évaluation qui dépend de la sensibilité des renseignements en cause et des conséquences possibles pour les personnes touchées. Cette évaluation doit être documentée, peu importe la conclusion retenue. Une organisation qui n’a jamais formalisé cette procédure risque de découvrir, en pleine gestion de crise, qu’elle doit improviser un processus que la loi attend d’elle depuis son entrée en vigueur.

Un prestataire peut-il nous garantir une protection totale contre ce type d’attaque ?

Non, et il faut se méfier de tout discours qui promet une protection totale ou un risque zéro : aucun prestataire sérieux ne peut tenir une telle promesse, puisque la sécurité informatique repose sur la réduction constante de l’exposition, jamais sur son élimination complète. Ce qui est réaliste, c’est de mettre en place des mesures reconnues, telles que les mises à jour, les sauvegardes testées et la sensibilisation du personnel, qui rendent une intrusion nettement plus difficile à réaliser et limitent les conséquences si un incident survient malgré tout. Un accompagnement structuré aide à prioriser ces mesures selon le contexte propre à chaque organisation, plutôt qu’à appliquer une recette générique.

Sources

Source : La Presse · https://news.google.com/rss/articles/CBMitgFBVV95cUxOTVhhOTZ2TUU5ai0tWnNDUGhLYTdTNEV0cUV3dUhHT0tXUWo2S3hDQ2dmQkZlWDEtY2FwLUpmbnhkelJpZkxONl9ENjAxcmxMbGdjeUh2YlhEOUVBSFVweUxwQWhxWkFzSDk5bm1VVHQ0R3E4Q1pyMGZfTXcyelljUHBKV0Y1eVlwVGJyOHo1dGdTdlJFTFJEZENBU19wN3FmUTBheGNCSlB4VGZqdmF3WkZmdjFMZw?oc=5