Cybersécurité pour les PME et les OBNL

Le ciblage est automatisé, il ne consulte pas votre effectif

Vous vous dites trop petit pour intéresser quiconque, et c’est le premier obstacle que nous rencontrons ici. Les balayages qui cherchent un accès distant non corrigé ne savent pas combien de personnes vous employez. Le Centre canadien pour la cybersécurité l’écrit sans nuance : toutes les organisations canadiennes sont à risque, quelle que soit leur taille.

Le raisonnement de l’attaquant est même défavorable aux petites structures. Une PME est généralement moins protégée, plus dépendante de ses systèmes pour opérer, donc plus susceptible de céder vite. Plusieurs rançons modestes demandent moins d’effort qu’une seule rançon importante contestée pendant des semaines.

S’y ajoute un facteur découvert souvent tard : vous pouvez être visé non pour vous-même, mais comme chemin vers plus gros. Fournisseur d’un grand donneur d’ordre, vous devenez une porte d’entrée, et cela se retourne vite en exigence contractuelle de votre client.

Sans équipe TI, la frontière utile sépare ce qui se confie de ce qui reste

C’est la question à trancher en premier : tout déléguer crée une dépendance qui se paie au premier désaccord, ne rien déléguer garantit que rien ne sera fait.

• Ce qui se confie. La surveillance continue, la gestion et la mise à jour des outils, la veille sur les vulnérabilités qui vous concernent, la documentation de conformité, la préparation des réponses aux questionnaires clients.
• Ce qui doit rester. Les arbitrages entre sécurité et continuité d’exploitation, la connaissance de ce qui vous arrêterait demain, et la responsabilité légale de la protection des renseignements personnels.
• Le référent interne. Même sans compétence technique, désigner une personne qui suit le dossier change tout. Sans elle, les rapports ne sont pas lus et les décisions ne se prennent pas.

Avec un budget fermé, on active avant d’acheter

L’ordre habituel s’inverse : activer d’abord ce qui est déjà payé, prioriser ensuite par risque réel, acheter en dernier. Dans la majorité des PME que nous auditons, le premier gain ne coûte rien d’autre que du temps de configuration.

• Activer ce qui est déjà payé. Les licences bureautiques courantes incluent fréquemment l’authentification multifacteur, des politiques de conservation et une journalisation avancée, laissées désactivées. Comme nous ne revendons aucune licence, ce constat ne nous coûte rien.
• Prioriser par risque, pas par catalogue. La faiblesse est-elle activement exploitée, l’actif est-il exposé à Internet, est-il critique pour votre activité. Une faiblesse moyenne sur votre accès distant passe avant une faiblesse grave sur un poste isolé.
• Étaler sans abandonner. Un plan tenu sur trois exercices vaut mieux qu’un programme ambitieux arrêté au premier trimestre. Les feuilles de route se construisent en lots annuels finançables.
• Chercher le financement disponible. Nous aidons à formuler le volet technique d’une demande de subvention, sans jamais promettre son obtention.

Pour un OBNL, la rotation des personnes est la difficulté sous-estimée

Trois choses changent : un budget souvent issu d’une subvention, donc fermé et daté ; une part importante de bénévoles avec une rotation élevée ; des données parfois très sensibles sur des personnes vulnérables. Cette dernière particularité relève le niveau d’exigence, pas l’inverse.

Un organisme dont les bénévoles changent chaque saison ne peut pas reposer sur la mémoire individuelle : il lui faut des procédures écrites courtes et des comptes nominatifs qui se révoquent facilement. Les comptes partagés, pratiques à première vue, rendent impossible de savoir qui a accédé à quoi.

La sensibilité des données joue dans le même sens. Un organisme qui accompagne des personnes en difficulté détient des renseignements dont la divulgation aurait des conséquences graves pour elles, et l’évaluation du risque de préjudice sérieux en cas d’incident sera d’autant plus sévère.