Cybersécurité pour les PME et les OBNL

Sommes-nous trop petits pour intéresser un attaquant ?

Non, et c'est mathématiquement vérifiable. Le ciblage est automatisé : les balayages qui cherchent un accès distant non corrigé ne savent pas combien de personnes vous employez. Le Centre canadien pour la cybersécurité l'écrit sans nuance, toutes les organisations canadiennes sont à risque quelle que soit leur taille.

Le raisonnement de l'attaquant est même défavorable aux petites structures. Une grande organisation dispose d'équipes de détection, de sauvegardes éprouvées et de conseils juridiques. Une PME est statistiquement moins protégée, plus dépendante de ses systèmes pour opérer, et donc plus susceptible de céder rapidement. Plusieurs rançons modestes demandent moins d'effort qu'une seule rançon importante contestée pendant des semaines.

S'y ajoute un facteur que les dirigeants découvrent souvent tard : vous pouvez être visé non pour vous-même mais comme chemin vers plus gros. Fournisseur d'un grand donneur d'ordres, vous devenez une porte d'entrée, et cela se retourne rapidement en exigence contractuelle de votre client.

• Aucun métier n'est épargné. Du producteur agricole dépendant d'un logiciel de gestion au cabinet de services professionnels, l'exposition se lit dans les outils utilisés et les habitudes, pas dans le secteur.
• La conformité s'applique sans seuil. La Loi 25 ne prévoit aucun minimum d'effectif ni de chiffre d'affaires. Un cabinet de cinq personnes a les mêmes obligations de fond qu'une institution financière, seule la proportionnalité des moyens diffère.
• L'arrêt coûte proportionnellement plus cher. Sans réserves, une interruption prolongée ne se rattrape pas.

Comment sécuriser sans équipe TI interne ?

En distinguant ce qui peut être confié de ce qui doit rester chez vous. La surveillance, la gestion des outils et la veille réglementaire se délèguent bien. La décision, la connaissance de vos priorités d'affaires et la désignation du responsable de la protection des renseignements personnels ne se délèguent pas.

Cette frontière est la question la plus utile à trancher tôt, parce que la déléguer entièrement crée une dépendance qui se paie au premier désaccord, et ne rien déléguer garantit que rien ne sera fait.

• Ce qui se confie. La surveillance continue, la gestion et la mise à jour des outils, la veille sur les vulnérabilités qui vous concernent, la production de la documentation de conformité, la préparation des réponses aux questionnaires clients.
• Ce qui doit rester. Les arbitrages entre sécurité et continuité d'exploitation, la connaissance de ce qui vous arrêterait demain, la responsabilité légale de la protection des renseignements personnels, et une personne interne capable de comprendre les rapports reçus.
• Le rôle de référent interne. Même sans compétence technique, désigner une personne qui suit le dossier change tout. Sans elle, les rapports ne sont pas lus et les décisions ne se prennent pas.

Comment faire beaucoup avec un budget fermé ?

En inversant l'ordre habituel : d'abord activer ce qui est déjà payé, ensuite prioriser par risque réel, et seulement après acheter. Dans la majorité des PME que nous auditons, le premier gain ne coûte rien d'autre que du temps de configuration.

C'est le point sur lequel nous nous distinguons le plus d'un revendeur, et il est structurel plutôt que vertueux : comme nous ne revendons aucune licence, nous n'avons aucun revenu lié à un achat de votre part.

• Activer ce qui est déjà payé. Les licences bureautiques courantes incluent fréquemment l'authentification multifacteur, des politiques de conservation et une journalisation avancée, laissées désactivées. C'est le meilleur rapport entre coût et réduction de risque qui existe.
• Prioriser par risque, pas par catalogue. Trois critères se combinent : la faiblesse est-elle activement exploitée dans le monde réel, l'actif concerné est-il exposé à Internet, et est-il critique pour votre activité. Une faiblesse moyenne sur votre accès distant passe avant une faiblesse grave sur un poste isolé.
• Étaler sans abandonner. Un plan tenu sur trois exercices vaut mieux qu'un programme ambitieux arrêté au premier trimestre. Nous construisons les feuilles de route en lots annuels finançables.
• Chercher le financement disponible. Les OBNL et certaines PME accèdent à des programmes de subvention pour la modernisation technologique. Nous aidons à formuler le volet technique d'une demande, sans jamais promettre son obtention.

Qu'est-ce qui change pour un OBNL ?

Trois choses : un budget souvent issu d'une subvention et donc fermé et daté, une part importante de bénévoles avec une rotation élevée, et des données parfois très sensibles sur des personnes vulnérables. Cette dernière particularité relève le niveau d'exigence, pas l'inverse.

La rotation des personnes est la difficulté la plus sous-estimée. Un organisme dont les bénévoles changent chaque saison ne peut pas reposer sur la mémoire individuelle : il a besoin de procédures écrites courtes et de comptes nominatifs qui se révoquent facilement. Les comptes partagés, pratiques à première vue, rendent impossible de savoir qui a accédé à quoi.

La sensibilité des données joue dans le même sens. Un organisme qui accompagne des personnes en difficulté détient des renseignements dont la divulgation aurait des conséquences graves pour elles. Les obligations de la Loi 25 s'appliquent pleinement, et l'évaluation du risque de préjudice sérieux en cas d'incident sera d'autant plus sévère.

Questions fréquentes