Cybersécurité et modernisation pour le secteur public

Où résident vos données, et sous quel droit ?

Trois questions distinctes, dont une seule est posée la plupart du temps. Où les données résident physiquement, quelle juridiction peut contraindre l'opérateur du service, et si vos données servent à améliorer un service utilisé par d'autres. La deuxième est la plus déterminante et la moins documentée.

Un service hébergé dans un centre de données au Québec, mais opéré par une entité soumise à une législation étrangère, reste exposé à des demandes d'accès formulées sous ce droit. L'hébergement local est donc une condition nécessaire et non suffisante. Nous exigeons que les trois critères soient nommés séparément dans les contrats, parce que les fournisseurs répondent volontiers au premier et éludent le second.

Pour un organisme public québécois, cette exigence n'est pas abstraite. La communication de renseignements personnels hors Québec suppose une évaluation préalable des facteurs relatifs à la vie privée et l'assurance que la juridiction de destination offre une protection adéquate. À cela s'ajoutent les obligations propres au régime d'accès aux documents des organismes publics.

• La localisation. Où résident les données au repos, où s'exécutent les traitements, et où sont conservées les sauvegardes. La troisième est régulièrement oubliée et suffit à ruiner l'ensemble.
• Le droit applicable. Quelle juridiction peut contraindre l'opérateur. À faire nommer explicitement au contrat.
• La réutilisation. Si vos journaux, configurations ou contenus alimentent un service mutualisé. Par défaut, beaucoup de services répondent oui.

Comment migre-t-on un réseau multi-sites sans interrompre le service aux citoyens ?

Site par site, hors heures de service au public, avec la supervision centralisée déployée avant la première bascule. Chaque site est validé avant de passer au suivant, et chaque bascule dispose d'un retour arrière testé. La migration groupée est exclue d'emblée.

C'est le cœur de notre pratique dans ce secteur. Un organisme public ne dispose pas de la latitude d'une entreprise privée : les heures d'ouverture au public sont publiées, les guichets doivent fonctionner, et une interruption devient immédiatement un sujet d'attention politique.

Nous avons appliqué cette méthode sur une migration de plus de quarante sites conduite en neuf mois pour un organisme public, avec supervision unifiée à l'arrivée et aucune interruption des services aux citoyens. Le détail est sur nos réalisations, avec la réserve d'usage : ce sont nos mesures de mandat, vérifiables auprès du client sous confidentialité.

• Supervision d'abord. Installer la visibilité sur l'état initial avant de modifier quoi que ce soit. Cela donne la mesure de référence et évite de basculer en aveugle.
• Une architecture cible unique. Les parcs hérités accumulent des liens hétérogènes et des contrats opérateurs de générations différentes. Converger vers une seule architecture est ce qui rend la supervision et la sécurité tenables ensuite.
• Site par site. Chaque site est un périmètre limité, donc un risque limité. Un problème sur un site n'affecte pas les trente-neuf autres.
• Hors heures de service. Les fenêtres sont négociées avec les responsables de chaque site, pas imposées par un calendrier de projet.

Comment traitez-vous la gouvernance des accès et la conformité ?

Par un inventaire des accès existants, une réduction au strict nécessaire, puis une journalisation qui permette de répondre à une demande d'explication des mois plus tard. Dans le secteur public, la question n'est pas seulement qui peut accéder, mais qui a accédé.

L'expérience montre que le premier livrable utile est rarement un outil : c'est la liste des comptes qui ne devraient plus exister. Personnel parti, mandats terminés, comptes de service créés pour un projet clos, accès accordés à des prestataires dont le contrat est échu. Ces accès ne sont ni surveillés ni révoqués, et leur exploitation ne demande aucune compétence particulière.

La conformité suit la même logique. Registre des incidents de confidentialité, procédure de notification, désignation des responsabilités, évaluations des facteurs relatifs à la vie privée pour les projets et les communications hors Québec. Le tout documenté dans une forme opposable, parce que dans le secteur public, un manquement devient rapidement un document public.

Comment travailler avec nous dans un cadre d'appel d'offres ?

Nous répondons aux appels d'offres publics et fournissons les pièces habituellement demandées : attestations, références sectorielles sous confidentialité, description de méthodologie, certifications nominatives des intervenants proposés. Nous préférons le dire avant : nous ne sommes pas certifiés ISO 27001 en tant qu'organisation.

Cette dernière précision compte, parce qu'elle sera vérifiée. Nos consultants sont certifiés sur les référentiels et technologies qu'ils déploient, et notre parcours de certification organisationnelle est en cours. Une firme qui laisse entendre le contraire vous expose dans l'évaluation de votre dossier, et nous jugeons plus utile de le signaler d'emblée.

Sur le fond de la réponse, trois éléments font la différence dans ce secteur et nous les fournissons systématiquement : la méthode de migration sans interruption décrite étape par étape, la démonstration de la maîtrise des questions de souveraineté, et le plan de transfert de compétences vers vos équipes internes en fin de mandat.

Questions fréquentes