Secteur public
Cybersécurité et modernisation pour le secteur public
Vos services ne peuvent pas s’arrêter et vos données ne peuvent pas quitter leur juridiction. Ces deux contraintes déterminent toute l’architecture, avant le premier choix technique.
L’essentiel
- Deux contraintes fixent l’architecture : continuité du service aux citoyens et souveraineté des données.
- Migrations site par site, hors heures de service au public, supervision déployée avant la bascule.
- La souveraineté se vérifie sur trois critères distincts, dont le droit applicable, souvent omis.
- Nous répondons aux appels d’offres publics et fournissons les pièces attendues.
Sur cette page
L’hébergement au Québec ne dit rien du droit applicable
Votre fournisseur vous assure que vos données résident au Québec, et la question qui compte n’a pas été posée : quelle juridiction peut contraindre l’opérateur du service. Un centre de données local, opéré par une entité soumise à une législation étrangère, reste exposé à des demandes d’accès formulées sous ce droit.
L’hébergement local est donc une condition nécessaire, pas suffisante. S’y ajoutent, pour un organisme public québécois, l’évaluation préalable des facteurs relatifs à la vie privée avant toute communication hors Québec et les obligations propres au régime d’accès aux documents des organismes publics.
- La localisation. Où résident les données au repos, où s’exécutent les traitements, où sont conservées les sauvegardes. La troisième est régulièrement oubliée et suffit à ruiner l’ensemble.
- Le droit applicable. Quelle juridiction peut contraindre l’opérateur. À faire nommer explicitement au contrat.
- La réutilisation. Si vos journaux, configurations ou contenus alimentent un service mutualisé. Par défaut, beaucoup de services répondent oui.
Une migration multi-sites se fait site par site, hors heures de service
Les heures d’ouverture au public sont publiées, les guichets doivent fonctionner, et une interruption devient immédiatement un sujet d’attention politique. La migration groupée est donc exclue d’emblée, et chaque site est validé avant de passer au suivant.
- Supervision d’abord. Installer la visibilité sur l’état initial avant de modifier quoi que ce soit. Cela donne la mesure de référence et évite de basculer en aveugle.
- Une architecture cible unique. Les parcs hérités accumulent des liens hétérogènes et des contrats opérateurs de générations différentes. Converger rend la supervision et la sécurité tenables ensuite.
- Site par site. Chaque site est un périmètre limité, donc un risque limité. Un problème sur un site n’affecte pas les autres.
- Hors heures de service. Les fenêtres sont négociées avec les responsables de chaque site, pas imposées par un calendrier de projet, et chaque bascule dispose d’un retour arrière testé.
Le premier livrable utile est la liste des comptes qui ne devraient plus exister
Dans le secteur public, la question n’est pas seulement qui peut accéder, mais qui a accédé. Cela suppose un inventaire des accès existants, une réduction au strict nécessaire, puis une journalisation qui permette de répondre à une demande d’explication des mois plus tard.
Personnel parti, mandats terminés, comptes de service créés pour un projet clos, accès accordés à des prestataires dont le contrat est échu : ces accès ne sont ni surveillés ni révoqués, et leur exploitation ne demande aucune compétence particulière.
La conformité suit la même logique. Registre des incidents de confidentialité, procédure de notification, désignation des responsabilités, évaluations des facteurs relatifs à la vie privée pour les projets et les communications hors Québec. Le tout documenté dans une forme opposable, parce qu’ici un manquement devient rapidement un document public.
Dans un appel d’offres, nous disons aussi ce que nous ne sommes pas
Nous ne sommes pas certifiés ISO 27001 en tant qu’organisation, et nous préférons l’écrire avant qu’on le vérifie. Nos consultants sont certifiés sur les référentiels et technologies qu’ils déploient, et le parcours de certification organisationnelle est en cours.
Une firme qui laisse entendre le contraire expose votre dossier dans l’évaluation, et nous jugeons plus utile de le signaler d’emblée.
Sur le fond de la réponse, trois éléments font la différence dans ce secteur, et nous les fournissons systématiquement : la méthode de migration sans interruption décrite étape par étape, la démonstration de la maîtrise des questions de souveraineté, et le plan de transfert de compétences vers vos équipes internes en fin de mandat.
Ce que nous observons sur le terrain
les sites qu’aucun inventaire ne mentionne
Sur les relevés multi-sites que nous avons menés dans le secteur public, l’inventaire fourni au départ était incomplet. Les cas récurrents ne sont pas exotiques : un point de service fermé dont le lien de télécommunication était toujours actif et facturé, un local technique dans un bâtiment cédé à un autre organisme, un accès distant ouvert pour un intégrateur dont le mandat s’est terminé deux ans plus tôt.
Ces éléments ne figurent dans aucun périmètre de supervision, donc personne ne les corrige et personne ne verrait une intrusion par leur intermédiaire. C’est aussi pourquoi la première phase produit souvent une économie immédiate sur des liens facturés pour des services qui n’existent plus.
Questions fréquentes
Répondez-vous aux appels d’offres publics ?
Oui. Nous fournissons les pièces habituellement demandées : attestations administratives, description de méthodologie étape par étape, certifications nominatives des intervenants proposés, et références sectorielles communiquées sous confidentialité. Nous indiquons aussi ce que nous ne sommes pas, plutôt que de le laisser relever à l’évaluation.
Vos infrastructures d’hébergement sont-elles au Québec ?
Les capacités d’analyse que nous déployons s’exécutent sur des infrastructures situées au Québec ou en France. Nous documentons pour chaque mandat les trois critères qui définissent la souveraineté : localisation des données et des traitements, juridiction qui peut contraindre l’opérateur, absence de réutilisation de vos données. Le troisième figure au contrat.
Que se passe-t-il si un site résiste à la bascule ?
On revient à l’état antérieur pendant la fenêtre prévue, et on analyse à froid avant de reprendre. C’est la raison d’être du découpage site par site : un échec reste circonscrit et ne touche pas le service rendu ailleurs. Le plan de repli est essayé sur le site pilote.
Comment gérez-vous la transition vers nos équipes internes ?
Comme un livrable, évalué et daté. La documentation est écrite pour la personne qui prendra le poste dans deux ans, pas pour celle qui a vécu le projet. La formation porte sur les décisions d’architecture : un nouvel arrivant qui ne comprend pas pourquoi une règle existe finira par la supprimer.
Travaillez-vous avec les organismes municipaux ?
Oui. Les municipalités combinent des services essentiels à la population, des budgets votés donc fermés, et rarement une équipe de sécurité dédiée. Cela rapproche leur situation de celle des PME sur les moyens, tout en conservant les obligations du secteur public sur le plan réglementaire.
Faites l’inventaire de ce qui est réellement exposé
Un premier échange pour situer votre parc, vos contraintes de continuité et vos exigences de souveraineté. Sans engagement, avec une synthèse écrite.
Sources
- Commission d’accès à l’information du Québec · communication de renseignements hors Québec et évaluation des facteurs relatifs à la vie privée
- Loi sur l’accès aux documents des organismes publics et sur la protection des renseignements personnels (RLRQ, c. A-2.1) · régime applicable aux organismes publics
- SEAO, système électronique d’appel d’offres du Québec · publication des marchés publics québécois
- Centre canadien pour la cybersécurité · orientations sur la sécurité de l’informatique en nuage et la souveraineté des données
Pour aller plus loin
Réseau & connectivité
Architecture LAN, WAN et supervision multi-sites sans interruption.
Nos réalisations
Les interventions documentées, avec leurs contraintes réelles.
Tous les secteurs
Les quatre verticales et leurs contraintes dominantes.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.