Diagnostic
Diagnostic de cybersécurité pour PME : savoir où vous en êtes vraiment
Un état des lieux de votre exposition réelle, pour décider quoi traiter d’abord plutôt qu’acheter au hasard.
L’essentiel
- Un diagnostic établit votre exposition réelle ; il ne vend rien et ne présuppose aucun outil.
- L’ordre de traitement compte plus que la longueur de la liste.
- Nous regardons d’abord ce que vous payez déjà sans l’utiliser.
- Vous repartez avec une cartographie priorisée, exploitable même sans nous.
L’achat précède presque toujours le constat
Un concurrent se fait pirater, un client vous envoie un questionnaire de sécurité, votre assureur durcit ses questions. Trois fournisseurs vous proposent alors trois outils, chacun présenté comme la réponse. Aucun ne dit ce qui vous arrêterait, vous, demain matin.
Cette séquence produit une sécurité en trompe-l’œil : des dépenses réelles, un risque inchangé. On achète un antivirus haut de gamme et on reste vulnérable sur ce qui aurait réellement arrêté l’entreprise, un accès distant sans second facteur, une sauvegarde jamais restaurée, un prestataire qui détient les clés de tout.
Un diagnostic coûte du temps d’attention plutôt que du budget d’équipement. Il est réversible, et il ne vous engage à rien, ni envers nous, ni envers un éditeur.
Six plans, pris dans l’ordre où ils cèdent
Nous suivons l’ordre dans lequel les choses cèdent en situation réelle : les accès, les sauvegardes, la messagerie, la surface exposée sur Internet, la sous-traitance TI, puis les obligations. Un point faible sur les accès annule les efforts faits partout ailleurs.
- Les accès et les identités. Qui entre, depuis où, avec quel second facteur, et ce qui aurait dû être fermé au départ d’une personne.
- Les sauvegardes. Leur isolement du réseau, et la date de la dernière restauration réellement effectuée. Jamais restaurée, une sauvegarde reste une hypothèse.
- La messagerie. Authentification du domaine, filtrage, règles de redirection installées à votre insu, vérification des demandes de virement.
- La surface exposée. Ce que vous publiez sans le savoir : services joignables depuis Internet, interfaces d’administration, composants non mis à jour.
- La sous-traitance TI. Qui détient un accès permanent, sous quel encadrement, et ce qui se passe si ce prestataire est compromis.
- Les obligations. Ce que la Loi 25 attend de vous, et ce que vos donneurs d’ordre exigent dans leurs questionnaires fournisseurs.
Le livrable est une cartographie classée par impact et par effort
Vous recevez vos zones à risque classées par rapport entre impact et effort, pas par famille de produit. Le document nomme les conséquences d’affaires, arrêt d’activité, contrat perdu, obligation non tenue, plutôt que des vulnérabilités dont personne ne peut arbitrer la portée.
Il vous reste acquis, et il répond au passage à une bonne part des questionnaires fournisseurs et des demandes d’assureur, qui portent presque toujours sur les mêmes points.
Il ne remplace pas un audit : le diagnostic dit où regarder et par quoi commencer, l’audit mesure et documente, sur un périmètre restreint et justifié.
Ce que nous observons sur le terrain
Les trois constats qui reviennent le plus
Trois écarts reviennent avec une régularité frappante, et aucun ne relève d’un manque d’outillage : l’accès distant sans second facteur, hérité d’une installation d’urgence jamais reprise ; la sauvegarde qui existe mais n’a jamais été restaurée, si bien que personne ne sait ce qu’elle rendrait ; le prestataire TI qui détient un accès permanent et privilégié, sans limitation de durée ni journalisation exploitable par le client.
Ce dernier point n’est pas une critique des prestataires, mais une conséquence de la façon dont le marché s’est organisé. Elle transfère un risque que l’entreprise ne mesure pas. Ces constats proviennent de nos mandats : des tendances observées, pas une statistique.
Questions fréquentes
Le diagnostic est-il vraiment sans engagement ?
Oui. Il comprend un échange avec les personnes qui connaissent vos systèmes, puis une synthèse écrite de votre exposition principale. Cette synthèse vous reste acquise, que la discussion se poursuive ou non : nous ne conditionnons pas sa remise à une signature, et nous ne vendons aucune licence.
Combien de temps cela mobilise-t-il nos équipes ?
Le gros du travail repose sur un échange avec les personnes qui manipulent réellement les systèmes : celle qui gère la paie, celle qui ouvre les comptes, votre prestataire TI. Un diagnostic mené depuis un organigramme passe à côté des usages réels, et ce sont eux qui créent l’exposition.
Faut-il vous donner des accès à nos systèmes ?
Non, et nous ne le demandons pas à ce stade. Le diagnostic repose sur l’échange et sur ce qui est visible depuis l’extérieur. Une vérification technique approfondie, si elle s’avère utile ensuite, fait l’objet d’un cadre écrit distinct, avec périmètre et autorisation explicites.
Que se passe-t-il si vous trouvez une compromission en cours ?
Nous vous le disons immédiatement et nous indiquons les gestes à poser dans l’ordre. La priorité passe de l’analyse à la réponse : limiter la portée, préserver les traces, déterminer si un incident de confidentialité doit être notifié. Le diagnostic reprend ensuite.
Nous avons déjà un prestataire informatique. Est-ce redondant ?
Non, et c’est une des situations où il est le plus utile. Votre prestataire opère vos systèmes ; il est mal placé pour évaluer le risque que son propre accès représente, ou pour arbitrer ce que vous devriez exiger de lui. Nous travaillons régulièrement en sa présence, et l’objectif n’est jamais de le remplacer.
Poser le constat avant de décider quoi que ce soit
Un premier échange suffit à situer votre point de départ et à déterminer si un diagnostic a du sens pour vous. Sans engagement de votre part.
Sources
- Commission d’accès à l’information du Québec · autorité de surveillance, obligations et déclaration d’incident
- Centre canadien pour la cybersécurité · avis, alertes et mesures de base recommandées
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) · texte officiel
Pour aller plus loin
Conformité Loi 25
Ce que la loi attend, obligation par obligation.
SIRIS
L’accompagnement continu, quand le diagnostic débouche sur du fond.
Évaluer votre exposition
Un questionnaire qui situe vos zones à risque.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.