La cybersécurité d'une grande organisation, à l'échelle de votre PME

Vous héritez des obligations d'une grande entreprise avec les moyens d'une PME

Tenir un registre d'incidents, notifier la Commission d'accès à l'information, résister aux mêmes rançongiciels qu'une banque : rien de tout cela n'est proportionné à votre effectif. Les obligations et les attaquants ignorent votre taille, vos moyens non.

Le Centre canadien pour la cybersécurité est explicite : toutes les organisations canadiennes sont à risque, peu importe leur taille, et le ciblage est largement automatisé. Plus aucun métier n'est épargné : l'exposition se lit dans les outils utilisés et dans les habitudes de ceux qui les utilisent.

Ce que vous avez à décider est qui porte cette charge au quotidien, puisque ce ne sera ni un recrutement que vous ne pouvez pas financer, ni une équipe interne que votre volume ne justifie pas. Reporter la question revient à découvrir vos lacunes au moment d'un sinistre, ou d'un questionnaire client.

SIRIS couvre les trois endroits où une PME se fait prendre

Trois domaines qu'une organisation sans équipe dédiée ne tient pas durablement seule : la conformité réglementaire, les outils de protection et leur gestion, la surveillance continue avec la réponse aux incidents. Vous conservez la décision sur chacun.

Ce découpage est opérationnel plutôt que commercial : c'est là que l'absence de suivi ne se voit qu'après l'incident.

• Conformité. Registre des incidents, politiques de gouvernance et de conservation, désignation du responsable de la protection des renseignements personnels, procédure de notification, évaluations des facteurs relatifs à la vie privée. Documenté pour être présentable en cas de contrôle.
• Protection. Authentification multifacteur généralisée, détection sur les postes et les serveurs, pare-feu et accès distants, sauvegardes supervisées avec tests de restauration réels.
• E-réputation et continuité. Veille sur les mentions de votre organisation et de vos dirigeants, plan de réponse écrit et répété, communication de crise préparée à l'avance.

Le niveau se choisit sur votre dépendance informatique, pas sur votre chiffre d'affaires

Trois niveaux existent, et le bon se déduit d'une seule question : ce qu'une journée d'arrêt vous coûterait réellement. Passer d'un niveau à l'autre est la norme, et la plupart des organisations commencent par combler leurs fondations.

• Essentiel. Combler d'abord les manques de base : accès, sauvegardes, correctifs, sensibilisation. L'objectif est de faire disparaître les scénarios d'attaque les plus banals.
• Protection. Pour l'organisation dont l'arrêt coûte cher : détection supervisée, gestion des outils, astreinte définie, revue périodique de la posture.
• 360. Pour celle qui mène une transformation ou vise un marché réglementé : gouvernance, conformité et sécurité opérationnelle traitées comme un seul chantier.

Le budget ne se tarife pas d'avance, il se construit

C'est la première question que pose un dirigeant, et l'esquiver fait perdre le contact. Aucun tarif unique n'est honnêtement affichable, parce qu'il serait faux pour presque tout le monde. Ce qui détermine le périmètre, en revanche, se nomme précisément.

Six variables l'expliquent : le nombre d'utilisateurs et de sites, ce que vos licences couvrent déjà sans être activé, les obligations applicables à vos données, le coût réel d'une heure d'arrêt, le niveau de prise en charge souhaité, et les exigences de vos clients et de votre assureur. La page construire une proposition les détaille une à une.