Comment améliorer la cybersécurité d’une PME canadienne avec des ressources limitées ?

Une PME canadienne n’a pas besoin de disposer d’un service de cybersécurité complet pour réduire ses risques. Elle doit surtout empêcher qu’un compte compromis, un ordinateur infecté ou une sauvegarde inutilisable paralyse ses activités essentielles. Les premières mesures consistent à protéger les accès sensibles, tenir les équipements à jour, organiser les sauvegardes et attribuer clairement les responsabilités.

Le défi est opérationnel : une petite entreprise peut dépendre de quelques employés, d’un fournisseur informatique externe et d’applications infonuagiques pour assurer sa facturation, ses ventes ou sa production. Une seule interruption importante peut donc affecter plusieurs fonctions simultanément.

Au Canada, les recommandations publiques du Centre canadien pour la cybersécurité permettent d’établir un socle de protection sans multiplier les outils. L’objectif est de commencer par les risques les plus graves, d’utiliser les fonctionnalités déjà disponibles et de vérifier régulièrement que les mesures choisies fonctionnent réellement.

Pourquoi les PME canadiennes sont-elles des cibles privilégiées des rançongiciels ?

Les PME canadiennes constituent des cibles intéressantes pour les groupes de rançongiciels parce qu’elles possèdent des données utiles, dépendent fortement de leurs systèmes et disposent parfois de moyens de défense limités. Les criminels peuvent rechercher un paiement direct, voler des informations confidentielles ou exploiter les relations commerciales d’une PME pour atteindre d’autres organisations.

Une attaque commence souvent par un courriel d’hameçonnage, un identifiant volé ou l’exploitation d’un service exposé sur Internet. Après avoir obtenu un accès, les attaquants cherchent à augmenter leurs privilèges, à atteindre d’autres systèmes et à neutraliser les moyens de récupération. Ils peuvent ensuite chiffrer les fichiers et exiger une rançon.

Certains groupes pratiquent la double extorsion : ils dérobent des informations avant le chiffrement et menacent de les divulguer. Une entreprise capable de restaurer ses fichiers peut alors rester exposée à un risque de confidentialité. Ce scénario n’est toutefois pas systématique.

Le Guide sur les rançongiciels du Centre canadien pour la cybersécurité décrit cette évolution vers des attaques plus ciblées et complexes, ainsi que les difficultés particulières des organisations disposant de ressources limitées.

Une PME peut présenter trois vulnérabilités organisationnelles :

• Des responsabilités diffuses : personne ne consulte régulièrement les alertes, les correctifs ou les journaux de connexion.
• Une dépendance à un prestataire informatique : un accès privilégié compromis chez un fournisseur de services gérés peut exposer plusieurs clients.
• Une position dans une chaîne d’approvisionnement : les accès ou documents échangés avec un grand donneur d’ordre peuvent intéresser un attaquant.

Le ciblage ne suppose pas toujours une connaissance préalable de l’entreprise. Des attaquants recherchent également des configurations vulnérables à grande échelle, puis exploitent les occasions découvertes.

La priorité suivante consiste à empêcher qu’un identifiant compromis devienne un accès permanent aux systèmes de l’entreprise.

Comment sécuriser les comptes professionnels sans équipe informatique dédiée ?

Une PME sans équipe informatique dédiée peut sécuriser ses comptes en activant d’abord l’authentification multifacteur sur les services sensibles, puis en adoptant un gestionnaire de mots de passe et en réduisant les droits administratifs. Ces trois mesures limitent les conséquences d’un mot de passe volé et peuvent souvent être déployées progressivement.

Commencez par inventorier les comptes donnant accès à la messagerie, à la comptabilité, aux outils bancaires, au stockage infonuagique et aux connexions à distance. Les comptes des dirigeants et des administrateurs techniques doivent être traités en priorité, car leur compromission peut affecter plusieurs services.

Les contrôles de cybersécurité de base pour les PME du Centre canadien pour la cybersécurité recommandent notamment l’authentification à deux facteurs, la gestion des mots de passe et la restriction des accès.

Vérifiez ensuite les fonctions disponibles dans les abonnements de messagerie et de bureautique : authentification multifacteur, historique des connexions, gestion des sessions et, selon l’offre, restrictions géographiques ou accès conditionnel. Certaines fonctions nécessitent une licence particulière ou une configuration supplémentaire. Il ne faut donc pas présumer qu’elles sont toutes incluses.

Séparez les comptes administrateurs des comptes utilisés quotidiennement. Un employé qui consulte ses courriels avec un compte disposant de droits étendus peut exposer davantage de ressources si son appareil est compromis. Les privilèges élevés devraient être réservés aux opérations qui les exigent.

La MFA possède aussi des limites. Des demandes d’approbation répétées peuvent pousser un utilisateur à accepter une connexion frauduleuse. Des pages d’hameçonnage perfectionnées peuvent également intercepter certaines sessions authentifiées. Lorsque c’est possible, privilégiez les clés de sécurité ou les clés d’accès résistantes à l’hameçonnage. La correspondance des numéros dans les applications d’authentification réduit notamment le risque d’approbation accidentelle, sans éliminer toutes les attaques.

Une fois les identités protégées, il reste à déterminer qui surveille les appareils et intervient lorsqu’un comportement suspect apparaît.

Antivirus administré ou service de sécurité externalisé : que privilégier pour une PME ?

Un antivirus administré convient davantage à une PME disposant d’une personne capable de suivre les alertes et de gérer les incidents courants. Un service de sécurité externalisé devient plus pertinent lorsque les systèmes doivent rester disponibles en permanence ou que personne ne peut assurer cette surveillance. Le critère décisif est la capacité réelle de détection et de réaction.

Un antivirus administré protège les postes de travail au moyen de fonctions centralisées : détection des logiciels malveillants, gestion des politiques et alertes. Certaines offres intègrent des capacités EDR permettant d’analyser les comportements suspects et d’agir sur les terminaux. Antivirus administré et EDR ne sont cependant pas synonymes : les fonctions disponibles doivent être vérifiées pour chaque produit.

Un prestataire de sécurité gérée, ou MSSP, peut assurer une supervision externalisée. Un service MDR ajoute généralement une prestation spécialisée de détection et de réponse. Une couverture 24 heures sur 24, 7 jours sur 7, n’est acquise que si elle figure explicitement dans le contrat.

La comparaison doit porter sur les besoins opérationnels plutôt que sur le nombre de fonctions annoncées.

Le principal piège d’un outil administré est de produire des alertes que personne ne traite. À l’inverse, un contrat externalisé peut sembler rassurant tout en excluant la restauration des systèmes ou certaines applications critiques.

Avant de signer, demandez qui isole un appareil compromis, qui informe la direction, combien de temps les journaux restent accessibles et qui prend en charge la reprise. Consultez aussi votre assureur cyber : selon les conditions de la police, certaines mesures de protection ou de sauvegarde peuvent être exigées pour bénéficier de la couverture prévue.

Cette répartition des rôles doit également couvrir la gestion des arrivées et des départs de personnel, souvent négligée dans les petites structures.

Quels risques représentent les comptes d’anciens employés encore actifs ?

Les comptes d’anciens employés encore actifs permettent potentiellement d’accéder à des courriels, des fichiers, des applications métier ou au réseau interne sans autorisation légitime. Leur danger vient aussi du manque de surveillance : lorsqu’un compte n’appartient plus à un utilisateur présent, une connexion anormale peut passer inaperçue plus longtemps.

Un ancien compte de messagerie peut servir à consulter des échanges confidentiels ou à usurper l’identité de l’entreprise auprès de clients. Un accès distant inutilisé peut faciliter une intrusion dans le réseau. Un compte de comptabilité ou de paiement conservant des autorisations sensibles crée, quant à lui, un risque de fraude financière.

La première vérification consiste à comparer les effectifs actuels aux comptes actifs dans les principaux environnements : annuaire d’entreprise, messagerie, logiciels de gestion, stockage documentaire et applications SaaS. Incluez les comptes génériques, les consultants et les prestataires externes. Un compte techniquement actif ne signifie pas nécessairement qu’il est encore autorisé.

Pour chaque départ, une procédure coordonnée entre la direction, les ressources humaines et le responsable informatique devrait prévoir :

1. La désactivation des accès à la date appropriée, avec retrait des sessions et des moyens d’authentification selon le risque.
2. La révocation des accès aux outils métier, VPN, applications infonuagiques et comptes partagés.
3. Le transfert des fichiers, calendriers, dossiers clients et responsabilités professionnelles.
4. La récupération des appareils, des clés de sécurité et des autres ressources appartenant à l’entreprise.
5. La vérification des informations professionnelles éventuellement stockées dans des outils personnels non approuvés, selon les droits et obligations applicables.

Désactiver un compte et supprimer ses données sont deux décisions différentes. Certaines informations doivent rester disponibles pour les activités ou respecter des exigences de conservation. Le transfert et l’archivage doivent donc précéder toute suppression irréversible.

Il est également utile d’attribuer une date d’expiration aux accès temporaires des prestataires et de prévoir un contrôle périodique des comptes qui n’ont plus d’utilisation justifiée.

Mais aucune politique d’accès ne supprime totalement le risque d’incident : une PME doit aussi savoir quoi faire lorsqu’une attaque réussit.

Que faire pendant les premières heures suivant une attaque par rançongiciel ?

Pendant les premières heures d’une attaque par rançongiciel, une PME doit d’abord limiter la propagation, préserver les preuves et mobiliser les responsables prévus dans son plan d’incident. Les systèmes touchés doivent être isolés lorsque cela peut être fait en sécurité. Il faut ensuite déterminer l’étendue de la compromission avant toute restauration ou décision concernant la rançon.

Si un ordinateur présente des signes de chiffrement ou une demande de rançon, interrompez rapidement sa connectivité réseau par un moyen sûr. Pour un poste ordinaire, débrancher le câble Ethernet et désactiver le Wi-Fi peut permettre de l’isoler sans l’éteindre immédiatement, afin de préserver certaines traces en mémoire. Cette conduite doit être adaptée aux risques de propagation et aux instructions des intervenants spécialisés, notamment pour les serveurs et les équipements industriels.

Prévenez ensuite le responsable désigné, le prestataire informatique et, si nécessaire, l’assureur cyber selon les modalités de la police. Utilisez un canal de communication indépendant si la messagerie habituelle pourrait être compromise. Consignez l’heure de découverte, les systèmes touchés et les premières actions réalisées.

Plusieurs réflexes peuvent aggraver la situation : redémarrer systématiquement les machines, supprimer les journaux, tenter un déchiffrement improvisé ou restaurer les données dans un environnement qui reste contrôlé par les attaquants. Une restauration trop rapide peut provoquer une nouvelle compromission.

Le paiement d’une rançon ne garantit ni la récupération des données ni leur confidentialité. La décision doit être examinée avec des professionnels compétents en réponse à incident, en droit et en assurance, plutôt que prise sous la seule pression du message des attaquants.

Au Canada, les démarches peuvent comprendre le dépôt d’une plainte auprès du service de police compétent, le recours à la Gendarmerie royale du Canada selon la situation et un signalement au Centre antifraude du Canada ou au Centre canadien pour la cybersécurité, selon la nature de l’incident. Le Centre canadien pour la cybersécurité constitue un point de référence national pour le signalement des cyberincidents.

Une atteinte touchant des renseignements personnels exige une analyse juridique distincte. Les organisations assujetties à la LPRPDE doivent déclarer certaines atteintes présentant un risque réel de préjudice grave et aviser les personnes concernées. Elles doivent aussi conserver un registre des atteintes visées. Les orientations du Commissariat à la protection de la vie privée du Canada sur la déclaration des atteintes détaillent ces critères.

Au Québec, les obligations applicables aux incidents de confidentialité prévues par la législation provinciale doivent être examinées séparément, notamment les règles renforcées par la Loi 25. Une attaque ne déclenche pas automatiquement toutes les notifications : le régime applicable, les faits et les seuils légaux doivent être vérifiés avec un conseiller juridique.

La préparation en amont reste déterminante : conservez hors ligne les coordonnées des intervenants, les références d’assurance, un plan de communication et la localisation de sauvegardes dont la restauration a déjà été testée.

La prévention doit également prendre en compte les nouveaux canaux de divulgation des informations, notamment les assistants d’intelligence artificielle accessibles aux employés.

Quelles données d’entreprise ne faut-il pas transmettre à un assistant d’IA externe ?

Une PME canadienne ne devrait pas transmettre à un assistant d’IA externe des renseignements personnels identifiables, des secrets commerciaux, des données financières confidentielles ou des documents protégés par des engagements contractuels sans autorisation et garanties appropriées. Le risque dépend du contenu communiqué, des conditions du fournisseur, de la configuration du service et des règles de confidentialité applicables.

Un employé peut utiliser un assistant d’IA pour résumer un document, préparer une proposition commerciale ou analyser un tableau. Cependant, lorsque ce document contient des informations sensibles, sa transmission peut constituer une communication de données à un fournisseur externe.

Selon le service et les paramètres choisis, les informations saisies peuvent être conservées, traitées par des sous-traitants ou utilisées pour améliorer des modèles. Cela ne signifie pas que tous les assistants exploitent systématiquement les conversations pour leur entraînement. Les pratiques varient selon les produits, les contrats et les configurations.

Le classement des informations aide à établir des règles compréhensibles par les employés.

Avant chaque transmission, trois questions permettent de prendre une décision : une personne peut-elle être identifiée ? L’information révèle-t-elle un avantage concurrentiel ou une donnée confidentielle ? Une obligation contractuelle ou légale limite-t-elle sa communication ? Une réponse positive impose une évaluation supplémentaire avant tout usage.

Le risque de shadow IA apparaît lorsque des employés utilisent des assistants personnels sans validation de l’entreprise. Une PME peut y répondre par une politique courte précisant les outils autorisés, les catégories de données interdites et la personne à consulter en cas de doute.

Dans son évaluation publiée à partir de renseignements disponibles au 26 juin 2023, le Centre canadien pour la cybersécurité souligne les risques de divulgation associés aux générateurs de texte. Cette analyse reste pertinente comme référence générale, mais ne décrit pas nécessairement les conditions actuelles de chaque fournisseur.

Le responsable de l’entreprise doit donc examiner les conditions de conservation, d’utilisation, d’hébergement et de suppression des données avant d’approuver un service. Une solution professionnelle peut offrir des garanties supplémentaires, mais celles-ci doivent être vérifiées plutôt que présumées.

Cette discipline de gestion des informations complète la protection technique des postes de travail. Dans les PME industrielles, elle doit s’accompagner d’une attention particulière aux machines connectées, parfois difficiles à maintenir à jour.

Quels risques présentent les équipements industriels qui ne reçoivent plus de mises à jour ?

Les équipements industriels qui ne reçoivent plus de mises à jour peuvent conserver des vulnérabilités exploitables, notamment lorsque leur fabricant a interrompu le support technique. Dans une PME manufacturière, leur compromission peut perturber la production, compromettre des données opérationnelles ou affecter la sécurité des personnes. La réponse doit tenir compte des contraintes de disponibilité et des caractéristiques propres à chaque installation.

Les technologies opérationnelles, ou OT, comprennent notamment les automates programmables, les systèmes de supervision industrielle et certains équipements de production connectés. Contrairement aux postes bureautiques, ces systèmes peuvent nécessiter une validation approfondie avant chaque mise à jour.

Un correctif installé sans vérification pourrait rendre un logiciel industriel incompatible avec une machine ou perturber un processus essentiel. Certaines interventions exigent donc une fenêtre de maintenance, des essais préalables ou l’assistance du fabricant.

Il faut distinguer deux situations. Un équipement ancien peut encore bénéficier d’un support technique et de correctifs compatibles. Un équipement en fin de vie, dont le support a cessé, ne bénéficie plus nécessairement de corrections de sécurité, même lorsqu’une vulnérabilité devient connue.

L’absence de mise à jour ne signifie pas qu’un incident est inévitable, mais elle augmente l’importance des mesures de protection compensatoires et de la surveillance.

La PME doit commencer par inventorier les équipements connectés, puis déterminer lesquels interviennent dans les fonctions de production ou de sécurité.

1. Identifier les machines, automates, systèmes de contrôle et postes de maintenance présents sur le réseau.
2. Relever leur fabricant, leur version logicielle, leur statut de support et leurs dépendances techniques.
3. Classer les équipements selon leur importance pour la production et la sécurité des personnes.
4. Évaluer les options : correctif validé, isolement réseau, surveillance renforcée ou remplacement planifié.
5. Documenter les accès des fournisseurs de maintenance et contrôler les connexions à distance.

La segmentation entre réseaux IT et OT est particulièrement utile lorsqu’une mise à jour est impossible. Elle consiste à limiter et contrôler les communications entre le réseau bureautique, les équipements industriels et les systèmes accessibles depuis Internet.

Par exemple, une machine de production qui n’a besoin de communiquer qu’avec un serveur de supervision ne devrait pas disposer d’un accès général à la messagerie ou à l’ensemble du réseau administratif. Les flux nécessaires doivent toutefois être identifiés avant toute modification pour éviter d’interrompre la production.

Les accès distants des prestataires méritent une vigilance particulière. Ils devraient être limités aux équipements nécessaires, protégés par une authentification forte lorsque techniquement possible et désactivés lorsqu’ils ne sont pas requis.

La segmentation ne remplace pas les mises à jour et ne garantit pas l’absence d’intrusion. Elle constitue une mesure de réduction des risques à intégrer dans un programme de maintenance et de renouvellement.

La protection de ces installations conduit à une question plus large : comment poursuivre les opérations lorsqu’un fournisseur essentiel, une connexion ou une infrastructure externe devient indisponible ?

Comment protéger les infrastructures critiques canadiennes contre les interruptions majeures ?

Une PME canadienne ne peut pas sécuriser directement toutes les infrastructures critiques dont elle dépend, mais elle peut réduire les conséquences de leur interruption. La démarche consiste à identifier ses dépendances essentielles, prévoir des solutions de remplacement et tester ses capacités de reprise. L’objectif est de maintenir les activités prioritaires même lorsqu’un fournisseur externe devient temporairement indisponible.

Les infrastructures critiques canadiennes comprennent notamment les secteurs de l’énergie, des télécommunications, des transports et des services financiers. Une petite entreprise dépend de ces systèmes pour recevoir les commandes, effectuer les paiements, communiquer avec ses clients ou exploiter ses équipements.

Une panne de télécommunications peut bloquer une plateforme de commerce électronique. Une interruption électrique peut immobiliser un atelier. Une indisponibilité prolongée des services bancaires peut perturber les encaissements ou les paiements aux fournisseurs.

La première étape consiste à dresser une liste des activités indispensables, puis à déterminer leur tolérance réelle à l’interruption. Les priorités varient selon les métiers : un atelier peut privilégier les systèmes de production, tandis qu’une entreprise de services peut dépendre davantage de la messagerie, de la téléphonie et de l’accès à ses dossiers.

Pour chaque activité, la direction devrait préciser :

• La durée maximale d’interruption qu’elle peut raisonnablement supporter.
• Les systèmes informatiques et fournisseurs nécessaires à son fonctionnement.
• Les données à récupérer et la perte de données maximale acceptable.
• Les solutions manuelles, les fournisseurs alternatifs ou les capacités de secours disponibles.
• La personne responsable de la décision de reprise et de sa communication.

Ces éléments permettent de définir des objectifs de reprise réalistes. Le délai cible de rétablissement d’un service, généralement appelé RTO, doit correspondre aux contraintes de l’activité. Le point de reprise, ou RPO, détermine la quantité de données que l’entreprise peut accepter de perdre, exprimée sous forme de période.

Les sauvegardes constituent un dispositif central de continuité, mais leur seule existence ne prouve pas que l’activité peut reprendre. Une copie inaccessible, corrompue ou contaminée ne permet pas une récupération fiable.

La règle 3-2-1 constitue un repère pratique : conserver trois copies des données, sur deux types de supports, dont une hors site. Pour mieux résister aux rançongiciels, il est également judicieux de conserver une copie hors ligne ou protégée contre les modifications non autorisées.

Un essai de restauration doit vérifier non seulement que les fichiers sont récupérables, mais également que les applications essentielles fonctionnent avec les données restaurées. Les résultats doivent être consignés, les anomalies corrigées et les procédures actualisées.

Ce scénario montre que la continuité d’activité ne dépend pas exclusivement de la cybersécurité technique. Elle repose également sur l’organisation, la capacité des employés à suivre des procédures de secours et la coordination avec les fournisseurs.

Les contrôles de base du Centre canadien pour la cybersécurité, son approche de gestion des risques et les orientations publiques de Sécurité publique Canada constituent des points d’appui pour structurer cette démarche. Les recommandations doivent être adaptées aux besoins de l’entreprise : elles ne représentent pas une garantie de continuité ni une obligation réglementaire uniforme pour toutes les PME.

Pour passer à l’action, choisissez dès maintenant trois activités dont l’arrêt serait le plus dommageable. Désignez un responsable pour chacune, vérifiez leurs dépendances et fixez un premier test de récupération ou de fonctionnement dégradé. Cette démarche concrète permet de progresser sans attendre la création d’une équipe spécialisée.