Cyberattaque à la CCQ : protéger votre PME

Un lundi matin, vos employés arrivent au travail, mais n’ont plus accès aux outils dont ils ont besoin. Les demandes des clients continuent d’entrer. Les dossiers, eux, sont inaccessibles. Votre journée vient de changer complètement.

C’est le type de perturbation que rappelle la cyberattaque à la Commission de la construction du Québec (CCQ). Dans sa mise à jour du 2 septembre 2026, la CCQ confirmait qu’un incident détecté le 24 août était lié à une cyberattaque. Elle expliquait avoir fermé ses systèmes par mesure de protection et travailler au rétablissement progressif de ses services.

Les informations publiques ne permettent pas d’attribuer l’attaque à une faille précise. Elles ramènent toutefois une question essentielle pour les dirigeants : que pouvons-nous faire aujourd’hui pour mieux protéger nos activités?

Pour réduire les risques de cyberattaque dans une PME, il faut protéger les accès, maintenir les systèmes à jour, former les employés et surveiller les activités inhabituelles. Des sauvegardes testées et un plan d’intervention complètent ces mesures pour limiter les conséquences si un incident survient. Ces priorités rejoignent les recommandations du Centre canadien pour la cybersécurité.

Voici comment les traduire en actions concrètes dans votre entreprise.

Protéger les accès à votre entreprise

Votre messagerie, vos fichiers et vos logiciels de gestion méritent une attention particulière. L’authentification multifacteur, aussi appelée MFA, ajoute une vérification à la connexion pour mieux protéger vos comptes.

Le choix de la méthode compte également. Certaines options, comme les clés d’accès et les clés de sécurité compatibles, offrent une protection résistante à l’hameçonnage que toutes les méthodes ne procurent pas. Votre équipe TI peut déterminer les options adaptées à vos outils.

Il faut aussi revoir qui a accès à quoi. Les permissions devraient correspondre aux responsabilités actuelles de chaque personne. Un départ, un changement de poste ou la fin d’un mandat devrait déclencher une révision des accès. Les droits d’administration doivent rester limités aux personnes qui en ont besoin.

La question à poser à votre fournisseur TI : « Quels comptes importants ne sont pas encore protégés par une authentification multifacteur, et qui vérifie les accès après un départ? »

S’assurer que les mises à jour sont réellement faites

Un ordinateur qui fonctionne peut tout de même utiliser un logiciel vulnérable. Les correctifs de sécurité servent à corriger des failles connues. Leur suivi doit couvrir les applications, les équipements et les systèmes d’exploitation.

Les produits qui ne reçoivent plus de correctifs doivent aussi être repérés pour planifier leur remplacement ou évaluer les mesures nécessaires.

Pour le dirigeant, l’enjeu est surtout de savoir à qui appartient ce suivi. Si les mises à jour relèvent de plusieurs personnes sans responsabilité claire, demandez une vue d’ensemble : ce qui est à jour, ce qui ne l’est pas et ce qui doit être corrigé en priorité.

La question à poser : « Pouvez-vous me montrer les équipements ou logiciels qui nécessitent une intervention, avec un responsable et une échéance? »

Donner aux employés des réflexes qu’ils peuvent appliquer

Une demande urgente de paiement, un partage de document inattendu ou un message prétendant venir du soutien informatique : les situations abordées en formation doivent ressembler au travail quotidien des équipes.

Le Centre canadien pour la cybersécurité recommande une formation adaptée aux besoins de l’organisation et aux rôles des personnes, y compris les gestionnaires. Les employés doivent comprendre les procédures et savoir comment réagir lorsqu’ils soupçonnent un problème.

Nous recommandons notamment de rendre le signalement simple et de rappeler qu’un doute mérite d’être partagé. Une personne qui a cliqué doit savoir vers qui se tourner, sans perdre du temps à chercher une procédure ou à craindre la réaction de son gestionnaire.

La question à poser : « Si un employé reçoit une demande suspecte ou pense avoir commis une erreur, sait-il exactement qui contacter? »

Détecter les anomalies et prévoir qui intervient

La surveillance et la conservation des journaux d’activité permettent de repérer des signes de compromission et d’appuyer les interventions. Elles contribuent aussi à comprendre ce qui s’est produit.

Mais une alerte doit être prise en charge. Demandez quels événements sont surveillés, qui les examine et comment une situation préoccupante est transmise à la personne autorisée à intervenir. Précisez également ce qui est prévu en dehors des heures de bureau.

Ces responsabilités font partie des éléments à examiner lorsque vous choisissez des services de cybersécurité pour votre entreprise.

La question à poser : « Si une activité suspecte est détectée ce soir, qui l’analyse et qui peut agir? »

Vérifier que vos sauvegardes permettent de reprendre le travail

Une sauvegarde doit permettre de récupérer les informations essentielles. Le Centre canadien pour la cybersécurité recommande de protéger les copies, d’en limiter les accès et de vérifier régulièrement que la restauration fonctionne.

Demandez une preuve récente de restauration et discutez du résultat en termes d’affaires. Quels fichiers ou systèmes ont été récupérés? Combien de temps l’exercice a-t-il pris? Les éléments nécessaires à la facturation, au service client ou aux opérations étaient-ils couverts?

Récupérer une copie de fichiers et remettre les employés au travail représentent deux étapes différentes. C’est pourquoi nous recommandons de définir les priorités avec les responsables des activités concernées.

La question à poser : « Quand avons-nous testé la restauration pour la dernière fois, et qu’avons-nous réellement réussi à remettre en fonction? »

Préparer les premières décisions avant l’urgence

Un plan d’intervention écrit précise les rôles, les personnes à joindre et les mesures à prendre en cas d’incident. Il doit aussi prévoir la gestion des obligations de signalement applicables. Son objectif est de faciliter la réponse et de limiter les perturbations.

Pour une PME, nous conseillons de commencer par un document utilisable : qui coordonne l’intervention, qui communique avec les employés et les clients, quels services sont prioritaires et comment joindre les intervenants si la messagerie habituelle est indisponible.

Prenez ensuite le temps de parcourir un scénario avec les personnes concernées. Par exemple : « Nos courriels et notre logiciel de gestion sont inaccessibles depuis ce matin. Qui fait quoi? »

L’exercice permet de faire ressortir les décisions qui restent à clarifier avant de devoir les prendre dans l’urgence.

La question à poser : « Notre plan est-il accessible si nos outils habituels ne fonctionnent plus, et les responsables connaissent-ils leur rôle? »

Par où commencer pour protéger votre PME?

Si vous n’avez pas de réponse à plusieurs de ces questions, commencez par faire le point sur votre environnement.

Le Centre canadien pour la cybersécurité propose notamment de prioriser le plan d’intervention, les correctifs, l’authentification robuste et les sauvegardes. Ces mesures doivent être adaptées aux besoins de votre organisation.

Un audit de sécurité informatique peut vous aider à identifier les vulnérabilités et à établir un plan d’action priorisé. Chez Maximiz, cet exercice porte sur les infrastructures et les pratiques afin de vous donner une vision claire des améliorations à apporter.

À partir de là, chaque action devrait avoir un responsable, une échéance et une façon de vérifier qu’elle a été réalisée. Vous obtenez ainsi un suivi concret et une meilleure compréhension des prochaines étapes.

Vos technologies, on s’en occupe!

Protéger une entreprise demande de la continuité. Les employés changent de rôle, les outils évoluent et les besoins se transforment. Les mesures mises en place doivent suivre cette réalité.

Maximiz accompagne les PME québécoises en gestion informatique et en cybersécurité, avec des équipes présentes à Sainte-Thérèse, à Boucherville et à Québec. Nos services TI gérés comprennent notamment la surveillance proactive, les mises à jour et la sécurité des accès, selon la prise en charge convenue.

Notre rôle est de vous aider à garder une vision claire de vos priorités et à assurer le suivi de vos technologies. Pour que vous puissiez consacrer davantage de temps à votre entreprise.

Vous souhaitez savoir quelles mesures prioriser dans votre PME? Discutez de votre cybersécurité avec notre équipe.

Questions fréquentes sur la prévention des cyberattaques en PME

Peut-on éviter toutes les cyberattaques?

Aucune mesure ne permet de garantir un risque nul. Une PME peut toutefois renforcer sa protection et préparer sa réponse en combinant prévention, surveillance et continuité des activités. L’objectif est de réduire la probabilité d’un incident et ses conséquences.

Les sauvegardes empêchent-elles une cyberattaque?

Les sauvegardes servent à récupérer des données après un incident. Elles doivent être protégées et testées, et faire partie d’une démarche plus large de cybersécurité. Leur présence seule ne garantit pas que l’entreprise pourra reprendre toutes ses activités immédiatement.

Que demander à son fournisseur TI après une cyberattaque dans l’actualité?

Demandez un état des protections de vos accès, des correctifs en attente, de la surveillance et des derniers tests de restauration. Faites aussi préciser qui intervient en cas d’incident. Ces réponses vous aideront à déterminer vos prochaines priorités.

Sources et références

Pour approfondir les mesures présentées dans cet article, voici les ressources du Centre canadien pour la cybersécurité ainsi que la communication officielle de la CCQ.

Sources consultées le 3 septembre 2026.

Cyberattaque à la CCQ : comment réduire les risques pour votre PME?