Cybersécurité 2025: les 10 contrôles essentiels pour les PME au Québec
Une liste d’actions prioritaires, concrètes et abordables pour réduire 80 % des risques, répondre aux exigences des assureurs et respecter la Loi 25.
Les attaques ciblant les PME augmentent, et les exigences des assureurs se resserrent. Voici 10 contrôles essentiels, pragmatiques et applicables rapidement, pour renforcer votre posture au Québec.
1) MFA partout
Activez l'authentification multifactorielle pour courriels, VPN, CRM/ERP, accès à distance et comptes administrateurs. Privilégiez des applications d'authentification plutôt que les SMS.
2) Gestion des correctifs
Automatisez les mises à jour de Windows/macOS, navigateurs et applications tierces. Établissez un calendrier mensuel de patching avec rapports de conformité.
3) Sauvegardes 3-2-1 et tests
Règle 3-2-1: 3 copies, 2 supports, 1 hors ligne/immuable. Testez la restauration trimestriellement, pas seulement la réussite des sauvegardes. Documentez les RPO/RTO.
4) EDR/antivirus moderne
Déployez une solution EDR avec détection comportementale et réponse automatisée. Surveillez serveurs, postes et appareils mobiles gérés.
5) Gestion des identités et accès
Principes de moindre privilège, séparation des comptes admin, revue trimestrielle des accès. Désactivez rapidement les comptes lors des départs (offboarding automatisé).
6) Sécurisation Microsoft 365/Google Workspace
Activez la protection de base: MFA, politiques de partage, DLP, Safe Links/Attachments, audit et journaux. Configurez l'archivage légal selon vos obligations.
7) Sensibilisation et simulations d'hameçonnage
Formations courtes et régulières, en français, suivies de campagnes de phishing simulé. Mesurez le taux de clics et récompensez les signalements.
8) Plan de réponse aux incidents
Rédigez un plan simple: qui contacter, comment isoler, qui décide, procédures de communication. Faites un exercice table-top annuel.
9) Journalisation et surveillance
Centralisez les journaux critiques (authentification, M365/Google, pare-feu, EDR) et définissez des alertes. Externalisez vers un service de SOC si vous n'avez pas d'équipe interne.
10) Gestion des tiers et cyberassurance
Inventoriez fournisseurs et accès externes. Évaluez leurs contrôles de sécurité. Préparez la documentation exigée par les assureurs (MFA, sauvegardes, EDR, IRP).
Conformité à la Loi 25
Inventaire des renseignements personnels, politiques de conservation, mécanismes de consentement, registre des incidents et désignation d'un responsable. Assurez-vous que vos pratiques de sécurité soutiennent ces obligations; pour les aspects légaux, consultez un conseiller.
Feuille de route 90 jours
0-30 jours: MFA, sauvegardes vérifiées, patching, désactivation des comptes inactifs, formation anti-phishing.
31-60 jours: EDR, durcissement M365/Google, plan d'incident, premières alertes de journalisation.
61-90 jours: revue des accès, test de restauration, exercice table-top, documentation pour l'assureur.
Budgetiser intelligemment
Visez des solutions gérées par un MSP pour lisser les coûts: forfait par utilisateur/poste incluant EDR, sauvegardes cloud, sensibilisation et monitoring. Évitez l'empilement d'outils redondants.
Indicateurs simples à suivre
Taux de correctifs appliqués (>90 %), réussite des restaurations, MFA activé (>98 % des comptes), temps moyen de désactivation lors d'un départ (<4 h), taux de clic aux simulations (<5 %).
En appliquant ces contrôles de base avec rigueur, vous réduisez significativement les risques, répondez aux attentes des assureurs et protégez la confiance de vos clients.