Réponse courte
Pour choisir une firme de cybersécurité au Québec, posez-lui 10 questions sur la portée du mandat, ses méthodes, ses livrables, son contrat et la protection des renseignements personnels, et exigez les réponses par écrit. Courtier TI, un courtier en services TI, communique avec vous en moins de 48 heures ouvrables, puis vous propose une entreprise de services TI qui correspond à votre projet. Le service Courtier TI est gratuit pour l’entreprise qui fait la demande.
Ce guide est informatif et ne constitue pas un avis juridique.
En 2023, environ 1 entreprise canadienne sur 6 (16 %) a été touchée par des incidents de cybersécurité, une proportion en baisse depuis 2019 (21 %) et 2021 (18 %). Population : entreprises canadiennes de 10 employés ou plus (Statistique Canada, 2023 (nouvel onglet)).
Selon Statistique Canada (nouvel onglet), 26 % des entreprises canadiennes de 10 employés ou plus avaient des politiques écrites en matière de cybersécurité en 2023, la même proportion qu’en 2021.
Selon le Centre canadien pour la cybersécurité (nouvel onglet), depuis 2020, la portée, la fréquence et la complexité des attaques par rançongiciel ne font qu’augmenter.
Les 10 questions
1. Quels services offrez-vous exactement ?
Audit de sécurité, test d’intrusion, sécurité gérée, formation, réponse aux incidents : chaque firme a ses forces. Demandez la liste précise des services qu’elle réalise elle-même et de ceux qu’elle confie à des sous-traitants.
2. Quelle est la portée proposée, et qu’est-ce qui est exclu ?
Une bonne soumission précise les systèmes visés et ceux qui ne le sont pas. Ce qui n’est pas écrit est interprété. Demandez que les exclusions figurent noir sur blanc.
3. Quels livrables vais-je recevoir ?
Rapport, liste de correctifs classés par priorité, présentation à la direction, documentation : faites préciser le contenu, le format et la langue des livrables.
4. Comment se déroulent vos tests ?
Pour un test d’intrusion, demandez les règles d’engagement : heures à éviter, systèmes fragiles, personne qui signe l’autorisation, et si un retest après correction est inclus.
5. En sécurité gérée, qui surveille quoi, et quand ?
La surveillance est assurée par la firme trouvée par Courtier TI, et non par Courtier TI, selon les heures de couverture et les modalités prévues au contrat que vous concluez avec elle. La page Sécurité gérée (MSSP) décrit ce type de mandat. Faites préciser les systèmes surveillés, la façon dont les alertes vous sont transmises et qui joindre chez vous.
6. Qui fera le travail ?
Demandez le profil des personnes affectées au mandat et leurs compétences pertinentes. Vérifiez si une partie du travail sera confiée à des sous-traitants.
7. Comment protégez-vous mes données pendant le mandat ?
Une firme de cybersécurité accède à des renseignements sensibles. Demandez comment elle les conserve, qui y a accès, où ils sont hébergés et comment elle les détruit à la fin du mandat.
8. Que prévoit le contrat ?
Confidentialité, responsabilités de chaque partie, protection des renseignements personnels, durée, conditions de fin et remise des documents : lisez le contrat avant de signer.
9. Que se passe-t-il en cas d’incident ?
Demandez ce que la firme fait concrètement si elle découvre un incident pendant son mandat, et ce qui reste de votre responsabilité. La firme peut vous accompagner, mais la décision et les obligations restent celles de votre entreprise.
10. Comment le prix est-il établi ?
Faites expliquer ce qui influence le prix : nombre de systèmes, profondeur des tests, heures de couverture, livrables. Une demande précise permet d’obtenir une soumission qui reflète votre projet réel.
Et la Loi 25 ?
La Loi 25 encadre la protection des renseignements personnels au Québec. Une firme de cybersécurité peut vous aider sur le volet informatique : inventaire des renseignements personnels, contrôle des accès, registre des incidents de confidentialité, sauvegardes, contrats de fournisseurs.
Les obligations restent toutefois celles de votre entreprise, notamment en ce qui concerne la personne responsable de la protection des renseignements personnels : par défaut, la personne ayant la plus haute autorité, qui peut déléguer cette fonction par écrit. Quand vous confiez des renseignements personnels à une firme, le contrat doit préciser les mesures de protection.
Cette section est informative et ne constitue pas un avis juridique.
Trouver la firme de cybersécurité qui convient
La page Trouver une firme de cybersécurité explique la démarche. Décrivez votre projet une seule fois : le type de mandat, les systèmes visés, les mesures déjà en place et les livrables attendus. L’équipe Courtier TI communique d’abord avec vous, en moins de 48 heures ouvrables, pour bien comprendre votre besoin, puis vous propose une entreprise de services TI qui correspond à votre projet. Cette entreprise vous présente sa soumission, et vous décidez.
Courtier TI est un courtier : il ne réalise pas lui-même les services de cybersécurité et ne surveille pas vos systèmes.
Le service Courtier TI est gratuit pour l’entreprise qui fait la demande.
Questions fréquentes
Courtier TI est-il une firme de cybersécurité ?
Non. Courtier TI est un courtier en services TI. Il vous propose une entreprise de services TI qui correspond à votre projet, qui vous présente ensuite sa soumission. Les services de cybersécurité et la surveillance sont assurés par cette entreprise, et non par Courtier TI, selon le contrat que vous concluez avec elle.
Quelle différence entre un audit de sécurité et un test d’intrusion ?
L’audit de sécurité examine vos pratiques, vos configurations et vos documents pour dresser un état des lieux. Le test d’intrusion simule une attaque autorisée par écrit pour vérifier si une faille peut être exploitée. Les deux se complètent.
Une PME a-t-elle besoin d’une firme de cybersécurité ?
Cela dépend de vos systèmes, de vos données et des exigences de vos clients, de vos assureurs ou de vos contrats. Une évaluation peut aider à faire le point et à déterminer les mesures à prioriser.
Que préciser dans une demande en cybersécurité ?
Le périmètre et ce qui est exclu, les données à protéger, les mesures déjà en place, le type de mandat souhaité et les livrables attendus. Si vous ne savez pas répondre à certains points, dites-le : une évaluation peut servir à faire le point.
Combien de temps faut-il pour obtenir une réponse ?
L’équipe Courtier TI communique avec vous en moins de 48 heures ouvrables pour comprendre votre projet, puis vous propose une entreprise de services TI qui correspond à votre projet. Cette entreprise vous présente ensuite sa soumission.