Comment protéger une PME québécoise contre les cyberattaques

Les attaques automatisées ne choisissent pas leurs victimes par taille : elles balayent l’ensemble d’Internet à la recherche de mots de passe faibles, de logiciels non à jour et de services mal configurés. Une PME québécoise peut donc être touchée sans avoir été visée nommément. Le Centre pour la cybersécurité du Canada publie régulièrement des conseils destinés spécifiquement aux petites et moyennes organisations, précisément parce qu’elles disposent de moins de ressources internes pour se défendre.

La bonne nouvelle : la majorité des incidents exploitent des faiblesses connues et évitables. Une petite entreprise n’a pas besoin d’un centre opérationnel de sécurité; elle a besoin d’un ensemble restreint de mesures appliquées de façon constante. C’est l’objet de ce guide.

Avant d’acheter un outil sophistiqué, assurez-vous que les bases sont couvertes. Ces mesures sont celles que les organismes publics recommandent en priorité, et elles coûtent souvent plus en rigueur qu’en budget.

L’hameçonnage demeure la porte d’entrée la plus fréquente. Une formation courte et répétée — reconnaître un courriel suspect, vérifier une demande de virement par un second canal, signaler sans crainte — réduit davantage le risque qu’un long document de politique lu une fois. L’objectif est que signaler un doute soit perçu comme un réflexe positif, jamais comme une faute.

Prévoyez une consigne simple : en cas de clic sur un lien douteux, l’employé débranche le réseau, garde l’appareil allumé et appelle le support. Plus le signalement est rapide, plus les options de containment sont nombreuses.

Chaque compte est une porte. Appliquez le principe du moindre privilège : un employé n’a accès qu’à ce dont il a besoin, et les droits d’administrateur sont réservés à des comptes dédiés, jamais utilisés pour lire le courriel ou naviguer sur le Web. Les comptes des départs doivent être désactivés le jour même, et les accès revus périodiquement.

Documentez qui a accès à quoi : courriel, fichiers partagés, logiciels de comptabilité, plateformes clients. En cas d’incident, cet inventaire permet de réagir en heures plutôt qu’en jours.

Un plan d’une page suffit pour démarrer : qui appeler (support TI, assureur, avocat si nécessaire), comment isoler un appareil, où sont les sauvegardes, qui décide d’une éventuelle communication aux clients. Au Québec, un incident touchant des renseignements personnels peut déclencher des obligations envers la Commission d’accès à l’information; notre guide sur la Loi 25 détaille ce volet.

Testez le plan une fois par année, même à titre d’exercice de table. Un plan jamais lu au moment d’une crise n’existe pas réellement.

Si vous ne retenez que trois actions : activez la MFA sur tous les comptes de courriel, vérifiez qu’une restauration de sauvegarde fonctionne réellement, et faites le tour des comptes actifs pour fermer ceux qui ne servent plus. SolutionsCW peut réaliser cet état des lieux avec vous et prioriser les correctifs selon votre réalité — sans inventer de menaces pour vendre des outils.