Audit de cybersécurité

Dans une PME, un incident informatique commence rarement par une attaque sophistiquée. Il commence parce qu’un ancien employé a encore accès à la boîte de courriels partagée, parce que la sauvegarde tourne depuis deux ans sans que personne n’ait jamais essayé de restaurer quoi que ce soit, ou parce qu’une facture avec de nouvelles coordonnées bancaires a été payée sans qu’on rappelle le fournisseur au numéro qu’on connaissait. Aucun de ces trois problèmes ne se règle avec un outil.

L’IA arrive là-dedans par deux portes en même temps. On vous la vend comme un bouclier : détection automatique, surveillance continue, réponse en quelques secondes. Et elle entre aussi chez vous comme une nouvelle exposition, parce que quelqu’un a collé une entente dans un outil gratuit pour la résumer, et que personne n’a eu l’impression de faire quoi que ce soit d’inhabituel. Les deux portes comptent, et la seconde est souvent la seule que vous contrôlez vraiment.

Cette trousse s’adresse au dirigeant, pas au technicien. Elle ne configure rien. Elle vous fait voir ce que vous avez, qui y touche, ce que vous croyez protégé sans l’avoir vérifié, et ce que vous ferez dans la première heure le jour où ça arrivera. Ce sont les décisions qui vous appartiennent, et personne d’autre ne peut les prendre à votre place.

Situez votre posture réelle

Répondez selon ce qui se passe dans les faits, pas selon ce que votre fournisseur informatique a promis. Une sauvegarde qui apparaît en vert sur un tableau de bord et qui n’a jamais été restaurée vaut zéro à ce questionnaire, et c’est volontaire.

Trois questions font trébucher presque tout le monde. La restauration réelle, d’abord : énormément d’entreprises découvrent le jour de l’incident que la sauvegarde ne contenait pas ce qu’elles croyaient, ou qu’elle prend beaucoup plus de temps à revenir que prévu. Les accès des personnes parties, ensuite, parce qu’on pense au compte principal et qu’on oublie les six outils secondaires. Le signalement sans crainte, enfin : un employé qui a cliqué et qui a peur d’être blâmé attend, et c’est cette attente qui coûte cher, pas le clic.

Un score faible n’est pas une faute. Il indique que votre entreprise a grandi plus vite qu’elle n’a mis de l’ordre dans ses accès, ce qui est le cas ordinaire dans une PME où la sécurité n’est le métier de personne à temps plein.

Le plan de 90 jours

Ce plan est volontairement pauvre en technologie. Vous produisez une liste d’accès, une sauvegarde éprouvée, deux règles écrites et une fiche d’incident. Rien d’autre. Un outil d’IA de surveillance branché sur une infrastructure dont personne ne connaît les accès détecte des choses que personne ne saura interpréter, et vous paierez pour des alertes que vous finirez par ignorer.

L’ordre compte. Vous regardez d’abord, vous mettez à l’épreuve ensuite, et vous préparez l’incident en dernier. Commencer par la fin, c’est-à-dire par l’achat d’un outil, est la façon la plus courante de dépenser un budget de sécurité sans réduire son risque.

L’exercice autour d’une table, en fin de parcours, est celui qu’on saute et celui qui rapporte le plus. Prenez un scénario simple, par exemple les fichiers de la comptabilité sont devenus illisibles un mardi matin, et faites parler chaque personne à tour de rôle : qu’est-ce que tu fais dans les cinq premières minutes, qui appelles-tu, qu’est-ce qu’on dit au client qui attend sa soumission. Vous découvrirez en une demi-heure que deux personnes comptaient l’une sur l’autre pour la même action, et que personne n’avait prévu quoi répondre au téléphone.

La question de l’assurance mérite aussi son quart d’heure. Beaucoup de dirigeants supposent être couverts pour un incident informatique parce que le mot apparaît quelque part dans leur contrat. Les conditions, les exclusions et les obligations de déclaration varient énormément. Cette vérification se fait en un appel, et il vaut nettement mieux la faire un mardi tranquille que le jour où vous en avez besoin.

Les prompts qui font le travail

Ces prompts servent à préparer vos documents et à structurer votre réflexion. Ils ne remplacent ni votre fournisseur informatique ni votre conseiller juridique, et il y a une prudence élémentaire à respecter : ne collez jamais dans un outil d’IA la liste de vos accès, vos noms de comptes, vos adresses de serveurs ni le détail d’un incident en cours. Décrivez vos processus, pas votre infrastructure.

Tu es conseiller en sécurité auprès d'une PME québécoise de [nombre]
employés, secteur [secteur].

Voici comment nous fonctionnons : [décrire en dix lignes le travail
quotidien : télétravail ou non, qui approuve les paiements, comment
arrivent les factures, qui a accès aux dossiers clients, quels outils
infonuagiques sont utilisés].

Sans me demander aucune information technique, liste les points d'entrée
les plus probables d'un incident chez nous, classés du plus probable au
moins probable, pas du plus spectaculaire au moins spectaculaire.

Pour chacun, donne-moi la vérification humaine qui l'arrête, et le temps
de travail hebdomadaire que cette vérification coûte réellement.

Ne cite aucune statistique et aucune moyenne sectorielle : raisonne
uniquement sur ce que je viens de te décrire.

Rédige la règle d'usage des outils d'IA pour une PME de [nombre]
employés, secteur [secteur], destinée à des employés qui ne sont pas
techniques.

Elle doit tenir sur une page et répondre à une seule question : qu'est-ce
qui ne sort jamais de l'entreprise, même pour gagner du temps.

Voici ce que nous manipulons quotidiennement : [énumérer les types
d'informations : dossiers clients, données d'employés, ententes, devis,
états financiers, dossiers médicaux, etc.].

Contraintes : phrases courtes, aucun terme anglais, trois interdictions
claires au maximum avec un exemple concret chacune, et autant de place
pour ce qui est encouragé que pour ce qui est interdit.

Termine en me signalant les trois situations courantes que ce texte
laisse sans réponse, pour que je tranche moi-même.

Voici notre processus de paiement des fournisseurs, étape par étape :
[décrire qui reçoit la facture, qui l'approuve, qui exécute le virement,
et ce qui se passe quand un fournisseur annonce un changement de
coordonnées bancaires].

Ton rôle est de trouver comment une demande frauduleuse traverserait ce
processus sans être arrêtée. Cherche surtout les scénarios ordinaires :
l'urgence de fin de journée, l'absence de la personne qui approuve
habituellement, le fournisseur de longue date, le montant crédible.

Pour chaque faille, propose la vérification la plus simple qui la ferme,
et dis-moi ce qu'elle ajoute comme friction pour l'équipe.

Termine par la seule modification que tu ferais en premier si je n'avais
le temps que pour une seule.

Aide-moi à écrire la fiche que mon équipe suivra dans la première heure
d'un incident informatique.

Notre contexte : [décrire l'entreprise, qui est présent sur place, qui
gère l'informatique, et ce qui arrêterait complètement les opérations].

Pose-moi une question à la fois, attends ma réponse, puis passe à la
suivante. Couvre : qui constate et à qui il le dit, ce qu'on isole et ce
qu'on ne touche surtout pas, qui appelle le fournisseur informatique, qui
prévient la direction, qui répond au téléphone des clients, et ce qu'on
écrit pendant que ça se passe.

À la fin, présente la fiche sur une seule page, en étapes numérotées,
rédigée pour être lue par quelqu'un de stressé qui n'a pas dormi.

Un incident a touché des renseignements que nous détenons sur nos
clients. Contexte factuel : [décrire ce qui s'est passé, ce qui est
confirmé et ce qui ne l'est pas encore].

Rédige un projet de message aux personnes concernées, ton posé, sans
formule défensive et sans minimiser. Il doit contenir : ce qui s'est
passé, quelles informations sont en cause, ce que nous avons fait depuis,
ce que la personne peut faire de son côté, et le nom de quelqu'un qu'elle
peut joindre.

Là où mon contexte ne permet pas d'écrire une de ces parties honnêtement,
dis-le-moi au lieu de la remplir.

Rappelle-moi en fin de réponse que ce texte est un projet, qu'il doit
être validé par un conseiller juridique avant tout envoi, et que mes
obligations de déclaration doivent être vérifiées avant, pas après.

Si vous n’en utilisez qu’un seul, prenez celui qui démonte votre processus de paiement. La fraude par changement de coordonnées bancaires n’a rien de technique, elle ne déclenche aucune alerte, elle ressemble à une journée normale, et elle vise exactement les entreprises où tout le monde se connaît et se fait confiance. La vérification qui l’arrête tient en un appel téléphonique à un numéro que vous aviez déjà.

La grille à repasser régulièrement

C’est la pièce qui survit aux 90 jours. Une posture de sécurité ne se maintient pas par la vigilance générale : elle se maintient parce que quelqu’un repasse les mêmes points chaque trimestre, et chaque fois qu’un nouvel outil est branché sur vos données.

Confiez la grille à une personne précise. Dans une PME, le dossier de la sécurité tombe par défaut sur la direction générale ou sur le fournisseur externe, ce qui garantit qu’il passera toujours après quelque chose de plus urgent ou qu’il se limitera à ce qui est facturable.

Ce que cette trousse ne fait pas

Elle ne remplace pas un audit technique. Elle ne regarde ni vos configurations, ni vos pare-feu, ni vos journaux, et elle ne teste rien sur vos systèmes. Elle couvre la partie qui vous appartient en propre : les accès, les vérifications humaines, les décisions et la préparation. Si votre secteur ou vos clients l’exigent, faites faire un examen technique par un professionnel, et servez-vous de cette trousse pour arriver à ce rendez-vous avec vos réponses déjà prêtes.

Elle ne constitue pas un avis juridique. Le Québec encadre la protection des renseignements personnels, notamment par l’obligation de tenir un registre des incidents de confidentialité et de déclarer à la Commission d’accès à l’information ceux qui présentent un risque de préjudice sérieux, et des obligations fédérales peuvent aussi s’appliquer selon votre situation. Faites établir vos obligations exactes par un conseiller juridique avant l’incident, parce que le jour venu vous n’aurez ni le temps ni la tête pour les découvrir.

Elle ne choisit pas vos outils, et elle ne vous dira pas combien dépenser. Les prix affichés et les promesses de détection changent d’une année à l’autre, et un chiffre recopié d’un article vieillit plus vite que votre parc informatique. Ce que la trousse peut faire, c’est vous mettre en état de poser les trois questions qui trient les fournisseurs : où sont hébergées mes données, qui chez vous peut y accéder, et que se passe-t-il exactement le jour où je veux partir.

Enfin, elle ne réglera pas la sécurité par l’IA. Un outil de surveillance intelligent apporte quelque chose à une entreprise dont les accès sont propres et les sauvegardes éprouvées. Installé avant, il ajoute surtout des alertes que personne n’a le temps de lire, et un sentiment de protection qui coûte plus cher que l’absence d’outil.