La Loi modernisant des dispositions législatives en matière de protection des renseignements personnels, mieux connue sous le nom de Loi 25, a profondément transformé les obligations des entreprises et des organismes publics du Québec. Entrées en vigueur progressivement entre 2022 et 2024, ses dispositions exigent que toute organisation qui détient des renseignements personnels mette en place des mesures de sécurité « raisonnables » compte tenu de leur sensibilité.
Le mot « raisonnables » inquiète souvent les dirigeants : il ne s'accompagne d'aucune liste précise. Dans la pratique, il renvoie aux bonnes pratiques reconnues en cybersécurité. Voici sept mesures qui forment, selon notre expérience, le socle d'une posture défendable.
1. Savoir où se trouvent vos renseignements personnels
On ne protège bien que ce que l'on connaît. Un inventaire des renseignements personnels — quelles données, dans quels systèmes, accessibles par qui, conservées combien de temps — est la première étape. Cet inventaire sert aussi à appliquer les règles de conservation et de destruction prévues par la loi.
2. Activer l'authentification multifacteur partout où c'est possible
La compromission d'identifiants demeure l'un des premiers vecteurs d'intrusion. L'authentification multifacteur sur la messagerie, les accès à distance, les applications infonuagiques et les comptes administrateurs réduit considérablement ce risque, pour un coût modeste.
3. Appliquer le principe du moindre privilège
Chaque employé ne devrait accéder qu'aux renseignements nécessaires à ses fonctions. Revoir les droits d'accès au moins une fois par an, retirer rapidement ceux des employés qui quittent l'organisation et séparer les comptes d'administration des comptes courants sont des gestes simples et efficaces.
4. Maintenir les systèmes à jour et surveiller les postes
Les vulnérabilités connues et non corrigées restent une porte d'entrée privilégiée. Un processus de gestion des correctifs, combiné à une solution de détection et de réponse sur les postes de travail et les serveurs, permet de repérer et de contenir une attaque avant qu'elle ne se propage.
5. Préparer la gestion des incidents de confidentialité
La Loi 25 impose de tenir un registre des incidents de confidentialité et, lorsqu'un incident présente un risque de préjudice sérieux, d'aviser la Commission d'accès à l'information ainsi que les personnes concernées. Cela suppose une procédure écrite, des rôles définis et des exercices réguliers.
Bon à savoir
Les sanctions administratives pécuniaires prévues par la Loi 25 peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial pour les entreprises. Au-delà des sanctions, c'est la confiance de vos clients qui est en jeu.
6. Évaluer les facteurs relatifs à la vie privée
Tout projet d'acquisition, de développement ou de refonte d'un système impliquant des renseignements personnels doit faire l'objet d'une évaluation des facteurs relatifs à la vie privée. Intégrée tôt dans le projet, cette évaluation permet de concevoir la sécurité dès le départ plutôt que de la corriger après coup.
7. Former et sensibiliser les employés
La majorité des incidents comportent une composante humaine : courriel d'hameçonnage, mot de passe réutilisé, document envoyé au mauvais destinataire. Des formations courtes et régulières, complétées par des simulations d'hameçonnage, transforment vos employés en première ligne de défense.
Par où commencer ?
Pour la plupart des organisations, une évaluation de maturité selon un cadre reconnu comme le NIST CSF 2.0 constitue le meilleur point de départ. Elle dresse un portrait objectif de la situation et produit une feuille de route priorisée, que la direction peut suivre et présenter à son conseil d'administration.
La conformité n'est pas un projet ponctuel, mais un processus continu. Les organisations qui l'abordent comme un levier de confiance plutôt que comme une contrainte en retirent un avantage durable.