Quand une cyberattaque frappe, la plupart des PME perdent les premières heures à se demander qui appeler et quoi faire. Pourtant, ce sont ces heures qui décident de la facture. Nous avons rassemblé dans une trousse les documents que nous mettons en place chez nos clients. Elle est gratuite et prête à adapter.
9 documents, téléchargeables un à un : modifiables en Word et Excel, imprimables en PDF. Aucune inscription requise.
Voir la trousse ↓Pourquoi une trousse plutôt qu’un long rapport ?
Une PME n’a pas besoin d’un service de sécurité pour être bien préparée. Il lui faut quatre choses :
- des règles claires pour ses employés, puisque la majorité des attaques commencent par un courriel ou un appel ;
- un plan pour redémarrer après une panne, un sinistre ou un rançongiciel ;
- une marche à suivre quand ça arrive, y compris les obligations de la Loi 25 ;
- des preuves à montrer à l’assureur, qui ne se contente plus d’un questionnaire coché.
Chaque document de la trousse répond à l’un de ces besoins. Les éléments [entre crochets] sont à remplacer par les renseignements de votre entreprise.
Les documents de la trousse
Le guide de la trousse : quel document remplir, dans quel ordre, et le plan en quatre semaines.
Mots de passe et MFA, courriel, appareils personnels, IA, paiements, télétravail. Avec une page de signature pour chaque employé.
Systèmes essentiels, délais de reprise acceptables (RTO / RPO), sauvegardes, procédures de restauration et registre des tests.
Les six étapes de la réponse, les niveaux de gravité, la section Loi 25, qui aviser et le journal de l’incident.
Deux pages : ce que l’employé a vu, puis l’évaluation et les avis transmis par le responsable.
Appareils, logiciels et leur priorité, fournisseurs à appeler, comptes administrateurs. Sans aucun mot de passe.
Les colonnes exigées par le règlement, la date de fin de conservation calculée et une alerte si un avis à la CAI manque.
30 contrôles que vérifient les assureurs, la preuve à fournir pour chacun et votre taux de préparation.
Une affiche d’une page pour les postes de travail : ce qu’il faut faire et ne pas faire dans les 15 premières minutes.
Une page à imprimer et à garder hors du bureau : interne, fournisseurs, assureur, banque et autorités.
Le plan en quatre semaines
Inutile de tout faire d’un coup. Quelques heures réparties sur un mois suffisent.
- Contacts d’urgence
- Afficher les Premiers gestes
- Ouvrir le registre Loi 25
- Adapter et faire signer la politique
- Présenter le formulaire de signalement
- Remplir l’inventaire
- Compléter le plan de reprise
- Plan de réponse et exercice de 30 min
- Liste de contrôle de l’assureur
Les cinq protections que tout assureur vérifie
Les assureurs ne se contentent plus de réponses par oui ou non. Ils demandent des preuves, et un « non » sur l’un de ces points mène souvent à un refus, à une hausse de prime ou à une exclusion pour les rançongiciels.
- 1Double authentification (MFA) sur le courriel, les accès à distance et les comptes administrateurs.
- 2EDR (détection et réponse) sur tous les postes et serveurs. Un antivirus classique ne suffit plus.
- 3Sauvegardes immuables ou hors ligne, que le pirate ne peut pas effacer, testées au moins une fois par année.
- 4Une procédure de paiement : tout changement de coordonnées bancaires est confirmé par téléphone. Voir la fraude du président et la fraude à la paie.
- 5La formation des employés, au moins une fois par année.
Ce que la Loi 25 exige en cas d’incident
Depuis septembre 2022, toute entreprise québécoise, peu importe sa taille, doit :
- prendre des mesures pour réduire le risque de préjudice dès qu’elle a des motifs de croire qu’un incident touche des renseignements personnels ;
- inscrire tous les incidents dans un registre, même ceux sans conséquence grave, le conserver au moins cinq ans et le remettre à la Commission d’accès à l’information sur demande ;
- aviser avec diligence la Commission et les personnes concernées lorsque l’incident présente un risque de préjudice sérieux.
Le document 3 explique comment évaluer ce risque ; le classeur 6 sert de registre.
Besoin d’aide pour remplir la trousse ?
Nous pouvons évaluer votre environnement, remplir l’inventaire et la liste de contrôle de l’assureur avec vous, puis mettre en place les protections qui manquent.
À lire aussi : 12 étapes pour protéger votre entreprise en 2026 · Compte piraté : 5 étapes · Clés d’accès (passkeys)