Parce que… c’est l’épisode 0x637!

Shameless plug

• 12 au 17 octobre 2025 - Objective by the sea v8
• 14 et 15 octobre 2025 - ATT&CKcon 6.0
• 14 et 15 octobre 2025 - Forum inCyber Canada
  • Code rabais de 30% - CA25KDUX92
• 4 et 5 novembre 2025 - FAIRCON 2025
• 8 et 9 novembre 2025 - DEATHcon
• 17 au 20 novembre 2025 - European Cyber Week
• 25 et 26 février 2026 - SéQCure 2026

Description

Ce troisième épisode d’une série consacrée aux PME prend la forme d’un quiz interactif entre Nicolas-Loïc Fortin et son invité Claude. L’objectif est d’aborder des questions fréquemment posées sur la cybersécurité et la protection des données, couvrant ainsi les angles qui n’ont peut-être pas été suffisamment explorés dans les épisodes précédents.

Le retour sur investissement en cybersécurité

La question du retour sur investissement en cybersécurité pour les PME n’appelle pas de réponse simple par oui ou non. La difficulté réside dans la mesure de ce retour, qui doit être proportionnel aux actifs à protéger. Les PME font face à des contraintes budgétaires importantes et doivent évaluer la menace réelle qui pèse sur elles.

L’intervenant illustre cette problématique par une anecdote d’une compagnie de transport qui devait protéger ses remorques contre les vols utilisant de l’azote liquide pour briser les cadenas. De la même façon, en informatique, les attaquants cherchent à « faire éclater le cadenas » pour voler le contenu. Actuellement, la plus grande menace pour les PME provient des rançongiciels, qui visent toutes les organisations, du cabinet dentaire aux entreprises de toutes tailles.

La stratégie de protection doit s’adapter au niveau d’information sensible détenue. Pour les entreprises sans données sensibles, de bonnes sauvegardes suffisent pour redémarrer après une attaque. Pour celles qui manipulent des informations personnelles, des mesures plus sophistiquées s’imposent. Heureusement, des solutions peu coûteuses existent, fournies par des spécialistes en PME. L’important est d’éviter les consultants de grande entreprise qui proposent des solutions disproportionnées et effrayantes, décourageant ainsi l’investissement en cybersécurité.

Solutions à petit budget

Contrairement aux idées reçues, la cybersécurité à petit budget est non seulement possible, mais peut être très efficace si elle est bien choisie. L’open source offre des solutions simples et accessibles. Avec l’accompagnement d’un expert, les PME peuvent trouver des solutions gratuites ou peu coûteuses adaptées à leurs besoins réels.

La clé consiste à définir ce qui est précieux pour l’entreprise, que cette valeur soit intrinsèque ou imposée par la loi. Les informations personnelles doivent être protégées par obligation légale, tout comme les numéros de cartes de crédit pour les commerçants, en vertu d’obligations contractuelles. De nombreuses solutions de qualité professionnelle peuvent être déployées par des passionnés de cybersécurité qui connaissent bien les besoins des PME.

Loi 25 versus cybersécurité

La question de la priorité entre la conformité à la Loi 25 et la cybersécurité suscite des débats. L’intervenant privilégie la conformité légale, car les obligations contractuelles et réglementaires ont préséance dans tous les cas. Cependant, se conformer à la Loi 25 apporte des bénéfices directs pour la cybersécurité, notamment l’obligation de créer un inventaire des données, qui constitue un avantage considérable pour la protection des informations.

L’ingénierie sociale : le maillon faible

Concernant les attaques par ingénierie sociale, le contexte représente un facteur plus déterminant que l’humain lui-même. Tous les humains peuvent être victimes d’hameçonnage, indépendamment de leur niveau de compétence. Lorsque le contexte nous prédispose à répondre automatiquement, nos défenses naturelles s’abaissent et nous agissons comme des « zombies », suivant le processus attendu sans questionnement.

L’intervenant partage son expérience personnelle d’avoir cliqué sur un lien d’hameçonnage de son propre employeur, soulignant l’importance du timing et du contexte. Des recherches montrent que les gens sont plus susceptibles de cliquer sur des liens malveillants en fin de journée. La vigilance doit être maintenue même dans des situations apparemment normales, bien que la fragilité humaine face au contexte rende cette tâche difficile.

L’authentification multifacteur : un minimum évolutif

L’authentification multifacteur (MFA) constitue désormais un standard minimum, popularisé par le télétravail pendant le confinement. Cependant, cette barrière de sécurité est déjà en train d’être dépassée par des attaquants créatifs. Le MFA par SMS, qui représentait un minimum viable pendant le confinement, n’est plus suffisant aujourd’hui.

Le MFA par application ou par clé physique représente maintenant le minimum requis pour tous les services, particulièrement ceux liés à l’argent. L’intervenant raconte comment, pendant son jogging matinal, il a reçu une alerte de sa banque concernant une tentative d’accès. Bien que le SMS ne soit pas la meilleure forme de MFA, cette deuxième barrière l’a alerté que son mot de passe avait été compromis. Il a immédiatement changé ses identifiants et activé une clé physique pour renforcer la sécurité.

Cette expérience souligne l’importance d’activer le MFA sur tous les services critiques : courriel, systèmes comptables comme Quickbooks, et tous les systèmes au cœur du fonctionnement de l’entreprise.

Gestionnaires de mots de passe

La question des voûtes de mots de passe suscite beaucoup d’émotions dans la communauté cybersécurité. Les puristes recommandent les gestionnaires de mots de passe, mais une analyse pragmatique s’impose. Un carnet de mots de passe dans le tiroir du bureau vaut mieux qu’une absence de protection ou qu’une voûte mal configurée que personne n’utilisera.

L’important reste d’avoir des mots de passe différents partout et d’activer le MFA, car le mot de passe seul ne constitue plus une barrière suffisante. Les voûtes modernes facilitent grandement la gestion des mots de passe et intègrent les nouvelles tendances comme l’authentification sans mot de passe.

Le modèle de menace doit être considéré : si les attaquants sont en Chine ou en Russie, le carnet dans le tiroir est relativement sûr. Si la menace provient d’employés internes, d’autres solutions s’imposent. Un mot de passe simple comme « soleil123 », même avec MFA, reste problématique car la première barrière est trop facilement franchissable.

Antivirus et protection moderne

Les antivirus classiques ne suffisent plus à protéger adéquatement contre les cyberattaques. Les solutions modernes, appelées antivirus de nouvelle génération ou EDR (détection et réponse sur les points terminaux), offrent des protections supplémentaires en détectant les comportements suspects plutôt que simplement les signatures de fichiers.

Pour les PME, des solutions intégrées comme Microsoft Defender for Endpoint constituent un bon compromis. Il faut éviter les antivirus gratuits, mais utiliser plutôt les outils de sécurité inclus dans les licences existantes de Microsoft 365 ou Google Workspace.

WiFi public : l’évolution de la sécurité

La sécurité des réseaux WiFi publics a considérablement évolué. Contrairement aux anciennes pratiques, utiliser un WiFi public n’est plus dangereux pour la majorité des utilisateurs. Depuis environ cinq ans, Google n’indexe plus les sites sans chiffrement de base, forçant les entreprises à améliorer leur sécurité. Les services modernes comme Microsoft 365, Outlook et les banques chiffrent toutes les communications.

Tant que l’appareil est à jour et qu’aucun message d’avertissement de certificat invalide n’apparaît, il n’y a aucun danger à utiliser un WiFi public pour des usages standard avec des services légitimes de grandes compagnies.

Infections par simple visite de site

Il est possible de s’infecter en visitant un site web sans cliquer sur quoi que ce soit. Les attaquants, qui travaillent sur ces méthodes à temps plein, sont très imaginatifs. La meilleure protection consiste à maintenir son navigateur constamment à jour. Les navigateurs comme Chrome, Edge et Brave se mettent à jour automatiquement à chaque redémarrage.

Les attaquants ont évolué au-delà des sites louches en infectant des publicités sur des sites légitimes. Les antivirus de nouvelle génération peuvent bloquer certaines de ces menaces, mais la mise à jour régulière du navigateur reste la meilleure défense.

Le rôle des dirigeants

Les dirigeants de PME portent la responsabilité ultime de la protection des renseignements personnels selon la loi. Dans toute organisation, les décisions de cybersécurité doivent venir du sommet. Sans l’engagement du plus haut dirigeant, aucune énergie réelle ne sera investie dans la cybersécurité.

Les dirigeants doivent porter le message de cybersécurité, allouer les ressources financières et humaines nécessaires, et favoriser une culture de protection des informations. Ils sont les seuls capables d’identifier ce qui est précieux dans l’entreprise : liste de clients, procédés de fabrication, propriété intellectuelle, ou tout autre avantage concurrentiel. Cette responsabilité s’étend au-delà des obligations légales pour protéger ce qui fait vraiment la différence de l’entreprise.

Conclusion

Ce podcast souligne l’importance de sensibiliser les PME à la cybersécurité, car elles constituent le tissu économique du Québec, du Canada et du monde entier. Chaque PME qui tombe sous une cyberattaque affecte l’ensemble de l’écosystème économique et social. La cybersécurité pour les PME doit être accessible, pragmatique et adaptée aux réalités budgétaires de ces organisations.

Collaborateurs

• Nicolas-Loïc Fortin
• Claude Mercier

Crédits

• Montage par Intrasecure inc
• Locaux réels par Intrasecure inc

Tag: quiz