Conformité 101 pour les PME : cadres, contrôles et preuves en termes simples

Un client vous demande si chaque employé se connecte avec une authentification multifactorielle (MFA). Votre responsable informatique répond oui, mais personne ne peut le prouver. Cet article explique les quatre mots derrière cette question et indique par où une petite entreprise devrait commencer.

Ce que signifient les mots

Une loi est une règle adoptée par un gouvernement. Elle dit ce que vous devez atteindre, pas comment y parvenir. La Loi 25 au Québec et la LPRPDE (PIPEDA), la loi fédérale sur la protection des renseignements personnels dans le secteur privé, en sont des exemples. Les manquements peuvent coûter cher.

Un cadre est une liste structurée de contrôles, regroupés par thème. Il décrit à quoi ressemble une bonne pratique. SOC 2, ISO/IEC 27001 et le NIST Cybersecurity Framework sont des cadres. Vous choisissez de les utiliser, en général parce qu’un client le demande ou parce que vous voulez un plan ordonné.

Un contrôle est une action que vous posez, encore et encore, pour réduire un risque. Par exemple : chaque personne qui se connecte au courriel utilise la MFA.

Une preuve démontre qu’un contrôle fonctionne. Il peut s’agir d’une exportation datée, d’un journal ou d’une fiche signée. Un auditeur n’accepte pas votre seule parole.

Pensez à une inspection alimentaire. La règle sanitaire dit que les aliments doivent être sûrs. Un guide de salubrité énumère les pratiques qui les rendent sûrs. Se laver les mains avant de cuisiner est un contrôle. Le registre des températures, rempli chaque jour, est la preuve.

Un exemple suivi : tout le monde utilise la MFA

Suivez un seul contrôle à travers ses trois parties.

• Le contrôle : chaque personne qui se connecte à votre courriel, à votre stockage de fichiers ou à vos outils financiers utilise la MFA. Une exception exige une raison écrite et un responsable désigné.
• La preuve : une exportation datée de votre service de connexion, qui liste chaque compte et indique si la MFA est activée, avec la liste des exceptions jointe.
• La question de l’auditeur : « Montrez-moi que chaque compte qui accède aux données clients utilise la MFA, et dites-moi comment vous savez qu’aucun compte n’a été oublié. »

La dernière question compte le plus. L’auditeur ne demande pas une seule capture d’écran. Il pose la question pour chaque compte, et demande comment vous savez que la liste est complète. Un contrôle sans preuve complète reste une promesse, pas une preuve.

La carte : six noms sur une seule page

Six noms reviennent le plus souvent.

La Loi 25 et la LPRPDE sont des lois. SOC 2, ISO/IEC 27001 et NIST CSF sont des cadres qui vous aident à organiser vos contrôles et à les démontrer. Le RGPD ne s’applique que si vous offrez des biens ou des services à des personnes dans l’Union européenne, ou si vous surveillez leur comportement.

SOC 2 existe en deux types. Le type I vérifie la conception de vos contrôles à un moment précis. Le type II vérifie si les contrôles ont fonctionné pendant une période, souvent de trois à 12 mois.

Réussir un audit selon un cadre ne prouve pas, à lui seul, que vous respectez la Loi 25. Associez d’abord chaque obligation légale à un contrôle, puis vérifiez ces contrôles selon le cadre choisi.

Pourquoi cela compte pour une PME

La Loi 25 prévoit des sanctions sérieuses. Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d’affaires mondial de l’exercice précédent, selon le montant le plus élevé.

Les amendes pénales peuvent atteindre 25 M$ ou 4 % du chiffre d’affaires mondial, selon le montant le plus élevé. Les personnes peuvent aussi vous poursuivre en dommages-intérêts, et des dommages punitifs s’appliquent aux atteintes intentionnelles ou causées par une négligence grossière.

Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, si cette loi s’applique à vous.

La LPRPDE ajoute une obligation de déclaration. Une atteinte aux mesures de sécurité qui présente un risque réel de préjudice grave doit être signalée au Commissariat à la protection de la vie privée du Canada et aux personnes touchées. Chaque atteinte doit être consignée, et le registre conservé pendant 24 mois.

Une perte de contrat est aussi un risque concret. Les grands clients exigent une preuve de conformité avant de signer, et un questionnaire sans preuve derrière les réponses ralentit la vente.

Comment choisir où commencer

Commencez par les lois qui vous visent. N’ajoutez un cadre que lorsqu’une demande réelle l’exige.

1. Listez les lois applicables. Une entreprise québécoise commence par la Loi 25. Si vous servez des personnes dans l’Union européenne, examinez aussi le RGPD. Demandez à votre conseiller comment la LPRPDE s’applique à vos flux de données.
2. Demandez à vos plus grands clients quelle preuve ils réclament. Leur réponse montre si SOC 2, ISO/IEC 27001 ou un autre rapport compte pour vos ventes.
3. Réglez d’abord les bases. Un bon premier ensemble de contrôles couvre l’authentification multifactorielle, le moindre privilège (chaque personne n’a que l’accès dont son travail a besoin), les correctifs de sécurité, des sauvegardes restaurées au moins une fois et un plan de réponse aux incidents. Ajoutez une formation de sensibilisation à la sécurité pour chaque employé.
4. Donnez à chaque contrôle un responsable et un endroit pour ses preuves. Un contrôle sans responsable ne fonctionne pas. Une preuve sans endroit précis se perd.
5. Fixez une date de révision pour chaque contrôle. Les preuves deviennent périmées. La date de révision vous indique quand les recueillir de nouveau.

Les erreurs courantes

• Recueillir des preuves que personne ne rattache à un contrôle. Un dossier de captures d’écran sans nom de contrôle sur chaque fichier. Quand l’auditeur demande la preuve de la MFA, personne ne sait quel fichier répond.
• Acheter une certification avant les bases. Une certification couvre le périmètre que l’auditeur a vérifié. Des mots de passe partagés ou des sauvegardes jamais restaurées peuvent rester ouverts à côté.
• Rédiger des politiques que personne ne suit. Une politique ne vaut comme contrôle que si les gens la suivent et que vous pouvez le démontrer.
• Adopter tout un cadre d’un seul coup. Commencez par les contrôles dont vos lois et vos clients ont besoin, puis élargissez la liste.

Comment NextIT vous aide

NextIT réunit ce travail en un seul endroit pour les entreprises du Québec et du Canada. L’évaluation de conformité couvre la Loi 25, la LPRPDE, ISO/IEC 27001, SOC 2 et d’autres cadres. Gestion des contrôles et Référentiel de preuves gardent chaque contrôle avec la preuve qui le soutient. Le Rapport de Conformité exporte vos résultats en PDF ou en CSV. Pour voir comment cela fonctionne avec vos propres contrôles, réservez une démonstration.