Cybersécurité : les entreprises savent-elles comment se préparer ?

Technologia : Vous avez une expérience en cybersécurité assez vaste puisque vous avez travaillé pour des organismes internationaux, mais aussi provinciaux. Selon vous, les entreprises québécoises sont-elles conscientes des risques qu’elles courent ?

Benoit Tremblay : Malheureusement non, malgré les cas spectaculaires qui font régulièrement les manchettes des journaux. Tout le monde a entendu parler de fuite de données ou de systèmes bloqués par des rançongiciels, mais cela ne semble pas être suffisant pour réveiller les consciences.

Technologia : Pourquoi selon vous ?

Benoit Tremblay : C’est un mélange de facteurs. Cela va de « ma compagnie n’est pas assez grosse pour intéresser les pirates » à « quelqu’un dans l’organisation est surement en charge de ça ». Ce sont des fausses perceptions qui peuvent coûter cher. D’autant que le piratage n’est pas forcément spectaculaire, avec des milliers d’informations volées ou des rançons faramineuses exigées pour rétablir le fonctionnement des systèmes. Parfois, c’est simplement un concurrent étranger qui espionne vos processus pour sortir un produit identique au votre, à moindre coût puisqu’il aura économisé sur la R&D. Le carnet de commande se vide et c’est la faillite.

T : Est-ce que la cybersécurité est la responsabilité exclusive des T.I. ?

Benoit Tremblay : Absolument pas ! D’une part la mise en place de la loi 25 responsabilise l’équipe de direction au sens large, en particulier pour les PME. D’autre part, n’importe quel gestionnaire devrait être en mesure de poser les bonnes questions aux bonnes personnes pour se faire une tête sur l’état des lieux de la sécurité des données dans son entreprise, sans pour autant être un spécialiste.

T : C’est un mandat ambitieux et des responsabilités en plus. Comment les équipes de gestion ou de direction peuvent s’y préparer ?

Benoit Tremblay : En procédant avec méthode pour se faire un plan à haut niveau. Il ne s’agit pas tant de technologie, que de gouvernance, de formation des employés et de politiques mises en place dans les entreprises. Dans ma formation je mets les participants en situation « réelle » à partir d’un cas vécu. Cela leur donne les moyens d’identifier les faiblesses informatiques, d’établir les actions de prévention nécessaires, de les prioriser dans un plan d’action et d’assurer les suivis nécessaires… sans être des spécialistes informatiques !

Pour aller plus loin : 

Voir toutes les formations en Surveillance et sécurité

Photo Isaac Davis pour Unsplash