Études de cas
Trois situations que nous rencontrons souvent
Ces scénarios types décrivent des entreprises fictives, construites à partir de situations courantes chez les PME du Québec. Ils montrent concrètement ce que nous cherchons, ce que nous trouvons et ce que nous corrigeons.
Scénarios types : les entreprises sont fictives. Dès que nos clients fondateurs nous y autorisent, de vraies études de cas viendront s’ajouter ici.
01 · Cabinet comptable Scénario type
Une fausse facture envoyée depuis la vraie adresse du cabinet
Laval · 18 employés · Microsoft 365
Pour aller plus loin
La situation
En pleine période des impôts, un client reçoit une demande de paiement qui semble venir de l’adresse exacte du cabinet. Il appelle avant de payer. L’associée veut comprendre comment c’est possible, et s’assurer que ça ne se reproduira pas.
Ce que l’audit révèle
- DMARC en mode surveillance : n’importe qui peut envoyer « depuis » le domaine.
- Quatre comptes sans authentification multifacteur, dont un administrateur.
- Une règle de transfert automatique vers une adresse externe, oubliée depuis un ancien employé.
Ce que nous faisons
- Audit éclair puis audit Microsoft 365 en lecture seule (2 jours).
- MFA pour tous, comptes administrateurs séparés, authentification héritée bloquée.
- DKIM pour tous les expéditeurs, puis DMARC jusqu’au rejet.
- Courte formation sur la fraude au virement pour l’équipe.
Le résultat visé
Le domaine ne peut plus être usurpé, les comptes sont protégés et le cabinet répond à son questionnaire d’assurance avec des réponses exactes.
02 · Clinique Scénario type
Des dossiers de patients et une seule copie de sauvegarde
Montréal · 12 employés · logiciel de gestion de clinique
Pour aller plus loin
La situation
La clinique change de logiciel de prise de rendez-vous et se demande ce que la loi exige pour les renseignements de santé. La gestionnaire veut un portrait clair, sans jargon.
Ce que l’audit révèle
- Sauvegardes sur un appareil branché au même réseau, jamais testées.
- Postes de la réception partagés avec un seul mot de passe commun.
- Aucun registre des incidents de confidentialité.
- Pas d’évaluation des facteurs relatifs à la vie privée pour le nouveau logiciel.
Ce que nous faisons
- Rencontre sur place d’une heure, puis audit organisationnel et technique.
- Comptes individuels et verrouillage automatique des postes.
- Copie de sauvegarde immuable et test de restauration.
- Registre des incidents et soutien à l’évaluation, avec le conseiller juridique de la clinique.
Le résultat visé
La clinique sait ce qui s’applique à elle, peut reprendre ses activités après un incident, et documente ses décisions.
03 · Manufacturier Scénario type
Un donneur d’ordres exige une certification de cybersécurité
Rive-Sud · 85 employés · ateliers et bureaux
Pour aller plus loin
La situation
Un client de l’aérospatiale annonce que ses fournisseurs devront démontrer leur niveau de cybersécurité dans les prochains contrats. Le directeur des opérations veut savoir où il en est et quoi faire en premier.
Ce que l’audit révèle
- Réseau des ateliers et réseau des bureaux non séparés.
- Accès à distance d’un fournisseur d’équipement toujours ouvert.
- Politiques de sécurité inexistantes ou non documentées.
Ce que nous faisons
- Analyse des écarts par rapport aux exigences du programme de certification visé.
- Test d’intrusion externe, avec autorisation écrite, puis contre-vérification.
- Plan de segmentation entre l’informatique de gestion et les équipements industriels.
- Rédaction des politiques de base et accompagnement mensuel.
Le résultat visé
Une feuille de route réaliste pour répondre aux exigences du client, avec des preuves documentées à chaque étape.
Votre situation ressemble à l’une de celles-ci ? Parlons-en.