Lexique

Lexique de la cybersécurité

Les termes qu’on croise dans un rapport d’audit, une politique d’assurance ou la Loi 25, expliqués simplement, avec les termes français recommandés.

A

Analyse de vulnérabilités (scan) En anglais : Vulnerability scan: Examen automatisé de vos systèmes, à l'aide d'un outil appelé scanneur, qui recherche des failles connues : logiciels non à jour, services exposés sur Internet, mauvaises configurations. Il est rapide et peut être répété souvent, mais il ne vérifie pas si les failles sont réellement exploitables et produit des faux positifs. Il complète le test d'intrusion sans le remplacer. Lire le guide
Antivirus En anglais : Antivirus, anti-malware: Logiciel qui détecte, met en quarantaine ou supprime les codes malveillants sur un appareil, surtout en les comparant à des signatures de menaces connues. Windows et macOS en intègrent un, et les contrôles de base du Centre canadien pour la cybersécurité demandent qu'il se mette à jour et analyse les postes automatiquement. Il reste indispensable, mais repère mal un attaquant qui utilise un compte volé et des outils légitimes : c'est le rôle de l'EDR. Lire le guide
Assurance cyber En anglais : Cyber insurance: Police d'assurance qui couvre une partie des coûts d'une cyberattaque : enquête, restauration des systèmes, avis aux personnes touchées, interruption des affaires et, parfois, la fraude au virement (souvent sous une garantie distincte). Les assureurs exigent de plus en plus des mesures de base, comme l'authentification multifacteur et des sauvegardes hors ligne, qu'ils vérifient au moyen d'un questionnaire. Lire le guide
Attaque de la chaîne d'approvisionnement En anglais : Supply chain attack: Attaque qui atteint une organisation en passant par un fournisseur de confiance : une mise à jour de logiciel piratée, un fournisseur TI dont les outils d'administration à distance sont compromis, une bibliothèque de code infectée. La victime n'a rien fait de travers, mais elle hérite de la faiblesse de son fournisseur. D'où l'importance d'évaluer la sécurité de vos fournisseurs et de limiter leurs accès. Lire le guide
Attaque par force brute En anglais : Brute-force attack: Méthode qui consiste à essayer automatiquement un très grand nombre de mots de passe jusqu'à trouver le bon. Elle fonctionne surtout contre les mots de passe courts ou prévisibles, et contre les services exposés sur Internet sans limite de tentatives (bureau à distance, RPV, portail web). L'authentification multifacteur et le verrouillage après plusieurs échecs la rendent peu efficace. Lire le guide
Audit de cybersécurité En anglais : Cybersecurity audit: Évaluation structurée de la sécurité d'une organisation, qui combine entrevues, revue de documents et vérifications techniques (comptes, configurations, sauvegardes, réseau). Elle compare la situation aux bonnes pratiques reconnues et produit une liste de constats classés par priorité. Contrairement au test d'intrusion, l'audit ne cherche pas à exploiter les failles : il donne une vue d'ensemble. Lire le guide
Authentification multifacteur (AMF ou MFA) En anglais : Multi-factor authentication (MFA): Méthode de connexion qui exige au moins deux preuves d'identité de nature différente : ce que vous savez (mot de passe), ce que vous possédez (téléphone, clé de sécurité) ou ce que vous êtes (empreinte digitale). Un mot de passe volé ne suffit alors plus à entrer. Toutes les méthodes ne se valent pas : un code reçu par texto est plus facile à détourner qu'une clé FIDO2 ou une clé d'accès. Lire le guide
Authentification résistante à l'hameçonnage En anglais : Phishing-resistant MFA: Méthode d'authentification multifacteur qu'une fausse page de connexion ne peut ni intercepter ni relayer, parce qu'elle est liée cryptographiquement au vrai site. Les clés de sécurité FIDO2, les clés d'accès et Windows Hello for Business en sont des exemples. À l'inverse, un code reçu par texto ou une notification approuvée par réflexe peuvent être détournés par un fraudeur. Lire le guide
Authentification unique (SSO) En anglais : Single sign-on (SSO): Mécanisme qui permet de se connecter une seule fois, avec un compte central (par exemple Microsoft Entra ID ou un compte Google Workspace), pour accéder à plusieurs applications. Avantage : un seul compte à protéger par l'authentification multifacteur, et un seul accès à couper au départ d'un employé. En contrepartie, ce compte central devient très précieux et doit être particulièrement bien protégé. Lire le guide

B

BIMI En anglais : BIMI (Brand Indicators for Message Identification): Norme qui permet d'afficher le logo de votre entreprise à côté de vos courriels dans les messageries compatibles. Elle exige une politique DMARC appliquée (quarantaine ou rejet) et, chez plusieurs fournisseurs dont Gmail, un certificat de marque (VMC ou CMC). C'est un atout de reconnaissance de marque, pas une protection en soi. Lire le guide
Bourrage d'identifiants En anglais : Credential stuffing: Attaque qui réutilise, de façon automatisée et à grande échelle, des paires courriel et mot de passe volées lors de fuites sur d'autres sites. Elle exploite une habitude répandue : utiliser le même mot de passe partout. Un gestionnaire de mots de passe (un mot de passe unique par service) et l'authentification multifacteur la neutralisent en grande partie. Lire le guide

C

CAI (Commission d'accès à l'information) En anglais : Québec Access to Information Commission (CAI): Organisme québécois chargé de surveiller l'application des lois sur l'accès aux documents et sur la protection des renseignements personnels, dans les secteurs public et privé. C'est à elle qu'une entreprise déclare un incident de confidentialité qui présente un risque de préjudice sérieux. Elle peut enquêter, rendre des ordonnances et imposer des sanctions administratives pécuniaires. Lire le guide
Centre des opérations de sécurité (SOC) En anglais : Security operations centre (SOC): Équipe, interne ou externe, chargée de surveiller en continu la sécurité d'une organisation : analyser les alertes, enquêter et coordonner la réponse aux incidents. Peu de PME ont leur propre SOC; elles font plutôt appel à un fournisseur de services de sécurité gérés ou à un service de MDR. À ne pas confondre avec le rapport SOC 2, qui est une attestation d'audit. Lire le guide
Certificat SSL/TLS En anglais : SSL/TLS certificate: Fichier électronique, émis par une autorité de certification, qui prouve qu'un site correspond bien au domaine affiché et permet d'établir une connexion chiffrée TLS. Il a une date d'expiration : un certificat expiré déclenche un avertissement dans le navigateur et fait fuir les clients. La durée de validité maximale des certificats publics diminue par étapes depuis 2026, ce qui rend le renouvellement automatique pratiquement indispensable. Lire le guide
Cheval de Troie En anglais : Trojan horse: Logiciel malveillant déguisé en programme ou en fichier légitime : une fausse facture, un faux lecteur PDF, un logiciel « gratuit ». Une fois ouvert, il installe en arrière-plan un accès pour l'attaquant ou d'autres logiciels malveillants. Il ne se propage pas seul : c'est la victime qui l'exécute, souvent après un courriel d'hameçonnage. Lire le guide
Chiffrement En anglais : Encryption: Transformation de données au moyen d'une clé pour les rendre illisibles à quiconque ne possède pas la clé de déchiffrement. On chiffre les données au repos (disque d'un portable, sauvegardes) et en transit (TLS, RPV). Exemple : un portable volé dont le disque est chiffré avec BitLocker ou FileVault ne livre pas les fichiers qu'il contient. Lire le guide
Clé d'accès En anglais : Passkey: Moyen de connexion sans mot de passe fondé sur la norme FIDO2 : une paire de clés cryptographiques dont la clé privée reste sur votre appareil ou dans votre gestionnaire de mots de passe, déverrouillée par votre empreinte, votre visage ou votre NIP. Elle ne peut être ni devinée ni remise à un faux site. C'est le terme retenu par l'OQLF pour l'anglais passkey. Lire le guide
Compromission de courriel d'affaires (BEC) En anglais : Business email compromise (BEC): Famille de fraudes où l'attaquant utilise un vrai compte de courriel piraté, ou une adresse qui l'imite, pour détourner des paiements ou obtenir des renseignements. La fraude du président et la fraude au changement de coordonnées bancaires en sont les variantes les plus connues. Le sigle BEC vient de l'anglais business email compromise. Lire le guide
Contrôles CIS En anglais : CIS Controls: Liste priorisée de 18 contrôles de sécurité publiée par le Center for Internet Security, un organisme américain sans but lucratif. Les mesures sont réparties en trois groupes de mise en œuvre (IG1 à IG3); le groupe IG1 correspond à l'hygiène de base recommandée pour toute organisation, PME comprises. La version 8.1 est parue en 2024. Lire le guide
Contrôles de cybersécurité de base En anglais : Baseline cyber security controls: Ensemble de mesures prioritaires publié par le Centre canadien pour la cybersécurité à l'intention des petites et moyennes organisations : plan de réponse aux incidents, correctifs automatiques, protection contre les logiciels malveillants, sauvegardes, authentification forte, formation des employés, etc. Ils constituent un point de départ réaliste et servent de fondement au programme CyberSécuritaire Canada. Lire le guide
CPCSC (Programme canadien de certification en cybersécurité) En anglais : Canadian Program for Cyber Security Certification (CPCSC): Programme fédéral de certification destiné aux fournisseurs qui veulent obtenir ou conserver certains contrats de défense. Le niveau 1, offert depuis le 1er avril 2026, repose sur une autoévaluation annuelle de 13 exigences; le niveau 2 exige une évaluation par un organisme accrédité et le niveau 3, une évaluation par la Défense nationale, tous deux aux trois ans. Il est exigé dans certains contrats depuis l'été 2026, ce qui touche notamment la chaîne d'approvisionnement aérospatiale québécoise. Lire le guide
CSP (politique de sécurité du contenu) En anglais : Content Security Policy (CSP): En-tête de sécurité qui indique au navigateur de quelles sources un site a le droit de charger des scripts, des images ou des feuilles de style. Si un attaquant réussit à injecter du code dans une page (attaque par script intersites), le navigateur refuse de l'exécuter. Elle protège particulièrement les pages de paiement et les formulaires contre le vol de données. Lire le guide
CVE En anglais : CVE (Common Vulnerabilities and Exposures): Identifiant public unique attribué à une vulnérabilité connue, sous la forme CVE-année-numéro; par exemple, CVE-2021-44228 désigne la faille Log4Shell. Le programme CVE, exploité par l'organisme MITRE, permet aux éditeurs, aux outils et aux rapports d'audit de parler exactement de la même faille. Avec un numéro CVE, vous pouvez vérifier rapidement si un correctif existe. Lire le guide
CVSS En anglais : CVSS (Common Vulnerability Scoring System): Système de notation, publié par l'organisation FIRST, qui attribue à une vulnérabilité une note de gravité de 0 à 10 (faible, moyenne, élevée ou critique). La version 4.0 date de novembre 2023. La note de base ignore votre contexte : une faille « critique » sur un serveur isolé peut être moins urgente qu'une faille « moyenne » exposée sur Internet. Lire le guide
CyberSécuritaire Canada En anglais : CyberSecure Canada: Programme fédéral volontaire de certification en cybersécurité destiné aux PME. L'entreprise met en place un ensemble de contrôles de base, puis se fait évaluer par un organisme de certification tiers accrédité par le Conseil canadien des normes. La certification lui permet de démontrer un niveau de sécurité de base à ses clients et partenaires. Lire le guide

D

Déni de service (DoS et DDoS) En anglais : Denial of service (DoS, DDoS): Attaque qui vise à rendre un site, un service ou un réseau indisponible en le submergeant de requêtes. Quand le trafic provient de milliers d'appareils piratés en même temps, on parle de déni de service distribué (DDoS). Pour une boutique en ligne, l'effet est direct : plus de ventes tant que dure l'attaque. Les hébergeurs et les réseaux de diffusion de contenu (CDN) offrent des protections. Lire le guide
DKIM En anglais : DKIM (DomainKeys Identified Mail): Signature numérique ajoutée à chaque courriel envoyé, vérifiable grâce à une clé publique publiée dans le DNS du domaine. Elle prouve que le message a été autorisé par le domaine signataire et qu'il n'a pas été modifié en chemin. Chaque service qui envoie des courriels au nom de votre entreprise (Microsoft 365, infolettre, facturation) doit être configuré pour signer. Lire le guide
DMARC En anglais : DMARC (Domain-based Message Authentication, Reporting and Conformance): Enregistrement DNS qui indique aux serveurs destinataires quoi faire d'un courriel qui prétend venir de votre domaine mais échoue aux vérifications SPF et DKIM : le laisser passer (p=none), le mettre en quarantaine (p=quarantine) ou le rejeter (p=reject). Il permet aussi de recevoir des rapports sur qui envoie des courriels en votre nom. C'est la principale protection contre l'usurpation de votre domaine. Lire le guide
Double extorsion En anglais : Double extortion: Tactique de rançongiciel qui consiste à voler les données avant de les chiffrer, pour exercer deux pressions : payer pour retrouver l'accès, et payer pour éviter la publication. Même si vos sauvegardes vous permettent de tout restaurer, la fuite demeure. Lorsque des renseignements personnels sont touchés, c'est aussi un incident de confidentialité au sens de la Loi 25. Lire le guide

E

Échange de carte SIM En anglais : SIM swapping: Fraude où un criminel convainc l'opérateur de téléphonie de transférer votre numéro de cellulaire sur une carte SIM qu'il contrôle, souvent en se faisant passer pour vous. Il reçoit alors vos appels et vos textos, y compris les codes de connexion et de réinitialisation de mot de passe. C'est l'une des raisons pour lesquelles le texto est la méthode d'authentification multifacteur la plus faible. Demandez à votre opérateur d'ajouter un NIP ou un mot de passe à votre compte. Lire le guide
EDR (détection et réponse sur les terminaux) En anglais : EDR (endpoint detection and response): Logiciel de sécurité installé sur les postes et les serveurs qui surveille en continu leur comportement (processus, connexions, modifications de fichiers) pour détecter une attaque, isoler l'appareil et aider à l'enquête. Contrairement à l'antivirus traditionnel, qui repose surtout sur des signatures, il peut repérer une activité anormale même sans logiciel malveillant connu. Encore faut-il que quelqu'un surveille ses alertes. Lire le guide
EFVP (évaluation des facteurs relatifs à la vie privée) En anglais : Privacy impact assessment (PIA): Analyse, exigée par la Loi 25, des risques qu'un projet fait courir aux renseignements personnels et des mesures pour les réduire. Elle est obligatoire notamment pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels (art. 3.3), et avant de communiquer de tels renseignements à l'extérieur du Québec. Exemple : le remplacement de votre logiciel de paie ou de dossiers clients. Lire le guide
Équipe rouge (red team) En anglais : Red team: Exercice d'attaque réaliste et prolongé, mené par une équipe qui imite un groupe criminel avec un objectif précis (par exemple, atteindre les données de paie), en combinant moyens informatiques, physiques et psychologiques. Il teste aussi la capacité de l'organisation à détecter l'attaque et à réagir. Il convient surtout aux organisations déjà matures; pour la plupart des PME, un test d'intrusion ciblé est plus utile. Lire le guide
Exercice sur table En anglais : Tabletop exercise: Exercice de discussion où la direction et les personnes clés parcourent, autour d'une table, un scénario de cyberattaque fictif : qui décide de débrancher les systèmes, qui appelle l'assureur, qui avise la CAI ? Aucun système n'est touché. Le Centre canadien pour la cybersécurité recommande ce type d'exercice pour que chacun connaisse son rôle, et des scénarios gratuits existent, comme Exercise in a Box du NCSC britannique (en anglais). Lire le guide
Exfiltration de données En anglais : Data exfiltration: Transfert non autorisé de données hors de l'organisation, par exemple vers un service de stockage contrôlé par l'attaquant. C'est souvent l'étape qui précède le chiffrement dans une attaque par rançongiciel. Si des renseignements personnels sont touchés, il s'agit d'un incident de confidentialité à évaluer et à consigner selon la Loi 25. Lire le guide

F

FIDO2 En anglais : FIDO2: Norme d'authentification ouverte, élaborée par l'Alliance FIDO et le W3C (WebAuthn), qui remplace ou complète le mot de passe par une preuve cryptographique. Elle est utilisée par les clés de sécurité physiques, qui se branchent en USB ou s'approchent du téléphone, et par les clés d'accès. Comme la preuve est liée au site légitime, elle résiste à l'hameçonnage. Lire le guide
Fin de support En anglais : End of support (end of life): Date à partir de laquelle l'éditeur ne publie plus de correctifs de sécurité pour un produit. Par exemple, Windows 10 a atteint sa fin de support le 14 octobre 2025; des mises à jour de sécurité étendues payantes existent, pour une durée limitée. Un système en fin de support accumule des failles qui ne seront jamais corrigées. Lire le guide
Formation de sensibilisation à la cybersécurité En anglais : Security awareness training: Activités qui apprennent aux employés à reconnaître les menaces courantes (hameçonnage, fraude au virement, mots de passe faibles) et à signaler un incident. Le Centre canadien pour la cybersécurité recommande une formation de base pour tous, des exercices pratiques, des modules adaptés aux rôles et des registres individuels de formation. Le NCSC britannique juge des rappels courts et fréquents plus efficaces qu'une seule séance par année. Lire le guide
Fournisseur de services de sécurité gérés (MSSP) En anglais : Managed security service provider (MSSP): Entreprise spécialisée dans les services de sécurité gérés : surveillance continue (SOC), gestion des pare-feu, de l'EDR ou du SIEM, analyse des vulnérabilités. Un MSSP complète souvent un MSP, qui gère l'informatique au quotidien sans nécessairement avoir une expertise poussée en sécurité. Le contrat doit préciser qui fait quoi quand une alerte survient la nuit ou la fin de semaine. Lire le guide
Fournisseur de services gérés (MSP) En anglais : Managed service provider (MSP): Entreprise qui gère à distance, généralement contre un forfait mensuel, tout ou partie de l'informatique d'une organisation : postes, serveurs, Microsoft 365, réseau, soutien aux utilisateurs. Elle détient souvent des accès administrateur très étendus chez tous ses clients, ce qui en fait une cible de choix pour les attaquants. Ses propres pratiques de sécurité méritent donc d'être vérifiées. Lire le guide
Fraude au changement de coordonnées bancaires En anglais : Vendor banking change fraud: Fraude où un faux fournisseur, ou un vrai fournisseur dont la boîte de courriel a été piratée, annonce un « nouveau compte bancaire » pour ses prochaines factures. Les paiements suivants partent chez le fraudeur, souvent sans que personne s'en aperçoive avant la relance du vrai fournisseur. Toute modification de coordonnées bancaires devrait être confirmée par téléphone, à un numéro déjà au dossier. Lire le guide
Fraude du président En anglais : CEO fraud: Arnaque où un fraudeur se fait passer pour un dirigeant de l'entreprise, par courriel ou par téléphone, et demande à un employé un virement urgent et confidentiel. Exemple : « Je suis en réunion, peux-tu payer ce fournisseur avant 15 h? N'en parle à personne. » La parade : toute demande de paiement inhabituelle se confirme par un autre moyen, à un numéro déjà connu. Lire le guide

G

Gestion des correctifs En anglais : Patch management: Processus qui consiste à repérer, tester et installer les mises à jour de sécurité des systèmes d'exploitation, des logiciels, des équipements réseau et des micrologiciels, dans des délais fixés selon la gravité. Beaucoup d'attaques exploitent des failles pour lesquelles un correctif existait déjà. Une politique écrite précise qui s'en occupe et en combien de temps. Lire le guide
Gestionnaire de mots de passe En anglais : Password manager: Logiciel qui crée, mémorise et remplit automatiquement des mots de passe longs et uniques pour chaque service, le tout protégé par un mot de passe principal et l'authentification multifacteur. En entreprise, il permet aussi de partager des accès de façon contrôlée et de les retirer au départ d'un employé. Il élimine la réutilisation des mots de passe, qui alimente le bourrage d'identifiants. Lire le guide

H

Hameçonnage En anglais : Phishing: Message frauduleux (courriel, texto, appel) qui imite une organisation de confiance pour vous faire cliquer sur un lien, ouvrir une pièce jointe ou fournir vos identifiants. Exemple : un faux avis de remboursement ou de livraison qui mène à une page imitant la connexion Microsoft 365. C'est l'une des portes d'entrée les plus fréquentes des cyberattaques contre les PME. Lire le guide
Hameçonnage par code QR En anglais : Quishing (QR code phishing): Hameçonnage qui cache le lien malveillant dans un code QR plutôt que dans un lien cliquable : dans un courriel, une pièce jointe PDF ou sur une fausse étiquette collée par-dessus la vraie (borne de stationnement, menu, facture). Le code se balaie avec un téléphone, où l'adresse réelle est plus difficile à vérifier et où les protections de l'ordinateur du bureau ne s'appliquent pas toujours. Avant de saisir un mot de passe ou de payer après un balayage, vérifiez l'adresse affichée. Lire le guide
Hameçonnage par texto En anglais : Smishing (SMS phishing): Hameçonnage envoyé par texto plutôt que par courriel. Les messages imitent souvent un service de livraison, une banque ou un organisme public et pressent la victime de cliquer sur un lien. Sur un téléphone, l'adresse réelle du lien est plus difficile à vérifier, ce qui rend l'arnaque efficace. Lire le guide
Hameçonnage vocal En anglais : Vishing (voice phishing): Hameçonnage par appel téléphonique ou message vocal. Le fraudeur se fait passer, par exemple, pour le soutien technique de votre fournisseur TI ou pour votre banque, afin d'obtenir un code d'authentification ou de vous faire installer un logiciel d'accès à distance. Les outils d'intelligence artificielle permettent désormais d'imiter la voix d'une personne connue. Lire le guide
Harponnage (hameçonnage ciblé) En anglais : Spear phishing: Hameçonnage personnalisé qui vise une personne ou une organisation précise, à partir de renseignements recueillis à l'avance : nom du patron, fournisseurs, projets en cours. Le message est donc beaucoup plus crédible qu'un envoi de masse. Exemple : un courriel adressé nommément à la contrôleuse, qui reprend le nom d'un vrai fournisseur et le numéro d'une facture réelle. Lire le guide
HSTS En anglais : HSTS (HTTP Strict Transport Security): En-tête de sécurité qu'un site envoie au navigateur pour lui dire : à l'avenir, connecte-toi à moi uniquement en https. Il empêche une attaque qui forcerait une connexion non chiffrée, par exemple sur un Wi-Fi public. On le configure en indiquant une durée (max-age) et, au besoin, en l'étendant aux sous-domaines. Lire le guide
Hypertrucage En anglais : Deepfake: Contenu audio, vidéo ou photo fabriqué ou modifié par l'intelligence artificielle pour imiter de façon très réaliste le visage ou la voix d'une personne réelle. En entreprise, le risque le plus concret est l'appel ou le message vocal d'un faux dirigeant qui exige un virement urgent. La parade est surtout une procédure : toute demande de paiement inhabituelle se confirme par un autre canal, à un numéro déjà connu. C'est le terme recommandé par l'OQLF pour l'anglais deepfake. Lire le guide

I

Incident de confidentialité En anglais : Confidentiality incident (privacy breach): Selon la Loi 25, tout accès, toute utilisation ou toute communication d'un renseignement personnel non autorisés par la loi, ainsi que sa perte ou toute autre atteinte à sa protection. Exemples : un fichier de clients envoyé au mauvais destinataire, un portable volé, une boîte de courriel piratée. Chaque incident doit être consigné au registre; ceux qui présentent un risque de préjudice sérieux doivent aussi être déclarés. Lire le guide
Informatique industrielle (OT) En anglais : Operational technology (OT): Systèmes qui pilotent des équipements physiques : automates programmables, machines à commande numérique, systèmes de supervision, contrôle du bâtiment. Ils restent souvent en service pendant des décennies et ne peuvent pas être mis à jour aussi facilement qu'un poste de bureau. D'où l'importance de les séparer du réseau de gestion (TI). Lire le guide
ISO/IEC 27001 En anglais : ISO/IEC 27001: Norme internationale qui définit les exigences d'un système de management de la sécurité de l'information (SMSI) : appréciation des risques, politiques, mesures de sécurité et amélioration continue. Une organisation peut se faire certifier par un organisme accrédité, avec des audits de surveillance annuels et un renouvellement aux trois ans. La version en vigueur date de 2022 et son annexe A compte 93 mesures. Lire le guide

J

Journalisation En anglais : Logging: Enregistrement automatique des événements d'un système : connexions, modifications de configuration, accès aux fichiers, alertes. Les journaux permettent de détecter une intrusion et de reconstituer ce qui s'est passé. Encore faut-il qu'ils soient activés, conservés assez longtemps et protégés contre l'effacement : par défaut, certains services les gardent peu de temps. Lire le guide

L

Logiciel espion En anglais : Spyware: Logiciel malveillant qui observe discrètement l'activité d'un appareil : frappes au clavier, mots de passe, captures d'écran, historique de navigation. Les renseignements recueillis sont transmis à l'attaquant, qui s'en sert pour accéder à vos comptes ou les revend. Il arrive souvent par une pièce jointe, une fausse application ou un logiciel téléchargé hors des sources officielles. Lire le guide
Logiciel malveillant (maliciel) En anglais : Malware: Terme général qui désigne tout logiciel conçu pour nuire : voler des données, espionner, chiffrer des fichiers ou prendre le contrôle d'un appareil. Les virus, chevaux de Troie, logiciels espions et rançongiciels en font partie. L'OQLF accepte aussi le terme « maliciel ». Lire le guide
Loi 25 En anglais : Law 25 (Québec): Nom courant de la loi québécoise adoptée en 2021 pour moderniser la protection des renseignements personnels; elle a notamment modifié la Loi sur la protection des renseignements personnels dans le secteur privé. Entrées en vigueur par phases de 2022 à 2024, ses obligations comprennent la désignation d'un responsable, la gestion des incidents de confidentialité et les EFVP. Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial. Validez votre situation avec votre conseiller juridique. Lire le guide
LPCCE (projet de loi C-8) En anglais : CCSPA (Bill C-8): Loi sur la protection des cybersystèmes essentiels, qui forme la partie 2 du projet de loi fédéral C-8, sanctionné le 15 juin 2026. Elle vise les exploitants désignés en finance, télécommunications, énergie et transport, qui devront notamment tenir un programme de cybersécurité, gérer les risques liés à leurs fournisseurs et déclarer certains incidents. En septembre 2026, elle n'était pas encore en vigueur et doit être mise en œuvre par phases; leurs fournisseurs pourraient voir apparaître de nouvelles exigences contractuelles. Validez votre situation avec votre conseiller juridique. Lire le guide
LPRPDE En anglais : PIPEDA: Loi sur la protection des renseignements personnels et les documents électroniques, la loi fédérale qui encadre les renseignements personnels dans le secteur privé au Canada. Au Québec, la loi provinciale s'applique à la plupart des entreprises pour leurs activités dans la province, mais la LPRPDE vise notamment les entreprises de compétence fédérale (banques, télécommunications, transport interprovincial) et les renseignements communiqués hors de la province. En cas d'atteinte présentant un risque réel de préjudice grave, elle exige un avis au Commissariat à la protection de la vie privée du Canada. Validez votre situation avec votre conseiller juridique. Lire le guide

M

MDR (détection et réponse gérées) En anglais : MDR (managed detection and response): Service où une équipe externe surveille vos outils de détection (souvent un EDR ou un XDR) jour et nuit, analyse les alertes et intervient en cas d'attaque, par exemple en isolant un poste. C'est une façon pour une PME d'obtenir une surveillance continue sans bâtir sa propre équipe. Vérifiez ce qui est inclus : certains services ne font qu'alerter, d'autres agissent. Lire le guide
Modèle de responsabilité partagée En anglais : Shared responsibility model: Principe selon lequel le fournisseur infonuagique (Microsoft, Google, etc.) est responsable de son infrastructure, mais le client reste responsable de ses données, de ses comptes et de leur configuration. Concrètement, Microsoft 365 assure la disponibilité du service, mais la protection contre une suppression par erreur, un compte piraté ou un rançongiciel relève en bonne partie de vous. Lire le guide
Mouvement latéral En anglais : Lateral movement: Après une première intrusion, souvent un poste piraté par hameçonnage, l'attaquant se déplace d'un ordinateur à l'autre pour atteindre les serveurs, les sauvegardes ou les comptes administrateurs. C'est cette étape qui transforme un incident isolé en paralysie générale. La segmentation du réseau et des comptes administrateurs distincts le freinent. Lire le guide
MTA-STS En anglais : MTA-STS (Mail Transfer Agent Strict Transport Security): Mécanisme qui permet à votre domaine d'exiger que les courriels qui vous sont envoyés soient transmis par une connexion TLS chiffrée et vérifiée. Sans lui, un attaquant placé sur le chemin pourrait forcer une transmission en clair. Il se configure avec un enregistrement DNS et un petit fichier de politique publié sur un sous-domaine web; il est souvent accompagné de TLS-RPT, qui envoie des rapports d'échec.

N

NAS (stockage en réseau) En anglais : Network-attached storage (NAS): Appareil de stockage branché au réseau du bureau, souvent utilisé pour partager des fichiers ou recevoir les sauvegardes des postes et des serveurs. Il permet des restaurations rapides, mais le Centre canadien pour la cybersécurité prévient que les attaquants peuvent le viser et que les rançongiciels peuvent s'y propager. Un NAS ne doit donc jamais détenir la seule copie : gardez-en une hors site, hors ligne ou immuable, et administrez-le avec un compte distinct. Lire le guide
NIST CSF (cadre de cybersécurité du NIST) En anglais : NIST Cybersecurity Framework (CSF): Cadre de cybersécurité publié par le NIST, l'institut américain des normes et de la technologie, et largement utilisé hors des États-Unis. La version 2.0, parue en février 2024, regroupe les activités en six fonctions : gouverner, identifier, protéger, détecter, répondre et rétablir. Il ne mène à aucune certification : c'est un outil pour évaluer sa maturité et prioriser ses efforts. Lire le guide

O

OWASP Top 10 En anglais : OWASP Top 10: Liste de référence des dix grandes catégories de risques de sécurité des applications web, publiée par la fondation OWASP, un organisme sans but lucratif. L'édition 2025 place le contrôle d'accès défaillant au premier rang et ajoute notamment les défaillances de la chaîne d'approvisionnement logicielle. C'est un document de sensibilisation et un point de départ pour tester une application web, pas une norme de certification. Lire le guide

P

Pare-feu (coupe-feu) En anglais : Firewall: Équipement ou logiciel qui filtre le trafic entre deux réseaux, par exemple entre Internet et le réseau du bureau, selon des règles définies. Les pare-feu dits de nouvelle génération ajoutent l'inspection des applications, le filtrage web et la prévention des intrusions. L'OQLF accepte aussi « coupe-feu » et déconseille l'emprunt firewall. Lire le guide
Pare-feu applicatif Web (WAF) En anglais : Web application firewall (WAF): Filtre placé devant un site ou une application web qui bloque les requêtes malveillantes connues, comme les injections SQL ou les tentatives d'exploitation de failles courantes. Il est souvent offert par l'hébergeur ou le réseau de diffusion de contenu (CDN). Il réduit le risque, mais ne remplace pas la correction des vulnérabilités de l'application elle-même. Lire le guide
Passerelle de paiement En anglais : Payment gateway: Service qui transmet de façon sécurisée les données de carte saisies sur un site transactionnel ou un terminal jusqu'au réseau de paiement, puis renvoie l'autorisation. Quand la page de paiement est entièrement hébergée par la passerelle, par redirection ou formulaire intégré, les numéros de carte ne transitent pas par vos serveurs, ce qui allège vos obligations PCI DSS. Votre site doit tout de même rester protégé : un pirate qui le modifie peut envoyer vos clients vers une fausse page de paiement. Lire le guide
PCI DSS En anglais : PCI DSS (Payment Card Industry Data Security Standard): Norme de sécurité des données de l'industrie des cartes de paiement, établie par le PCI Security Standards Council. Elle s'applique à toute entreprise qui accepte, traite, stocke ou transmet des données de cartes de marques comme Visa, Mastercard ou American Express. La version en vigueur est la 4.0.1; les exigences à respecter dépendent du volume de transactions et de la façon dont les paiements sont traités (terminal, page de paiement hébergée, etc.). Lire le guide
Piratage psychologique (ingénierie sociale) En anglais : Social engineering: Ensemble de techniques qui manipulent les gens plutôt que les machines : se faire passer pour un collègue, un fournisseur ou le soutien technique, créer un sentiment d'urgence, flatter ou intimider. Le but est d'obtenir un mot de passe, un virement ou un accès. L'OQLF privilégie « piratage psychologique »; « ingénierie sociale », calqué sur l'anglais, est très répandu mais déconseillé. Lire le guide
Plan de continuité des affaires (PCA) En anglais : Business continuity plan (BCP): Plan qui décrit comment l'entreprise continue de servir ses clients pendant une interruption majeure, cyberattaque comprise : activités prioritaires, solutions de rechange manuelles, communications, fournisseurs essentiels. Le Centre canadien pour la cybersécurité, qui parle de plan de continuité des activités, le décrit comme le plan qui permet de reprendre rapidement les opérations les plus critiques. Le plan de reprise informatique en est le volet technique. Lire le guide
Plan de réponse aux incidents En anglais : Incident response plan: Document qui prévoit, avant qu'un incident survienne, qui fait quoi : qui appeler (fournisseur TI, assureur, conseiller juridique), comment isoler les systèmes, comment communiquer et quelles déclarations faire. Pour une PME, il tient en quelques pages. Gardez-en une copie imprimée, puisque le réseau peut être en panne, et testez-le lors d'un exercice au moins une fois par année. Lire le guide
Plan de reprise informatique En anglais : IT recovery plan, disaster recovery plan (DRP): Volet technique du plan de continuité : il recense les données, les applications et les processus critiques, l'ordre dans lequel les rétablir et les sauvegardes à utiliser. Il fixe pour chaque système un objectif de délai de rétablissement (RTO) et un objectif de point de rétablissement (RPO). Le Centre canadien pour la cybersécurité insiste sur les tests, idéalement dans un environnement distinct pour ne pas interrompre les activités : un plan jamais testé réserve des surprises. Lire le guide
Plugiciel (module d'extension) En anglais : Plugin, plug-in: Élément logiciel ajouté à une application, comme WordPress, pour lui donner une fonction de plus : formulaire, boutique, référencement, réservation. WordPress l'appelle « extension ». Chaque plugiciel est du code écrit par un tiers, avec ses propres failles et son propre rythme de mises à jour : un plugiciel abandonné par son auteur ou laissé sans correctifs peut ouvrir une brèche dans tout le site. Gardez seulement ceux dont vous avez besoin et tenez-les à jour. C'est le terme recommandé par l'OQLF. Lire le guide
Politique de sécurité de l'information En anglais : Information security policy: Document approuvé par la direction qui fixe les règles de l'entreprise en matière de sécurité : mots de passe et MFA, appareils personnels, sauvegardes, gestion des accès, signalement des incidents. Elle sert de référence aux employés et aux fournisseurs, et elle est souvent demandée par les assureurs et les clients. Quelques pages claires valent mieux qu'un long document que personne ne lit. Lire le guide
Principe du moindre privilège En anglais : Principle of least privilege: Règle selon laquelle chaque personne, compte ou logiciel ne reçoit que les accès strictement nécessaires à sa tâche, et seulement pour le temps nécessaire. Exemple : la réception n'a pas accès aux dossiers de paie, et personne ne travaille au quotidien avec un compte administrateur. Si un compte est piraté, les dégâts restent limités. Lire le guide
Prise de contrôle de compte En anglais : Account takeover: Situation où un attaquant obtient l'accès à un compte légitime (courriel, réseau social, banque en ligne) et l'utilise comme s'il en était le titulaire. Les causes habituelles : mot de passe volé ou réutilisé, absence d'authentification multifacteur, jeton de session dérobé. Le compte piraté sert ensuite à tromper ses contacts, qui font confiance à l'expéditeur. Lire le guide
Programme de primes aux bogues En anglais : Bug bounty program: Programme par lequel une organisation invite des chercheurs en sécurité à trouver des vulnérabilités dans ses systèmes, contre une récompense souvent proportionnelle à la gravité. Il repose sur des règles claires (périmètre, méthodes permises) et passe souvent par une plateforme spécialisée. L'OQLF privilégie « prime aux bogues » ou « prime de bogues » plutôt que bug bounty. Lire le guide
Protocole de bureau à distance (RDP) En anglais : Remote Desktop Protocol (RDP): Protocole de Microsoft qui permet de prendre le contrôle d'un ordinateur Windows à distance. Exposé directement sur Internet, il est une cible classique des attaques par force brute et des groupes de rançongiciel. Il ne devrait être accessible qu'au travers d'un RPV ou d'une solution ZTNA, avec authentification multifacteur. Lire le guide

R

Rançongiciel En anglais : Ransomware: Logiciel malveillant qui chiffre les fichiers et les systèmes d'une organisation, puis exige une rançon en échange de la clé de déchiffrement. Beaucoup de groupes volent aussi les données avant de les chiffrer et menacent de les publier. Des sauvegardes hors ligne ou immuables, testées régulièrement, sont la meilleure assurance de pouvoir redémarrer sans payer. Lire le guide
Registre des incidents de confidentialité En anglais : Confidentiality incident register: Registre que toute entreprise assujettie à la Loi 25 doit tenir pour consigner tous ses incidents de confidentialité, même ceux qui ne présentent pas de risque de préjudice sérieux (art. 3.8). On y décrit notamment les renseignements touchés, les circonstances, l'évaluation du risque et les mesures prises. Les inscriptions doivent être conservées au moins cinq ans, et la CAI peut en demander une copie. Lire le guide
Règle 3-2-1-1-0 En anglais : 3-2-1-1-0 backup rule: Méthode de sauvegarde : 3 copies des données, sur 2 types de supports différents, dont 1 hors site, 1 hors ligne ou immuable, et 0 erreur lors des tests de restauration. Elle prolonge la règle classique 3-2-1 pour tenir compte des rançongiciels, qui s'attaquent d'abord aux sauvegardes. Le dernier chiffre rappelle qu'une sauvegarde jamais testée n'est pas une sauvegarde fiable. Lire le guide
Renforcement de la sécurité (durcissement) En anglais : Hardening: Ensemble des réglages qui réduisent la surface d'attaque d'un système : désactiver les services inutiles, changer les mots de passe par défaut, retirer les droits d'administrateur superflus, appliquer des configurations de référence comme les guides du CIS. « Renforcement de la sécurité » est le terme privilégié par l'OQLF; « durcissement », calqué sur l'anglais hardening, est aussi très employé dans le milieu. Lire le guide
Renseignement personnel En anglais : Personal information: Tout renseignement qui concerne une personne physique et permet, directement ou indirectement, de l'identifier : nom, adresse, numéro d'assurance sociale, dossier médical, mais aussi un numéro d'employé ou des données de localisation. Au Québec, les entreprises doivent protéger ces renseignements par des mesures de sécurité raisonnables, selon leur sensibilité, leur quantité et l'usage qui en est fait. Lire le guide
Réseau privé virtuel (RPV ou VPN) En anglais : Virtual private network (VPN): Tunnel chiffré qui relie un appareil distant ou un autre bureau au réseau de l'entreprise à travers Internet. Il protège les données en transit, mais un utilisateur connecté au RPV a souvent accès à une large partie du réseau. L'équipement RPV est une cible fréquente : il doit être tenu à jour et protégé par l'authentification multifacteur. Lire le guide
Responsable de la protection des renseignements personnels (RPRP) En anglais : Privacy officer: Personne chargée de veiller au respect de la loi sur la protection des renseignements personnels dans une entreprise québécoise. Par défaut, c'est la personne ayant la plus haute autorité, souvent le président, qui peut déléguer cette fonction par écrit. Son titre et ses coordonnées doivent être publiés sur le site Web de l'entreprise (art. 3.1). Lire le guide
Risque de préjudice sérieux En anglais : Risk of serious injury: Seuil qui déclenche, selon la Loi 25, l'obligation d'aviser avec diligence la CAI et les personnes concernées après un incident de confidentialité (art. 3.5). On l'évalue notamment selon la sensibilité des renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu'ils soient utilisés à des fins préjudiciables. Contrairement au RGPD européen, la loi ne fixe pas de délai de 72 heures. Validez votre analyse avec votre conseiller juridique. Lire le guide
RPO (objectif de point de rétablissement) En anglais : Recovery point objective (RPO): Quantité de données que l'entreprise accepte de perdre, exprimée en temps : le moment auquel les données doivent pouvoir être restaurées après une panne. Avec une sauvegarde chaque nuit, vous pouvez perdre jusqu'à une journée de travail ; si c'est trop, il faut sauvegarder plus souvent. Le RPO détermine donc la fréquence des sauvegardes, comme le RTO détermine la vitesse de restauration à atteindre. Lire le guide
RSSI En anglais : CISO (Chief Information Security Officer): Responsable de la sécurité des systèmes d'information : la personne qui dirige la sécurité de l'information d'une organisation, fixe les priorités, rend compte à la direction et coordonne la réponse aux incidents. Dans une PME, ce rôle est rarement un poste à temps plein; il est souvent assumé par un dirigeant, partagé avec le fournisseur TI ou confié à un RSSI virtuel. Lire le guide
RSSI virtuel (vCISO) En anglais : Virtual CISO (vCISO): RSSI à temps partagé, fourni par une firme externe quelques heures ou quelques jours par mois. Il établit la feuille de route de sécurité, encadre les fournisseurs, prépare les réponses aux questionnaires d'assureurs et de clients, et conseille la direction. L'entreprise obtient ainsi l'expertise d'un RSSI sans le coût d'un poste à temps plein. Lire le guide
RTO (objectif de délai de rétablissement) En anglais : Recovery time objective (RTO): Durée pendant laquelle un système peut rester hors service avant que l'interruption nuise sérieusement aux activités. Si votre RTO pour la facturation est de 24 heures, vos sauvegardes et votre plan de reprise doivent permettre de la rétablir en moins de 24 heures, ce que seul un test de restauration chronométré peut confirmer. Le Centre canadien pour la cybersécurité parle d'objectif de délai de rétablissement. Lire le guide

S

Sauvegarde immuable En anglais : Immutable backup: Copie de sauvegarde qui, pendant une durée de conservation définie, ne peut être ni modifiée ni supprimée, même par un compte administrateur. Comme les groupes de rançongiciel cherchent d'abord à effacer les sauvegardes, cette protection garantit qu'une copie saine survivra à l'attaque. Plusieurs services infonuagiques et appareils de sauvegarde offrent cette option, parfois appelée verrouillage d'objets. Lire le guide
security.txt En anglais : security.txt: Petit fichier texte publié à l'adresse /.well-known/security.txt d'un site, qui indique comment signaler une vulnérabilité à l'organisation : adresse de contact, politique de divulgation, date d'expiration. Normalisé par la RFC 9116, il évite qu'un chercheur de bonne foi ne sache pas à qui écrire. Lire le guide
Segmentation réseau En anglais : Network segmentation: Division du réseau en zones séparées (bureaux, Wi-Fi des visiteurs, caméras, production, serveurs) dont les échanges sont filtrés. Si un appareil est compromis dans une zone, l'attaquant ne peut pas atteindre facilement les autres. Exemple : le Wi-Fi des visiteurs ne doit jamais voir le serveur comptable. Lire le guide
SIEM (gestion des informations et des événements de sécurité) En anglais : SIEM (security information and event management): Plateforme qui centralise les journaux de nombreux systèmes (pare-feu, serveurs, Microsoft 365, applications) pour les conserver, les mettre en corrélation et déclencher des alertes. Elle est précieuse pour enquêter après un incident et pour démontrer sa conformité. Sans personnel pour ajuster les règles et traiter les alertes, elle produit surtout du bruit. Lire le guide
Simulation d'hameçonnage En anglais : Phishing simulation: Exercice où l'entreprise envoie à ses employés de faux courriels d'hameçonnage, conçus et encadrés à l'interne ou par un fournisseur, pour mesurer les réflexes et former l'équipe. L'objectif n'est pas de prendre les gens en défaut, mais d'apprendre à reconnaître et à signaler un message suspect. Les résultats servent à cibler la formation. Lire le guide
SOC 2 En anglais : SOC 2: Rapport d'attestation produit par un cabinet de CPA selon les critères de l'AICPA : sécurité, disponibilité, intégrité du traitement, confidentialité et vie privée. Le type I évalue la conception des contrôles à une date donnée; le type II vérifie qu'ils ont fonctionné sur une période, souvent de 3 à 12 mois. Il est surtout demandé aux fournisseurs de logiciels et de services infonuagiques par leurs clients nord-américains. Lire le guide
SPF En anglais : SPF (Sender Policy Framework): Enregistrement DNS qui liste les serveurs autorisés à envoyer des courriels au nom de votre domaine, pour que le serveur destinataire puisse vérifier l'expéditeur. Il est limité à 10 recherches DNS, une limite vite atteinte quand on multiplie les services d'envoi. À lui seul, SPF ne protège pas l'adresse affichée au destinataire : il faut le combiner avec DKIM et DMARC. Lire le guide
Surface d'attaque En anglais : Attack surface: Ensemble des points par lesquels un attaquant pourrait entrer : services exposés sur Internet, comptes, appareils, applications, fournisseurs qui ont un accès, et même les employés joignables par courriel. Plus elle est grande, plus le risque augmente. Réduire la surface d'attaque, c'est par exemple fermer un accès de bureau à distance oublié ou supprimer les comptes d'anciens employés. Lire le guide

T

Test d'intrusion En anglais : Penetration test (pentest): Simulation d'attaque, réalisée par des spécialistes avec l'autorisation écrite de l'organisation, pour trouver des failles et démontrer jusqu'où un attaquant pourrait aller. Il peut viser le périmètre Internet (test externe), le réseau interne, une application web ou les employés. Sans autorisation, tenter d'accéder à un système informatique peut constituer une infraction au Code criminel (art. 342.1). Lire le guide
TLS En anglais : TLS (Transport Layer Security): Protocole qui chiffre les communications entre deux systèmes, par exemple entre un navigateur et un site web (le « s » de https et le cadenas) ou entre deux serveurs de courriel. Il a succédé à SSL, dont le nom est resté dans l'usage. Les versions 1.2 et 1.3 sont celles à utiliser; les versions plus anciennes devraient être désactivées. Lire le guide
Typosquattage En anglais : Typosquatting: Enregistrement d'un nom de domaine presque identique à celui d'une entreprise connue, à une lettre ou à une extension près (par exemple .co au lieu de .ca). Les fraudeurs s'en servent pour de faux sites, de l'hameçonnage ou des courriels qui semblent venir d'un vrai fournisseur. Surveiller les domaines qui ressemblent au vôtre permet de réagir avant que vos clients se fassent piéger. Lire le guide

U

Usurpation d'adresse courriel En anglais : Email spoofing: Technique qui consiste à envoyer un courriel en affichant une adresse d'expéditeur qui n'est pas la sienne, par exemple celle de votre président ou de votre domaine. Le protocole de courriel ne l'empêche pas par défaut. Les enregistrements SPF, DKIM et DMARC permettent aux serveurs destinataires de repérer et de rejeter ces messages. Lire le guide

V

Vulnérabilité (faille de sécurité) En anglais : Vulnerability: Faiblesse dans un logiciel, un appareil, une configuration ou un processus qu'un attaquant peut exploiter. Exemples : un logiciel non mis à jour, un mot de passe par défaut jamais changé, un partage de fichiers ouvert à tous. Les vulnérabilités logicielles connues reçoivent généralement un identifiant CVE et une note de gravité CVSS. Lire le guide
Vulnérabilité du jour zéro En anglais : Zero-day vulnerability: Vulnérabilité que l'éditeur du logiciel ne connaît pas encore, ou pour laquelle aucun correctif n'existe au moment où elle est exploitée. On ne peut pas la corriger d'avance, mais la segmentation, le moindre privilège et un EDR limitent les dégâts, et le correctif doit être installé dès sa sortie. L'OQLF privilégie aussi « faille du jour zéro » et déconseille l'emprunt zero-day. Lire le guide

W

WPA3 En anglais : WPA3 (Wi-Fi Protected Access 3): Protocole de sécurité Wi-Fi le plus récent, certifié par la Wi-Fi Alliance depuis 2018. En mode à mot de passe partagé, il résiste mieux aux attaques qui tentent de deviner le mot de passe hors ligne. WPA2 reste acceptable avec un mot de passe long; les anciens protocoles WEP et WPA ne doivent plus être utilisés. Lire le guide

X

XDR (détection et réponse étendues) En anglais : XDR (extended detection and response): Évolution de l'EDR qui rassemble et met en corrélation les données de plusieurs sources : postes, courriel, comptes infonuagiques, réseau. L'objectif est de reconstituer une attaque de bout en bout plutôt que de traiter des alertes isolées. Le terme est surtout commercial : son contenu varie beaucoup d'un fabricant à l'autre. Lire le guide

Z

Zero Trust (vérification systématique) En anglais : Zero Trust: Modèle de sécurité qui part du principe qu'aucun utilisateur, appareil ou réseau n'est digne de confiance par défaut, même à l'intérieur du bureau. Chaque accès est vérifié selon l'identité, l'état de l'appareil et le contexte, puis limité au strict nécessaire. Le Centre canadien pour la cybersécurité parle de « modèle à vérification systématique » ou d'« architecture zéro confiance ». Lire le guide
ZTNA (accès réseau zéro confiance) En anglais : ZTNA (zero trust network access): Approche d'accès à distance qui, au lieu d'ouvrir tout le réseau comme un RPV traditionnel, donne accès à une application précise, après avoir vérifié l'identité de l'utilisateur et l'état de son appareil, à chaque connexion. Les applications ne sont pas exposées directement sur Internet. C'est une mise en pratique du modèle Zero Trust pour le télétravail. Lire le guide