[{"data":1,"prerenderedAt":1096},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"services-fr":45},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",[46,304,465,622,769,943],{"id":47,"title":48,"body":49,"deliverables":252,"description":259,"extension":260,"faq":261,"icon":274,"idealFor":275,"meta":280,"navTitle":6,"navigation":281,"order":7,"path":5,"price":282,"process":283,"rawbody":299,"seo":300,"stem":301,"tagline":302,"translationKey":274,"__hash__":303},"services_fr\u002Fservices\u002Faudit-cybersecurite.md","Audit de cybersécurité pour PME à Montréal et au Québec",{"type":50,"value":51,"toc":245},"minimark",[52,56,59,64,140,143,152,156,159,188,196,200,203,206,226,230,242],[53,54,55],"p",{},"Vous savez que la cybersécurité est importante, mais vous ne savez pas exactement où vous en êtes. Vos sauvegardes fonctionnent-elles vraiment ? Qui a encore accès au compte de l'employé parti l'automne dernier ? Votre assureur vous croirait-il sur parole ? L'audit de cybersécurité répond à ces questions avec des faits, pas des suppositions.",[53,57,58],{},"Notre équipe examine à la fois l'organisation (qui décide, qui est responsable, quelles règles existent) et la technique (configurations, comptes, appareils, réseau). Le résultat : une liste claire de ce qui va bien, de ce qui doit être corrigé, et dans quel ordre.",[60,61,63],"h2",{"id":62},"ce-que-nous-vérifions","Ce que nous vérifions",[65,66,67,80],"table",{},[68,69,70],"thead",{},[71,72,73,77],"tr",{},[74,75,76],"th",{},"Domaine",[74,78,79],{},"Ce que nous examinons",[81,82,83,92,100,108,116,124,132],"tbody",{},[71,84,85,89],{},[86,87,88],"td",{},"Gouvernance",[86,90,91],{},"Rôles et responsabilités, politiques en place, inventaire des actifs, encadrement des fournisseurs TI",[71,93,94,97],{},[86,95,96],{},"Comptes et accès",[86,98,99],{},"Authentification multifacteur, comptes administrateurs, départs d'employés, mots de passe partagés",[71,101,102,105],{},[86,103,104],{},"Sécurité des courriels",[86,106,107],{},"SPF, DKIM et DMARC, filtrage antihameçonnage, règles de transfert suspectes",[71,109,110,113],{},[86,111,112],{},"Sauvegardes",[86,114,115],{},"Couverture réelle, copie hors ligne ou immuable, tests de restauration",[71,117,118,121],{},[86,119,120],{},"Postes et appareils",[86,122,123],{},"Correctifs, antivirus ou EDR, chiffrement des disques, appareils personnels",[71,125,126,129],{},[86,127,128],{},"Périmètre réseau",[86,130,131],{},"Pare-feu, accès à distance (RPV), services exposés sur Internet, Wi-Fi invités",[71,133,134,137],{},[86,135,136],{},"Loi 25",[86,138,139],{},"Mesures de sécurité des renseignements personnels, registre des incidents, procédure en cas d'incident",[53,141,142],{},"Chaque domaine est évalué selon des bonnes pratiques reconnues, comme les contrôles de base recommandés par le Centre canadien pour la cybersécurité, puis ramené à la taille réelle de votre entreprise. Nous ne vous recommanderons pas une solution de multinationale pour un bureau de 15 personnes.",[53,144,145,146,151],{},"Pour connaître le déroulement type d'un mandat, consultez notre article sur ",[147,148,150],"a",{"href":149},"\u002Fblogue\u002Faudit-cybersecurite-pme-quebec","l'audit de cybersécurité pour PME",".",[60,153,155],{"id":154},"le-rapport-que-vous-recevez","Le rapport que vous recevez",[53,157,158],{},"Un bon rapport est un rapport qu'on lit. Le nôtre est rédigé en français clair et s'adresse d'abord à la direction.",[160,161,162,170,176,182],"ul",{},[163,164,165,169],"li",{},[166,167,168],"strong",{},"Un sommaire exécutif"," : votre niveau de risque global et vos trois à cinq priorités, en langage d'affaires.",[163,171,172,175],{},[166,173,174],{},"Des constats classés"," : pour chacun, le risque concret (« un fraudeur pourrait se faire passer pour votre service de comptabilité »), la preuve observée et la correction recommandée.",[163,177,178,181],{},[166,179,180],{},"Une feuille de route"," : les gains rapides à faire ce mois-ci, les chantiers à moyen terme et les projets à prévoir au budget.",[163,183,184,187],{},[166,185,186],{},"Une annexe technique"," : les détails dont votre fournisseur TI aura besoin pour passer à l'action.",[189,190,193],"callout",{"title":191,"type":192},"Une soumission à prix fixe, avant de commencer","info",[53,194,195],{},"Après l'appel de cadrage, vous recevez une soumission à prix fixe qui précise la portée, le calendrier et les livrables. Pas de facturation à l'heure qui s'étire, pas de surprise à la fin.",[60,197,199],{"id":198},"pourquoi-une-pme-en-a-besoin","Pourquoi une PME en a besoin",[53,201,202],{},"Selon un sondage KPMG publié en 2023, plus de six PME québécoises sur dix ont été visées par une cyberattaque au cours de l'année, et 65 % n'ont pas le personnel qualifié pour gérer ce risque. Les attaquants ne choisissent pas leurs cibles selon la taille : ils cherchent les portes ouvertes.",[53,204,205],{},"L'audit vous aide aussi sur trois fronts bien concrets :",[160,207,208,214,220],{},[163,209,210,213],{},[166,211,212],{},"L'assurance cyber"," : les assureurs posent des questions de plus en plus précises sur l'authentification multifacteur, les sauvegardes et les correctifs. Mieux vaut connaître vos réponses avant de signer.",[163,215,216,219],{},[166,217,218],{},"La Loi 25"," : elle exige des mesures de sécurité raisonnables pour protéger les renseignements personnels. L'audit documente où vous en êtes.",[163,221,222,225],{},[166,223,224],{},"Vos clients"," : de plus en plus de donneurs d'ordre demandent à leurs fournisseurs des preuves de bonnes pratiques.",[60,227,229],{"id":228},"audit-test-dintrusion-ou-scan-comment-choisir","Audit, test d'intrusion ou scan : comment choisir ?",[53,231,232,233,236,237,241],{},"L'audit donne une vue d'ensemble : il couvre l'organisation autant que la technique. Le ",[147,234,235],{"href":9},"test d'intrusion",", lui, simule une attaque réelle sur une cible précise. Pour la plupart des PME, l'audit est le bon point de départ ; le test d'intrusion vient ensuite valider les systèmes les plus critiques. Notre article sur ",[147,238,240],{"href":239},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","les différences entre audit, pentest et scan de vulnérabilités"," vous aide à y voir clair.",[53,243,244],{},"Nous réalisons nos audits à distance ou sur place, partout au Québec, de Gatineau à Rimouski. Et si vous préférez commencer en douceur, l'audit éclair gratuit vous donne un premier aperçu de votre exposition sur Internet, sans engagement.",{"title":246,"searchDepth":11,"depth":15,"links":247},"",[248,249,250,251],{"id":62,"depth":11,"text":63},{"id":154,"depth":11,"text":155},{"id":198,"depth":11,"text":199},{"id":228,"depth":11,"text":229},[253,254,255,256,257,258],"Rapport d'audit en français, avec un sommaire exécutif pour la direction","Tableau des constats classés selon le niveau de risque et l'effort de correction","Feuille de route priorisée : gains rapides, chantiers à moyen terme, projets à budgéter","Portrait de vos mesures de sécurité au regard des exigences de la Loi 25","Liste des points qui pèsent dans un questionnaire d'assurance cyber","Présentation des résultats à votre équipe et à votre fournisseur TI","Audit de cybersécurité pour PME québécoises : gouvernance, accès, courriel, sauvegardes, réseau et Loi 25. Rapport en français et plan d'action priorisé.","md",[262,265,268,271],{"q":263,"a":264},"Combien de temps dure un audit de cybersécurité ?","Cela dépend du nombre d'employés, de sites et de systèmes. Pour une PME typique, comptez quelques semaines entre l'appel de cadrage et la présentation du rapport. Le calendrier exact figure dans la soumission.",{"q":266,"a":267},"Est-ce que l'audit dérange nos employés ou nos opérations ?","Très peu. Les vérifications techniques se font surtout en lecture seule et les entrevues sont courtes et planifiées à l'avance. Nous organisons le travail selon votre horaire, pas l'inverse.",{"q":269,"a":270},"Quelle est la différence avec l'audit éclair gratuit ?","L'audit éclair est une analyse passive et automatisée de ce qui est visible depuis Internet, complétée par un questionnaire de maturité. L'audit complet va beaucoup plus loin : entrevues, revue de vos configurations internes, de vos sauvegardes et de vos postes, et plan d'action détaillé.",{"q":272,"a":273},"Devons-nous vous donner accès à nos systèmes ?","Oui, pour le volet technique, généralement au moyen d'un compte en lecture seule ou en présence de votre responsable TI. Les accès sont retirés à la fin du mandat et vos informations sont traitées de façon confidentielle.","audit",[276,277,278,279],"Une PME qui n'a jamais fait évaluer sa sécurité et ne sait pas par où commencer","Une entreprise qui doit remplir ou renouveler un questionnaire d'assurance cyber","Une direction qui veut savoir si ses mesures de sécurité tiennent la route au regard de la Loi 25","Un fournisseur à qui un client ou un donneur d'ordre demande des preuves de bonnes pratiques",{},true,"diagnostic",[284,287,290,293,296],{"title":285,"text":286},"Cadrage","Un appel pour comprendre vos activités, vos systèmes et vos obligations. Vous recevez ensuite une soumission à prix fixe, avant tout engagement.",{"title":288,"text":289},"Collecte","Entrevues avec la direction et la personne responsable des TI, revue de vos documents et vérifications techniques, à distance ou sur place.",{"title":291,"text":292},"Analyse","Nous comparons ce que nous observons aux bonnes pratiques reconnues et classons chaque constat selon son risque réel pour votre entreprise.",{"title":294,"text":295},"Rapport et présentation","Nous vous remettons le rapport et le présentons de vive voix, pour que chaque recommandation soit comprise et réalisable.",{"title":297,"text":298},"Suivi","Vous corrigez avec votre équipe, votre fournisseur TI ou avec nous. Nous restons disponibles pour répondre à vos questions.","---\ntitle: \"Audit de cybersécurité pour PME à Montréal et au Québec\"\nnavTitle: \"Audit de cybersécurité\"\ndescription: \"Audit de cybersécurité pour PME québécoises : gouvernance, accès, courriel, sauvegardes, réseau et Loi 25. Rapport en français et plan d'action priorisé.\"\ntranslationKey: audit\norder: 1\nicon: audit\nprice: diagnostic\ntagline: \"Un portrait clair de vos risques et un plan d'action priorisé, rédigé en français et sans jargon.\"\ndeliverables:\n  - \"Rapport d'audit en français, avec un sommaire exécutif pour la direction\"\n  - \"Tableau des constats classés selon le niveau de risque et l'effort de correction\"\n  - \"Feuille de route priorisée : gains rapides, chantiers à moyen terme, projets à budgéter\"\n  - \"Portrait de vos mesures de sécurité au regard des exigences de la Loi 25\"\n  - \"Liste des points qui pèsent dans un questionnaire d'assurance cyber\"\n  - \"Présentation des résultats à votre équipe et à votre fournisseur TI\"\nprocess:\n  - title: \"Cadrage\"\n    text: \"Un appel pour comprendre vos activités, vos systèmes et vos obligations. Vous recevez ensuite une soumission à prix fixe, avant tout engagement.\"\n  - title: \"Collecte\"\n    text: \"Entrevues avec la direction et la personne responsable des TI, revue de vos documents et vérifications techniques, à distance ou sur place.\"\n  - title: \"Analyse\"\n    text: \"Nous comparons ce que nous observons aux bonnes pratiques reconnues et classons chaque constat selon son risque réel pour votre entreprise.\"\n  - title: \"Rapport et présentation\"\n    text: \"Nous vous remettons le rapport et le présentons de vive voix, pour que chaque recommandation soit comprise et réalisable.\"\n  - title: \"Suivi\"\n    text: \"Vous corrigez avec votre équipe, votre fournisseur TI ou avec nous. Nous restons disponibles pour répondre à vos questions.\"\nidealFor:\n  - \"Une PME qui n'a jamais fait évaluer sa sécurité et ne sait pas par où commencer\"\n  - \"Une entreprise qui doit remplir ou renouveler un questionnaire d'assurance cyber\"\n  - \"Une direction qui veut savoir si ses mesures de sécurité tiennent la route au regard de la Loi 25\"\n  - \"Un fournisseur à qui un client ou un donneur d'ordre demande des preuves de bonnes pratiques\"\nfaq:\n  - q: \"Combien de temps dure un audit de cybersécurité ?\"\n    a: \"Cela dépend du nombre d'employés, de sites et de systèmes. Pour une PME typique, comptez quelques semaines entre l'appel de cadrage et la présentation du rapport. Le calendrier exact figure dans la soumission.\"\n  - q: \"Est-ce que l'audit dérange nos employés ou nos opérations ?\"\n    a: \"Très peu. Les vérifications techniques se font surtout en lecture seule et les entrevues sont courtes et planifiées à l'avance. Nous organisons le travail selon votre horaire, pas l'inverse.\"\n  - q: \"Quelle est la différence avec l'audit éclair gratuit ?\"\n    a: \"L'audit éclair est une analyse passive et automatisée de ce qui est visible depuis Internet, complétée par un questionnaire de maturité. L'audit complet va beaucoup plus loin : entrevues, revue de vos configurations internes, de vos sauvegardes et de vos postes, et plan d'action détaillé.\"\n  - q: \"Devons-nous vous donner accès à nos systèmes ?\"\n    a: \"Oui, pour le volet technique, généralement au moyen d'un compte en lecture seule ou en présence de votre responsable TI. Les accès sont retirés à la fin du mandat et vos informations sont traitées de façon confidentielle.\"\n---\n\nVous savez que la cybersécurité est importante, mais vous ne savez pas exactement où vous en êtes. Vos sauvegardes fonctionnent-elles vraiment ? Qui a encore accès au compte de l'employé parti l'automne dernier ? Votre assureur vous croirait-il sur parole ? L'audit de cybersécurité répond à ces questions avec des faits, pas des suppositions.\n\nNotre équipe examine à la fois l'organisation (qui décide, qui est responsable, quelles règles existent) et la technique (configurations, comptes, appareils, réseau). Le résultat : une liste claire de ce qui va bien, de ce qui doit être corrigé, et dans quel ordre.\n\n## Ce que nous vérifions\n\n| Domaine | Ce que nous examinons |\n|---|---|\n| Gouvernance | Rôles et responsabilités, politiques en place, inventaire des actifs, encadrement des fournisseurs TI |\n| Comptes et accès | Authentification multifacteur, comptes administrateurs, départs d'employés, mots de passe partagés |\n| Sécurité des courriels | SPF, DKIM et DMARC, filtrage antihameçonnage, règles de transfert suspectes |\n| Sauvegardes | Couverture réelle, copie hors ligne ou immuable, tests de restauration |\n| Postes et appareils | Correctifs, antivirus ou EDR, chiffrement des disques, appareils personnels |\n| Périmètre réseau | Pare-feu, accès à distance (RPV), services exposés sur Internet, Wi-Fi invités |\n| Loi 25 | Mesures de sécurité des renseignements personnels, registre des incidents, procédure en cas d'incident |\n\nChaque domaine est évalué selon des bonnes pratiques reconnues, comme les contrôles de base recommandés par le Centre canadien pour la cybersécurité, puis ramené à la taille réelle de votre entreprise. Nous ne vous recommanderons pas une solution de multinationale pour un bureau de 15 personnes.\n\nPour connaître le déroulement type d'un mandat, consultez notre article sur [l'audit de cybersécurité pour PME](\u002Fblogue\u002Faudit-cybersecurite-pme-quebec).\n\n## Le rapport que vous recevez\n\nUn bon rapport est un rapport qu'on lit. Le nôtre est rédigé en français clair et s'adresse d'abord à la direction.\n\n- **Un sommaire exécutif** : votre niveau de risque global et vos trois à cinq priorités, en langage d'affaires.\n- **Des constats classés** : pour chacun, le risque concret (« un fraudeur pourrait se faire passer pour votre service de comptabilité »), la preuve observée et la correction recommandée.\n- **Une feuille de route** : les gains rapides à faire ce mois-ci, les chantiers à moyen terme et les projets à prévoir au budget.\n- **Une annexe technique** : les détails dont votre fournisseur TI aura besoin pour passer à l'action.\n\n::callout{type=\"info\" title=\"Une soumission à prix fixe, avant de commencer\"}\nAprès l'appel de cadrage, vous recevez une soumission à prix fixe qui précise la portée, le calendrier et les livrables. Pas de facturation à l'heure qui s'étire, pas de surprise à la fin.\n::\n\n## Pourquoi une PME en a besoin\n\nSelon un sondage KPMG publié en 2023, plus de six PME québécoises sur dix ont été visées par une cyberattaque au cours de l'année, et 65 % n'ont pas le personnel qualifié pour gérer ce risque. Les attaquants ne choisissent pas leurs cibles selon la taille : ils cherchent les portes ouvertes.\n\nL'audit vous aide aussi sur trois fronts bien concrets :\n\n- **L'assurance cyber** : les assureurs posent des questions de plus en plus précises sur l'authentification multifacteur, les sauvegardes et les correctifs. Mieux vaut connaître vos réponses avant de signer.\n- **La Loi 25** : elle exige des mesures de sécurité raisonnables pour protéger les renseignements personnels. L'audit documente où vous en êtes.\n- **Vos clients** : de plus en plus de donneurs d'ordre demandent à leurs fournisseurs des preuves de bonnes pratiques.\n\n## Audit, test d'intrusion ou scan : comment choisir ?\n\nL'audit donne une vue d'ensemble : il couvre l'organisation autant que la technique. Le [test d'intrusion](\u002Fservices\u002Ftest-intrusion), lui, simule une attaque réelle sur une cible précise. Pour la plupart des PME, l'audit est le bon point de départ ; le test d'intrusion vient ensuite valider les systèmes les plus critiques. Notre article sur [les différences entre audit, pentest et scan de vulnérabilités](\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences) vous aide à y voir clair.\n\nNous réalisons nos audits à distance ou sur place, partout au Québec, de Gatineau à Rimouski. Et si vous préférez commencer en douceur, l'audit éclair gratuit vous donne un premier aperçu de votre exposition sur Internet, sans engagement.\n",{"title":48,"description":259},"services\u002Faudit-cybersecurite","Un portrait clair de vos risques et un plan d'action priorisé, rédigé en français et sans jargon.","L9x9VmzNuHy-qDR7l-CvnDzb19u0JxmsMz3fO-XXYRY",{"id":305,"title":306,"body":307,"deliverables":417,"description":424,"extension":260,"faq":425,"icon":438,"idealFor":439,"meta":444,"navTitle":10,"navigation":281,"order":11,"path":9,"price":438,"process":445,"rawbody":460,"seo":461,"stem":462,"tagline":463,"translationKey":438,"__hash__":464},"services_fr\u002Fservices\u002Ftest-intrusion.md","Test d'intrusion pour PME à Montréal et au Québec",{"type":50,"value":308,"toc":408},[309,312,315,319,324,327,331,334,342,346,353,357,364,367,384,387,391,394,401],[53,310,311],{},"Un test d'intrusion (ou pentest) répond à une question simple : si quelqu'un voulait vraiment entrer, jusqu'où irait-il ? Notre équipe se met dans la peau d'un attaquant et utilise de vraies techniques, dans un cadre strict que vous approuvez par écrit.",[53,313,314],{},"Contrairement à un outil automatisé, nous exploitons les failles manuellement, nous les combinons et nous mesurons leur impact concret : accès aux courriels de la direction, aux dossiers clients, au logiciel comptable. Vous savez enfin ce qui est grave et ce qui peut attendre.",[60,316,318],{"id":317},"trois-types-de-tests-selon-votre-réalité","Trois types de tests, selon votre réalité",[320,321,323],"h3",{"id":322},"test-dintrusion-externe","Test d'intrusion externe",[53,325,326],{},"Nous attaquons depuis Internet, comme n'importe qui dans le monde pourrait le faire : site Web, portails, messagerie, accès à distance (RPV, bureau à distance), pare-feu et services oubliés. C'est la première surface qu'un attaquant explore.",[320,328,330],{"id":329},"test-dintrusion-interne","Test d'intrusion interne",[53,332,333],{},"Nous partons d'un poste compromis ou d'une prise réseau dans vos bureaux. C'est le scénario de l'employé qui a cliqué sur le mauvais lien. Nous évaluons ce qu'un attaquant pourrait atteindre ensuite : Active Directory, serveurs de fichiers, sauvegardes, comptes à privilèges. Le test se fait sur place, partout au Québec, ou à distance au moyen d'un accès sécurisé convenu avec votre équipe TI.",[53,335,336,337,341],{},"Vous hésitez entre les deux ? Notre article sur ",[147,338,340],{"href":339},"\u002Fblogue\u002Ftest-intrusion-externe-vs-interne","le test d'intrusion externe ou interne"," vous aide à choisir.",[320,343,345],{"id":344},"test-dapplication-web","Test d'application web",[53,347,348,349,151],{},"Pour votre portail client, votre boutique en ligne ou votre application métier. Nous suivons la méthodologie de l'OWASP (Top 10 et guide de test WSTG) : contrôle d'accès, authentification, gestion des sessions, injections et logique d'affaires. Les tests se font avec des comptes de test, idéalement sur un environnement de préproduction. Pour aller plus loin, lisez notre article sur ",[147,350,352],{"href":351},"\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10","le pentest d'application web et l'OWASP Top 10",[60,354,356],{"id":355},"un-cadre-clair-avant-le-premier-test","Un cadre clair avant le premier test",[189,358,361],{"title":359,"type":360},"Aucun test sans autorisation écrite","warning",[53,362,363],{},"Au Canada, utiliser un ordinateur sans autorisation est une infraction au Code criminel (art. 342.1). Nous ne commençons jamais sans une autorisation signée par une personne habilitée de votre entreprise. Si vos systèmes sont hébergés chez un tiers, son accord peut aussi être nécessaire.",[53,365,366],{},"Avant de commencer, nous rédigeons avec vous les règles d'engagement. Ce document précise :",[160,368,369,372,375,378,381],{},[163,370,371],{},"les domaines, adresses et applications visés, et ceux qui sont exclus ;",[163,373,374],{},"les dates et les plages horaires des tests ;",[163,376,377],{},"les techniques permises et interdites (par exemple, aucun déni de service) ;",[163,379,380],{},"les personnes à joindre en cas d'urgence, des deux côtés ;",[163,382,383],{},"la façon dont nous protégeons les données consultées pendant le mandat.",[53,385,386],{},"La portée et le prix sont fixés dans une soumission avant le début des travaux. Pas de dépassement surprise.",[60,388,390],{"id":389},"un-rapport-priorisé-lisible-et-utile","Un rapport priorisé, lisible et utile",[53,392,393],{},"Le rapport s'adresse à deux publics. La direction obtient un sommaire exécutif en français clair : le niveau de risque, les scénarios d'attaque démontrés et les priorités. L'équipe technique obtient, pour chaque vulnérabilité, une description, une cote de sévérité, les preuves (captures d'écran, requêtes), les étapes pour la reproduire et la correction recommandée.",[53,395,396,397,151],{},"Une fois vos correctifs appliqués, nous faisons une contre-vérification pour confirmer que les failles sont bien fermées. Vous obtenez alors une lettre d'attestation à présenter à vos clients ou à votre assureur. Pour savoir comment tirer le maximum de ce document, consultez notre guide pour ",[147,398,400],{"href":399},"\u002Fblogue\u002Flire-rapport-test-intrusion","lire un rapport de test d'intrusion",[53,402,403,404,407],{},"Pas encore prêt pour un test d'intrusion ? Un ",[147,405,406],{"href":5},"audit de cybersécurité"," est souvent la meilleure première étape : il vous permet de corriger les évidences avant de payer quelqu'un pour les trouver.",{"title":246,"searchDepth":11,"depth":15,"links":409},[410,415,416],{"id":317,"depth":11,"text":318,"children":411},[412,413,414],{"id":322,"depth":15,"text":323},{"id":329,"depth":15,"text":330},{"id":344,"depth":15,"text":345},{"id":355,"depth":11,"text":356},{"id":389,"depth":11,"text":390},[418,419,420,421,422,423],"Règles d'engagement et lettre d'autorisation signées avant le premier test","Rapport en français : sommaire exécutif pour la direction et détails techniques reproductibles","Vulnérabilités classées par sévérité, avec preuve d'exploitation et correctif recommandé","Présentation des résultats à votre équipe, à votre fournisseur TI ou à vos développeurs","Contre-vérification (retest) des vulnérabilités corrigées","Lettre d'attestation à remettre à vos clients ou à votre assureur","Tests d'intrusion externe, interne et d'application web (OWASP) avec exploitation manuelle, rapport priorisé en français et contre-vérification des correctifs.",[426,429,432,435],{"q":427,"a":428},"Un test d'intrusion peut-il faire tomber nos systèmes ?","Le risque est faible et encadré. Les techniques permises, les plages horaires et les systèmes à éviter sont fixés d'avance. Les tests les plus sensibles peuvent se faire en dehors des heures d'affaires ou sur un environnement de préproduction.",{"q":430,"a":431},"Quelle est la différence avec un scan de vulnérabilités ?","Un scan automatisé dresse une liste de failles potentielles, avec son lot de faux positifs. Le test d'intrusion va plus loin : un humain vérifie chaque faille, les enchaîne et démontre ce qu'un attaquant pourrait réellement obtenir.",{"q":433,"a":434},"Faut-il prévenir nos employés et notre fournisseur TI ?","Votre fournisseur TI et, s'il y a lieu, votre hébergeur doivent être informés. Pour les employés, ce n'est pas obligatoire : ne pas les prévenir permet de vérifier si l'attaque est détectée. Nous en convenons avec vous au moment du cadrage.",{"q":436,"a":437},"À quelle fréquence faut-il faire un test d'intrusion ?","Une fois par année est une pratique courante, ainsi qu'après tout changement important : nouvelle application, migration, ouverture d'un accès à distance. Certains contrats et certains assureurs imposent leur propre fréquence.","pentest",[440,441,442,443],"Une entreprise qui lance ou refond une application web ou un portail client","Une PME à qui un client, un donneur d'ordre ou un assureur demande un test d'intrusion","Une organisation qui a déjà fait un audit et veut valider ses systèmes les plus critiques","Une entreprise qui offre des accès à distance (RPV, bureau à distance) exposés sur Internet",{},[446,449,452,455,457],{"title":447,"text":448},"Cadrage et autorisation","Nous définissons ensemble la cible, la période de test et les limites. Rien ne commence sans votre autorisation écrite signée.",{"title":450,"text":451},"Reconnaissance","Nous cartographions ce qu'un attaquant verrait : services exposés, technologies utilisées, comptes et points d'entrée.",{"title":453,"text":454},"Exploitation manuelle","Nous tentons d'exploiter les failles trouvées, à la main, pour mesurer leur impact réel sans nuire à vos opérations.",{"title":294,"text":456},"Vous recevez un rapport priorisé, et nous en discutons avec votre équipe pour planifier les correctifs.",{"title":458,"text":459},"Contre-vérification","Une fois les correctifs appliqués, nous testons de nouveau les vulnérabilités pour confirmer qu'elles sont bien fermées.","---\ntitle: \"Test d'intrusion pour PME à Montréal et au Québec\"\nnavTitle: \"Test d'intrusion\"\ndescription: \"Tests d'intrusion externe, interne et d'application web (OWASP) avec exploitation manuelle, rapport priorisé en français et contre-vérification des correctifs.\"\ntranslationKey: pentest\norder: 2\nicon: pentest\nprice: pentest\ntagline: \"Nous attaquons vos systèmes comme un pirate, avec votre autorisation écrite, pour que vous corrigiez avant lui.\"\ndeliverables:\n  - \"Règles d'engagement et lettre d'autorisation signées avant le premier test\"\n  - \"Rapport en français : sommaire exécutif pour la direction et détails techniques reproductibles\"\n  - \"Vulnérabilités classées par sévérité, avec preuve d'exploitation et correctif recommandé\"\n  - \"Présentation des résultats à votre équipe, à votre fournisseur TI ou à vos développeurs\"\n  - \"Contre-vérification (retest) des vulnérabilités corrigées\"\n  - \"Lettre d'attestation à remettre à vos clients ou à votre assureur\"\nprocess:\n  - title: \"Cadrage et autorisation\"\n    text: \"Nous définissons ensemble la cible, la période de test et les limites. Rien ne commence sans votre autorisation écrite signée.\"\n  - title: \"Reconnaissance\"\n    text: \"Nous cartographions ce qu'un attaquant verrait : services exposés, technologies utilisées, comptes et points d'entrée.\"\n  - title: \"Exploitation manuelle\"\n    text: \"Nous tentons d'exploiter les failles trouvées, à la main, pour mesurer leur impact réel sans nuire à vos opérations.\"\n  - title: \"Rapport et présentation\"\n    text: \"Vous recevez un rapport priorisé, et nous en discutons avec votre équipe pour planifier les correctifs.\"\n  - title: \"Contre-vérification\"\n    text: \"Une fois les correctifs appliqués, nous testons de nouveau les vulnérabilités pour confirmer qu'elles sont bien fermées.\"\nidealFor:\n  - \"Une entreprise qui lance ou refond une application web ou un portail client\"\n  - \"Une PME à qui un client, un donneur d'ordre ou un assureur demande un test d'intrusion\"\n  - \"Une organisation qui a déjà fait un audit et veut valider ses systèmes les plus critiques\"\n  - \"Une entreprise qui offre des accès à distance (RPV, bureau à distance) exposés sur Internet\"\nfaq:\n  - q: \"Un test d'intrusion peut-il faire tomber nos systèmes ?\"\n    a: \"Le risque est faible et encadré. Les techniques permises, les plages horaires et les systèmes à éviter sont fixés d'avance. Les tests les plus sensibles peuvent se faire en dehors des heures d'affaires ou sur un environnement de préproduction.\"\n  - q: \"Quelle est la différence avec un scan de vulnérabilités ?\"\n    a: \"Un scan automatisé dresse une liste de failles potentielles, avec son lot de faux positifs. Le test d'intrusion va plus loin : un humain vérifie chaque faille, les enchaîne et démontre ce qu'un attaquant pourrait réellement obtenir.\"\n  - q: \"Faut-il prévenir nos employés et notre fournisseur TI ?\"\n    a: \"Votre fournisseur TI et, s'il y a lieu, votre hébergeur doivent être informés. Pour les employés, ce n'est pas obligatoire : ne pas les prévenir permet de vérifier si l'attaque est détectée. Nous en convenons avec vous au moment du cadrage.\"\n  - q: \"À quelle fréquence faut-il faire un test d'intrusion ?\"\n    a: \"Une fois par année est une pratique courante, ainsi qu'après tout changement important : nouvelle application, migration, ouverture d'un accès à distance. Certains contrats et certains assureurs imposent leur propre fréquence.\"\n---\n\nUn test d'intrusion (ou pentest) répond à une question simple : si quelqu'un voulait vraiment entrer, jusqu'où irait-il ? Notre équipe se met dans la peau d'un attaquant et utilise de vraies techniques, dans un cadre strict que vous approuvez par écrit.\n\nContrairement à un outil automatisé, nous exploitons les failles manuellement, nous les combinons et nous mesurons leur impact concret : accès aux courriels de la direction, aux dossiers clients, au logiciel comptable. Vous savez enfin ce qui est grave et ce qui peut attendre.\n\n## Trois types de tests, selon votre réalité\n\n### Test d'intrusion externe\n\nNous attaquons depuis Internet, comme n'importe qui dans le monde pourrait le faire : site Web, portails, messagerie, accès à distance (RPV, bureau à distance), pare-feu et services oubliés. C'est la première surface qu'un attaquant explore.\n\n### Test d'intrusion interne\n\nNous partons d'un poste compromis ou d'une prise réseau dans vos bureaux. C'est le scénario de l'employé qui a cliqué sur le mauvais lien. Nous évaluons ce qu'un attaquant pourrait atteindre ensuite : Active Directory, serveurs de fichiers, sauvegardes, comptes à privilèges. Le test se fait sur place, partout au Québec, ou à distance au moyen d'un accès sécurisé convenu avec votre équipe TI.\n\nVous hésitez entre les deux ? Notre article sur [le test d'intrusion externe ou interne](\u002Fblogue\u002Ftest-intrusion-externe-vs-interne) vous aide à choisir.\n\n### Test d'application web\n\nPour votre portail client, votre boutique en ligne ou votre application métier. Nous suivons la méthodologie de l'OWASP (Top 10 et guide de test WSTG) : contrôle d'accès, authentification, gestion des sessions, injections et logique d'affaires. Les tests se font avec des comptes de test, idéalement sur un environnement de préproduction. Pour aller plus loin, lisez notre article sur [le pentest d'application web et l'OWASP Top 10](\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10).\n\n## Un cadre clair avant le premier test\n\n::callout{type=\"warning\" title=\"Aucun test sans autorisation écrite\"}\nAu Canada, utiliser un ordinateur sans autorisation est une infraction au Code criminel (art. 342.1). Nous ne commençons jamais sans une autorisation signée par une personne habilitée de votre entreprise. Si vos systèmes sont hébergés chez un tiers, son accord peut aussi être nécessaire.\n::\n\nAvant de commencer, nous rédigeons avec vous les règles d'engagement. Ce document précise :\n\n- les domaines, adresses et applications visés, et ceux qui sont exclus ;\n- les dates et les plages horaires des tests ;\n- les techniques permises et interdites (par exemple, aucun déni de service) ;\n- les personnes à joindre en cas d'urgence, des deux côtés ;\n- la façon dont nous protégeons les données consultées pendant le mandat.\n\nLa portée et le prix sont fixés dans une soumission avant le début des travaux. Pas de dépassement surprise.\n\n## Un rapport priorisé, lisible et utile\n\nLe rapport s'adresse à deux publics. La direction obtient un sommaire exécutif en français clair : le niveau de risque, les scénarios d'attaque démontrés et les priorités. L'équipe technique obtient, pour chaque vulnérabilité, une description, une cote de sévérité, les preuves (captures d'écran, requêtes), les étapes pour la reproduire et la correction recommandée.\n\nUne fois vos correctifs appliqués, nous faisons une contre-vérification pour confirmer que les failles sont bien fermées. Vous obtenez alors une lettre d'attestation à présenter à vos clients ou à votre assureur. Pour savoir comment tirer le maximum de ce document, consultez notre guide pour [lire un rapport de test d'intrusion](\u002Fblogue\u002Flire-rapport-test-intrusion).\n\nPas encore prêt pour un test d'intrusion ? Un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) est souvent la meilleure première étape : il vous permet de corriger les évidences avant de payer quelqu'un pour les trouver.\n",{"title":306,"description":424},"services\u002Ftest-intrusion","Nous attaquons vos systèmes comme un pirate, avec votre autorisation écrite, pour que vous corrigiez avant lui.","KvYUCpI6jcJiz5zu0ek_jG9hVQZQADDMhFGQ6czBnQc",{"id":466,"title":467,"body":468,"deliverables":578,"description":585,"extension":260,"faq":586,"icon":596,"idealFor":597,"meta":602,"navTitle":14,"navigation":281,"order":15,"path":13,"price":596,"process":603,"rawbody":617,"seo":618,"stem":619,"tagline":620,"translationKey":596,"__hash__":621},"services_fr\u002Fservices\u002Faudit-microsoft-365-google-workspace.md","Audit de sécurité Microsoft 365 et Google Workspace",{"type":50,"value":469,"toc":568},[470,473,476,480,484,487,491,494,498,501,509,513,516,536,543,547,550,553,557,565],[53,471,472],{},"Pour la plupart des PME, Microsoft 365 ou Google Workspace, c'est le cœur de l'entreprise : courriels, documents, agendas, Teams ou Meet. C'est aussi une cible de choix pour les fraudeurs. Un seul compte compromis suffit pour détourner un paiement ou hameçonner vos clients à partir d'une adresse légitime.",[53,474,475],{},"Les réglages par défaut ne sont pas toujours les plus sûrs, et une configuration se dégrade avec les années : anciens administrateurs, exceptions temporaires devenues permanentes, partages oubliés. Notre audit fait le ménage, sans rien modifier à votre environnement.",[60,477,479],{"id":478},"ce-que-nous-vérifions-dans-microsoft-365","Ce que nous vérifions dans Microsoft 365",[320,481,483],{"id":482},"identités-et-accès-entra-id","Identités et accès (Entra ID)",[53,485,486],{},"MFA pour tous les comptes, administrateurs en tête ; politiques d'accès conditionnel ou paramètres de sécurité par défaut ; blocage de l'authentification héritée, ces anciens protocoles qui permettent de contourner le MFA ; nombre d'administrateurs généraux ; consentement des utilisateurs aux applications tierces.",[320,488,490],{"id":489},"messagerie-exchange-online-et-defender","Messagerie (Exchange Online et Defender)",[53,492,493],{},"Audit des boîtes aux lettres activé ; règles de transfert automatique vers l'externe ; politiques antihameçonnage, liens et pièces jointes sécurisés de Defender pour Office 365 ; enregistrements SPF, DKIM et DMARC.",[320,495,497],{"id":496},"partage-et-journalisation","Partage et journalisation",[53,499,500],{},"Partage externe dans SharePoint, OneDrive et Teams ; liens accessibles à « tout le monde » ; accès des invités ; journal d'audit unifié et durée de conservation des journaux.",[53,502,503,504,508],{},"Notre article sur ",[147,505,507],{"href":506},"\u002Fblogue\u002Faudit-securite-microsoft-365","l'audit de sécurité Microsoft 365"," détaille les réglages les plus importants.",[60,510,512],{"id":511},"et-dans-google-workspace","Et dans Google Workspace",[53,514,515],{},"La logique est la même, avec les outils de Google :",[160,517,518,521,524,527,530,533],{},[163,519,520],{},"validation en deux étapes imposée, et clés de sécurité pour les super-administrateurs ;",[163,522,523],{},"nombre de super-administrateurs et séparation des comptes d'administration ;",[163,525,526],{},"contrôle des applications tierces qui ont accès à vos données (API et OAuth) ;",[163,528,529],{},"paramètres de sécurité de Gmail : protection contre l'usurpation, pièces jointes, SPF, DKIM et DMARC ;",[163,531,532],{},"partage externe dans Google Drive et les Drive partagés ;",[163,534,535],{},"journaux d'audit et centre d'alertes.",[53,537,538,539,151],{},"Pour en savoir plus, lisez notre article sur ",[147,540,542],{"href":541},"\u002Fblogue\u002Faudit-securite-google-workspace","l'audit de sécurité Google Workspace",[60,544,546],{"id":545},"un-audit-en-lecture-seule","Un audit en lecture seule",[53,548,549],{},"Nous n'avons pas besoin des clés du royaume. Dans Microsoft 365, votre administrateur nous attribue des rôles comme Lecteur général et Lecteur de sécurité ; dans Google Workspace, un rôle d'administrateur personnalisé limité à la consultation. Les rares vérifications qui demandent davantage de droits se font avec votre administrateur, en séance partagée.",[53,551,552],{},"Résultat : aucun risque de modifier un réglage par erreur, et vous gardez le contrôle complet de votre environnement. L'audit se fait entièrement à distance, peu importe où se trouvent vos bureaux au Québec.",[60,554,556],{"id":555},"pourquoi-cest-une-priorité-pour-une-pme","Pourquoi c'est une priorité pour une PME",[53,558,559,560,564],{},"La compromission de courriel d'affaires est une fraude redoutable pour les PME : un fraudeur accède à une boîte aux lettres, observe les échanges, puis envoie de fausses coordonnées bancaires au bon moment. Notre article sur ",[147,561,563],{"href":562},"\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis","la fraude au président"," décrit le scénario en détail.",[53,566,567],{},"Les questionnaires d'assurance cyber demandent couramment si le MFA est imposé sur la messagerie et les comptes administrateurs. Et vos boîtes aux lettres contiennent des renseignements personnels protégés par la Loi 25. Un environnement bien configuré répond à ces trois enjeux à la fois.",{"title":246,"searchDepth":11,"depth":15,"links":569},[570,575,576,577],{"id":478,"depth":11,"text":479,"children":571},[572,573,574],{"id":482,"depth":15,"text":483},{"id":489,"depth":15,"text":490},{"id":496,"depth":15,"text":497},{"id":511,"depth":11,"text":512},{"id":545,"depth":11,"text":546},{"id":555,"depth":11,"text":556},[579,580,581,582,583,584],"Revue complète de la configuration de votre locataire Microsoft 365 ou de votre domaine Google Workspace","Liste des comptes à risque : administrateurs, comptes sans MFA, comptes inactifs ou partagés","Constats classés par risque, avec l'emplacement exact du réglage à modifier dans la console","Vérification de vos enregistrements SPF, DKIM et DMARC","Plan de correction priorisé, prêt à remettre à votre fournisseur TI","Présentation des résultats et période de questions avec votre équipe","Audit de sécurité Microsoft 365 ou Google Workspace : MFA, accès conditionnel, partage et courriel. Accès en lecture seule, rapport priorisé en français.",[587,590,593],{"q":588,"a":589},"Lisez-vous nos courriels ou nos documents pendant l'audit ?","Non. Nous consultons des réglages, des journaux et des listes de comptes, pas le contenu de vos boîtes aux lettres ni de vos fichiers. Les rôles en lecture seule utilisés ne donnent d'ailleurs pas accès au contenu des courriels. L'accès est retiré à la fin du mandat.",{"q":591,"a":592},"Notre licence Microsoft 365 suffit-elle pour être bien protégés ?","Plusieurs protections essentielles sont offertes dans toutes les licences, comme les paramètres de sécurité par défaut qui imposent le MFA. D'autres, comme l'accès conditionnel ou Defender pour Office 365, exigent des licences plus avancées, par exemple Business Premium. Le rapport indique ce que vous pouvez faire avec vos licences actuelles et ce qu'un changement apporterait.",{"q":594,"a":595},"Microsoft et Google ne s'occupent-ils pas déjà de la sécurité ?","Ils sécurisent leur infrastructure, mais la configuration de votre compte vous revient : qui peut se connecter, de quelle façon, et ce qui peut être partagé à l'externe. C'est le modèle de responsabilité partagée, et c'est précisément votre part que l'audit vérifie.","cloud",[598,599,600,601],"Une PME qui utilise Microsoft 365 ou Google Workspace depuis des années sans jamais en avoir revu la sécurité","Une entreprise qui a vécu un compte de courriel compromis ou une tentative de fraude au virement","Une organisation qui doit prouver à son assureur que le MFA est imposé à tous","Une entreprise dont l'environnement a été configuré par un ancien fournisseur ou un employé parti",{},[604,606,609,611,614],{"title":285,"text":605},"Nous confirmons votre plateforme, vos licences et vos priorités. Vous recevez ensuite une soumission à prix fixe.",{"title":607,"text":608},"Accès en lecture seule","Votre administrateur nous crée un accès en lecture seule, que vous pouvez retirer en tout temps. Nous vous guidons pas à pas.",{"title":291,"text":610},"Nous passons en revue les réglages d'identité, de messagerie, de partage et de journalisation, puis nous vérifions les comptes un par un.",{"title":612,"text":613},"Rapport","Vous recevez un rapport priorisé qui précise, pour chaque constat, le risque concret et la correction à appliquer.",{"title":615,"text":616},"Correction (facultative)","Votre équipe applique les correctifs, ou nous nous en chargeons sur soumission.","---\ntitle: \"Audit de sécurité Microsoft 365 et Google Workspace\"\nnavTitle: \"Audit Microsoft 365 \u002F Google Workspace\"\ndescription: \"Audit de sécurité Microsoft 365 ou Google Workspace : MFA, accès conditionnel, partage et courriel. Accès en lecture seule, rapport priorisé en français.\"\ntranslationKey: cloud\norder: 3\nicon: cloud\nprice: cloud\ntagline: \"Vos courriels et vos fichiers vivent dans l'infonuagique. Vérifions que les bons réglages protègent votre entreprise.\"\ndeliverables:\n  - \"Revue complète de la configuration de votre locataire Microsoft 365 ou de votre domaine Google Workspace\"\n  - \"Liste des comptes à risque : administrateurs, comptes sans MFA, comptes inactifs ou partagés\"\n  - \"Constats classés par risque, avec l'emplacement exact du réglage à modifier dans la console\"\n  - \"Vérification de vos enregistrements SPF, DKIM et DMARC\"\n  - \"Plan de correction priorisé, prêt à remettre à votre fournisseur TI\"\n  - \"Présentation des résultats et période de questions avec votre équipe\"\nprocess:\n  - title: \"Cadrage\"\n    text: \"Nous confirmons votre plateforme, vos licences et vos priorités. Vous recevez ensuite une soumission à prix fixe.\"\n  - title: \"Accès en lecture seule\"\n    text: \"Votre administrateur nous crée un accès en lecture seule, que vous pouvez retirer en tout temps. Nous vous guidons pas à pas.\"\n  - title: \"Analyse\"\n    text: \"Nous passons en revue les réglages d'identité, de messagerie, de partage et de journalisation, puis nous vérifions les comptes un par un.\"\n  - title: \"Rapport\"\n    text: \"Vous recevez un rapport priorisé qui précise, pour chaque constat, le risque concret et la correction à appliquer.\"\n  - title: \"Correction (facultative)\"\n    text: \"Votre équipe applique les correctifs, ou nous nous en chargeons sur soumission.\"\nidealFor:\n  - \"Une PME qui utilise Microsoft 365 ou Google Workspace depuis des années sans jamais en avoir revu la sécurité\"\n  - \"Une entreprise qui a vécu un compte de courriel compromis ou une tentative de fraude au virement\"\n  - \"Une organisation qui doit prouver à son assureur que le MFA est imposé à tous\"\n  - \"Une entreprise dont l'environnement a été configuré par un ancien fournisseur ou un employé parti\"\nfaq:\n  - q: \"Lisez-vous nos courriels ou nos documents pendant l'audit ?\"\n    a: \"Non. Nous consultons des réglages, des journaux et des listes de comptes, pas le contenu de vos boîtes aux lettres ni de vos fichiers. Les rôles en lecture seule utilisés ne donnent d'ailleurs pas accès au contenu des courriels. L'accès est retiré à la fin du mandat.\"\n  - q: \"Notre licence Microsoft 365 suffit-elle pour être bien protégés ?\"\n    a: \"Plusieurs protections essentielles sont offertes dans toutes les licences, comme les paramètres de sécurité par défaut qui imposent le MFA. D'autres, comme l'accès conditionnel ou Defender pour Office 365, exigent des licences plus avancées, par exemple Business Premium. Le rapport indique ce que vous pouvez faire avec vos licences actuelles et ce qu'un changement apporterait.\"\n  - q: \"Microsoft et Google ne s'occupent-ils pas déjà de la sécurité ?\"\n    a: \"Ils sécurisent leur infrastructure, mais la configuration de votre compte vous revient : qui peut se connecter, de quelle façon, et ce qui peut être partagé à l'externe. C'est le modèle de responsabilité partagée, et c'est précisément votre part que l'audit vérifie.\"\n---\n\nPour la plupart des PME, Microsoft 365 ou Google Workspace, c'est le cœur de l'entreprise : courriels, documents, agendas, Teams ou Meet. C'est aussi une cible de choix pour les fraudeurs. Un seul compte compromis suffit pour détourner un paiement ou hameçonner vos clients à partir d'une adresse légitime.\n\nLes réglages par défaut ne sont pas toujours les plus sûrs, et une configuration se dégrade avec les années : anciens administrateurs, exceptions temporaires devenues permanentes, partages oubliés. Notre audit fait le ménage, sans rien modifier à votre environnement.\n\n## Ce que nous vérifions dans Microsoft 365\n\n### Identités et accès (Entra ID)\n\nMFA pour tous les comptes, administrateurs en tête ; politiques d'accès conditionnel ou paramètres de sécurité par défaut ; blocage de l'authentification héritée, ces anciens protocoles qui permettent de contourner le MFA ; nombre d'administrateurs généraux ; consentement des utilisateurs aux applications tierces.\n\n### Messagerie (Exchange Online et Defender)\n\nAudit des boîtes aux lettres activé ; règles de transfert automatique vers l'externe ; politiques antihameçonnage, liens et pièces jointes sécurisés de Defender pour Office 365 ; enregistrements SPF, DKIM et DMARC.\n\n### Partage et journalisation\n\nPartage externe dans SharePoint, OneDrive et Teams ; liens accessibles à « tout le monde » ; accès des invités ; journal d'audit unifié et durée de conservation des journaux.\n\nNotre article sur [l'audit de sécurité Microsoft 365](\u002Fblogue\u002Faudit-securite-microsoft-365) détaille les réglages les plus importants.\n\n## Et dans Google Workspace\n\nLa logique est la même, avec les outils de Google :\n\n- validation en deux étapes imposée, et clés de sécurité pour les super-administrateurs ;\n- nombre de super-administrateurs et séparation des comptes d'administration ;\n- contrôle des applications tierces qui ont accès à vos données (API et OAuth) ;\n- paramètres de sécurité de Gmail : protection contre l'usurpation, pièces jointes, SPF, DKIM et DMARC ;\n- partage externe dans Google Drive et les Drive partagés ;\n- journaux d'audit et centre d'alertes.\n\nPour en savoir plus, lisez notre article sur [l'audit de sécurité Google Workspace](\u002Fblogue\u002Faudit-securite-google-workspace).\n\n## Un audit en lecture seule\n\nNous n'avons pas besoin des clés du royaume. Dans Microsoft 365, votre administrateur nous attribue des rôles comme Lecteur général et Lecteur de sécurité ; dans Google Workspace, un rôle d'administrateur personnalisé limité à la consultation. Les rares vérifications qui demandent davantage de droits se font avec votre administrateur, en séance partagée.\n\nRésultat : aucun risque de modifier un réglage par erreur, et vous gardez le contrôle complet de votre environnement. L'audit se fait entièrement à distance, peu importe où se trouvent vos bureaux au Québec.\n\n## Pourquoi c'est une priorité pour une PME\n\nLa compromission de courriel d'affaires est une fraude redoutable pour les PME : un fraudeur accède à une boîte aux lettres, observe les échanges, puis envoie de fausses coordonnées bancaires au bon moment. Notre article sur [la fraude au président](\u002Fblogue\u002Ffraude-president-courriel-affaires-compromis) décrit le scénario en détail.\n\nLes questionnaires d'assurance cyber demandent couramment si le MFA est imposé sur la messagerie et les comptes administrateurs. Et vos boîtes aux lettres contiennent des renseignements personnels protégés par la Loi 25. Un environnement bien configuré répond à ces trois enjeux à la fois.\n",{"title":467,"description":585},"services\u002Faudit-microsoft-365-google-workspace","Vos courriels et vos fichiers vivent dans l'infonuagique. Vérifions que les bons réglages protègent votre entreprise.","Og3opgl_LHs-Z3uttAtByscCEoZLXo4NunSCOj-Mm0s",{"id":623,"title":624,"body":625,"deliverables":720,"description":727,"extension":260,"faq":728,"icon":741,"idealFor":742,"meta":747,"navTitle":18,"navigation":281,"order":19,"path":17,"price":748,"process":749,"rawbody":764,"seo":765,"stem":766,"tagline":767,"translationKey":748,"__hash__":768},"services_fr\u002Fservices\u002Fconformite-loi-25.md","Conformité à la Loi 25 pour PME au Québec",{"type":50,"value":626,"toc":708},[627,630,633,639,643,647,655,659,666,670,677,681,685,688,692,698,702,705],[53,628,629],{},"La Loi 25 a modernisé la protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur par étapes, entre septembre 2022 et septembre 2024, et elles s'appliquent aux PME comme aux grandes entreprises.",[53,631,632],{},"Beaucoup d'entreprises ont publié une politique de confidentialité, nommé un responsable… puis se sont arrêtées là. Pourtant, une bonne partie de la loi repose sur la sécurité : protéger les renseignements, détecter les incidents, les consigner et réagir correctement. C'est exactement notre terrain.",[189,634,636],{"title":635,"type":360},"Nous ne sommes pas des avocats",[53,637,638],{},"Notre équipe couvre le volet sécurité et la mise en œuvre pratique de la Loi 25. Nous ne donnons pas d'avis juridique : nous travaillons aux côtés de votre conseiller juridique et nous indiquons clairement les points à faire valider par lui.",[60,640,642],{"id":641},"gouvernance-les-rôles-les-registres-et-les-évaluations","Gouvernance : les rôles, les registres et les évaluations",[320,644,646],{"id":645},"responsable-de-la-protection-des-renseignements-personnels","Responsable de la protection des renseignements personnels",[53,648,649,650,654],{},"Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, mais la fonction peut être déléguée par écrit (art. 3.1). Nous vous aidons à clarifier le rôle, à préparer la délégation au besoin, à publier le titre et les coordonnées du responsable sur votre site, et surtout à outiller cette personne pour le volet sécurité. Notre article sur ",[147,651,653],{"href":652},"\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite","le rôle du responsable de la protection des renseignements personnels"," en donne un aperçu.",[320,656,658],{"id":657},"registre-et-réponse-aux-incidents","Registre et réponse aux incidents",[53,660,661,662,151],{},"Tout incident de confidentialité doit être consigné dans un registre (art. 3.8). Ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d'accès à l'information et aux personnes concernées (art. 3.5). Nous vous remettons un registre prêt à utiliser et une procédure simple : qui fait quoi, comment évaluer le risque, qui avertir. La Commission a reçu 518 avis d'incidents de confidentialité du 1er janvier au 10 décembre 2025 : ce scénario n'a rien de théorique. Voyez aussi notre ",[147,663,665],{"href":664},"\u002Fblogue\u002Fregistre-incidents-confidentialite-modele","modèle de registre des incidents",[320,667,669],{"id":668},"évaluation-des-facteurs-relatifs-à-la-vie-privée-efvp","Évaluation des facteurs relatifs à la vie privée (EFVP)",[53,671,672,673,151],{},"Une EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels (art. 3.3) : nouveau logiciel de paie, CRM, portail client. Nous vous fournissons une grille adaptée et prenons en charge la partie sécurité : hébergement, accès, chiffrement, fournisseurs. Pour en savoir plus, lisez notre article sur ",[147,674,676],{"href":675},"\u002Fblogue\u002Fefvp-evaluation-facteurs-vie-privee-securite","l'EFVP et la sécurité de l'information",[60,678,680],{"id":679},"votre-site-web-et-vos-mesures-de-sécurité","Votre site Web et vos mesures de sécurité",[320,682,684],{"id":683},"témoins-et-consentement","Témoins et consentement",[53,686,687],{},"Les technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut (art. 8.1). Nous passons en revue votre site : témoins, pixels publicitaires, outils d'analyse, bandeau de consentement et politique de confidentialité rédigée en termes simples.",[320,689,691],{"id":690},"mesures-de-sécurité","Mesures de sécurité",[53,693,694,695,697],{},"La loi exige des mesures de sécurité raisonnables, proportionnées à la sensibilité des renseignements. Nous vérifions ce qui compte : contrôle des accès, authentification multifacteur, chiffrement, sauvegardes, conservation et destruction des données. Au besoin, un ",[147,696,406],{"href":5}," complet approfondit ce volet.",[60,699,701],{"id":700},"pourquoi-commencer-par-la-sécurité","Pourquoi commencer par la sécurité",[53,703,704],{},"Une politique de confidentialité bien rédigée n'a jamais arrêté un rançongiciel. C'est l'incident qui expose l'entreprise : devant ses clients, devant la Commission, parfois devant les tribunaux. En plaçant la sécurité au centre de votre démarche, vous réduisez le risque d'incident et vous êtes prêts à réagir s'il survient quand même.",[53,706,707],{},"Nous travaillons à distance ou sur place, partout au Québec, et tous nos documents sont rédigés en français, prêts à être adoptés par votre direction.",{"title":246,"searchDepth":11,"depth":15,"links":709},[710,715,719],{"id":641,"depth":11,"text":642,"children":711},[712,713,714],{"id":645,"depth":15,"text":646},{"id":657,"depth":15,"text":658},{"id":668,"depth":15,"text":669},{"id":679,"depth":11,"text":680,"children":716},[717,718],{"id":683,"depth":15,"text":684},{"id":690,"depth":15,"text":691},{"id":700,"depth":11,"text":701},[721,722,723,724,725,726],"Diagnostic des écarts par rapport aux principales obligations de la Loi 25","Registre des incidents de confidentialité prêt à utiliser et procédure de réponse aux incidents","Gabarits de politique de confidentialité et de gouvernance, à faire valider par votre conseiller juridique","Grille d'EFVP adaptée à vos projets et accompagnement pour la première évaluation","Revue de votre site Web : témoins, outils de suivi et consentement","Plan priorisé des mesures de sécurité qui protègent vos renseignements personnels","Conformité à la Loi 25 pour PME : responsable des renseignements personnels, registre des incidents, EFVP, consentement et mesures de sécurité concrètes.",[729,732,735,738],{"q":730,"a":731},"La Loi 25 s'applique-t-elle aux petites entreprises ?","Oui. Elle vise toute entreprise privée qui recueille, détient, utilise ou communique des renseignements personnels au Québec, peu importe sa taille. Les mesures de sécurité attendues doivent toutefois être raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur utilisation. Validez la portée exacte avec votre conseiller juridique.",{"q":733,"a":734},"Avons-nous 72 heures pour déclarer un incident ?","Non, ce délai de 72 heures vient du RGPD européen. La Loi 25 exige d'aviser la Commission d'accès à l'information et les personnes concernées avec diligence lorsqu'un incident présente un risque de préjudice sérieux. Autrement dit : rapidement, sans délai fixe.",{"q":736,"a":737},"Combien de temps faut-il conserver le registre des incidents ?","Au moins cinq ans, selon le Règlement sur les incidents de confidentialité. Le registre doit contenir tous les incidents, même ceux qui ne présentent pas de risque de préjudice sérieux, et une copie doit être transmise à la Commission d'accès à l'information si elle le demande.",{"q":739,"a":740},"Quelles sont les sanctions prévues ?","Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 M$ ou 4 %. Pour une PME, le coût le plus lourd d'un incident mal géré reste souvent la perte de confiance de ses clients.","law",[743,744,745,746],"Une PME qui a désigné un responsable des renseignements personnels, mais sans plan ni outils","Une entreprise qui traite des renseignements sensibles : santé, finances, ressources humaines","Une organisation qui veut être prête le jour où un incident de confidentialité survient","Une entreprise qui lance un nouveau système, un site Web ou une application qui recueille des renseignements personnels",{},"loi25",[750,752,755,758,761],{"title":285,"text":751},"Nous repérons les renseignements personnels que vous recueillez, où ils se trouvent et qui y a accès. Vous recevez ensuite une soumission à prix fixe.",{"title":753,"text":754},"Diagnostic","Nous comparons vos pratiques aux obligations de la Loi 25 et à vos mesures de sécurité réelles, documents et systèmes à l'appui.",{"title":756,"text":757},"Plan d'action","Vous recevez une liste priorisée des écarts, en distinguant ce qui relève de la sécurité, de la gouvernance ou de votre conseiller juridique.",{"title":759,"text":760},"Mise en place","Nous vous aidons à implanter le registre, la procédure d'incident, les gabarits et les correctifs techniques.",{"title":762,"text":763},"Transfert","Nous formons votre responsable des renseignements personnels et votre équipe pour qu'ils puissent tenir le tout à jour.","---\ntitle: \"Conformité à la Loi 25 pour PME au Québec\"\nnavTitle: \"Conformité Loi 25\"\ndescription: \"Conformité à la Loi 25 pour PME : responsable des renseignements personnels, registre des incidents, EFVP, consentement et mesures de sécurité concrètes.\"\ntranslationKey: loi25\norder: 4\nicon: law\nprice: loi25\ntagline: \"Des obligations de la Loi 25 claires, documentées et appliquées, en commençant par la sécurité de vos données.\"\ndeliverables:\n  - \"Diagnostic des écarts par rapport aux principales obligations de la Loi 25\"\n  - \"Registre des incidents de confidentialité prêt à utiliser et procédure de réponse aux incidents\"\n  - \"Gabarits de politique de confidentialité et de gouvernance, à faire valider par votre conseiller juridique\"\n  - \"Grille d'EFVP adaptée à vos projets et accompagnement pour la première évaluation\"\n  - \"Revue de votre site Web : témoins, outils de suivi et consentement\"\n  - \"Plan priorisé des mesures de sécurité qui protègent vos renseignements personnels\"\nprocess:\n  - title: \"Cadrage\"\n    text: \"Nous repérons les renseignements personnels que vous recueillez, où ils se trouvent et qui y a accès. Vous recevez ensuite une soumission à prix fixe.\"\n  - title: \"Diagnostic\"\n    text: \"Nous comparons vos pratiques aux obligations de la Loi 25 et à vos mesures de sécurité réelles, documents et systèmes à l'appui.\"\n  - title: \"Plan d'action\"\n    text: \"Vous recevez une liste priorisée des écarts, en distinguant ce qui relève de la sécurité, de la gouvernance ou de votre conseiller juridique.\"\n  - title: \"Mise en place\"\n    text: \"Nous vous aidons à implanter le registre, la procédure d'incident, les gabarits et les correctifs techniques.\"\n  - title: \"Transfert\"\n    text: \"Nous formons votre responsable des renseignements personnels et votre équipe pour qu'ils puissent tenir le tout à jour.\"\nidealFor:\n  - \"Une PME qui a désigné un responsable des renseignements personnels, mais sans plan ni outils\"\n  - \"Une entreprise qui traite des renseignements sensibles : santé, finances, ressources humaines\"\n  - \"Une organisation qui veut être prête le jour où un incident de confidentialité survient\"\n  - \"Une entreprise qui lance un nouveau système, un site Web ou une application qui recueille des renseignements personnels\"\nfaq:\n  - q: \"La Loi 25 s'applique-t-elle aux petites entreprises ?\"\n    a: \"Oui. Elle vise toute entreprise privée qui recueille, détient, utilise ou communique des renseignements personnels au Québec, peu importe sa taille. Les mesures de sécurité attendues doivent toutefois être raisonnables compte tenu de la sensibilité des renseignements, de leur quantité et de leur utilisation. Validez la portée exacte avec votre conseiller juridique.\"\n  - q: \"Avons-nous 72 heures pour déclarer un incident ?\"\n    a: \"Non, ce délai de 72 heures vient du RGPD européen. La Loi 25 exige d'aviser la Commission d'accès à l'information et les personnes concernées avec diligence lorsqu'un incident présente un risque de préjudice sérieux. Autrement dit : rapidement, sans délai fixe.\"\n  - q: \"Combien de temps faut-il conserver le registre des incidents ?\"\n    a: \"Au moins cinq ans, selon le Règlement sur les incidents de confidentialité. Le registre doit contenir tous les incidents, même ceux qui ne présentent pas de risque de préjudice sérieux, et une copie doit être transmise à la Commission d'accès à l'information si elle le demande.\"\n  - q: \"Quelles sont les sanctions prévues ?\"\n    a: \"Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d'affaires mondial, et les amendes pénales, 25 M$ ou 4 %. Pour une PME, le coût le plus lourd d'un incident mal géré reste souvent la perte de confiance de ses clients.\"\n---\n\nLa Loi 25 a modernisé la protection des renseignements personnels au Québec. Ses obligations sont entrées en vigueur par étapes, entre septembre 2022 et septembre 2024, et elles s'appliquent aux PME comme aux grandes entreprises.\n\nBeaucoup d'entreprises ont publié une politique de confidentialité, nommé un responsable… puis se sont arrêtées là. Pourtant, une bonne partie de la loi repose sur la sécurité : protéger les renseignements, détecter les incidents, les consigner et réagir correctement. C'est exactement notre terrain.\n\n::callout{type=\"warning\" title=\"Nous ne sommes pas des avocats\"}\nNotre équipe couvre le volet sécurité et la mise en œuvre pratique de la Loi 25. Nous ne donnons pas d'avis juridique : nous travaillons aux côtés de votre conseiller juridique et nous indiquons clairement les points à faire valider par lui.\n::\n\n## Gouvernance : les rôles, les registres et les évaluations\n\n### Responsable de la protection des renseignements personnels\n\nPar défaut, c'est la personne ayant la plus haute autorité dans l'entreprise, mais la fonction peut être déléguée par écrit (art. 3.1). Nous vous aidons à clarifier le rôle, à préparer la délégation au besoin, à publier le titre et les coordonnées du responsable sur votre site, et surtout à outiller cette personne pour le volet sécurité. Notre article sur [le rôle du responsable de la protection des renseignements personnels](\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite) en donne un aperçu.\n\n### Registre et réponse aux incidents\n\nTout incident de confidentialité doit être consigné dans un registre (art. 3.8). Ceux qui présentent un risque de préjudice sérieux doivent être déclarés à la Commission d'accès à l'information et aux personnes concernées (art. 3.5). Nous vous remettons un registre prêt à utiliser et une procédure simple : qui fait quoi, comment évaluer le risque, qui avertir. La Commission a reçu 518 avis d'incidents de confidentialité du 1er janvier au 10 décembre 2025 : ce scénario n'a rien de théorique. Voyez aussi notre [modèle de registre des incidents](\u002Fblogue\u002Fregistre-incidents-confidentialite-modele).\n\n### Évaluation des facteurs relatifs à la vie privée (EFVP)\n\nUne EFVP est requise pour tout projet d'acquisition, de développement ou de refonte d'un système d'information qui touche des renseignements personnels (art. 3.3) : nouveau logiciel de paie, CRM, portail client. Nous vous fournissons une grille adaptée et prenons en charge la partie sécurité : hébergement, accès, chiffrement, fournisseurs. Pour en savoir plus, lisez notre article sur [l'EFVP et la sécurité de l'information](\u002Fblogue\u002Fefvp-evaluation-facteurs-vie-privee-securite).\n\n## Votre site Web et vos mesures de sécurité\n\n### Témoins et consentement\n\nLes technologies qui permettent d'identifier, de localiser ou de profiler une personne doivent être désactivées par défaut (art. 8.1). Nous passons en revue votre site : témoins, pixels publicitaires, outils d'analyse, bandeau de consentement et politique de confidentialité rédigée en termes simples.\n\n### Mesures de sécurité\n\nLa loi exige des mesures de sécurité raisonnables, proportionnées à la sensibilité des renseignements. Nous vérifions ce qui compte : contrôle des accès, authentification multifacteur, chiffrement, sauvegardes, conservation et destruction des données. Au besoin, un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) complet approfondit ce volet.\n\n## Pourquoi commencer par la sécurité\n\nUne politique de confidentialité bien rédigée n'a jamais arrêté un rançongiciel. C'est l'incident qui expose l'entreprise : devant ses clients, devant la Commission, parfois devant les tribunaux. En plaçant la sécurité au centre de votre démarche, vous réduisez le risque d'incident et vous êtes prêts à réagir s'il survient quand même.\n\nNous travaillons à distance ou sur place, partout au Québec, et tous nos documents sont rédigés en français, prêts à être adoptés par votre direction.\n",{"title":624,"description":727},"services\u002Fconformite-loi-25","Des obligations de la Loi 25 claires, documentées et appliquées, en commençant par la sécurité de vos données.","Gt_RSOUcq1hGinUyU81Yu7ZPs4fXiNEPrdQIQ9WfEYw",{"id":770,"title":771,"body":772,"deliverables":895,"description":902,"extension":260,"faq":903,"icon":913,"idealFor":914,"meta":919,"navTitle":22,"navigation":281,"order":23,"path":21,"price":920,"process":921,"rawbody":937,"seo":938,"stem":939,"tagline":940,"translationKey":941,"__hash__":942},"services_fr\u002Fservices\u002Fremediation-durcissement.md","Remédiation et durcissement de la sécurité pour PME",{"type":50,"value":773,"toc":884},[774,777,780,784,788,796,799,806,810,817,821,824,828,831,838,842,845,848,852,878],[53,775,776],{},"La plupart des audits se terminent par une liste de recommandations. Le vrai travail commence ensuite, et c'est souvent là que les PME bloquent : le fournisseur TI est débordé, personne à l'interne n'a le temps, ou on ne sait tout simplement pas par où commencer.",[53,778,779],{},"Notre équipe prend le relais. Nous appliquons les correctifs, nous les documentons et nous vérifions qu'ils fonctionnent. Chaque mandat est réalisé sur soumission, à prix fixe, une fois que nous avons analysé ce qu'il faut corriger.",[60,781,783],{"id":782},"les-chantiers-typiques","Les chantiers typiques",[320,785,787],{"id":786},"authentification-multifacteur","Authentification multifacteur",[53,789,790,791,795],{},"Déploiement du MFA sur tous les comptes, en commençant par les administrateurs, la messagerie et les accès à distance. Nous privilégions les méthodes résistantes à l'hameçonnage quand c'est possible, comme les clés de sécurité ou les applications d'authentification avec correspondance de nombres, et nous bloquons les anciens protocoles qui contournent le MFA. Notre article sur ",[147,792,794],{"href":793},"\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa","le choix d'une méthode MFA"," explique pourquoi le texto ne suffit plus.",[320,797,112],{"id":798},"sauvegardes",[53,800,801,802,151],{},"Nous appliquons la règle 3-2-1-1-0 : trois copies, sur deux supports différents, dont une hors site, une hors ligne ou immuable, et zéro erreur aux tests de restauration. Sans oublier les données de Microsoft 365 ou de Google Workspace, que bien des entreprises croient sauvegardées automatiquement. Tous les détails dans notre article sur ",[147,803,805],{"href":804},"\u002Fblogue\u002Fsauvegardes-3-2-1-1-0-rancongiciel","les sauvegardes 3-2-1-1-0",[320,807,809],{"id":808},"courriel-spf-dkim-et-dmarc","Courriel : SPF, DKIM et DMARC",[53,811,812,813,151],{},"Nous dressons l'inventaire de tout ce qui envoie des courriels en votre nom (infolettre, facturation, CRM), activons la signature DKIM, puis faisons passer DMARC graduellement de la surveillance à la mise en quarantaine, puis au rejet, en analysant les rapports à chaque étape. Vous ne savez pas ce que ces sigles veulent dire ? Lisez ",[147,814,816],{"href":815},"\u002Fblogue\u002Fspf-dkim-dmarc-explication","SPF, DKIM et DMARC expliqués",[320,818,820],{"id":819},"correctifs-et-postes-de-travail","Correctifs et postes de travail",[53,822,823],{},"Mise en place d'un processus de gestion des correctifs pour les systèmes d'exploitation, les navigateurs, les pare-feu et les RPV ; chiffrement des disques ; retrait des droits d'administrateur locaux ; configuration de l'antivirus ou de l'EDR.",[320,825,827],{"id":826},"configurations","Configurations",[53,829,830],{},"Durcissement de Microsoft 365 ou de Google Workspace, nettoyage des règles de pare-feu, fermeture des services exposés comme le bureau à distance, séparation du Wi-Fi invités et des comptes d'administration.",[189,832,835],{"title":833,"type":834},"Commencez par les gains rapides","tip",[53,836,837],{},"Certains correctifs prennent quelques heures et réduisent fortement le risque : imposer le MFA aux administrateurs, fermer un bureau à distance exposé sur Internet, créer une copie de sauvegarde hors ligne. Nous les faisons en premier.",[60,839,841],{"id":840},"pourquoi-ne-pas-laisser-le-rapport-dormir","Pourquoi ne pas laisser le rapport dormir",[53,843,844],{},"Un rapport d'audit qu'on n'applique pas donne une fausse impression de sécurité : les failles sont connues, mais toujours ouvertes. Et chaque mois qui passe ajoute de nouveaux correctifs à installer. Selon un sondage KPMG publié en 2023, plus de six PME québécoises sur dix ont été visées par une cyberattaque au cours de l'année.",[53,846,847],{},"Les assureurs, eux, ne se contentent plus d'intentions. Au renouvellement, ils veulent savoir si le MFA, les sauvegardes hors ligne et la gestion des correctifs sont réellement en place. La remédiation vous permet de répondre « oui », preuves à l'appui.",[60,849,851],{"id":850},"notre-façon-de-travailler","Notre façon de travailler",[160,853,854,860,866,872],{},[163,855,856,859],{},[166,857,858],{},"Neutres autant que possible"," : nous utilisons d'abord les fonctions de sécurité que vous payez déjà. Si un nouvel outil est nécessaire, nous vous présentons des options et vous choisissez.",[163,861,862,865],{},[166,863,864],{},"Par étapes, avec un plan B"," : chaque changement est planifié, annoncé et accompagné d'une façon de revenir en arrière.",[163,867,868,871],{},[166,869,870],{},"Vérifié, pas seulement appliqué"," : nous testons chaque correctif, idéalement par une contre-vérification.",[163,873,874,877],{},[166,875,876],{},"Documenté"," : vous gardez une trace claire de ce qui a été fait, pour votre équipe, votre assureur et votre prochain audit.",[53,879,880,881,883],{},"Nous intervenons à distance ou sur place, partout au Québec. Et si vous n'avez pas encore de diagnostic, un ",[147,882,406],{"href":5}," vous indiquera exactement quoi corriger en premier.",{"title":246,"searchDepth":11,"depth":15,"links":885},[886,893,894],{"id":782,"depth":11,"text":783,"children":887},[888,889,890,891,892],{"id":786,"depth":15,"text":787},{"id":798,"depth":15,"text":112},{"id":808,"depth":15,"text":809},{"id":819,"depth":15,"text":820},{"id":826,"depth":15,"text":827},{"id":840,"depth":11,"text":841},{"id":850,"depth":11,"text":851},[896,897,898,899,900,901],"Plan de travail détaillé et soumission à prix fixe, établis à partir de votre rapport d'audit","Correctifs appliqués et documentés : quoi, où, quand, et comment revenir en arrière","Déploiement du MFA accompagné d'un guide simple pour vos employés","Sauvegardes reconfigurées et test de restauration documenté","Rapport de fin de mandat qui prouve les mesures en place, utile pour votre assureur","Transfert des connaissances à votre équipe ou à votre fournisseur TI","Correction des failles après un audit : déploiement du MFA, sauvegardes, DMARC, correctifs et durcissement des configurations. Sur soumission, au Québec.",[904,907,910],{"q":905,"a":906},"Pouvez-vous travailler avec notre fournisseur TI actuel ?","Oui, et c'est souvent la meilleure formule. Nous pouvons réaliser les travaux nous-mêmes, les partager avec votre fournisseur ou simplement le guider. L'objectif est que vos systèmes soient corrigés, pas de le remplacer.",{"q":908,"a":909},"Faut-il avoir fait un audit avec vous d'abord ?","Non. Nous pouvons partir d'un rapport produit par un autre fournisseur, d'un questionnaire d'assurance ou d'un problème précis. Si aucun diagnostic n'existe, nous commençons par une courte évaluation pour éviter de corriger à l'aveugle.",{"q":911,"a":912},"Les travaux vont-ils déranger nos employés ?","Certains changements, comme le MFA, demandent un petit effort d'adaptation. Nous les annonçons à l'avance, fournissons un guide simple en français et planifions les changements sensibles en dehors des heures d'affaires.","wrench",[915,916,917,918],"Une PME qui a reçu un rapport d'audit ou de test d'intrusion, mais n'a pas les ressources pour l'appliquer","Une entreprise dont l'assureur exige le MFA, des sauvegardes hors ligne ou un EDR avant le renouvellement","Une organisation dont le fournisseur TI gère le quotidien, mais pas les projets de sécurité","Une entreprise qui veut faire passer DMARC à une politique de rejet sans bloquer ses propres courriels",{},null,[922,925,928,931,934],{"title":923,"text":924},"Priorisation","Nous partons de votre rapport d'audit, le nôtre ou celui d'un tiers, et retenons les correctifs qui réduisent le plus le risque.",{"title":926,"text":927},"Soumission","Vous recevez une soumission à prix fixe, avec la liste précise des travaux, le calendrier et les impacts prévus sur vos employés.",{"title":929,"text":930},"Réalisation","Nous appliquons les changements par étapes, en dehors des heures de pointe au besoin, avec un plan de retour en arrière.",{"title":932,"text":933},"Validation","Chaque correctif est vérifié : la faille est-elle vraiment fermée ? Vos employés peuvent-ils toujours travailler normalement ?",{"title":935,"text":936},"Documentation","Vous recevez la documentation des changements et la preuve des mesures en place.","---\ntitle: \"Remédiation et durcissement de la sécurité pour PME\"\nnavTitle: \"Remédiation et durcissement\"\ndescription: \"Correction des failles après un audit : déploiement du MFA, sauvegardes, DMARC, correctifs et durcissement des configurations. Sur soumission, au Québec.\"\ntranslationKey: remediation\norder: 5\nicon: wrench\ntagline: \"Un rapport ne protège personne tant que les correctifs ne sont pas faits. Nous passons de la liste à l'action.\"\ndeliverables:\n  - \"Plan de travail détaillé et soumission à prix fixe, établis à partir de votre rapport d'audit\"\n  - \"Correctifs appliqués et documentés : quoi, où, quand, et comment revenir en arrière\"\n  - \"Déploiement du MFA accompagné d'un guide simple pour vos employés\"\n  - \"Sauvegardes reconfigurées et test de restauration documenté\"\n  - \"Rapport de fin de mandat qui prouve les mesures en place, utile pour votre assureur\"\n  - \"Transfert des connaissances à votre équipe ou à votre fournisseur TI\"\nprocess:\n  - title: \"Priorisation\"\n    text: \"Nous partons de votre rapport d'audit, le nôtre ou celui d'un tiers, et retenons les correctifs qui réduisent le plus le risque.\"\n  - title: \"Soumission\"\n    text: \"Vous recevez une soumission à prix fixe, avec la liste précise des travaux, le calendrier et les impacts prévus sur vos employés.\"\n  - title: \"Réalisation\"\n    text: \"Nous appliquons les changements par étapes, en dehors des heures de pointe au besoin, avec un plan de retour en arrière.\"\n  - title: \"Validation\"\n    text: \"Chaque correctif est vérifié : la faille est-elle vraiment fermée ? Vos employés peuvent-ils toujours travailler normalement ?\"\n  - title: \"Documentation\"\n    text: \"Vous recevez la documentation des changements et la preuve des mesures en place.\"\nidealFor:\n  - \"Une PME qui a reçu un rapport d'audit ou de test d'intrusion, mais n'a pas les ressources pour l'appliquer\"\n  - \"Une entreprise dont l'assureur exige le MFA, des sauvegardes hors ligne ou un EDR avant le renouvellement\"\n  - \"Une organisation dont le fournisseur TI gère le quotidien, mais pas les projets de sécurité\"\n  - \"Une entreprise qui veut faire passer DMARC à une politique de rejet sans bloquer ses propres courriels\"\nfaq:\n  - q: \"Pouvez-vous travailler avec notre fournisseur TI actuel ?\"\n    a: \"Oui, et c'est souvent la meilleure formule. Nous pouvons réaliser les travaux nous-mêmes, les partager avec votre fournisseur ou simplement le guider. L'objectif est que vos systèmes soient corrigés, pas de le remplacer.\"\n  - q: \"Faut-il avoir fait un audit avec vous d'abord ?\"\n    a: \"Non. Nous pouvons partir d'un rapport produit par un autre fournisseur, d'un questionnaire d'assurance ou d'un problème précis. Si aucun diagnostic n'existe, nous commençons par une courte évaluation pour éviter de corriger à l'aveugle.\"\n  - q: \"Les travaux vont-ils déranger nos employés ?\"\n    a: \"Certains changements, comme le MFA, demandent un petit effort d'adaptation. Nous les annonçons à l'avance, fournissons un guide simple en français et planifions les changements sensibles en dehors des heures d'affaires.\"\n---\n\nLa plupart des audits se terminent par une liste de recommandations. Le vrai travail commence ensuite, et c'est souvent là que les PME bloquent : le fournisseur TI est débordé, personne à l'interne n'a le temps, ou on ne sait tout simplement pas par où commencer.\n\nNotre équipe prend le relais. Nous appliquons les correctifs, nous les documentons et nous vérifions qu'ils fonctionnent. Chaque mandat est réalisé sur soumission, à prix fixe, une fois que nous avons analysé ce qu'il faut corriger.\n\n## Les chantiers typiques\n\n### Authentification multifacteur\n\nDéploiement du MFA sur tous les comptes, en commençant par les administrateurs, la messagerie et les accès à distance. Nous privilégions les méthodes résistantes à l'hameçonnage quand c'est possible, comme les clés de sécurité ou les applications d'authentification avec correspondance de nombres, et nous bloquons les anciens protocoles qui contournent le MFA. Notre article sur [le choix d'une méthode MFA](\u002Fblogue\u002Fauthentification-multifacteur-choisir-mfa) explique pourquoi le texto ne suffit plus.\n\n### Sauvegardes\n\nNous appliquons la règle 3-2-1-1-0 : trois copies, sur deux supports différents, dont une hors site, une hors ligne ou immuable, et zéro erreur aux tests de restauration. Sans oublier les données de Microsoft 365 ou de Google Workspace, que bien des entreprises croient sauvegardées automatiquement. Tous les détails dans notre article sur [les sauvegardes 3-2-1-1-0](\u002Fblogue\u002Fsauvegardes-3-2-1-1-0-rancongiciel).\n\n### Courriel : SPF, DKIM et DMARC\n\nNous dressons l'inventaire de tout ce qui envoie des courriels en votre nom (infolettre, facturation, CRM), activons la signature DKIM, puis faisons passer DMARC graduellement de la surveillance à la mise en quarantaine, puis au rejet, en analysant les rapports à chaque étape. Vous ne savez pas ce que ces sigles veulent dire ? Lisez [SPF, DKIM et DMARC expliqués](\u002Fblogue\u002Fspf-dkim-dmarc-explication).\n\n### Correctifs et postes de travail\n\nMise en place d'un processus de gestion des correctifs pour les systèmes d'exploitation, les navigateurs, les pare-feu et les RPV ; chiffrement des disques ; retrait des droits d'administrateur locaux ; configuration de l'antivirus ou de l'EDR.\n\n### Configurations\n\nDurcissement de Microsoft 365 ou de Google Workspace, nettoyage des règles de pare-feu, fermeture des services exposés comme le bureau à distance, séparation du Wi-Fi invités et des comptes d'administration.\n\n::callout{type=\"tip\" title=\"Commencez par les gains rapides\"}\nCertains correctifs prennent quelques heures et réduisent fortement le risque : imposer le MFA aux administrateurs, fermer un bureau à distance exposé sur Internet, créer une copie de sauvegarde hors ligne. Nous les faisons en premier.\n::\n\n## Pourquoi ne pas laisser le rapport dormir\n\nUn rapport d'audit qu'on n'applique pas donne une fausse impression de sécurité : les failles sont connues, mais toujours ouvertes. Et chaque mois qui passe ajoute de nouveaux correctifs à installer. Selon un sondage KPMG publié en 2023, plus de six PME québécoises sur dix ont été visées par une cyberattaque au cours de l'année.\n\nLes assureurs, eux, ne se contentent plus d'intentions. Au renouvellement, ils veulent savoir si le MFA, les sauvegardes hors ligne et la gestion des correctifs sont réellement en place. La remédiation vous permet de répondre « oui », preuves à l'appui.\n\n## Notre façon de travailler\n\n- **Neutres autant que possible** : nous utilisons d'abord les fonctions de sécurité que vous payez déjà. Si un nouvel outil est nécessaire, nous vous présentons des options et vous choisissez.\n- **Par étapes, avec un plan B** : chaque changement est planifié, annoncé et accompagné d'une façon de revenir en arrière.\n- **Vérifié, pas seulement appliqué** : nous testons chaque correctif, idéalement par une contre-vérification.\n- **Documenté** : vous gardez une trace claire de ce qui a été fait, pour votre équipe, votre assureur et votre prochain audit.\n\nNous intervenons à distance ou sur place, partout au Québec. Et si vous n'avez pas encore de diagnostic, un [audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) vous indiquera exactement quoi corriger en premier.\n",{"title":771,"description":902},"services\u002Fremediation-durcissement","Un rapport ne protège personne tant que les correctifs ne sont pas faits. Nous passons de la liste à l'action.","remediation","_kJTZ_FwruNYjntaGgRKX1BQfIhcVJ4wzpFXY7pJh60",{"id":944,"title":945,"body":946,"deliverables":1046,"description":1053,"extension":260,"faq":1054,"icon":1067,"idealFor":1068,"meta":1073,"navTitle":26,"navigation":281,"order":27,"path":25,"price":1074,"process":1075,"rawbody":1091,"seo":1092,"stem":1093,"tagline":1094,"translationKey":1074,"__hash__":1095},"services_fr\u002Fservices\u002Faccompagnement-continu.md","Accompagnement continu en cybersécurité (vCISO) pour PME",{"type":50,"value":947,"toc":1035},[948,951,954,958,962,965,969,976,980,988,992,999,1003,1006,1010,1013,1016,1020,1023,1029],[53,949,950],{},"La sécurité n'est pas un projet qu'on termine. De nouveaux employés arrivent, des logiciels s'ajoutent, des failles sont découvertes chaque semaine et les fraudeurs changent de méthode. Un audit donne une photo ; l'accompagnement continu, c'est le film.",[53,952,953],{},"Selon un sondage KPMG publié en 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber. Embaucher un responsable de la sécurité à temps plein n'est pas réaliste pour la plupart d'entre elles. Notre équipe joue ce rôle, dans le cadre d'un forfait mensuel : vous avez un interlocuteur qui connaît votre entreprise, vos systèmes et vos obligations, et qui vous dit où mettre vos efforts.",[60,955,957],{"id":956},"ce-qui-est-inclus","Ce qui est inclus",[320,959,961],{"id":960},"surveillance-de-votre-exposition","Surveillance de votre exposition",[53,963,964],{},"Chaque trimestre, nous balayons ce qui est visible de votre entreprise sur Internet : services exposés, certificats, configuration du courriel, nouvelles vulnérabilités. Quand une faille est corrigée, nous faisons une contre-vérification pour confirmer qu'elle est bien fermée.",[320,966,968],{"id":967},"politiques-et-gouvernance","Politiques et gouvernance",[53,970,971,972,151],{},"Des politiques courtes, rédigées en français clair et adaptées à votre réalité : utilisation acceptable, gestion des accès, sauvegardes, télétravail, réponse aux incidents. Nous les tenons à jour au fil des changements. Pour la réponse aux incidents, nous partons d'un ",[147,973,975],{"href":974},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","plan de réponse aux incidents adapté aux PME",[320,977,979],{"id":978},"formation-et-simulations-dhameçonnage","Formation et simulations d'hameçonnage",[53,981,982,983,987],{},"Des formations courtes et concrètes pour vos employés, et des simulations d'hameçonnage régulières pour mesurer les progrès. Notre article sur ",[147,984,986],{"href":985},"\u002Fblogue\u002Fsimulation-hameconnage-employes","la simulation d'hameçonnage"," explique comment ces campagnes se déroulent.",[320,989,991],{"id":990},"questionnaires-dassurance-et-de-clients","Questionnaires d'assurance et de clients",[53,993,994,995,151],{},"Les questionnaires d'assurance cyber et les évaluations de sécurité envoyées par vos clients sont de plus en plus détaillés. Nous vous aidons à y répondre avec exactitude, et à corriger d'abord ce qui pourrait poser problème. Voyez nos conseils pour ",[147,996,998],{"href":997},"\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur","réussir le questionnaire d'assurance cyber",[320,1000,1002],{"id":1001},"reddition-de-comptes-à-la-direction","Reddition de comptes à la direction",[53,1004,1005],{},"Chaque trimestre, un tableau de bord simple : couverture du MFA, état des correctifs, résultats des simulations, constats ouverts et fermés. Un document que vous pouvez présenter tel quel à votre conseil d'administration.",[60,1007,1009],{"id":1008},"pourquoi-un-suivi-continu-plutôt-quun-audit-ponctuel","Pourquoi un suivi continu plutôt qu'un audit ponctuel",[53,1011,1012],{},"Un audit vous dit où vous en êtes à une date précise. Six mois plus tard, la situation a changé : un nouveau logiciel infonuagique, un employé remplacé, une règle de pare-feu ajoutée « temporairement ». Sans suivi, les écarts s'accumulent sans que personne ne les voie.",[53,1014,1015],{},"Le temps compte aussi. Selon une étude de CDW publiée en 2025, le délai de détection d'un incident dans les petites organisations canadiennes est passé de 4,0 jours en 2024 à 6,8 jours en 2025. Un suivi régulier réduit les angles morts et vous permet de réagir plus vite.",[60,1017,1019],{"id":1018},"des-conseils-neutres-en-français","Des conseils neutres, en français",[53,1021,1022],{},"Nos recommandations visent votre intérêt, pas un catalogue de produits : nous tirons d'abord parti de ce que vous avez déjà, comme les fonctions de sécurité incluses dans Microsoft 365 ou Google Workspace, et nous ne proposons un nouvel outil que s'il répond à un vrai risque.",[189,1024,1026],{"title":1025,"type":834},"Un seul interlocuteur",[53,1027,1028],{},"Une même personne suit votre dossier d'un mois à l'autre. Vous n'avez pas à réexpliquer votre entreprise à chaque appel.",[53,1030,1031,1032,1034],{},"Nous travaillons à distance ou sur place, partout au Québec, et tous les livrables (politiques, rapports, formations) sont rédigés en français. Si vous préférez commencer par un portrait ponctuel, l'",[147,1033,406],{"href":5}," est le point de départ naturel de l'accompagnement.",{"title":246,"searchDepth":11,"depth":15,"links":1036},[1037,1044,1045],{"id":956,"depth":11,"text":957,"children":1038},[1039,1040,1041,1042,1043],{"id":960,"depth":15,"text":961},{"id":967,"depth":15,"text":968},{"id":978,"depth":15,"text":979},{"id":990,"depth":15,"text":991},{"id":1001,"depth":15,"text":1002},{"id":1008,"depth":11,"text":1009},{"id":1018,"depth":11,"text":1019},[1047,1048,1049,1050,1051,1052],"Balayage externe trimestriel de vos actifs exposés et contre-vérification des correctifs","Politiques de sécurité rédigées et tenues à jour : utilisation acceptable, accès, sauvegardes, incidents","Formation de sensibilisation et simulations d'hameçonnage pour vos employés","Aide pour remplir les questionnaires d'assurance cyber et de sécurité de vos clients","Tableau de bord trimestriel pour la direction et le conseil d'administration","Une personne-ressource qui répond à vos questions de sécurité","Un RSSI virtuel pour votre PME : forfait mensuel avec balayages trimestriels, politiques, formation, simulations d'hameçonnage et questionnaires d'assurance.",[1055,1058,1061,1064],{"q":1056,"a":1057},"Qu'est-ce qu'un vCISO ?","Un RSSI virtuel (vCISO, pour virtual Chief Information Security Officer) est un responsable de la sécurité de l'information à temps partagé. Il joue le même rôle qu'un RSSI à l'interne, mais seulement pour le temps dont votre entreprise a réellement besoin.",{"q":1059,"a":1060},"Remplacez-vous notre fournisseur TI ?","Non. Votre fournisseur gère le quotidien : postes, serveurs, soutien aux utilisateurs. Nous fixons les priorités de sécurité, vérifions que les mesures sont en place et vous conseillons de façon indépendante.",{"q":1062,"a":1063},"Pouvons-nous adapter le contenu du forfait ?","Oui. Le forfait est défini dans la soumission selon votre taille et vos obligations : fréquence des simulations, nombre de rencontres, aide à la conformité. Il peut être révisé au moment du bilan annuel.",{"q":1065,"a":1066},"Les simulations d'hameçonnage servent-elles à piéger les employés ?","Non. Elles servent à mesurer et à former. Les résultats sont présentés de façon globale à la direction, et un clic sur un faux courriel mène à une courte explication plutôt qu'à un reproche.","partner",[1069,1070,1071,1072],"Une PME qui n'a personne à l'interne pour s'occuper de la sécurité","Une entreprise dont les clients ou l'assureur envoient des questionnaires de sécurité chaque année","Une direction ou un conseil d'administration qui veut un suivi régulier et des indicateurs clairs","Une organisation qui a fait un audit et veut s'assurer que les progrès tiennent dans le temps",{},"vciso",[1076,1079,1082,1085,1088],{"title":1077,"text":1078},"Point de départ","Nous partons d'un audit récent, ou nous en réalisons un, pour établir votre situation et vos priorités.",{"title":1080,"text":1081},"Feuille de route annuelle","Nous convenons ensemble d'un plan sur douze mois, ajusté à votre budget et à vos obligations.",{"title":1083,"text":1084},"Suivi mensuel","Chaque mois, nous faisons le point sur l'avancement, les nouveaux risques et les questions de votre équipe.",{"title":1086,"text":1087},"Revue trimestrielle","Balayage externe, résultats des simulations d'hameçonnage et tableau de bord présenté à la direction.",{"title":1089,"text":1090},"Bilan annuel","Nous mesurons le chemin parcouru et préparons la feuille de route de l'année suivante.","---\ntitle: \"Accompagnement continu en cybersécurité (vCISO) pour PME\"\nnavTitle: \"Accompagnement continu (vCISO)\"\ndescription: \"Un RSSI virtuel pour votre PME : forfait mensuel avec balayages trimestriels, politiques, formation, simulations d'hameçonnage et questionnaires d'assurance.\"\ntranslationKey: vciso\norder: 6\nicon: partner\nprice: vciso\ntagline: \"Un responsable de la sécurité à temps partagé, qui connaît votre entreprise et suit vos risques mois après mois.\"\ndeliverables:\n  - \"Balayage externe trimestriel de vos actifs exposés et contre-vérification des correctifs\"\n  - \"Politiques de sécurité rédigées et tenues à jour : utilisation acceptable, accès, sauvegardes, incidents\"\n  - \"Formation de sensibilisation et simulations d'hameçonnage pour vos employés\"\n  - \"Aide pour remplir les questionnaires d'assurance cyber et de sécurité de vos clients\"\n  - \"Tableau de bord trimestriel pour la direction et le conseil d'administration\"\n  - \"Une personne-ressource qui répond à vos questions de sécurité\"\nprocess:\n  - title: \"Point de départ\"\n    text: \"Nous partons d'un audit récent, ou nous en réalisons un, pour établir votre situation et vos priorités.\"\n  - title: \"Feuille de route annuelle\"\n    text: \"Nous convenons ensemble d'un plan sur douze mois, ajusté à votre budget et à vos obligations.\"\n  - title: \"Suivi mensuel\"\n    text: \"Chaque mois, nous faisons le point sur l'avancement, les nouveaux risques et les questions de votre équipe.\"\n  - title: \"Revue trimestrielle\"\n    text: \"Balayage externe, résultats des simulations d'hameçonnage et tableau de bord présenté à la direction.\"\n  - title: \"Bilan annuel\"\n    text: \"Nous mesurons le chemin parcouru et préparons la feuille de route de l'année suivante.\"\nidealFor:\n  - \"Une PME qui n'a personne à l'interne pour s'occuper de la sécurité\"\n  - \"Une entreprise dont les clients ou l'assureur envoient des questionnaires de sécurité chaque année\"\n  - \"Une direction ou un conseil d'administration qui veut un suivi régulier et des indicateurs clairs\"\n  - \"Une organisation qui a fait un audit et veut s'assurer que les progrès tiennent dans le temps\"\nfaq:\n  - q: \"Qu'est-ce qu'un vCISO ?\"\n    a: \"Un RSSI virtuel (vCISO, pour virtual Chief Information Security Officer) est un responsable de la sécurité de l'information à temps partagé. Il joue le même rôle qu'un RSSI à l'interne, mais seulement pour le temps dont votre entreprise a réellement besoin.\"\n  - q: \"Remplacez-vous notre fournisseur TI ?\"\n    a: \"Non. Votre fournisseur gère le quotidien : postes, serveurs, soutien aux utilisateurs. Nous fixons les priorités de sécurité, vérifions que les mesures sont en place et vous conseillons de façon indépendante.\"\n  - q: \"Pouvons-nous adapter le contenu du forfait ?\"\n    a: \"Oui. Le forfait est défini dans la soumission selon votre taille et vos obligations : fréquence des simulations, nombre de rencontres, aide à la conformité. Il peut être révisé au moment du bilan annuel.\"\n  - q: \"Les simulations d'hameçonnage servent-elles à piéger les employés ?\"\n    a: \"Non. Elles servent à mesurer et à former. Les résultats sont présentés de façon globale à la direction, et un clic sur un faux courriel mène à une courte explication plutôt qu'à un reproche.\"\n---\n\nLa sécurité n'est pas un projet qu'on termine. De nouveaux employés arrivent, des logiciels s'ajoutent, des failles sont découvertes chaque semaine et les fraudeurs changent de méthode. Un audit donne une photo ; l'accompagnement continu, c'est le film.\n\nSelon un sondage KPMG publié en 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber. Embaucher un responsable de la sécurité à temps plein n'est pas réaliste pour la plupart d'entre elles. Notre équipe joue ce rôle, dans le cadre d'un forfait mensuel : vous avez un interlocuteur qui connaît votre entreprise, vos systèmes et vos obligations, et qui vous dit où mettre vos efforts.\n\n## Ce qui est inclus\n\n### Surveillance de votre exposition\n\nChaque trimestre, nous balayons ce qui est visible de votre entreprise sur Internet : services exposés, certificats, configuration du courriel, nouvelles vulnérabilités. Quand une faille est corrigée, nous faisons une contre-vérification pour confirmer qu'elle est bien fermée.\n\n### Politiques et gouvernance\n\nDes politiques courtes, rédigées en français clair et adaptées à votre réalité : utilisation acceptable, gestion des accès, sauvegardes, télétravail, réponse aux incidents. Nous les tenons à jour au fil des changements. Pour la réponse aux incidents, nous partons d'un [plan de réponse aux incidents adapté aux PME](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele).\n\n### Formation et simulations d'hameçonnage\n\nDes formations courtes et concrètes pour vos employés, et des simulations d'hameçonnage régulières pour mesurer les progrès. Notre article sur [la simulation d'hameçonnage](\u002Fblogue\u002Fsimulation-hameconnage-employes) explique comment ces campagnes se déroulent.\n\n### Questionnaires d'assurance et de clients\n\nLes questionnaires d'assurance cyber et les évaluations de sécurité envoyées par vos clients sont de plus en plus détaillés. Nous vous aidons à y répondre avec exactitude, et à corriger d'abord ce qui pourrait poser problème. Voyez nos conseils pour [réussir le questionnaire d'assurance cyber](\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur).\n\n### Reddition de comptes à la direction\n\nChaque trimestre, un tableau de bord simple : couverture du MFA, état des correctifs, résultats des simulations, constats ouverts et fermés. Un document que vous pouvez présenter tel quel à votre conseil d'administration.\n\n## Pourquoi un suivi continu plutôt qu'un audit ponctuel\n\nUn audit vous dit où vous en êtes à une date précise. Six mois plus tard, la situation a changé : un nouveau logiciel infonuagique, un employé remplacé, une règle de pare-feu ajoutée « temporairement ». Sans suivi, les écarts s'accumulent sans que personne ne les voie.\n\nLe temps compte aussi. Selon une étude de CDW publiée en 2025, le délai de détection d'un incident dans les petites organisations canadiennes est passé de 4,0 jours en 2024 à 6,8 jours en 2025. Un suivi régulier réduit les angles morts et vous permet de réagir plus vite.\n\n## Des conseils neutres, en français\n\nNos recommandations visent votre intérêt, pas un catalogue de produits : nous tirons d'abord parti de ce que vous avez déjà, comme les fonctions de sécurité incluses dans Microsoft 365 ou Google Workspace, et nous ne proposons un nouvel outil que s'il répond à un vrai risque.\n\n::callout{type=\"tip\" title=\"Un seul interlocuteur\"}\nUne même personne suit votre dossier d'un mois à l'autre. Vous n'avez pas à réexpliquer votre entreprise à chaque appel.\n::\n\nNous travaillons à distance ou sur place, partout au Québec, et tous les livrables (politiques, rapports, formations) sont rédigés en français. Si vous préférez commencer par un portrait ponctuel, l'[audit de cybersécurité](\u002Fservices\u002Faudit-cybersecurite) est le point de départ naturel de l'accompagnement.\n",{"title":945,"description":1053},"services\u002Faccompagnement-continu","Un responsable de la sécurité à temps partagé, qui connaît votre entreprise et suit vos risques mois après mois.","i-loFkPo_FTZMKqZXMty0ls699B79x9LmjTv92TElNw",1792957206882]