En bref : Les contrôles de base cybersécurité PME sont les six familles de mesures minimales exigées par la norme CAN/DGSI 104 : formation, évaluation des risques, réponse aux incidents, configuration sécurisée, sauvegardes, infonuagique et fournisseurs TI externes. Officiellement les Contrôles de base de cybersécurité pour les petites et moyennes organisations, la norme sert de fondement à la certification CyberSécuritaire Canada.
Si vous dirigez une PME (petite ou moyenne entreprise) et qu’un client, un assureur ou un appel d’offres vous a mentionné cette norme, ce guide est écrit pour vous, pas pour votre équipe TI (technologies de l’information). Chaque famille de contrôles y est expliquée en langage de décision : pourquoi elle existe, et quelle question poser à vos équipes ou à votre fournisseur.
Dans cet article
Que sont les contrôles CAN/DGSI 104 ?
CAN/DGSI 104 est le nom officiel d’une norme nationale du Canada. Elle est éditée par le Digital Governance Standards Institute (DGSI), l’organisme qui développe les normes numériques nationales du Canada.
La norme définit six familles de contrôles minimaux, pas une liste de logiciels à acheter. Sa révision Rev 1:2024 a précisé, pour chacune de ces six familles, ce qui distingue les exigences de niveau 1 (N1) de celles de niveau 2 (N2). C’est cette même norme qui sert de base au programme fédéral CyberSécuritaire Canada, qui délivre deux niveaux de certification.
Nous avons consacré à cette norme un guide complet, Certification CyberSécuritaire Canada (CAN/DGSI 104) : le guide. Cet article se concentre sur une seule question : que contiennent, concrètement, les six familles de contrôles, et quoi en faire comme dirigeant ?
Pourquoi cette norme de cybersécurité concerne-t-elle les dirigeants de PME ?
La certification CyberSécuritaire Canada n’est imposée par aucune loi. Elle devient pertinente autrement :
- Un client l’exige dans son appel d’offres.
- Un assureur en tient compte dans le calcul de sa prime.
- Un partenaire d’affaires la demande avant de signer un contrat.
La norme ne vise pas les grandes entreprises dotées d’une équipe de sécurité dédiée. Elle vise explicitement les petites et moyennes organisations, celles où la cybersécurité repose souvent sur une seule personne, parfois sur personne en particulier. Les contrôles de base cybersécurité PME reflètent cette réalité : des mesures minimales, pas un cadre de gouvernance complexe à interpréter.
Contrôles de base cybersécurité PME : quelles sont les six familles ?
La norme regroupe ses exigences en six familles. Voici, en une phrase chacune, ce que chacune vérifie.
| Famille de contrôles | Ce qu’elle vérifie |
|---|---|
| Formation | Que le personnel reconnaît les menaces courantes et sait comment réagir |
| Évaluation des risques | Que l’organisation connaît ses actifs et ses menaces avant de choisir ses mesures |
| Réponse aux incidents | Qu’un plan existe avant l’incident, pas improvisé pendant |
| Configuration sécurisée | Que les appareils et systèmes ne roulent pas avec leurs réglages d’origine |
| Sauvegardes | Que des copies existent, sont isolées, et ont été restaurées au moins une fois pour test |
| Infonuagique et TI externalisée | Que les responsabilités envers les fournisseurs sont écrites, pas présumées |
Les sections qui suivent reprennent chacune de ces familles dans l’ordre, avec la question qu’un dirigeant devrait poser à ses équipes, pas le texte normatif : celui-ci reste la propriété du DGSI et se consulte directement à la source.
Pourquoi la norme exige-t-elle de la formation pour tout le personnel ?
La majorité des incidents de cybersécurité commencent par une personne qui clique, ouvre une pièce jointe ou répond à un courriel frauduleux. La norme ne le tient pas pour acquis, elle l’exige comme contrôle : chaque personne qui a accès aux systèmes de l’organisation doit recevoir une formation sur les menaces courantes, pas seulement l’équipe TI.
La question à poser à vos équipes n’est pas « avons-nous une politique de sécurité ? ». C’est plutôt : la dernière personne embauchée a-t-elle reçu une formation avant d’avoir accès aux systèmes, ou seulement après, si jamais ? Et cette formation se répète-t-elle dans le temps, ou s’est-elle produite une fois, il y a trois ans ?
Pourquoi une évaluation des risques plutôt qu’une liste de mesures à cocher ?
La norme ne dit pas « installez ce logiciel ». Elle exige d’abord que l’organisation sache ce qu’elle protège : quels systèmes, quelles données, quels fournisseurs, et ce qui arriverait si chacun tombait en panne ou était compromis.
C’est la famille la plus souvent bâclée, parce qu’elle demande du temps de réflexion plutôt qu’un budget. Une PME qui saute cette étape et achète directement des outils de sécurité risque de bien protéger ce qui compte le moins et de mal protéger ce qui compte vraiment.
La question à poser : existe-t-il un inventaire écrit de nos systèmes et de nos données les plus sensibles, ou cette information vit-elle seulement dans la tête d’une personne ?
Que signifie être prêt à répondre à un incident ?
Un plan de réponse aux incidents n’est pas un document qu’on rédige pendant l’incident. La norme exige qu’il existe avant :
- Qui appeler, et dans quel ordre.
- Qui a l’autorité de débrancher un système.
- Qui informe les clients touchés.
Au Québec, un incident touchant des renseignements personnels déclenche en plus les obligations propres à la Loi 25 : évaluation du risque de préjudice, tenue d’un registre des incidents, avis à la Commission d’accès à l’information dans certains cas. Ce sont des obligations légales distinctes de la norme, mais qui s’activent souvent au même moment.
La question à poser : si un poste de travail était chiffré par une rançon demain matin, qui, dans l’organisation, sait exactement quoi faire dans la première heure ?
Qu’est-ce qu’une configuration sécurisée, en langage de dirigeant ?
Un ordinateur, un routeur ou un serveur livré par un fabricant arrive avec des réglages pensés pour être faciles à installer, pas pour être difficiles à attaquer. La configuration sécurisée est le contrôle qui exige de changer ces réglages par défaut :
- Les mots de passe.
- Les ports ouverts.
- Les comptes administrateurs.
- Les mises à jour automatiques.
C’est un contrôle technique, mais la question qui s’y rattache ne l’est pas. Demandez à votre fournisseur TI ou à votre équipe : nos appareils roulent-ils encore avec les réglages sortis de la boîte, ou quelqu’un les a-t-il durcis volontairement, et documenté ce qui a été changé ?
Pourquoi la norme exige-t-elle des sauvegardes testées ?
Une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde, c’est un espoir. La norme l’exige explicitement : les copies doivent exister, être isolées du reste du réseau pour ne pas être chiffrées avec lui en cas de rançongiciel, et avoir été testées par une restauration réelle, pas seulement planifiées dans un logiciel.
Beaucoup d’organisations découvrent au pire moment que leur sauvegarde automatique s’est arrêtée silencieusement des mois plus tôt, ou que le fichier restauré est corrompu. La norme demande de le découvrir avant, pendant un test planifié, pas pendant une crise.
La question à poser : quand a eu lieu notre dernier test de restauration réussi, et qui peut le confirmer par écrit ?
Que change l’infonuagique ou un fournisseur TI externe ?
La majorité des PME ne gèrent plus leurs serveurs elles-mêmes : l’hébergement, les courriels, la paie, la comptabilité passent par des fournisseurs infonuagiques ou un fournisseur TI externalisé. La norme reconnaît cette réalité et exige que les responsabilités entre l’organisation et chaque fournisseur soient écrites, pas présumées.
Confier une tâche à un fournisseur ne transfère pas automatiquement la responsabilité de vérifier qu’elle est bien faite. Si votre fournisseur infonuagique gère vos sauvegardes, encore faut-il savoir qui a testé la dernière restauration, et où se trouve la preuve.
La question à poser à chaque fournisseur : dans notre contrat, quelle partie couvre quelle responsabilité de sécurité, et est-ce écrit noir sur blanc ou seulement sous-entendu ?
Niveau 1 ou niveau 2, quelle différence pour votre organisation ?
Le programme CyberSécuritaire Canada délivre deux niveaux de certification, construits sur les mêmes six familles de contrôles de base. La révision Rev 1:2024 de la norme précise, famille par famille, ce qui distingue les exigences du niveau 1 (N1) de celles du niveau 2 (N2).
Ce détail se lit dans le texte normatif du DGSI, pas dans un résumé de dirigeant : la nuance entre les deux niveaux justifie qu’on la lise directement à la source avant de choisir. Si un appel d’offres ou un contrat client mentionne un niveau précis sans que vous en compreniez la portée, c’est la première question à clarifier, avant même de commencer une démarche.
Pourquoi Factero applique-t-elle ces contrôles chez elle-même ?
Nous appliquons les contrôles de base cybersécurité PME décrits ici avant de les recommander. Factero détient le certificat CyberSécuritaire Canada de niveau 1 depuis le 19 avril 2026, vérifiable publiquement sur le registre IAF CertSearch. Le détail de cette démarche est raconté dans Factero est certifié CyberSecure Canada (CAN/DGSI 104), et nos politiques et certifications sont documentées publiquement sur notre Trust Center.
On ne voulait pas être les cordonniers mal chaussés de la cybersécurité, à recommander des contrôles qu’on n’aurait pas testés soi-même sur sa propre organisation. Les six familles décrites plus haut, on les a vécues de l’intérieur, avec leurs zones grises et leurs décisions à trancher.
Par où commencer ?
Trois gestes concrets, dans l’ordre.
- Lisez la norme CAN/DGSI 104 directement à la source, ou au minimum notre guide complet sur la certification CyberSécuritaire Canada. Ce guide résume l’ensemble du parcours ; cet article se concentre sur les contrôles de base cybersécurité PME.
- Faites un premier passage honnête des six familles avec vos équipes ou votre fournisseur TI : en place, partiellement en place, absent. Ne cherchez pas la certification tout de suite, cherchez le portrait réel.
- Décidez ensuite comment combler les écarts trouvés, et à quel rythme. La bonne réponse dépend de ce qui vous pousse vers cette norme : un contrat déjà sur la table ne laisse pas le même temps qu’une démarche volontaire.
Vous voulez savoir où votre organisation se situe face à ces contrôles ? Un audit pré-certification vous donne l’heure juste, avant que ce soit un client ou un assureur qui vous l’apprenne. Vous pouvez planifier un audit pré-certification directement avec notre équipe.
Pour aller plus loin avec Factero :
- accompagnement CAN/DGSI 104 pour PME
- test de restauration de vos sauvegardes
- exercice de crise tabletop
Foire aux questions
La certification CyberSécuritaire Canada est-elle obligatoire ?
Non, aucune loi ne l’exige. Le programme fédéral est volontaire : c’est un client, un assureur ou un appel d’offres qui la rend nécessaire en pratique, pas un règlement. Une organisation peut appliquer les six familles de contrôles sans jamais soumettre de demande de certification.
Ces six familles de contrôles visent-elles aussi les grandes entreprises ?
Pas directement. La norme cible les petites et moyennes organisations, celles qui n’ont généralement pas d’équipe de sécurité dédiée. Une entreprise de plusieurs centaines d’employés avec une équipe TI interne relève habituellement d’un cadre de gouvernance plus exigeant, construit pour sa taille.
Faut-il avoir les six familles en place avant de demander une évaluation ?
Non. Un audit pré-certification sert justement à mesurer l’écart entre votre situation réelle et les six familles avant l’évaluation officielle, pour corriger ce qui manque au lieu de le découvrir en pleine vérification. C’est une étape de préparation, pas une exigence formelle du programme.
Où lire le texte complet de la norme CAN/DGSI 104 ?
Le Digital Governance Standards Institute (DGSI), l’organisme qui édite la norme, la diffuse directement sur son site. La révision Rev 1:2024, en vigueur, précise les exigences propres à chaque niveau. Ce guide en vulgarise le contenu pour un dirigeant non technique, il ne remplace pas le texte normatif.
Peut-on appliquer ces contrôles sans viser la certification ?
Oui. De nombreuses organisations mettent en œuvre les six familles pour réduire leur risque réel, sans passer par l’évaluation externe et le certificat qui l’accompagne. La différence : sans certificat, impossible de le démontrer formellement à un client ou un assureur qui l’exige noir sur blanc.
