Démarche CyberSecure Canada : les 5 étapes du niveau 1

En bref : Factero engage sa démarche CyberSecure Canada, aussi appelée CyberSécuritaire Canada, niveau 1, selon la norme CAN/DGSI 104:2021 (Rév. 1:2024) du Digital Governance Standards Institute. La décision de certifier appartient à un organisme de certification accrédité, pas à Factero : c’est la même obligation de moyens que le cabinet répète à ses clients dans leurs propres démarches de certification.

CyberSécuritaire Canada est un programme fédéral de certification en cybersécurité destiné aux petites et moyennes entreprises. Si vous évaluez un fournisseur, un conseiller ou un partenaire technologique, cette démarche CyberSecure Canada vous concerne peut-être plus directement que vous ne le pensez : elle touche à la question de savoir si celui qui vous recommande une démarche de conformité l’applique lui-même.

Dans cet article

Qu’est-ce que le programme CyberSécuritaire Canada ?

Le programme s’appuie sur la norme CAN/DGSI 104:2021, révisée en 2024 (Rév. 1:2024), publiée par le Digital Governance Standards Institute (DGSI), l’organisme responsable de cette norme de gouvernance numérique. Le nom anglais du programme, CyberSecure Canada, et son nom français, CyberSécuritaire Canada, désignent le même programme fédéral.

Le niveau 1, celui que Factero vise, correspond à un socle de contrôles de base, pas à un audit exhaustif de tout un environnement technologique :

Gestion des accès
Protection des postes de travail
Sauvegardes
Sensibilisation du personnel
Réponse aux incidents

C’est un plancher, pensé pour des organisations qui n’ont pas d’équipe de sécurité dédiée à temps plein, ce qui décrit la majorité des PME québécoises, la nôtre comprise.

Pourquoi Factero engage-t-elle sa démarche CyberSecure Canada ?

Parce qu’un cabinet qui recommande à ses clients de se soumettre à une vérification externe, indépendante, dont il ne contrôle pas l’issue, devrait pouvoir dire qu’il fait la même chose pour lui-même. Le cordonnier mal chaussé n’inspire pas confiance, et nous n’avons pas envie d’être ce cordonnier-là. C’est le même principe qui nous fait dire à nos clients pourquoi leur fournisseur TI ne devrait pas s’auditer lui-même : la vérification qui compte est celle qu’on ne contrôle pas soi-même.

Nos clients en démarche de certification TGV, la Trousse globale de vérification qui certifie les produits technologiques destinés au réseau de la santé du Québec, entendent souvent la même phrase de notre part : la certification n’est pas garantie, seule la préparation du dossier l’est.

C’est vrai pour eux devant le Bureau de certification de Santé Québec. C’est vrai pour nous devant l’organisme de certification accrédité qui évaluera notre dossier CAN/DGSI 104. Nous ne pouvions pas continuer à le répéter sans le vivre nous-mêmes. Le détail de ce que vit un fournisseur en démarche TGV se trouve dans notre article sur les 5 étapes de la certification TGV, du dépôt à la décision, et nous accompagnons aussi des fournisseurs dans cette démarche de certification TGV précisément.

Planifier un appel exploratoire

Il y a aussi une raison plus directe. Nous accompagnons des organisations dans leur démarche CyberSecure Canada, ou dans leur démarche de certification TGV. Passer par le processus nous-mêmes, avec ses formulaires, ses délais et ses zones grises, garde notre accompagnement ancré dans ce que le processus exige réellement, pas dans ce qu’on imagine qu’il exige de l’extérieur.

Qu’exige la norme CAN/DGSI 104, concrètement ?

La démarche CyberSecure Canada s’applique en cinq étapes, de l’auto-évaluation jusqu’à la décision de l’organisme de certification accrédité, même si chaque étape prend du temps à exécuter dans les faits.

Une auto-évaluation contre les contrôles du niveau 1 : ce qui est déjà en place, ce qui manque, ce qui doit être documenté.
Un plan pour combler les écarts trouvés à l’auto-évaluation, avec des responsables et des échéances internes.
La mise en œuvre de ce plan, contrôle par contrôle.
Le dépôt du dossier auprès d’un organisme de certification accrédité, prévu pour Factero dans les prochaines semaines.
La vérification externe et la décision de l’organisme, qui peut accorder la certification, la refuser, ou demander des correctifs avant de trancher.

Factero est à la première étape. L’auto-évaluation est commencée, le plan de mise en œuvre suit.

Qui décide de la certification, au juste ?

Pas Factero. Un organisme de certification accrédité, indépendant du programme fédéral et indépendant de nous, reçoit le dossier, le vérifie et rend sa décision. Nous ne siégeons pas dans cette décision, nous ne l’influençons pas, et nous ne prétendrons jamais le contraire une fois le processus terminé.

C’est le même principe que nous répétons aux fournisseurs en démarche TGV, dans notre accompagnement à la certification TGV : un consultant peut préparer un dossier solide, il ne peut garantir une décision qui ne lui appartient pas. L’orientation officielle du ministère de la Santé et des Services sociaux (MSSS) sur la certification TGV le formule autrement, mais dit la même chose : la vérification est confiée à un tiers, et la décision finale appartient à l’autorité qui délivre la certification, pas à qui prépare le dossier. Santé Québec publie d’ailleurs une page des solutions numériques certifiées, exactement pour cette raison : la certification se vérifie, elle ne se prend pas sur parole.

Une fois une certification CyberSécuritaire Canada accordée, elle peut elle aussi se vérifier publiquement, notamment par l’entremise de registres comme IAF CertSearch, qui recense des certificats émis par des organismes accrédités à l’échelle internationale. Retenez ce réflexe : devant un fournisseur qui affiche un badge de certification, la bonne question n’est pas « êtes-vous certifié », c’est « où puis-je vérifier ça ».

Le tableau suivant résume la différence entre les deux démarches de certification que Factero connaît de l’intérieur.

<table> <thead> <tr><th>Aspect</th><th>Certification TGV</th><th>CyberSécuritaire Canada</th></tr> </thead> <tbody> <tr><td>Objet certifié</td><td>Un produit technologique destiné au réseau de la santé du Québec</td><td>La posture de cybersécurité d’une organisation</td></tr> <tr><td>Autorité de décision</td><td>Bureau de certification de Santé Québec</td><td>Organisme de certification accrédité, indépendant du programme fédéral</td></tr> <tr><td>Portée</td><td>Réseau de la santé du Québec</td><td>Programme fédéral canadien, pensé pour les PME</td></tr> <tr><td>Rôle du consultant</td><td>Prépare le dossier, ne décide pas</td><td>Prépare le dossier, ne décide pas</td></tr> </tbody> </table>

Qu’est-ce que cette certification n’est pas ?

Trois précisions valent d’être faites tout de suite, pour éviter les mêmes confusions qu’on retrouve régulièrement en démarche TGV.

Ce n’est pas une norme internationale substituable à ISO 27001 ou à un rapport SOC 2. CAN/DGSI 104 est une norme canadienne, pensée pour un niveau d’entrée accessible aux PME. Elle ne remplace pas des cadres plus larges, elle leur sert souvent de première marche.

Ce n’est pas un exercice ponctuel. Le niveau 1 est un socle de contrôles à maintenir, pas un diplôme accroché au mur une fois pour toutes. Une organisation certifiée doit continuer à appliquer ce qu’elle a démontré, pas seulement le démontrer une fois devant l’organisme.

Ce n’est pas un exercice purement technique non plus. Une partie de l’auto-évaluation porte sur des politiques, de la sensibilisation du personnel et de la documentation, pas seulement sur la configuration des systèmes. Confier le dossier à la seule équipe technique, c’est risquer de le voir revenir incomplet.

Qu’est-ce que ça change pour vous, comme dirigeant de PME ?

Si vous évaluez un conseiller en conformité ou en cybersécurité, une question simple mérite d’être posée : applique-t-il à sa propre organisation ce qu’il vous recommande d’appliquer à la vôtre ? La réponse n’est pas toujours non. Elle mérite néanmoins d’être posée, parce qu’elle est rarement posée.

Le niveau 1 de CyberSécuritaire Canada a été pensé pour des organisations de votre taille, pas pour des multinationales avec un service de sécurité interne dédié. Si votre entreprise compte quelques dizaines d’employés, sans poste consacré uniquement à la cybersécurité, ce niveau correspond à ce que vous pouvez raisonnablement viser en premier, avant d’envisager des démarches plus lourdes.

Le mot-clé PME, associé au programme, n’est pas décoratif. Les contrôles du niveau 1 supposent que personne, dans l’organisation, ne passe ses journées uniquement sur la sécurité. C’est une différence importante avec des cadres pensés pour de grandes structures, où la conformité est un poste à temps plein occupé par plusieurs personnes.

Combien de temps prend une démarche pour se certifier CyberSecure Canada ?

La durée d’une démarche CyberSecure Canada dépend du point de départ de l’organisation, comme pour toute certification. Une organisation qui a déjà une gestion des accès formalisée, des sauvegardes testées et un minimum de sensibilisation du personnel couvre une partie des contrôles avant même de commencer l’auto-évaluation. Une organisation qui part de zéro a plus de chemin à faire, et le délai s’en ressent directement.

C’est exactement le même constat que celui documenté dans les 5 étapes de la certification TGV, du dépôt à la décision, à une autre échelle : l’écart entre l’état réel de l’organisation et les exigences de la norme détermine l’essentiel du calendrier, bien avant que l’organisme de certification n’entre en jeu. Deux entreprises de taille comparable peuvent vivre des démarches très différentes selon la maturité de leur documentation et de leurs pratiques déjà en place.

Ce que nous pouvons dire à ce stade : l’auto-évaluation et le plan de mise en œuvre sont des étapes internes, qui n’attendent pas l’organisme de certification. Le dépôt formel du dossier vient ensuite, une fois le plan exécuté, pas avant. Nous reviendrons avec le détail complet, délais compris, une fois la décision de l’organisme rendue.

Vous évaluez actuellement votre propre posture de cybersécurité, ou celle d’un fournisseur, et vous vous demandez par où commencer une démarche comme celle-ci ? Nous accompagnons des organisations dans leur démarche d’accompagnement à la certification CyberSécuritaire Canada, avec la même règle que nous nous appliquons à nous-mêmes : préparer un dossier solide, sans jamais promettre une décision qui ne nous appartient pas.

Pour aller plus loin avec Factero :

accompagnement à la certification CAN/DGSI 104

Foire aux questions

CyberSecure Canada et CyberSécuritaire Canada, est-ce le même programme ?

Oui. Ce sont les noms anglais et français du même programme fédéral de certification en cybersécurité destiné aux PME, appuyé sur la norme CAN/DGSI 104:2021 (Rév. 1:2024) du Digital Governance Standards Institute. Le niveau 1, celui que vise Factero, couvre un socle de contrôles de base, pas un audit complet de l’environnement technologique.

Cette certification garantit-elle qu’une organisation ne subira jamais d’incident de sécurité ?

Non. Elle atteste qu’un ensemble de contrôles de base, comme la gestion des accès, les sauvegardes ou la sensibilisation du personnel, est en place et vérifié par un organisme de certification accrédité, à un moment donné précis. Aucune certification, à aucun niveau, ne garantit l’absence future d’incident : elle réduit des risques connus, elle ne les élimine pas.

Combien coûte une certification CyberSecure Canada pour une PME ?

Le programme fédéral n’affiche aucun tarif fixe sur ses pages officielles : le coût dépend de l’organisme de certification accrédité retenu et de l’écart entre les pratiques déjà en place et les contrôles du niveau 1. Une organisation avec une gestion des accès et des sauvegardes déjà documentées débourse généralement moins qu’une organisation qui part de zéro. Factero ne peut pas encore chiffrer sa propre démarche, elle est en cours.

Cette démarche remplace-t-elle un audit TI indépendant ?

Non. Un audit TI indépendant porte un regard large sur l’ensemble de l’environnement technologique d’une organisation, ses systèmes, ses processus et ses risques. CyberSécuritaire Canada niveau 1 vérifie un socle de contrôles précis, définis par la norme CAN/DGSI 104. Les deux démarches sont complémentaires, pas interchangeables, et peuvent se mener en parallèle.

Factero lance sa démarche de certification CyberSecure Canada

Besoin d’aide sur ce sujet ?