En bref : Le parcours de certification CyberSécuritaire Canada de Factero est passé par l’auto-évaluation, un dossier de preuves et un audit externe, jusqu’au niveau 1 obtenu le 19 avril 2026, valide jusqu’au 19 avril 2027. Ce récit raconte l’intérieur du processus : les preuves demandées, les surprises et ce que nous referions autrement, vu du côté audité plutôt que du côté auditeur.
Dans cet article
Pourquoi un cabinet-conseil s’est-il fait certifier lui-même ?
Nous passons une bonne partie de nos semaines à évaluer la conformité d’autres organisations : leurs contrôles, leurs politiques, leurs preuves. Nous n’avions jamais fait passer ce même exercice sur nous-mêmes, du côté audité plutôt que du côté auditeur.
Le dicton dit que le cordonnier est mal chaussé. Nous avons choisi l’inverse. Un cabinet-boutique qui bâtit des dossiers de conformité pour d’autres entreprises devait pouvoir montrer le sien, avec les mêmes exigences que celles qu’il demande à ses clients.
Il y a aussi une question de position. Factero ne vend pas de certification, ne revend aucun produit et ne touche aucune commission d’un fournisseur. Raconter notre propre parcours de certification CyberSécuritaire Canada ne pose donc pas le conflit d’intérêts d’un organisme qui décrirait le processus qu’il administre lui-même. Nous l’avons traversé comme n’importe quelle PME cliente le traverserait, avec les mêmes délais, les mêmes questions et les mêmes zones d’inconfort.
Qu’est-ce que la certification CAN/DGSI 104, au juste ?
CyberSécuritaire Canada est le programme fédéral de certification en cybersécurité destiné aux petites et moyennes entreprises. Il s’appuie sur la norme CAN/DGSI 104, publiée par le Digital Governance Standards Institute (DGSI). Factero détient le niveau 1 de cette certification, obtenu au terme d’un audit mené par un organisme de certification tiers accrédité.
Nous ne nommons pas cet organisme dans cet article, par choix éditorial. Le but ici n’est pas de faire la promotion d’un vérificateur en particulier, mais de raconter ce que vit une PME qui traverse le processus. Notre grappe consacrée au sujet explique la norme en détail, ses contrôles et son fonctionnement, dans Certification CyberSécuritaire Canada (CAN/DGSI 104) : le guide.
Le programme comporte plusieurs niveaux. Nous détenons le niveau 1, un point de départ courant pour une PME qui amorce la démarche, avec la possibilité de viser un niveau supérieur si le contexte d’affaires le justifie.
Comment s’est déroulé notre parcours de certification CyberSécuritaire Canada, étape par étape ?
Nous avons publié deux billets courts au fil de la démarche : l’annonce du lancement de notre démarche de certification CyberSecure Canada, puis celle de l’obtention du certificat CyberSecure Canada, le 19 avril 2026. Voici ce qui s’est passé entre les deux, dans l’ordre.
- Auto-évaluation. Nous avons d’abord passé nos propres contrôles au peigne fin par rapport aux exigences de la norme, sans intervenant externe. L’objectif était de savoir où nous en étions vraiment, pas où nous pensions être.
- Constitution du dossier de preuves. Politiques écrites, registre des accès, configurations, journaux, ententes avec nos fournisseurs : chaque contrôle exigeait une preuve documentée, pas seulement une affirmation verbale.
- Dépôt auprès de l’organisme de certification. Le dossier complet a été soumis pour vérification externe, avec les pièces justificatives associées à chaque contrôle.
- Vérification. L’organisme tiers a examiné nos preuves et posé des questions, certaines attendues, d’autres moins.
- Décision et émission du certificat, valide un an, du 19 avril 2026 au 19 avril 2027.
Rien de ce déroulement n’est exotique. C’est la mécanique normale d’une certification tierce partie. Ce qui change d’une entreprise à l’autre, c’est le temps que prend chaque étape, et ce temps dépend directement de la maturité documentaire au départ, pas de la taille de l’équipe technique.
Quelles preuves de certification CAN/DGSI 104 avons-nous dû monter ?
Le dossier de preuves couvre six catégories de contrôles, des politiques écrites jusqu’à la gestion des fournisseurs. C’est la question qui revient le plus souvent de la part de dirigeants qui envisagent la démarche : à quoi ressemble concrètement le dossier ? Voici ces six catégories, sans détail opérationnel sensible sur nos propres contrôles.
| Catégorie de preuve | Ce qu’elle démontre |
|---|---|
| Politiques et procédures écrites | Que les règles existent et sont formalisées, pas seulement pratiquées de tête |
| Registre des actifs et des accès | Qui a accès à quoi, et pourquoi |
| Formation et sensibilisation du personnel | Que les employés connaissent les règles, pas seulement la direction |
| Journalisation et surveillance | Que les événements de sécurité sont capturés et consultables |
| Sauvegardes et plan de relance | Que l’entreprise peut se relever d’un incident, pas seulement le prévenir |
| Gestion des fournisseurs | Que les tiers avec qui l’entreprise partage des données sont eux-mêmes encadrés |
Aucune de ces catégories n’est surprenante en soi. Ce qui prend du temps, c’est de rassembler la preuve que chacune est réellement appliquée, pas seulement écrite quelque part dans un document que personne ne consulte.
Qu’est-ce qui nous a surpris ?
Trois choses, honnêtement.
- La proportion de gouvernance et de documentation par rapport à la proportion strictement technique. Nous nous attendions à un audit de configurations et de pare-feu ; une bonne partie du dossier portait plutôt sur des politiques, des rôles et des responsabilités écrites noir sur blanc, signées et datées.
- L’écart entre « nous faisons ça » et « nous pouvons le prouver ». Plusieurs de nos pratiques étaient déjà en place au quotidien, mais la preuve documentée de leur application n’existait pas encore sous une forme présentable au moment où l’organisme l’a demandée. Reconstituer cette preuve après coup a pris plus de temps que de l’avoir déjà à jour.
- La taille de l’organisation, qui n’exempte de rien. Un cabinet-boutique comme le nôtre est soumis exactement aux mêmes exigences de contrôle qu’une entreprise dix fois plus grande. La norme ne fait pas de distinction selon la taille dans ce qu’elle exige, seulement dans l’ampleur de ce qu’il y a à documenter pour la satisfaire.
Que referions-nous autrement ?
Deux choses, si c’était à refaire.
D’abord, commencer la collecte de preuves plus tôt et en continu, pas dans les semaines précédant le dépôt. Un registre des accès tenu à jour au fil de l’eau coûte une fraction du temps qu’il coûte à reconstituer d’un coup avant un dépôt, sous pression, avec le risque d’oublier une pièce.
Ensuite, désigner un seul responsable interne du dossier dès le départ, même dans une petite structure. Un dossier de certification qui circule entre plusieurs personnes sans porteur unique perd du temps à chaque transfert, et personne ne se sent pleinement responsable du résultat final. Nous suivons désormais nos propres contrôles avec un outil de gouvernance, risque et conformité à code source ouvert, plutôt qu’avec des feuilles de calcul dispersées entre plusieurs dossiers partagés.
Comment vérifier notre certificat vous-même ?
Notre certificat CAN/DGSI 104, niveau 1, est vérifiable publiquement dans IAF CertSearch et affiché au Trust Center de factero.ca. Nous ne demandons à personne de nous croire sur parole.
Cette transparence n’est pas un geste de marketing. Un cabinet qui bâtit sa position sur l’indépendance et l’absence de conflit d’intérêts devrait pouvoir être vérifié de la même façon qu’il vérifie les autres. C’est la moindre des cohérences, et c’est aussi la raison pour laquelle nous documentons ce parcours de certification CyberSécuritaire Canada plutôt que de simplement afficher un logo de certification sur notre site.
Est-ce que cette certification change quelque chose pour nos clients ?
Directement, non. Le certificat de Factero porte sur la gouvernance et la sécurité interne de notre cabinet, pas sur les dossiers de nos clients ni sur le résultat de nos mandats d’audit ou d’accompagnement à la certification.
Indirectement, la démarche a clarifié des choses que nous appliquions déjà de façon plus informelle : qui a accès à quels dossiers clients, comment les preuves d’un mandat sont conservées, ce qui se passe si un appareil est perdu ou volé. Ce sont exactement les questions que nous posons aux organisations que nous auditons. Nous les poser à nous-mêmes, avec la même rigueur, a forcé quelques clarifications utiles.
Ce que la certification ne fait pas, c’est garantir la qualité de nos mandats. Un cabinet peut être certifié CAN/DGSI 104 et livrer un travail moyen, tout comme un cabinet non certifié peut livrer un travail excellent. La certification atteste de contrôles internes, pas de compétence professionnelle. Les deux se jugent séparément, et c’est très bien ainsi : ce n’est pas parce qu’un fournisseur détient un certificat qu’il faut cesser de poser des questions.
Par où commencer votre propre parcours de certification CyberSécuritaire Canada ?
Si vous envisagez la certification CyberSécuritaire Canada pour votre entreprise, le point de départ le plus utile n’est pas un vendeur, c’est quelqu’un qui a traversé le processus du côté audité. Nous détaillons la préparation, contrôle par contrôle, dans Se préparer à CyberSécuritaire Canada : le chemin d’un certifié.
Nous ne délivrons pas de certification. Nous accompagnons des dirigeants qui s’y préparent : cartographie des écarts, structuration du dossier de preuves, coordination avec l’organisme de certification tiers. Vous gardez la décision, nous structurons le chemin. Si votre entreprise envisage la démarche, discuter de votre propre parcours de certification avec Factero permet de situer votre point de départ avant de vous engager dans un processus qui, on l’a vu, prend plus de temps qu’il n’y paraît.
Pour aller plus loin avec Factero :
Foire aux questions
La certification CyberSécuritaire Canada est-elle obligatoire ?
Non. L’adhésion au programme est volontaire, aucune loi ni aucun donneur d’ordre n’exige ce certificat pour opérer une PME au Canada. Ce qui pousse à le viser, c’est la preuve qu’il apporte face à des clients ou des partenaires qui posent des questions de sécurité, pas une obligation réglementaire.
Sur combien de contrôles de sécurité repose la certification CyberSécuritaire Canada ?
Treize. Le programme fédéral s’appuie sur treize contrôles de sécurité établis par le Centre canadien pour la cybersécurité, notamment un plan d’intervention en cas d’incident et l’application automatique des correctifs de sécurité. Une organisation doit d’abord les mettre en œuvre, puis un organisme de certification accrédité par le Conseil canadien des normes évalue leur application avant d’émettre le certificat.
Quelle est la différence entre CyberSécuritaire Canada et ISO 27001 ?
CyberSécuritaire Canada est un programme fédéral pour PME canadiennes, basé sur treize contrôles précis et une adhésion volontaire. ISO 27001 est une norme internationale de système de management de la sécurité de l’information, plus large et reconnue hors du Canada. Une entreprise qui vise des marchés internationaux regarde plutôt du côté d’ISO 27001. Une PME qui veut une première preuve de sérieux au Canada commence souvent par CyberSécuritaire Canada.
Combien de temps faut-il prévoir pour obtenir la certification CyberSécuritaire Canada ?
Aucun délai fixe n’est publié par le programme. Le temps dépend presque entièrement de l’état de votre documentation avant de commencer, pas de la taille de votre équipe technique. Une organisation qui a déjà des politiques écrites et des registres à jour avance plus vite qu’une organisation qui doit tout reconstituer d’un coup avant le dépôt. C’est exactement ce que nous avons vécu nous-mêmes.
Le certificat CAN/DGSI 104 de Factero est-il vérifiable publiquement ?
Oui, dans IAF CertSearch et au Trust Center de factero.ca. Ces deux registres existent précisément pour qu’un client ou un partenaire n’ait pas à prendre notre parole pour acquis. Un logo de certification affiché sur un site ne prouve rien par lui-même. Seul le registre de l’organisme émetteur confirme qu’un certificat est réel et toujours actif.
