Informatique et cybersécurité — Bilan · Priorités · Plan d'action
Bilan de sécurité pour PME : un audit de cybersécurité lu et expliqué par un humain
Vous ne savez pas si votre entreprise est protégée, ni par où commencer ?Le bilan de sécurité répond à cette question. Une personne de notre équipe passe en revue vos protections de base, vos sauvegardes, vos comptes et l'usage de l'intelligence artificielle par vos employés. Vous recevez un rapport en français clair, trois priorités et un plan sur 90 jours. Pour les PME de la Montérégie, de la Rive-Sud, de Montréal et de partout au Québec.
- Contrôles de base
- Microsoft 365 ou Google Workspace
- Sauvegardes
- Comptes et accès
- Usage de l'IA
Bilan de sécurité PME
- Pour qui
- PME de 5 à 50 employés, sans responsable informatique
- Format
- Mandat court, à livrable fixe
- Vous gardez
- Le rapport, les trois priorités et le plan sur 90 jours
- Qui le fait
- L'équipe de Novi Intelligence, pas un outil automatique
- Prix
- Sur devis
Un bilan de sécurité est un audit de cybersécurité à la mesure d'une PME : une personne passe en revue vos protections de base, vous dit où votre entreprise est exposée et vous remet trois priorités et un plan sur 90 jours, expliqués de vive voix.
Ce qu'on regarde : les contrôles de base du Centre canadien pour la cybersécurité, Microsoft 365 ou Google Workspace, les sauvegardes, les accès, l'usage de l'IA.
Ce que vous recevez : un rapport de quelques pages, trois priorités, un plan sur 90 jours et une rencontre.
Pour qui : les PME du Québec qui n'ont personne à l'interne pour s'occuper de la sécurité.
Sans obligation : le rapport vous appartient, que vous continuiez ou non avec nous.
Pour qui
À qui s'adresse le bilan de sécurité
Aux entreprises de 5 à 50 employés où personne n'a la sécurité informatique dans sa description de tâches.
Le propriétaire sans responsable informatique
L'informatique repose sur vous, sur un employé débrouillard ou sur un fournisseur qu'on appelle quand ça brise. Le bilan vous donne, par écrit, le portrait de ce qui est en place.
L'entreprise qui vient de recevoir un questionnaire de sécurité
Un gros client veut savoir comment vous protégez ses données. Le bilan montre ce que vous pouvez déjà répondre et ce qu'il faut corriger avant de signer.
L'entreprise qui vient de vivre une fraude
Un faux courriel de fournisseur, un mot de passe volé. Une fois l'urgence passée, le bilan sert à décider quoi corriger en premier. Ce n'est pas une enquête sur l'incident.
La grille
Que regarde un audit de cybersécurité pour PME ?
La grille du bilan part d'une référence publique : les contrôles de cybersécurité de base pour les petites et moyennes organisations, publiés par le Centre canadien pour la cybersécurité. Ce sont treize mesures, résumées ici en mots simples.
On y ajoute ce qu'une PME utilise tous les jours : les réglages de sécurité de Microsoft 365 ou de Google Workspace, les sauvegardes et leur restauration, les comptes de chaque employé, et l'usage que votre équipe fait de l'intelligence artificielle.
Les treize contrôles de base, en mots simples
- Un plan en cas d'incident : qui appeler, qui décide.
- Les mises à jour automatiques des systèmes et des applications.
- Un logiciel de sécurité actif sur chaque poste.
- Des appareils configurés de façon sécuritaire.
- Une authentification forte, avec la double vérification à la connexion.
- La sensibilisation des employés.
- Les sauvegardes et le chiffrement des données.
- La sécurité des téléphones et des appareils mobiles.
- Les protections de base du réseau, comme le pare-feu et le Wi-Fi.
- Les services infonuagiques et l'informatique confiée à un fournisseur.
- La sécurité du site web.
- Le contrôle des accès : qui a droit à quoi.
- Les clés USB et les autres supports amovibles.
Ce qui est livré
Ce que vous recevez à la fin du bilan
Six choses, toujours les mêmes, écrites pour quelqu'un qui n'est pas technicien.
La revue de vos protections de base
On compare ce qui est en place chez vous aux contrôles de base du Centre canadien pour la cybersécurité, puis on regarde Microsoft 365 ou Google Workspace, vos sauvegardes, vos comptes et vos accès.
Le portrait de l'usage de l'IA par vos employés
Quels outils d'intelligence artificielle sont utilisés, avec quels comptes, et quels renseignements y sont entrés. Un dossier client copié dans un assistant grand public n'est plus sous votre contrôle.
Un rapport de quelques pages, en français clair
Pas de sigles, pas de pointage sorti d'un outil. Pour chaque point : ce qu'on a constaté, pourquoi ça compte pour vous et ce qu'on recommande.
Trois priorités
Les trois actions qui réduisent le plus votre exposition, dans l'ordre. On ne peut pas tout corriger d'un coup : on vous dit par quoi commencer.
Un plan sur 90 jours
Qui fait quoi, et dans quel ordre, pendant les trois mois qui suivent.
Une rencontre pour tout expliquer
Une personne de notre équipe vous présente le rapport et répond à vos questions. Vous repartez en sachant quoi faire.
Le rapport vous appartient. Vous le gardez, que vous continuiez ou non avec Novi Intelligence.
Pourquoi un bilan lu par un humain
Un rapport automatisé balaie ce qui est visible depuis Internet et produit un pointage. C'est utile, mais il ne sait pas que votre comptable approuve les virements par courriel, ni que trois employés partagent le même mot de passe.
Une personne, elle, pose la question. Elle distingue ce qui est grave de ce qui est seulement imparfait, et elle vous l'explique sans jargon. C'est ce qui permet de ramener une longue liste de constats à trois priorités.
Les étapes
Comment se déroule un bilan de sécurité
Cinq étapes. Du début à la fin, on regarde et on ne modifie rien : vos outils restent comme ils étaient.
Appel gratuit
Le premier appel
On parle de votre entreprise, de vos outils, de ce qui vous inquiète. On vous dit si le bilan est le bon point de départ, puis vous recevez un devis.
Avant de commencer
L'entente de confidentialité et les accès
On signe une entente de confidentialité. Vous nous donnez ensuite un accès en lecture seule : on peut voir les réglages, pas les changer.
La revue
La revue, point par point
On passe la grille en revue avec la personne qui connaît le mieux vos outils, et on pose quelques questions sur l'usage des mots de passe et de l'IA.
Le rapport
Le rapport, les priorités et le plan
On rédige le rapport, on choisit les trois priorités et on prépare le plan sur 90 jours.
La rencontre
La rencontre d'explication
On vous présente les constats et le plan. La suite vous appartient : le réaliser vous-même, le confier à votre fournisseur ou nous le confier.
Exemple
À quoi ressemble une page du rapport
Par exemple, pour une entreprise de services d'une quinzaine d'employés, une page du rapport pourrait se lire ainsi.
| Ce qu'on a constaté | Pourquoi ça compte | Ce qu'on recommande |
|---|---|---|
| Des comptes d'anciens employés sont encore actifs. | Un compte oublié est une porte que personne ne surveille. | Fermer ces comptes, puis ajouter la fermeture des accès à la marche à suivre lors d'un départ. |
| La double vérification à la connexion n'est activée que pour la direction. | Un seul mot de passe volé suffit pour entrer dans la boîte de courriel d'un employé. | L'activer pour tous les comptes, en commençant par ceux qui touchent aux finances. |
| Les sauvegardes se font chaque nuit, mais personne n'a essayé d'en restaurer une. | On ne sait pas si une sauvegarde fonctionne tant qu'on n'a pas tenté de la restaurer. | Faire un essai de restauration, puis le refaire à intervalles réguliers. |
Cet exemple est inventé pour montrer la forme du rapport. Il ne décrit aucune entreprise réelle.
Le prix
Ce qui fait varier le prix, et ce qui est toujours inclus
Le bilan est un mandat à livrable fixe : vous connaissez le prix avant de commencer. Il est établi après le premier appel.
Ce qui fait varier le prix
- Le nombre d'employés et de postes.
- Le nombre d'outils et d'emplacements à passer en revue.
- L'état de votre documentation : ce qui est déjà écrit, et ce qu'il faut reconstituer.
- Un questionnaire de sécurité précis auquel le rapport doit vous aider à répondre.
Ce qui est toujours inclus
- Le premier appel, gratuit.
- L'entente de confidentialité.
- Le rapport écrit, en français clair.
- Les trois priorités et le plan sur 90 jours.
- La rencontre d'explication.
- La propriété du rapport : il reste à vous.
La limite honnête
Ce que le bilan ne fait pas, et quand ce n'est pas le bon choix
Un bilan est une photo, prise un jour donné, à partir de ce qu'un accès en lecture seule permet de voir. Il réduit les angles morts ; il ne les élimine pas. Aucune protection n'est totale.
Ce n'est pas un test d'intrusion
On ne tente pas de forcer vos systèmes : on vérifie des réglages et des pratiques. Un test d'intrusion, s'il vous en faut un, revient à une firme indépendante.
Il ne rend pas votre entreprise « conforme »
Le bilan ne délivre aucune certification et ne remplace pas un avis juridique sur la Loi 25. Pour une question de droit, faites valider par votre conseiller juridique.
Ce n'est pas le bon moment si une attaque est en cours
Des fichiers bloqués, une fraude qui se déroule : il faut d'abord contenir l'incident. Le bilan vient après, à tête reposée.
Vous avez déjà un responsable de la sécurité
Si quelqu'un fait ce tour chaque année chez vous, un bilan de base vous apprendra peu. Un test indépendant vous sera plus utile.
Dans chacun de ces cas, on vous le dit dès le premier appel, avant tout devis.
Région desservie
Montérégie, Rive-Sud, Montréal et partout au Québec
Un bilan de sécurité se prête bien au travail à distance : un accès en lecture seule suffit pour la revue. Depuis nos bureaux de Sorel-Tracy, de Saint-Hyacinthe et de Terrebonne, on sert les PME de la Montérégie, de la Rive-Sud, de Montréal et de partout au Québec.
- Nos bureaux
- Sorel-TracySaint-HyacintheTerrebonne
- Notre région
- MontérégieRive-SudMontréal
- À distance
- Partout au Québec
Pour aller plus loin
Services liés
Service informatique pour PME
Le département informatique d'une PME, sans l'embaucher : soutien aux employés jour et nuit, postes surveillés et mis à jour, comptes, sauvegardes vérifiées et rapport mensuel, en forfait.
Voir le serviceInformatique et cybersécuritéCybersécurité pour PME
Les protections qui réduisent le risque de piratage et de fraude par courriel dans une PME, et une équipe qui intervient si une attaque survient : postes, courriel, mots de passe, sauvegardes.
Voir le serviceInformatique et cybersécuritéFormation cybersécurité des employés
Une formation qui donne aux employés les réflexes de sécurité de tous les jours, y compris avec ChatGPT et les assistants IA, suivie d'un test final et d'une attestation datée par employé.
Voir le servicePôle IAPolitique d'utilisation de l'IA
Un cadre écrit pour l'usage de l'IA au travail : l'inventaire des outils, une politique courte, un registre tenu à jour et la formation des employés, avec attestation.
Voir le serviceQuestions fréquentes
Bilan de sécurité PME : vos questions.
Que regarde exactement un bilan de sécurité ?
Cinq choses : les contrôles de cybersécurité de base du Centre canadien pour la cybersécurité ; les réglages de sécurité de Microsoft 365 ou de Google Workspace ; vos sauvegardes ; vos comptes et vos accès ; l'usage de l'intelligence artificielle par vos employés. On regarde des réglages et des pratiques, avec un accès en lecture seule, sans rien modifier.
Est-ce un test d'intrusion ?
Non. Un test d'intrusion consiste à tenter de forcer vos systèmes, comme le ferait un attaquant. Le bilan vérifie plutôt si les protections de base sont en place et bien réglées. Un test d'intrusion doit être confié à une firme indépendante : celui qui vous conseille ne peut pas être celui qui vous met à l'épreuve.
Combien de temps ça prend et que dois-je fournir ?
C'est un mandat court. Sa durée dépend de la taille de votre entreprise et du nombre d'outils à passer en revue : on vous la donne par écrit avec le devis. De votre côté, il faut trois choses : une entente de confidentialité signée, un accès en lecture seule à vos outils et un peu de temps de la personne qui les connaît le mieux.
Le bilan m'aide-t-il à répondre au questionnaire de sécurité d'un gros client ?
Oui, c'est l'un de ses usages. Le rapport vous dit ce que vous pouvez déjà répondre et ce qui manque. Le bilan ne remplit pas le questionnaire à votre place : pour ça, voyez notre accompagnement Loi 25 et questionnaires de sécurité.
Suis-je obligé de continuer avec vous après le bilan ?
Non. Le bilan est un mandat à part, avec un livrable fixe. Le rapport, les trois priorités et le plan sur 90 jours vous appartiennent. Vous pouvez réaliser le plan avec votre équipe, avec votre fournisseur informatique actuel ou avec nous.
Combien coûte un audit de cybersécurité pour une PME au Québec ?
Le bilan de sécurité est sur devis. Le prix dépend surtout du nombre d'employés et de postes, du nombre d'outils à passer en revue et de l'état de votre documentation. Sont toujours inclus : le rapport écrit, les trois priorités, le plan sur 90 jours et la rencontre d'explication. Le premier appel est gratuit et sert à établir le devis.
Savoir où vous en êtes, avant de décider quoi faire.
Consultation gratuite : on regarde votre situation et on vous dit si un bilan de sécurité est le bon point de départ.