Gouvernance indépendante en cybersécurité et en IA
Des preuves que votre conseil fait son travail
Les conseils d’administration canadiens doivent de plus en plus démontrer, aux assureurs, aux clients, aux organismes de réglementation et entre eux, qu’ils ont pris au sérieux les risques liés à la cybersécurité et à la vie privée. Pas qu’ils ont eu de la chance. Qu’ils ont regardé. Nous produisons cette preuve.
This page is also available in English.
Examen de déploiement de l’IA
Un assistant d’IA ne brise pas vos permissions de fichiers. Il hérite de chacune de celles qui sont mal configurées, et rend trouvable, par une simple question, une décennie de partages oubliés.
- Ce que votre déploiement exposerait réellement
- Les politiques et la surveillance nécessaires
- Si les règles de la Loi 25 sur les décisions automatisées s’appliquent
- Un rapport écrit et un sommaire d’une page pour le conseil
À partir de 6 000 $ CA · portée fixe
Séance du conseil et de la direction
Une demi-journée animée avec votre conseil, et le dossier de preuve qui la documente. Les conseils n’achètent pas de la formation. Ils achètent la capacité de démontrer, ensuite, qu’ils ont exercé leur surveillance.
- Un scénario choisi pour votre organisation
- Qui était présent, ce qui a été exercé, à quelle date
- Une proposition de libellé pour le procès-verbal
- Une liste priorisée des correctifs
À partir de 4 500 $ CA · une demi-journée
Simulation de cyberincident
Un exercice sur table fondé sur un scénario conçu pour votre entreprise. Rien ne touche vos systèmes en production : on teste des décisions, pas des pare-feu.
- Qui déclare l’incident, qui appelle les clients
- Quand commence le délai de déclaration de la Loi 25
- Que faire lorsque la fuite provient d’un système d’IA
- Un compte rendu écrit des points où le plan a cédé
À partir de 5 000 $ CA · une demi-journée
Chef de la sécurité de l’information virtuel
La plupart des organisations canadiennes de quelques centaines de personnes ne peuvent justifier un poste à temps plein. Elles ont besoin d’une personne responsable.
- Nous tenons votre registre des risques
- Contrôles, politiques et préparation aux incidents
- Les questionnaires de sécurité de vos clients
- Le rapport trimestriel que votre conseil lit vraiment
À partir de 3 500 $ CA par mois · minimum de six mois
Évaluation indépendante
Un examen fondé sur des preuves, selon un ensemble défini de contrôles, qui produit un rapport daté que vous pouvez remettre à un client, à un assureur ou à votre conseil.
- Ce n’est pas une certification accréditée, et nous le disons
- Nous ne sommes pas un organisme de certification
- Besoin d’une marque reconnue? Nous vous préparons et vous présentons un organisme
- Jamais offerte à une organisation que nous avons conseillée
Habituellement de 6 000 $ à 9 000 $ CA · selon la portée
Aussi offerts : des mandats circonscrits, au prix fixé d’avance
Examen des preuves pour le renouvellement d’assurance cyber
Les formulaires d’assurance sont souvent remplis de mémoire, sous pression. Nous vérifions chaque déclaration contre les preuves avant l’envoi. En droit canadien, une fausse déclaration importante peut annuler une police dès son entrée en vigueur, même sans intention. Nous ne plaçons pas d’assurance et ne vendons pas la correction.
1 450 $ CA · une demande, prix fixe
Vérification diligente des fournisseurs tiers et d’IA
Des preuves vérifiées plutôt que prises pour acquises, et une recommandation écrite pour votre comité des risques. La ligne directrice B-10 du BSIF l’exige des institutions fédérales depuis mai 2024. Nous n’examinons pas un fournisseur que nous avons conseillé.
À partir de 2 400 $ CA par fournisseur, ou 9 500 $ CA pour cinq
Cyber sur appel
Une personne désignée qui apprend à connaître votre entreprise : questionnaires, dossier de diligence d’un investisseur, politique demandée, clause contractuelle douteuse, ou incident. Sans provision, sans engagement mensuel.
À partir de 2 500 $ CA pour dix heures, valides six mois
Utilisation de l’IA : séance pour le personnel
Une demi-journée sur ce que le personnel peut et ne peut pas saisir dans un outil d’IA, construite autour de vos outils réels. Registre de présence et sommaire d’une page inclus. C’est de la formation : nous ne vous évaluerons donc pas ensuite.
À partir de 3 500 $ CA · jusqu’à 30 personnes
Tests d’intrusion
Réalisés par notre partenaire de test accrédité, sous notre contrat et notre revue, avec ce qui manque d’ordinaire : ce que cela signifie pour votre conseil et une vérification indépendante que les correctifs ont bien été appliqués. Nous nommons le partenaire avant la signature.
À partir de 7 500 $ CA · selon la portée
Tous les prix sont en dollars canadiens, taxes applicables en sus (TPS/TVH et, au Québec, TVQ).
Notre règle d’indépendance
Nous n’évaluons jamais notre propre travail, et nous ne vendons jamais la correction de ce que nous évaluons.
Une évaluation ne vaut quelque chose que si la personne qui la réalise n’a aucun intérêt dans le résultat. Si nous avons conçu vos contrôles ou rédigé vos politiques, nous ne vous évaluerons pas ensuite pour déclarer que vous avez réussi. Cela nous coûte du travail. C’est précisément le but.
Pourquoi les conseils posent la question maintenant
La Loi 25 est déjà en vigueur. Depuis septembre 2023, les décisions fondées exclusivement sur un traitement automatisé entraînent des obligations : avis, révision par une personne et droit de faire rectifier les renseignements utilisés.
Le Canada n’a pas de loi sur l’IA. La LIAD est morte avec le projet de loi C-27. Cela ne veut pas dire qu’il n’y a aucune obligation : elles vous atteignent par le droit de la vie privée, ce qui est facile à manquer.
Vos clients le demandent. Les questionnaires de sécurité exigent de plus en plus des preuves de surveillance, pas des assurances.
Les administrateurs portent l’obligation. La question n’est jamais de savoir si le conseil s’en souciait, mais s’il peut démontrer ce qu’il a examiné.
Commencez par une conversation
La plupart des mandats commencent par une séance du conseil ou un examen de déploiement de l’IA, parce que les deux sont circonscrits et produisent un résultat sur lequel le conseil peut agir. La première conversation est gratuite et sans engagement.