Guides d’intervention · Gratuit, en entier
La première heure
Que faire dans les soixante minutes qui suivent la découverte d’un incident — et quels délais canadiens commencent à courir dès cet instant.
Complet, gratuit, et à diffuser librement dans votre organisation. Imprimez-le et gardez-en une copie accessible sans ordinateur. Also available in English.
Trois règles avant de toucher à quoi que ce soit
- Une seule personne coordonne. Nommez-la à voix haute. Tout le reste déraille lorsque quatre personnes appellent le même fournisseur chacune de leur côté.
- Ne détruisez pas les preuves. Isolez les postes, ne les effacez pas. Ne supprimez pas le courriel d’hameçonnage. Les journaux que vous écrasez aujourd’hui sont ceux que votre assureur et l’autorité réclameront demain.
- Ne promettez rien pour l’instant. Ni à la clientèle, ni au personnel, ni sur les réseaux sociaux. Vous ne connaissez pas encore l’ampleur, et une correction ultérieure coûte plus cher en confiance qu’une heure de silence.
Les soixante premières minutes
0–15 minutes · Arrêter l’hémorragie
- Nommez la personne responsable et ouvrez un journal écrit. Horodatez chaque entrée à partir de maintenant.
- Isolez les systèmes touchés du réseau. Débranchez, n’éteignez pas — la mémoire vive contient des preuves.
- Désactivez ou réinitialisez les identifiants que vous croyez compromis, y compris les jetons de session.
- Vérifiez si les sauvegardes sont accessibles et, surtout, si elles sont elles aussi touchées.
- Appelez la ligne d’urgence de votre assureur si vous avez une police. Plusieurs exigent un avis avant toute intervention.
15–30 minutes · Comprendre ce à quoi vous faites face
- Ce qui s’est passé, en une phrase que vous seriez à l’aise de relire dans six mois.
- Quels systèmes, quels comptes, quelles données. Notez ce que vous savez et ce que vous supposez.
- Des renseignements personnels sont-ils en cause, ou pourraient-ils l’être ? C’est la question qui déclenche les délais légaux.
- L’incident est-il toujours en cours ? Un incident contenu et un incident actif n’appellent pas les mêmes gestes.
- Un fournisseur ou un client doit-il être prévenu parce que ses systèmes sont exposés par les vôtres ?
30–60 minutes · Décider et notifier
- Suivez l’arbre de décision ci-dessous. Décidez, et consignez pourquoi vous avez décidé ainsi.
- Ouvrez le registre exigé par la loi, que vous notifiiez ou non par la suite.
- Désignez une seule personne pour répondre aux questions externes. Tout le monde y renvoie.
- Informez le conseil ou le propriétaire. Une note factuelle aujourd’hui vaut mieux qu’une note soignée demain.
- Fixez la revue post-incident avant de raccrocher. Sinon, elle n’aura pas lieu.
L’arbre de décision — notification
Deux régimes peuvent s’appliquer en même temps. La loi fédérale et la loi québécoise posent des questions différentes, retiennent des seuils différents et imposent des durées de conservation différentes. Suivez les deux — pas l’un ou l’autre.
Cet arbre vise les organisations du secteur privé. Les secteurs sous réglementation fédérale, les organismes publics et les détenteurs de renseignements de santé ont des obligations additionnelles. Il s’agit d’un point de départ pour votre avis juridique, non d’un substitut.
Ce qu’il ne faut pas faire
- Ne payez pas de rançon avant d’avoir pris conseil. Cela peut constituer une infraction aux sanctions, et cela ne restaure que rarement tout.
- N’écrivez pas au sujet de l’incident à partir du système que vous croyez compromis.
- N’annoncez pas que l’incident est clos avant de savoir par où l’attaquant est entré.
- Ne laissez pas « l’enquête se poursuit » devenir la raison d’un délai manqué. Le compte à rebours ne s’arrête pas.
- Ne sautez pas le registre parce que vous avez décidé de ne pas notifier. Le registre est exigé dans les deux cas.
Ce qu’il faut consigner
Date de la prise de connaissance
Les deux délais de conservation courent à partir d’une date que vous devez pouvoir énoncer.
Ce qui s’est passé
En mots simples. Les autorités les lisent ; la clientèle aussi, tôt ou tard.
Renseignements personnels en cause
Catégories et nombre approximatif de personnes. Écrivez « inconnu » si c’est inconnu.
Évaluation du préjudice
Votre raisonnement, pas seulement votre conclusion. C’est le raisonnement qui sera examiné.
Qui a été avisé, et quand
Autorité, personnes concernées, autres organisations, assureur, clientèle.
Ce que vous avez corrigé
La mesure que vous avez renforcée. C’est ce qui transforme un incident en amélioration.
Pourquoi c’est gratuit
Si c’est utile à deux heures du matin, le document a fait son travail.
Ceci est un extrait complet de nos guides d’intervention, non un aperçu. Vous pouvez l’imprimer, le diffuser dans votre organisation et l’utiliser sans rien acheter. Nous publions notre travail en entier parce que c’est la seule façon honnête de vous laisser juger si le reste vaut son prix.
Et la règle que nous nous imposons, par écrit : nous ne réalisons pas l’évaluation indépendante d’un système de gestion bâti sur des documents que nous vous avons vendus. Un guide est une procédure, non un système de gestion : son achat ne nous empêche donc pas de vous évaluer. Nos conditions de licence précisent exactement où passe cette ligne.
Droit de réplique
Marc Tremblay
On me dit que mes opinions sur le temps d’infusion sont excessives. Elles viennent d’un homme qui avale son café d’un trait et appelle cela un déjeuner. Je maintiens : quatre minutes.
Gouvernance cyber et vie privée au Québec · l’équipe
Le reste des guides d’intervention
Le module complet couvre le rançongiciel, la compromission de la messagerie d’affaires, l’appareil perdu ou volé, les données exposées par erreur et l’incident d’un fournisseur qui devient le vôtre — chacun sur une seule page, avec les preuves à conserver et les erreurs courantes. Offert en français et en anglais.
Nous écrire en français. Pour toute question en français — y compris sur la Loi 25 et sur l’évaluation requise avant de communiquer des renseignements personnels à l’extérieur du Québec — écrivez à quebec@cyber-safe.ca. Nous répondons normalement dans un délai d’un jour ouvrable au Canada.
Nos pages en français sont rédigées, non traduites automatiquement. Le reste du site est en anglais.