Kit de démarrage en cybersécurité
La cybersécurité n'est pas forcément compliquée. Ce kit de démarrage aide les associations à comprendre les principes fondamentaux, à protéger leur personnel et leurs informations, et à mettre en œuvre des mesures concrètes pour créer un environnement numérique plus sûr.
Cybersécurité : protéger votre personnel, vos informations et votre mission
Votre association à but non lucratif prend déjà des décisions en matière de confiance et de sécurité : qui peut accéder aux dossiers des clients, qui valide les paiements et quelles sont les procédures à suivre lorsqu'un membre du personnel quitte l'organisation. La cybersécurité étend cette vigilance aux outils numériques et aux informations dont dépend votre organisation.
Il n'est pas nécessaire de devenir un expert technique pour participer à ces décisions. Comprendre quelques notions fondamentales peut vous aider à poser des questions pertinentes, à choisir des mesures de protection concrètes et à expliquer votre approche aux donateurs, au personnel, aux bénévoles et aux usagers.
Reprenez là où vous vous êtes arrêté
Qu'est-ce que la cybersécurité ?
La cybersécurité consiste à protéger les informations numériques, les comptes, les appareils et les services contre tout accès non autorisé, toute utilisation abusive, toute perturbation, ainsi que toute perte, tout dommage ou toute divulgation accidentels.
Pour une association à but non lucratif, cela peut signifier protéger les dossiers des donateurs, préserver la confidentialité des informations sur les clients, empêcher quiconque de pirater votre compte de messagerie ou veiller à ce que les fichiers essentiels à vos programmes puissent être récupérés en cas de panne d'un ordinateur portable. Cela implique également de réduire le risque d'erreurs courantes, comme le fait qu'un bénévole bien intentionné divulgue une liste de diffusion ou joigne le mauvais fichier à un message.
Les professionnels de la sécurité évoquent souvent trois objectifs :
Confidentialité
Seules les personnes autorisées peuvent accéder à ces informations.
Exemple pour les associations à but non lucratif : Seuls les membres du personnel qui ont besoin de consulter les dossiers des clients peuvent y accéder.
Intégrité
Les informations restent exactes et les modifications sont autorisées.
Exemple pour les associations à but non lucratif : Les coordonnées bancaires d'un fournisseur ne peuvent pas être modifiées sans vérification préalable.
Disponibilité
Les informations et les services sont accessibles en cas de besoin.
Exemple pour les associations à but non lucratif : Le personnel peut récupérer les fichiers essentiels et poursuivre la mise en œuvre des programmes après une interruption.
Quel est le lien entre la cybersécurité et la protection de la vie privée ?
Le service de sécurité demande : Comment protégeons-nous ces informations contre tout accès non autorisé, toute perte ou toute utilisation abusive ?
La rubrique « Confidentialité » demande : Devrions-nous collecter ces données à caractère personnel ? À quelles fins les utiliserons-nous ? À qui seront-elles transmises ? Combien de temps devons-nous les conserver ?
Par exemple, un formulaire d'inscription sécurisé pourrait tout de même recueillir davantage de renseignements personnels que ce dont un programme a besoin. De bonnes pratiques en matière de protection de la vie privée aident une organisation à prendre les bonnes décisions concernant les renseignements ; de bonnes pratiques en matière de sécurité contribuent à les protéger. Les lignes directrices canadiennes en matière de protection de la vie privée traitent à la fois du traitement des renseignements personnels et des mesures de protection mises en œuvre pour les préserver.
“ On peut avoir la sécurité sans la vie privée, mais on ne peut pas avoir la vie privée sans la sécurité.”
Comment fonctionne la cybersécurité ?
La cybersécurité allie les gens, processus et technologie:
Les personnes
Le personnel et les bénévoles savent comment vérifier les demandes, traiter les informations importantes et signaler tout problème lié à la cybersécurité.
Processus
L'organisation dispose de procédures bien définies pour valider les paiements, gérer les accès, sauvegarder les fichiers et réagir aux incidents.
Technologie
Des outils et paramètres tels que l'authentification multifactorielle, les mises à jour automatiques et les autorisations d'accès facilitent la mise en œuvre de ces procédures.
Ces mesures de protection fonctionnent en synergie. Un mot de passe fort contribue à protéger un compte ; l'authentification multifactorielle apporte une garantie supplémentaire ; un processus de signalement clair permet à l'organisation de réagir en cas d'événement inhabituel.
La sécurité est également une activité permanente. Les comptes évoluent, des personnes rejoignent l'entreprise ou la quittent, et les organisations adoptent de nouveaux outils. Une bonne pratique consiste à identifier les éléments essentiels, à mettre en place des mesures de protection, à vérifier leur bon fonctionnement et à les adapter lorsque les circonstances changent.
Un “ contrôle de sécurité ” est tout simplement une mesure de protection qui réduit les risques. Il peut s'agir d'un paramètre, d'une procédure écrite ou d'une habitude, comme le fait d'appeler un interlocuteur connu pour vérifier une demande de modification des coordonnées bancaires.
Comprendre le secteur de la cybersécurité
Le secteur de la cybersécurité regroupe des personnes qui conçoivent des systèmes sécurisés, gèrent les risques, évaluent les mesures de protection, forment le personnel, mènent des enquêtes sur les incidents et aident les organisations à se remettre d'un incident. Les professionnels de la protection de la vie privée s'attachent à traiter les données à caractère personnel de manière responsable et à respecter les obligations en matière de protection de la vie privée.
Un prestataire informatique peut assurer la maintenance de vos ordinateurs et de vos logiciels, tandis qu’un spécialiste de la sécurité évalue leur niveau de protection. Certains prestataires proposent ces deux types de services. Lorsque vous discutez des prestations, demandez ce qui est inclus, ce qui relève de la responsabilité de votre organisation et qui interviendra en cas de problème.
Vous entendrez peut-être également parler de certifications, de normes et de référentiels :
Certifications professionnelles
Une certification détenue par une personne. Par exemple, la certification ’ Certified in Cybersecurity » (CC) de l’ISC² porte sur les connaissances fondamentales, tandis que la certification « Certified Information Systems Security Professional » (CISSP) exige une expérience professionnelle pertinente.
Norme ou référentiel
Une approche structurée pour organiser les pratiques de sécurité et évaluer les lacunes. Ces ressources aident les organisations à planifier des améliorations.
Certification des organisations
Une évaluation au regard d'exigences précises. Par exemple, la certification ISO/IEC 27001 porte sur le système de gestion de la sécurité de l'information d'une organisation.
Les certifications peuvent être utiles, mais elles doivent être considérées en parallèle de l'expérience pertinente, de l'étendue des missions et de la capacité du prestataire à expliquer clairement ses recommandations. Une certification ne garantit pas qu'aucun incident ne se produira jamais.
Vous n'avez pas besoin d'une certification professionnelle pour commencer à renforcer la sécurité de votre association. Des exigences formelles peuvent découler de contrats ou d'autres obligations, mais de nombreuses améliorations au quotidien commencent par des décisions que votre équipe peut prendre dès maintenant.
Les normes et les cadres aident les organisations à traduire des objectifs généraux en matière de sécurité en mesures de protection concrètes et à identifier les lacunes. Citons, à titre d’exemple, les recommandations de base du Centre canadien de cybersécurité destinées aux petites et moyennes organisations, ainsi que les contrôles de sécurité essentiels du CIS. Vous pouvez vous appuyer sur ces ressources pour orienter vos améliorations sans pour autant viser une certification officielle.
Ce kit de démarrage présente des mesures de protection concrètes qui figurent dans les recommandations de sécurité reconnues. Il s'agit d'un point de départ, et non d'une évaluation complète par rapport à une norme particulière. À mesure que les besoins de votre association évoluent, ces ressources peuvent vous aider à déterminer les prochaines étapes à mettre en œuvre.
Parler de sécurité en toute confiance
Des explications claires et précises sont plus utiles que des promesses générales telles que “ nos systèmes sont totalement sécurisés ”. Décrivez les pratiques que votre organisation met réellement en œuvre :
Nous limitons l'accès à nos fichiers de donateurs de manière à ce que seules les personnes qui en ont besoin puissent les consulter.
Si un message ou une demande vous semble suspect, voici comment le vérifier et signaler un problème.
Nous pouvons vous expliquer pourquoi nous collectons vos données et vous indiquer à qui vous adresser si vous avez des questions.
N'utilisez ces affirmations que si elles décrivent fidèlement vos pratiques. Si une mesure de protection est encore en cours d'élaboration, expliquez en quoi vous l'améliorez plutôt que de laisser entendre qu'elle est déjà en place.
Section 1 : Identifiez ce que vous devez protéger
Avant de choisir des outils de sécurité ou de modifier des paramètres, faites le point sur les éléments dont dépend votre association. Cela inclut les informations, les comptes, les appareils et les services, ainsi que les personnes qui en dépendent.
Section 2 : Déterminer qui est responsable
Une fois que vous savez ce qui doit être protégé, déterminez qui prendra les décisions, mettra en œuvre les mesures nécessaires et assurera le suivi.
Section 3 : Protéger les comptes grâce à l'authentification à plusieurs facteurs
Les comptes de votre association permettent à vos membres d'accéder à leurs e-mails, à leurs fichiers, à leurs informations financières et à des services essentiels. Protéger ces comptes, c'est protéger tout ce à quoi ils donnent accès.
Section 4 : Créer des mots de passe facile à gérer
Les associations à but non lucratif ont besoin de mots de passe forts et uniques, ainsi que d'une gestion efficace des accès aux comptes, afin de garantir la sécurité des informations et d'assurer la continuité des activités lorsque des membres du personnel sont absents ou quittent l'organisation.
Section 5 : Assurer la sécurité des appareils et des accès
Pour protéger les appareils de votre association, il faut tout d'abord comprendre les fonctionnalités de sécurité intégrées, leur importance et déterminer qui est chargé de veiller à ce qu'elles soient activées et maintenues.
Section 6 : Protection des informations sensibles
Protéger les informations de votre association, c'est gérer la manière dont elles sont collectées, stockées, utilisées, partagées et supprimées afin d'éviter toute perte accidentelle, divulgation ou accès non autorisé.
Section 7 : Sauvegarde et exercices de restauration
Les sauvegardes permettent à votre association de récupérer des informations importantes en cas de perte de données, de panne d'appareil ou de cyberattaques, en garantissant la disponibilité de copies récupérables et en désignant une personne chargée de leur restauration.
Section 8 : Poser les bonnes questions aux fournisseurs
Pour protéger votre association à but non lucratif lorsque vous utilisez des services tiers, il est essentiel de bien comprendre les responsabilités de chaque prestataire en matière de sécurité, de gérer les accès et les informations, et de savoir comment obtenir de l'aide en cas de besoin.
Section 9 : Réagir aux incidents et évaluer les besoins en matière de notification
Un plan d'intervention en cas d'incident aide votre association à réagir rapidement aux incidents de sécurité en définissant les responsabilités, les interlocuteurs clés et les mesures immédiates à prendre pour protéger les personnes et assurer la continuité des activités essentielles.
Section 10 : Protégez votre association contre les escroqueries et les fraudes
Cette section s'appuie sur les mesures de sécurité que vous avez apprises pour vous aider à protéger les informations, les comptes et les fonds de votre association contre les cybercriminels qui recourent à la tromperie pour inciter les gens à commettre des actes dangereux.
English 
French 
Chinese 
Spanish 
Ukrainian