Statistique Canada a rapporté que 16 % des entreprises canadiennes ont été touchées par des incidents de cybersécurité en 2023, comparativement à 18 % en 2021 et 21 % en 2019. Cette baisse ne devrait pas être interprétée comme une autorisation de réduire la préparation — il s'agit du cycle le plus récemment publié de ce sondage; un cycle 2025 a été mené sur le terrain, mais les résultats n'ont pas encore été publiés.
Parmi les entreprises touchées, les escroqueries et la fraude sont demeurées la méthode la plus couramment signalée. Le vol d'identité a touché 31 % des entreprises touchées, et 13 % ont signalé des attaques par rançongiciel. Les dépenses totales de récupération ont doublé, passant d'environ 600 millions de dollars en 2021 à 1,2 milliard de dollars en 2023.
Ce que les chiffres signifient pour une PME
L'enjeu pratique est la concentration. Une petite entreprise peut dépendre d'un seul tenant de courriel, d'une seule plateforme comptable, de quelques administrateurs et d'un petit nombre de fournisseurs critiques. Une seule compromission d'identité peut donc affecter simultanément la communication, les paiements, la confiance des clients et les opérations.
Les priorités les plus utiles demeurent des fondamentaux appliqués avec discipline :
- Appliquer la MFA sur le courriel, l'accès à distance, les administrateurs et les systèmes infonuagiques critiques.
- Retirer les systèmes non pris en charge et appliquer les mises à jour de sécurité.
- Protéger le courriel d'entreprise par des contrôles de compte, le SPF, le DKIM, le DMARC et la vérification des paiements.
- Maintenir des sauvegardes protégées et tester la restauration.
- Limiter l'accès privilégié et retirer rapidement les utilisateurs partis.
- Savoir quels fournisseurs peuvent accéder aux systèmes ou renseignements critiques.
- Préparer un plan de réponse aux incidents utilisable et une liste de contacts externes.
L'écart de gouvernance
Statistique Canada a constaté que seulement 26 % des entreprises avaient des politiques de cybersécurité écrites en 2023, tandis que 22 % avaient une assurance cyberrisque. Un document de politique n'est pas un contrôle en soi, mais l'absence de responsabilité écrite et d'attentes de réponse peut ralentir les décisions lorsqu'un incident survient.
La direction devrait savoir qui est responsable du risque de cybersécurité, quels systèmes sont essentiels, quelles lacunes ont été acceptées, quelles preuves existent et quand aura lieu la prochaine révision.
L'IA augmente à la fois les occasions et l'exposition
L'IA peut améliorer l'analyse, la communication et l'automatisation, mais elle peut aussi accroître l'hameçonnage convaincant, la divulgation de données non contrôlée et les erreurs opérationnelles automatisées. Les entreprises ont besoin de règles d'utilisation approuvées claires, d'une révision humaine pour les actions à conséquences importantes et de contrôles plus stricts lorsque l'IA se connecte à des systèmes en production.
Un objectif utile pour 2026
N'essayez pas de mettre en œuvre tous les contrôles à la fois. Établissez une base de référence crédible, classez les lacunes selon leur impact d'affaires et complétez un petit nombre d'améliorations mesurables chaque trimestre.