Un cabinet de services professionnels peut mener l'essentiel de ses activités sans posséder un grand centre de données.
Son infrastructure réelle peut être beaucoup plus simple : un compte Microsoft 365 ou Google Workspace, quelques ordinateurs portables, un logiciel de comptabilité infonuagique ou de gestion de cabinet, des documents clients, un site Web, plusieurs fournisseurs externes, et une petite équipe ayant accès à tout cela.
Cette simplicité peut être trompeuse. Pour un cabinet de conseil, un cabinet comptable, un cabinet juridique, une agence, une entreprise d'ingénierie ou une entreprise professionnelle semblable, les actifs les plus précieux peuvent être les renseignements que les clients lui confient. La cybersécurité devient donc partie intégrante de la capacité du cabinet à livrer son service et à maintenir la confiance.
1. Protégez d'abord la couche d'identité
Les cabinets de services professionnels dépendent souvent fortement des applications infonuagiques. L'identité devient donc l'un des premiers éléments à examiner.
Commencez par des mots de passe uniques, la MFA, des privilèges administrateurs limités, le retrait rapide des anciens employés, des révisions d'accès régulières et un accès contrôlé aux systèmes sensibles.
L'évaluation Cyber Health d'ORAGROL sépare les mots de passe et la sécurité de connexion, la MFA, et le contrôle d'accès et les permissions, car chacun répond à une question différente. Une bonne posture d'identité ne se limite pas à savoir si les gens peuvent se connecter en toute sécurité, mais aussi s'ils n'ont accès qu'à ce dont ils ont réellement besoin.
2. Traitez les renseignements clients comme une responsabilité de sécurité
Un cabinet de services professionnels peut détenir des dossiers financiers, des contrats, des renseignements d'identification, des renseignements sur les employés, des plans d'affaires, de la propriété intellectuelle et de la correspondance confidentielle.
Le Commissariat à la protection de la vie privée du Canada précise que les organisations assujetties à la LPRPDE (PIPEDA) doivent utiliser des mesures de sécurité adaptées à la sensibilité des renseignements personnels et les protéger contre la perte, le vol et l'accès, la divulgation, la copie, l'utilisation ou la modification non autorisés. [Source : Commissariat à la protection de la vie privée du Canada]
Cela ne signifie pas que chaque cabinet a besoin de la même pile technologique. Cela signifie que l'approche de sécurité devrait refléter les renseignements traités.
3. Le courriel mérite une attention particulière
Le travail avec les clients transite souvent par le courriel, ce qui crée des risques, notamment l'hameçonnage, la compromission de comptes, l'usurpation d'identité, les pièces jointes malveillantes, le transfert non autorisé, la fraude par paiement et l'exposition de conversations sensibles.
Révisez la MFA, le filtrage du courriel, le SPF/DKIM/DMARC, les permissions d'accès, la sensibilisation des employés et les procédures de vérification des paiements. Les directives du Centre canadien pour la cybersécurité sur la sécurité du courriel fournissent des indications techniques précises sur le SPF, le DKIM et le DMARC. [Source : Centre canadien pour la cybersécurité]
4. Vos fournisseurs font partie de votre environnement de sécurité
Une entreprise de services professionnels peut dépendre du stockage infonuagique, de plateformes comptables, de systèmes de paie, de logiciels CRM, de plateformes juridiques, de systèmes de marketing, de fournisseurs TI et d'autres fournisseurs.
Cela ne signifie pas que chaque fournisseur a besoin d'un audit de sécurité de six mois. Cela signifie que l'entreprise devrait savoir quels fournisseurs ont accès à des renseignements ou systèmes importants, et ce qui se passe si ce fournisseur est compromis.
C'est pourquoi le risque lié aux fournisseurs et aux tiers est l'une des catégories d'évaluation d'ORAGROL. La première étape est la visibilité : créez une liste pratique des fournisseurs importants et notez quels renseignements ils consultent, à quels systèmes ils se connectent, qui gère la relation à l'interne, quels contrôles de sécurité ils fournissent et ce qui se passe à la fin de la relation.
5. Les sauvegardes doivent être testées, pas présumées
Un cabinet de services professionnels peut croire que ses documents sont en sécurité parce qu'ils sont stockés dans le nuage. Le stockage infonuagique n'équivaut pas automatiquement à une stratégie complète de récupération d'affaires.
Le Centre canadien pour la cybersécurité recommande de sauvegarder les renseignements d'affaires essentiels, de protéger les sauvegardes et de vérifier régulièrement que les mécanismes de sauvegarde et de restauration fonctionnent. [Source : Centre canadien pour la cybersécurité]
La question d'affaires est simple : si nos systèmes principaux devenaient indisponibles demain, que restaurerions-nous en premier? Cette réponse devrait être connue avant un incident.
6. Préparez-vous au jour où quelque chose tournera mal
Aucun programme de cybersécurité ne devrait être bâti sur l'hypothèse que rien n'arrivera jamais.
Le Centre canadien pour la cybersécurité recommande un plan de réponse aux incidents qui aide les organisations à réagir rapidement, à restaurer les systèmes et données critiques, et à réduire les interruptions de service et les pertes de données. [Source : Centre canadien pour la cybersécurité]
Pour un cabinet de services professionnels, le plan devrait préciser qui dirige la réponse, qui contacte le fournisseur TI/sécurité, qui peut isoler les systèmes touchés, qui communique avec la direction, qui gère la communication avec les clients, qui évalue les obligations en matière de protection de la vie privée, et qui coordonne la récupération.
Le plan n'a pas besoin d'être un manuel de 100 pages. Il doit être utilisable.
7. Faites de la cybersécurité la responsabilité de quelqu'un
L'une des lacunes les plus faciles à négliger est celle de la responsabilité. Si tout le monde est responsable de la cybersécurité, personne ne s'en occupe nécessairement.
Les directives du Centre canadien pour la cybersécurité pour les petites entreprises recommandent d'attribuer la responsabilité de la cybersécurité au sein de l'organisation. [Source : Centre canadien pour la cybersécurité]
Cette personne n'a pas besoin d'être une dirigeante de sécurité à temps plein. Elle a besoin de l'autorité nécessaire pour maintenir le plan de sécurité, suivre les risques importants, coordonner les fournisseurs, faire remonter les incidents et communiquer les priorités à la direction.
Une base de référence pratique pour les services professionnels
Une première révision utile peut s'organiser autour de cinq questions :
- Identité : Les comptes importants sont-ils protégés par une authentification robuste et un accès contrôlé?
- Courriel : L'entreprise peut-elle réduire l'hameçonnage, l'usurpation et la compromission de boîtes de réception?
- Données clients : Les renseignements sensibles sont-ils protégés selon leur risque et leur sensibilité?
- Fournisseurs : Le cabinet sait-il quels tiers ont un accès significatif?
- Récupération : Le cabinet peut-il restaurer ses opérations critiques après un incident grave?
Ces questions s'harmonisent naturellement avec les domaines plus larges évalués dans l'évaluation Cyber Health d'ORAGROL. Il ne s'agit pas d'accumuler le plus grand nombre possible d'outils de sécurité. Il s'agit de cerner les lacunes qui comptent le plus.