La plupart des propriétaires d'entreprise n'ont jamais eu de réponse claire à une question simple : à quel point mon entreprise est-elle réellement sécurisée? Pas en termes vagues comme « plutôt bien » ou « nous avons un antivirus », mais un chiffre concret qu'ils peuvent citer, suivre dans le temps et sur lequel agir.
C'est exactement ce que le Cyber Health Score est conçu pour offrir.
Ce que le pointage mesure
Le Cyber Health Score est un chiffre de 0 à 100, calculé à partir d'une évaluation en langage clair couvrant 20 catégories de sécurité d'entreprise. Il ne s'agit pas de concepts informatiques abstraits. Ce sont des éléments concrets : est-ce que les employés utilisent l'authentification multifacteur, est-ce que les sauvegardes ont réellement été testées (pas seulement planifiées), est-ce que l'accès d'un ancien employé est retiré à son départ, et est-ce que quelqu'un saurait qui appeler si quelque chose semblait anormal.
Chaque catégorie a un poids différent, car tous les risques n'ont pas la même importance. Une entreprise avec une authentification multifacteur faible est exposée à un niveau de risque différent de celle qui n'a pas de police d'assurance cybersécurité formelle. Le modèle de pointage reflète cette réalité. Les catégories liées aux façons les plus courantes dont les petites et moyennes entreprises canadiennes sont réellement compromises — hameçonnage, vol d'identifiants, systèmes non corrigés — ont un poids plus élevé que les catégories à plus faible impact.
Comment le chiffre est calculé
Chaque question de l'évaluation comporte trois réponses possibles : Oui, Non ou Incertain. Un « Oui » représente toujours la pratique la plus sécuritaire. Chaque réponse rapporte des points, ces points sont additionnés par catégorie, puis le résultat de chaque catégorie est combiné en un seul pointage pondéré.
Le résultat est un chiffre entre 0 et 100, qui se situe dans l'un des quatre niveaux de risque suivants :
Un pointage plus bas ne signifie pas qu'une entreprise est négligente. La plupart des entreprises se situent quelque part au milieu. Cela signifie généralement qu'il existe une poignée de lacunes précises et corrigibles qui n'ont pas encore été traitées, souvent parce que personne n'avait une vision claire de par où commencer.
Pourquoi un chiffre unique est utile
Les conseils en cybersécurité sont souvent soit trop techniques pour être appliqués, soit trop génériques pour être pertinents. Un Cyber Health Score donne à une entreprise un point de départ qui lui est propre : ce qui fonctionne déjà, quelles sont les plus grandes lacunes et quoi prioriser en premier.
C'est aussi un indicateur qu'une entreprise peut suivre dans le temps. Faire passer un Cyber Health Score de 45 à 75 en six mois est une façon concrète de voir que le travail de sécurité porte réellement fruit, et non qu'il s'agit simplement d'une facture récurrente.
Ce qui se passe après le pointage
Une fois l'évaluation terminée, le résultat comprend plus que le simple chiffre. Un court résumé explique les risques les plus importants relevés, une poignée de recommandations pratiques sont priorisées selon leur impact, et l'entreprise reçoit un rapport complet par courriel.
À partir de là, la prochaine étape dépend du niveau de risque. Les résultats à risque plus élevé font l'objet d'un suivi rapide, car ces lacunes ont tendance à être celles qui se transforment en incidents réels. Les résultats à risque plus faible sont bon signe, mais signifient rarement qu'il n'y a plus rien à améliorer.
L'objectif n'est pas de remettre une note à une entreprise et de passer à autre chose. C'est de lui offrir un point de départ clair et honnête, ainsi qu'une voie concrète à suivre, peu importe où elle en est actuellement.