Expertise
Gouvernance & Sécurité
Structurer les accès, organiser la documentation et réduire les risques opérationnels avant qu'ils se matérialisent.
La gouvernance numérique n'est pas un projet de conformité. C'est la structure qui permet à une organisation de fonctionner de façon prévisible quand les personnes changent, quand les systèmes évoluent ou quand un incident se produit. Kotra aborde la sécurité et la gouvernance comme des composantes opérationnelles — pas comme des contraintes réglementaires à cocher.
Contexte stratégique
Quand personne ne sait vraiment qui a accès à quoi
Dans la plupart des PME, la gestion des accès s'est construite par accumulation : des droits accordés qui n'ont jamais été retirés, des partages de mots de passe normalisés, des fichiers critiques stockés sur des postes personnels. Le risque est présent mais invisible jusqu'à ce qu'un incident le rende concret.
La Loi 25 au Québec ajoute une dimension légale à cette réalité opérationnelle. La conformité commence par un inventaire honnête de ce qui existe, pas par l'achat d'un outil de cybersécurité.
Dysfonctions traitées en priorité
Accès non contrôlés
Des employés ont accès à des systèmes qui ne correspondent pas à leurs responsabilités. Les droits accordés en début de poste ne sont jamais révisés.
Documentation absente
Les procédures critiques existent dans la tête des personnes clés. Un départ met immédiatement l'organisation en risque.
Non-conformité Loi 25
L'organisation collecte et traite des renseignements personnels sans avoir formalisé les obligations qui en découlent.
Incident sans plan de réponse
L'organisation n'a pas de procédure pour répondre à un bris de confidentialité, une perte de données ou une intrusion.
Séquence d'intervention
- 1
Audit des accès et des données
Inventaire des systèmes, des droits d'accès et des données personnelles traitées. Identification des écarts par rapport aux bonnes pratiques et aux obligations légales.
- 2
Cadrage de la gouvernance
Définition des politiques d'accès, des rôles et des responsabilités. Validation avec la direction.
- 3
Structuration documentaire
Mise en place de l'arborescence documentaire, des politiques de rétention et des procédures de gestion des incidents.
- 4
Réduction des risques immédiats
Correction des accès non justifiés, activation de l'authentification à deux facteurs sur les systèmes critiques et sécurisation des données sensibles.
- 5
Conformité Loi 25
Désignation du responsable de la protection, rédaction des politiques de confidentialité et mise en place du registre des incidents.
Livrables
- Rapport d'audit des accès et des données
- Politique de gestion des accès
- Registre des renseignements personnels
- Procédures de réponse aux incidents
- Documentation de conformité Loi 25
Effets attendus
Risques opérationnels réduits
Les accès correspondent aux responsabilités réelles. Les données sensibles sont protégées et leur localisation est connue.
Conformité Loi 25
L'organisation répond aux obligations légales sans avoir à gérer une mise en conformité d'urgence suite à un incident.
Continuité assurée
Les procédures critiques sont documentées. Les départs ne créent plus de vide opérationnel sur les systèmes sensibles.
Perspectives liées
Gouvernance, accès et conformité.
Opérations
Comment mieux faire circuler l'information dans une organisation
Voir la perspective
Perspectives
Donnees, processus et decisions : les trois fondations d'une entreprise plus performante
Voir la perspectiveRéduisez les risques avant l'incident
Audit des accès, gouvernance documentaire et conformité Loi 25 structurée.