Personne ne peut se passer de cybersécurité : les attaques courantes ratissent large et la Loi 25 impose des obligations à toutes les organisations. Authentification multifacteur, mises à jour, sauvegardes, mots de passe uniques et sensibilisation de l’équipe couvrent l’essentiel.
Personne, et certainement pas les services de garde. Toute organisation qui utilise un ordinateur, un courriel ou une application en ligne est exposée aux cyberattaques, et celles qui détiennent des renseignements sensibles sur des enfants et des familles ont une responsabilité de plus. La bonne nouvelle : pour une petite organisation, l’essentiel de la cybersécurité repose sur des gestes simples et peu coûteux, qui se mettent en place en quelques semaines.
Un ordinateur, un courriel, une application en ligne : il n’en faut pas plus pour être concerné.
Pourquoi personne n’y échappe
Les attaques les plus courantes ne visent pas une organisation en particulier : elles ratissent large. Un courriel d’hameçonnage est envoyé à des milliers d’adresses en espérant que quelques personnes mordent. Un rançongiciel exploite les systèmes mal mis à jour, peu importe à qui ils appartiennent. Être petit ne protège pas ; au contraire, les attaquants savent que les petites organisations ont rarement des défenses solides.
Les chiffres canadiens le confirment. Selon Statistique Canada, 16 % des entreprises du pays ont été touchées par un incident de cybersécurité en 2023, soit environ une sur six, et leurs dépenses de rétablissement ont atteint 1,2 milliard de dollars, le double de 2021. Pourtant, seulement 26 % des entreprises avaient une politique écrite de cybersécurité. Du côté des habitudes individuelles, Pensez cybersécurité rapporte que 41 % des Canadiens utilisent le même mot de passe pour plusieurs comptes et que 53 % seulement ont activé l’authentification multifacteur. Un fournisseur se fait pirater, le mot de passe réutilisé circule, et c’est le courriel du CPE qui s’ouvre.
S’ajoute un cadre légal qui ne laisse plus le choix. Au Québec, la Loi 25 impose à toute organisation qui détient des renseignements personnels de les protéger, de désigner un responsable et de déclarer les incidents de confidentialité (principaux changements de la Loi 25). Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial (Commission d’accès à l’information). « On est juste une petite garderie » n’est pas une défense recevable.
Les services de garde, des cibles plus intéressantes qu’on pense
Qu’est-ce qu’un attaquant pourrait bien vouloir à un CPE? Plus qu’on imagine :
- des renseignements personnels en quantité : identités d’enfants et de parents, adresses, renseignements médicaux, situations familiales, parfois des jugements de garde;
- des données financières : paiements de frais de garde, informations bancaires, paies du personnel, numéros d’assurance sociale;
- un levier de pression : une organisation qui ne peut plus accéder à ses dossiers ni communiquer avec les parents est fortement incitée à payer une rançon;
- une porte vers d’autres cibles : un compte courriel compromis sert ensuite à piéger les parents et les partenaires, en se faisant passer pour vous.
Ce n’est pas théorique. En 2016, le CPE du CHUL, à Québec, a été paralysé par un rançongiciel alors que personne n’y voyait une cible. Les dix ans d’incidents en éducation et en petite enfance que nous avons recensés montrent que les milieux de toutes tailles y passent.
Par où commencer sans se ruiner
Pas besoin d’un budget de banque pour couvrir l’essentiel. Le Centre canadien pour la cybersécurité a publié pour les organisations de moins de 500 personnes une liste de 13 contrôles de cybersécurité de base, dont cinq bloquent la majorité des attaques courantes :
- Activez l’authentification multifacteur sur le courriel et les plateformes importantes : Microsoft estime qu’elle bloque plus de 99,9 % des attaques de compromission de compte, et elle est incluse dans vos abonnements;
- Appliquez les mises à jour sans tarder sur les ordinateurs, tablettes et téléphones, idéalement en mode automatique;
- Faites des copies de sauvegarde régulières, gardez-en une hors ligne et testez-les : c’est votre porte de sortie face à un rançongiciel;
- Utilisez des mots de passe uniques et robustes, idéalement avec un gestionnaire de mots de passe, et éliminez les comptes partagés;
- Parlez-en en équipe : montrer à tout le monde à quoi ressemble un courriel d’hameçonnage vaut mieux que bien des outils.
Un exemple concret dans un bureau coordonnateur
Imaginons un bureau coordonnateur de la garde en milieu familial qui suit 150 responsables de services de garde avec trois employées. Personne n’a jamais parlé de cybersécurité : « on est petits, on n’intéresse personne ». Un lundi, l’adjointe reçoit un courriel qui imite le ministère de la Famille et entre son mot de passe sur une fausse page. Ce mot de passe est aussi celui du courriel du bureau. En quelques heures, un faux avis de versement part vers les 150 responsables, avec un nouveau numéro de compte. Quatre d’entre elles modifient leurs informations de dépôt avant que la fraude soit découverte. Dans la version où le bureau avait consacré une journée aux cinq mesures de base, le mot de passe volé n’ouvre rien parce que la double authentification bloque la connexion, l’adjointe reconnaît le courriel grâce à la formation de vingt minutes du printemps, et l’incident se résume à une ligne dans le registre. Coût de la prévention : une journée de travail et environ 10 $ par mois pour un gestionnaire de mots de passe d’équipe. Coût de l’incident : des semaines d’appels, un avis à la Commission d’accès à l’information et la confiance de 150 responsables à rebâtir.
Ce que ça change pour votre service de garde
- Nommez par écrit la personne responsable de la protection des renseignements personnels. Exigé par la Loi 25 ; par défaut, la personne ayant la plus haute autorité. Publiez son titre et ses coordonnées sur votre site Web. Une heure, aucun coût.
- Activez la double authentification sur le courriel, le logiciel de gestion et la banque cette semaine. Dans Microsoft 365 ou Google Workspace, c’est inclus ; dix minutes par compte, avec une application d’authentification gratuite plutôt que le texto.
- Déployez un gestionnaire de mots de passe pour l’équipe administrative. Les versions d’équipe coûtent généralement de 4 à 8 $ par utilisateur par mois. Une demi-journée pour transférer les comptes principaux, puis un compte par jour pendant deux semaines.
- Mettez les mises à jour en automatique et gardez une sauvegarde hors ligne. Windows, macOS, iOS, Android et le logiciel de gestion en mise à jour automatique ; un disque externe de 2 To (généralement moins de 150 $) débranché après chaque sauvegarde, avec un test de restauration mensuel de vingt minutes.
- Donnez une formation de vingt minutes par année. En réunion d’équipe, avec trois vrais courriels d’hameçonnage reçus par le milieu. La règle : en cas de doute, on ne clique pas, on ouvre le site soi-même. Gratuit.
- Rédigez un plan d’incident d’une page. Qui appeler (technicien, police, Centre antifraude, Commission d’accès à l’information), où sont les sauvegardes, comment joindre les parents sans le courriel. Deux heures ; les guides gratuits du Centre canadien pour la cybersécurité et la section cybersécurité de Québec.ca donnent les modèles, en français et sans jargon.
- Inscrivez la cybersécurité à l’ordre du jour du conseil d’administration une fois par année. Un état des lieux en cinq lignes : les cinq mesures, faites ou non, avec une date. Vous rejoignez la minorité d’organisations qui ont une politique écrite.
La cybersécurité n’est plus un luxe réservé aux grandes entreprises : c’est une habitude de gestion, au même titre que les ratios ou l’hygiène. Et comme pour le reste, le plus dur, c’est de commencer.
Sources
- Québec.ca : Cybersécurité
- Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les PME
- Pensez cybersécurité, campagne du gouvernement du Canada : renforcer les points faibles de votre cybersécurité (statistiques canadiennes)
- Statistique Canada, 21 octobre 2024 : incidents de cybersécurité dans les entreprises canadiennes, 2023
- Commission d’accès à l’information : principaux changements de la Loi 25
Foire aux questions
Pourquoi un service de garde serait-il ciblé par des cyberattaques?
Les attaques courantes comme l’hameçonnage et les rançongiciels ratissent large sans viser personne en particulier. Un service de garde détient aussi des renseignements personnels en quantité, des données financières et un besoin urgent d’accéder à ses dossiers, ce qui en fait une cible intéressante.
Quelles mesures de base adopter sans gros budget?
Activer l’authentification multifacteur sur le courriel et les plateformes importantes, appliquer les mises à jour sans tarder, faire des copies de sauvegarde et les tester, utiliser des mots de passe uniques et robustes, et sensibiliser l’équipe à l’hameçonnage.
Quelles obligations légales s’appliquent au Québec?
La Loi 25 impose à toute organisation qui détient des renseignements personnels de les protéger, de désigner une personne responsable de la protection des renseignements personnels et de déclarer les incidents de confidentialité.
À lire aussi
Les produits en cours d’évaluation: une nouvelle façon de protéger les enfants
4 avril 2023 · 7 min de lecture
Comment la cybersécurité peut aider les petits enfants du Québec
18 février 2023 · 8 min de lecture