Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Pourquoi vous ne devriez pas faire confiance à votre technicien informatique pour la cybersécurité

Recommendations Par Eric Rousseau · 4 Décembre 2022 · Mis à jour le 31 octobre 2026 · 7 min de lecture
Personne avec un casque d'écoute qui travaille devant un écran d'ordinateur
En bref

Votre technicien fait fonctionner vos ordinateurs ; la cybersécurité reste la responsabilité de la direction, qui lui confie par écrit des contrôles précis.

Votre technicien informatique n’est pas votre responsable de la sécurité, et ce n’est pas une critique : ce sont deux métiers différents. Le technicien fait fonctionner vos ordinateurs, votre réseau et votre imprimante, souvent à la demande, souvent à distance, souvent pour plusieurs clients à la fois. La cybersécurité, elle, demande quelqu’un qui pense aux risques avant qu’ils arrivent, qui vérifie régulièrement, qui forme l’équipe et qui répond de l’ensemble. Dans un service de garde, cette responsabilité revient à la direction, avec l’aide du technicien, et non l’inverse.

Allée entre deux rangées de baies de serveurs dans un centre de données

Faire fonctionner les systèmes et répondre de leur sécurité sont deux métiers ; le second revient à la direction.

Deux métiers, deux façons de penser

Un bon technicien résout des problèmes : l’ordinateur qui ne démarre plus, le Wi-Fi qui lâche, le logiciel qui ne s’installe pas. Il est payé pour que ça marche, vite. La sécurité, elle, consiste souvent à rendre les choses un peu moins commodes : exiger une double authentification, refuser un accès partagé, bloquer une clé USB, imposer une mise à jour qui dérange. Ce n’est pas que le technicien ne sait pas le faire ; c’est que personne ne le lui a demandé, et que ce n’est pas sur sa facture.

Il y a aussi une question de temps. Un technicien externe qui passe deux heures par mois dans votre milieu ne peut pas surveiller vos journaux de connexion, lire les bulletins de sécurité, tester vos sauvegardes et former vos nouvelles employées. Et un technicien interne qui porte seul toute la sécurité devient un point de défaillance unique : s’il part, tombe malade ou se trompe, personne ne sait où en sont les choses.

Ce que la responsabilité veut dire pour un service de garde

La Loi 25 ne parle pas de technicien. Elle exige que chaque entreprise désigne un responsable de la protection des renseignements personnels, par défaut la personne ayant la plus haute autorité, qu’elle tienne un registre des incidents de confidentialité et qu’elle avise la Commission d’accès à l’information en cas de risque de préjudice sérieux (principaux changements de la Loi 25). Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d’affaires mondial (CAI, sanctions). Le jour d’un incident, c’est la direction qui répond aux parents, au ministère de la Famille et à la Commission, pas le technicien.

Cette responsabilité est répandue : selon Statistique Canada, 16 % des entreprises canadiennes ont été touchées par un incident de cybersécurité en 2023, et seulement 26 % avaient une politique écrite de cybersécurité. Les dépenses de rétablissement ont doublé, de 600 millions de dollars en 2021 à 1,2 milliard en 2023. Un milieu qui a une politique, un responsable désigné et un technicien bien encadré fait partie de la minorité qui s’en sort sans dégâts.

Un cadre simple que le technicien peut appliquer

Le Centre canadien pour la cybersécurité a publié exactement pour les organisations de moins de 500 employés une liste de 13 contrôles de cybersécurité de base : plan d’intervention en cas d’incident, mises à jour automatiques, authentification forte, sauvegardes et chiffrement, formation des employés, sécurisation des appareils mobiles, de l’infonuagique et des supports amovibles, entre autres. Cette liste sert aussi de fondement au programme de certification CyberSécuritaire Canada, conçu pour rehausser les contrôles de base des PME canadiennes.

Voilà le bon partage des rôles : la direction décide quels contrôles s’appliquent et en répond ; le technicien les met en place et documente ce qu’il a fait ; un vérificateur externe, au besoin, confirme que c’est bien fait. Le technicien reste indispensable. Il cesse simplement d’être le seul à porter le poids.

Un exemple concret dans un CPE

Imaginons un CPE de trois installations à Saguenay. Le technicien externe, compétent et apprécié, s’occupe des ordinateurs depuis dix ans. Personne ne lui a jamais demandé de vérifier les sauvegardes, et il croit qu’elles se font toutes seules dans le logiciel de gestion ; la direction croit que c’est lui qui s’en occupe. Un rançongiciel chiffre les fichiers du poste de l’administration un mardi matin. Le technicien découvre que la dernière sauvegarde utilisable date de quatre mois. Le CPE ressaisit à la main des semaines de présences et de relevés. Personne n’a mal fait son travail : il n’y avait simplement pas de responsable. Dans la version corrigée, la directrice a passé en revue les 13 contrôles avec le technicien l’année précédente, lui a confié par écrit la sauvegarde quotidienne avec un test de restauration mensuel, et reçoit un courriel de confirmation chaque mois. Le même rançongiciel coûte une journée de travail et un rapport au registre des incidents, pas un mois.

Ce que ça change pour votre service de garde

  1. Nommez par écrit le responsable de la protection des renseignements personnels. C’est une exigence de la Loi 25 et le point de départ de tout le reste. Publiez le titre et les coordonnées sur votre site Web. Une heure.
  2. Faites le tour des 13 contrôles de base avec votre technicien. Une rencontre de deux heures, la liste du Centre canadien pour la cybersécurité en main, pour cocher ce qui est fait, ce qui manque et qui s’en charge. Résultat : un plan d’une page avec des dates.
  3. Mettez par écrit ce que vous attendez du technicien. Dans son contrat ou dans une lettre d’entente : mises à jour automatiques, sauvegardes avec test mensuel, authentification multifacteur sur les comptes critiques, rapport trimestriel. Un technicien qui sait ce qu’on attend de lui le fait généralement volontiers. Une demi-journée avec lui.
  4. Demandez un rapport simple chaque trimestre. Une page : sauvegardes testées (oui/non, date), mises à jour en retard, comptes créés et fermés, incidents. C’est ce qui vous permet de répondre de la sécurité sans être technicienne. Quinze minutes de lecture.
  5. Formez l’équipe vous-même, avec son aide. Trente minutes par année en réunion d’équipe sur l’hameçonnage, les mots de passe et les photos d’enfants. Le technicien peut préparer les exemples ; la direction donne le message, parce que c’est elle qui fixe la règle. Gratuit.
  6. Prévoyez un regard externe tous les deux ou trois ans. Un audit de base par une firme spécialisée, ou une démarche vers la certification CyberSécuritaire Canada, confirme que ce qui est écrit est bien fait. Comptez de quelques centaines à quelques milliers de dollars selon la taille du milieu.
  7. Documentez les accès du technicien lui-même. Compte personnel, authentification multifacteur, accès à distance activé seulement au besoin, et retrait immédiat si le contrat se termine. Trente minutes, et une protection que les techniciens sérieux demandent eux-mêmes.

Sources

Foire aux questions

Pourquoi ne pas confier la cybersécurité à mon technicien informatique ?

Parce que ce sont deux métiers différents. Le technicien est payé pour que tout fonctionne, vite ; la sécurité consiste à prévoir les risques, à vérifier régulièrement et à former l’équipe. Selon la Loi 25, c’est la direction qui répond des renseignements personnels, pas le technicien.

Quels sont les risques d’erreur humaine avec un seul responsable TI ?

Un technicien qui porte seul toute la sécurité devient un point de défaillance unique : s’il part, tombe malade ou se trompe, personne ne sait où en sont les sauvegardes et les accès. Un plan écrit, un rapport trimestriel et un regard externe périodique réduisent ce risque.

Par où commencer pour encadrer mon technicien ?

Passez en revue avec lui les 13 contrôles de cybersécurité de base du Centre canadien pour la cybersécurité, mettez par écrit ce que vous attendez (mises à jour, sauvegardes testées, authentification multifacteur) et demandez un rapport d’une page chaque trimestre. Un audit externe tous les deux ou trois ans confirme que c’est bien fait.

À lire aussi

Étiqueté , ,