Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels (ITSM.10.071)

Recommendations Par Eric Rousseau · 18 février 2023 · Mis à jour le 31 octobre 2026 · 8 min de lecture
Gros plan sur une chaîne en métal tendue, aux maillons bien nets, sur un fond bleu flou
En bref

L’ITSM.10.071 est un guide du Centre canadien pour la cybersécurité sur les menaces de la chaîne d’approvisionnement des logiciels. Pour un service de garde : inventorier ses logiciels, questionner ses fournisseurs et appliquer les mises à jour officielles.

L’ITSM.10.071, intitulée « Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels », est une publication de conseils du Centre canadien pour la cybersécurité, parue en février 2023 dans sa série destinée aux gestionnaires. Contrairement à ce qu’une ancienne version de cet article affirmait, il ne s’agit pas d’une norme internationale : c’est un guide gratuit produit par l’organisme fédéral canadien responsable de la cybersécurité. Son message central tient en une phrase : les logiciels que vous achetez peuvent devenir une porte d’entrée pour les attaquants, et ce risque se gère, même dans un service de garde sans équipe informatique.

Vue aérienne d'un terminal portuaire avec des rangées de conteneurs colorés et des grues

Comme dans un port, chaque logiciel passe par des dizaines d’intermédiaires avant d’arriver sur votre ordinateur : c’est toute cette chaîne qu’il faut surveiller.

C’est quoi, la chaîne d’approvisionnement des logiciels?

Chaque logiciel que votre organisation utilise a une histoire : il a été développé par un éditeur, assemblé à partir de composantes diverses, distribué, puis mis à jour régulièrement. Cette chaîne complète, du développeur jusqu’à votre ordinateur, c’est la chaîne d’approvisionnement des logiciels. Le problème, c’est qu’un attaquant peut s’en prendre à n’importe quel maillon. S’il réussit à glisser du code malveillant dans une mise à jour légitime, tous les clients qui l’installent sont compromis d’un coup ; le guide parle d’une attaque en amont qui peut faire des milliers de victimes en aval. Ces attaques arrivent par des canaux auxquels on fait confiance, et vous avez très peu d’influence sur les contrôles de sécurité de vos fournisseurs.

L’ITSM.10.071 cite des cas bien réels. En 2020, un auteur de menace est resté indétecté pendant des mois chez SolarWinds après avoir inséré un maliciel dans le processus de mise à jour d’un logiciel de gestion de réseau. En décembre 2021, la vulnérabilité Log4j, dans une bibliothèque utilisée par des millions d’ordinateurs, a forcé plusieurs organisations canadiennes, dont des ministères fédéraux, à mettre leurs sites hors service par précaution. En 2021, un rançongiciel inséré dans une mise à jour de l’outil Kaseya VSA a rendu inaccessibles les systèmes de centaines d’entreprises, dont beaucoup de petites, par l’intermédiaire de leur fournisseur de services informatiques.

La tendance se confirme. Dans son Évaluation des cybermenaces nationales 2025-2026, le Centre prévient que les attaques par rançongiciel contre les chaînes d’approvisionnement numériques vont presque certainement se poursuivre au cours des deux prochaines années, et cite l’exploitation de l’outil de transfert de fichiers MOVEit en 2023, qui a touché 2 750 entreprises et 94 millions de personnes. La même évaluation note que les incidents de rançongiciel au Canada augmentent d’environ 26 % par année depuis 2021 et que la rançon moyenne payée au pays en 2023 était d’environ 1,13 million de dollars.

Ce que recommande l’ITSM.10.071

La publication s’adresse aux organisations de toutes tailles et propose d’intégrer la sécurité de la chaîne d’approvisionnement au programme de sécurité des TI et à la gestion des risques. En pratique, cela veut dire :

  • connaître ses logiciels : tenir un inventaire à jour des licences et des applications, y compris les services infonuagiques, et demander au fournisseur la liste des composantes de son logiciel;
  • évaluer ses fournisseurs : vérifier leurs certifications, leurs normes de sécurité et leur développement sécurisé, sans se fier uniquement à un questionnaire ou à une autocertification ; le guide propose une liste de 19 questions à poser;
  • écrire les exigences dans les contrats : sécurité, confidentialité, conservation des documents et conformité dans chaque appel d’offres et chaque entente;
  • encadrer les mises à jour : appliquer les correctifs rapidement, mais à partir de sources officielles seulement, en validant la signature numérique du logiciel;
  • surveiller et prévoir le pire : suivre ses fournisseurs en continu plutôt qu’une seule fois, détecter les comportements inhabituels et préparer un plan d’intervention au cas où un fournisseur serait compromis.

Le Centre complète ce guide par une démarche en trois étapes pour évaluer un produit avant de l’adopter, décrite dans La cybersécurité et la chaîne d’approvisionnement : évaluation des risques (ITSAP.10.070) : mesurer la sensibilité de ce que le produit traitera, juger la fiabilité du fournisseur, puis décider si l’exposition est acceptable. Pour un logiciel qui contient des dossiers d’enfants, la sensibilité est élevée d’office.

Un exemple concret, bien réel celui-là

Entre le 22 et le 28 décembre 2024, des attaquants sont entrés dans les systèmes de PowerSchool, l’un des logiciels de dossiers d’élèves les plus répandus en Amérique du Nord, en utilisant les identifiants compromis d’un ancien sous-traitant pour accéder au portail de soutien technique de l’entreprise. De là, ils ont atteint les bases de données de centaines de clients, dont plus de 80 conseils scolaires canadiens. PowerSchool a payé une rançon pour faire détruire les données ; cinq mois plus tard, elles servaient à extorquer directement des conseils scolaires. Aucun de ces conseils n’avait fait d’erreur dans son propre réseau : la faille était chez le fournisseur et son sous-traitant. C’est exactement le scénario de l’ITSM.10.071, et c’est pourquoi les questions posées avant de signer comptent autant que l’antivirus. Au Québec, l’épisode HopHop d’octobre 2025 a rappelé la même leçon : une application utilisée par des centaines de milieux débranchée du jour au lendemain, et des parents à rassurer sans que le service de garde ait rien fait de mal.

Ce que ça change pour votre service de garde

Un CPE ou une garderie n’a pas d’équipe TI pour éplucher le code de ses fournisseurs, et personne ne vous le demande. Mais vous avez bel et bien une chaîne d’approvisionnement logicielle : application de gestion des présences, portail aux parents, logiciel comptable, suite bureautique, site Web. Voici comment appliquer l’esprit du guide à votre échelle.

  1. Faites la liste de vos logiciels et services en ligne. Une feuille de calcul : nom, usage, données qu’il contient, qui a accès, date du contrat. On ne protège pas ce qu’on ne connaît pas. Deux heures, une fois, puis dix minutes à chaque changement.
  2. Posez des questions écrites à chaque fournisseur de logiciel qui touche aux enfants. Où sont hébergées nos données, qui y a accès chez vous et chez vos sous-traitants, en combien de temps nous avisez-vous d’un incident, avez-vous une certification de sécurité. Nos 12 questions à poser à votre fournisseur donnent la bonne réponse attendue pour chacune. Deux heures, avant chaque nouveau contrat ou renouvellement.
  3. Inscrivez vos exigences dans le contrat. Avis d’incident dans un délai précis, hébergement au Canada, destruction des données à la fin de l’entente, droit de poser des questions chaque année. Si le fournisseur refuse, c’est une réponse. Une heure avec le contrat en main.
  4. Téléchargez uniquement depuis les sources officielles. Site de l’éditeur ou magasins d’applications reconnus, jamais un installateur trouvé sur un forum ou reçu par courriel. Une règle d’une phrase dans votre politique de sécurité.
  5. Activez les mises à jour automatiques sur tous les postes et appareils mobiles. C’est la version simple de la gestion des correctifs ; le Centre recommande d’appliquer un correctif de sécurité dans les plus brefs délais (ITSAP.10.096). Cinq minutes par appareil.
  6. Prévoyez le scénario « mon fournisseur est compromis ». Une demi-page : qui appelle le fournisseur, comment on avise les parents, comment on fonctionne sur papier pendant quelques jours, où est la dernière sauvegarde exportée de vos données. Une heure, et une exportation de vos données tous les trois mois.

Choisir ses logiciels avec le même sérieux qu’on choisit son personnel, c’est une forme de prudence qui vous ressemble.

Sources

Foire aux questions

Qu’est-ce que l’ITSM.10.071?

Une publication de conseils du Centre canadien pour la cybersécurité, destinée aux gestionnaires, intitulée « Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels ». Ce n’est pas une norme internationale, mais un guide gratuit de l’organisme fédéral canadien.

Pourquoi la chaîne d’approvisionnement des logiciels est-elle risquée?

Un attaquant qui compromet un éditeur peut glisser du code malveillant dans une mise à jour légitime, ce qui compromet d’un coup tous les clients. Et une organisation a très peu d’influence sur les contrôles de sécurité de ses fournisseurs.

Comment un service de garde peut-il appliquer ce guide?

Faire la liste de ses logiciels et services en ligne, demander aux fournisseurs où sont hébergées les données et comment elles sont protégées, télécharger uniquement depuis les sources officielles et activer les mises à jour automatiques.

À lire aussi

Étiqueté , ,