Cybersécurité à Québec : audit, NIS2 et RGPD pour PME et ETI

Oui, mais avec un cadre spécifique. Les organismes publics québécois (ministères, organismes gouvernementaux, établissements de santé et d'éducation) sont soumis à la Loi sur l'accès aux documents des organismes publics et sur la protection des renseignements personnels (Loi accès), et non directement à la Loi 25 qui s'applique au secteur privé. Cependant, depuis les réformes de 2022, les obligations sont alignées : désignation d'un Responsable de la protection des données, registre des incidents, notification à la CAI. Le Conseil du Trésor est responsable de l'encadrement informatique du gouvernement québécois (Politique-cadre sur la gouvernance et la gestion des ressources informationnelles). CyberConform accompagne les sous-traitants et fournisseurs TI des ministères québécois pour répondre aux exigences de sécurité contractuelles.

Beneva (née de la fusion de SSQ Assurance et La Capitale, siège à Québec, 1 500 employés+) est l'une des plus grandes compagnies d'assurance québécoises, gérant des millions de dossiers d'assurés. La Loi 25 impose à Beneva : la désignation d'un Responsable de la protection des données (RPD) accessible publiquement, la rédaction de politiques de confidentialité claires pour tous ses produits, la gestion rigoureuse des consentements (assurance vie, assurance santé collective), les EFVP pour les nouveaux traitements à risque élevé (analyses actuarielles, profilage clients), et la notification des incidents à la CAI et aux assurés concernés. CyberConform peut réaliser des audits de conformité Loi 25 pour les assureurs québécois et leurs sous-traitants de traitement de données.

Pour une PME québécoise de 10 à 60 employés, un audit de conformité Loi 25 par CyberConform est généralement compris entre 5 000 et 12 000 $ CAD HT. Les organismes para-publics (CÉGEP, commissions scolaires, OBNL) peuvent bénéficier d'un tarif adapté (dès 3 500 $ CAD HT). L'audit comprend : inventaire des renseignements personnels, désignation du RPD, politique de confidentialité, registre des incidents, et plan de conformité échelonné. Les entreprises qui fournissent des services TI aux ministères provinciaux peuvent nécessiter un audit étendu aux exigences de sécurité gouvernementales (AIST — Architecture intégrée des services de TI). Un devis gratuit est disponible sous 48 h.

L'Université Laval est soumise à la Loi sur l'accès (secteur public) pour ses traitements de données d'étudiants et d'employés, et aux dispositions applicables à la recherche (EPTC2 — Énoncé de politique des trois Conseils pour la recherche sur des êtres humains). Pour les projets de recherche impliquant des données personnelles (données de santé, données génétiques, études comportementales), un Comité d'éthique de la recherche (CER) doit approuver le protocole de protection des données. Le CRC-Cyber de l'Université Laval est un actif précieux pour la formation et la recherche appliquée en cybersécurité au Québec. CyberConform peut collaborer avec l'Université Laval pour des projets de conformité et de sensibilisation.

En cas de cyberattaque à Québec, les étapes immédiates sont : (1) Isoler les systèmes compromis, (2) Contacter CyberConform pour intervention d'urgence à Québec, (3) Documenter l'incident dans le registre des incidents de confidentialité, (4) Si l'incident présente un risque sérieux de préjudice : notifier la CAI (Commission d'accès à l'information) et les individus concernés sous 72 h, (5) Pour les organismes gouvernementaux : informer le CGEST (Centre gouvernemental de cybersécurité) qui coordonne la réponse aux incidents affectant les systèmes gouvernementaux québécois. La Sûreté du Québec dispose d'une unité de lutte contre la cybercriminalité à contacter pour les infractions pénales. CyberConform intervient à Québec et sur toute la région de la Capitale-Nationale pour les urgences cyber.