Cybersécurité à Sherbrooke : audit, NIS2 et RGPD pour PME et ETI

L'Université de Sherbrooke (UdeS), établissement d'enseignement supérieur public, est soumise à la Loi sur l'accès (secteur public québécois) pour ses données d'étudiants et d'employés. Pour les projets de recherche impliquant des données personnelles (essais cliniques, études de comportement, données génétiques), le Comité d'éthique de la recherche (CER) de l'UdeS doit approuver les protocoles. Les start-ups et spin-offs de l'UdeS, en tant qu'entreprises privées, sont soumises à la Loi 25 du secteur privé. Les programmes coopératifs (stages) génèrent des traitements de données d'étudiants entre l'université et les entreprises d'accueil : des clauses de confidentialité adaptées à la Loi 25 sont nécessaires dans les conventions de stage. CyberConform accompagne les entreprises estryennes qui reçoivent des stagiaires de l'UdeS.

Le CIUSSS de l'Estrie - CHUS (Centre Hospitalier Universitaire de Sherbrooke) est soumis à la Loi sur l'accès (secteur public) et à la Loi sur les services de santé et services sociaux (LSSSS) pour les données de santé de ses patients. Depuis septembre 2023 (Loi 25), les patients ont un droit d'accès renforcé à leurs données de santé et un droit à la portabilité. Le dossier patient électronique (DPE), les systèmes de prescription électronique, les appareils médicaux connectés (IoMT) et les systèmes de télésoins génèrent des données sensibles qui doivent être chiffrées, accessibles uniquement sur besoin fonctionnel, et protégées par des systèmes de détection d'intrusion. CyberConform peut accompagner les sous-traitants et fournisseurs TI du CIUSSS dans leurs obligations de protection des données de santé.

BRP est soumis à la Loi 25 québécoise pour les données de ses employés estriens et à la LPRPDE fédérale pour les données de ses clients canadiens hors Québec, et aux lois de protection des données des autres pays où il opère. Les véhicules connectés BRP (Sea-Doo avec Connected Features, Ski-Doo avec GPS et télématique, Outlander avec systèmes de navigation) collectent des données de localisation et d'utilisation soumises aux lois de protection des données. BRP doit obtenir un consentement clair des utilisateurs pour la collecte de ces données télémétriques. Les usines BRP disposent de systèmes OT (SCADA, robotique) qui nécessitent une segmentation stricte des réseaux IT/OT. CyberConform accompagne les ETI manufacturières québécoises comme les sous-traitants de BRP.

Pour une PME de Sherbrooke de 10 à 60 employés, un audit de conformité Loi 25 par CyberConform est compris entre 4 000 et 10 000 $ CAD HT. Les PME manufacturières avec des systèmes OT/IT peuvent nécessiter un audit étendu (jusqu'à 15 000 $ CAD HT). Les startups de l'UdeS ou de l'incubateur d'entreprises Sherbrooke Innopole bénéficient d'un pack startup cyber à partir de 2 200 $ CAD HT incluant l'audit Loi 25 et les recommandations de sécurité cloud. Des subventions provinciales Estrie (Développement économique Canada, MESI) peuvent cofinancer jusqu'à 40 % d'un projet de conformité pour les PME estriennes éligibles.

En cas de cyberattaque sur une PME manufacturière sherbrookoise, les étapes immédiates sont : (1) Isoler les réseaux OT des réseaux IT (pour éviter la propagation aux automates et robots de production), (2) Contacter CyberConform pour une intervention d'urgence en Estrie, (3) Documenter l'incident dans le registre des incidents de confidentialité, (4) Si des renseignements personnels sont compromis et présentent un risque de préjudice sérieux : notifier la CAI et les individus concernés, (5) Alerter votre assureur cyber pour déclencher la couverture d'urgence. Pour les sous-traitants de BRP ou Kruger, notifiez rapidement le donneur d'ordre : des clauses contractuelles de sécurité peuvent imposer une notification dans les 24 à 72 h. CyberConform dispose d'équipes disponibles pour Sherbrooke et la région de l'Estrie.