Le 15 juillet 2026, les Autorités canadiennes en valeurs mobilières (ACVM) ont publié l’avis 33-322 du personnel, Examen des pratiques de cybersécurité des sociétés inscrites et indications supplémentaires (l’avis du personnel), à la suite d’inspections ciblées des pratiques de cybersécurité de 73 sociétés inscrites. Son contenu n’a rien de surprenant : la cybersécurité constitue un risque opérationnel majeur et les sociétés inscrites doivent mettre en place des mesures de contrôles concrètes, documentées et régulièrement mises à jour, adaptées à leur taille, à leur complexité et à leurs activités.
Points à retenir
- Adaptez votre programme de cybersécurité à votre taille. Les petites et moyennes sociétés n’ont pas besoin d’une aussi grande infrastructure que celle d’une banque, par exemple, mais elles doivent tout de même se prémunir contre d’importants risques et rendre compte de leurs efforts.
- Intégrez les procédures de cybersécurité à votre calendrier de conformité : révision des politiques, formation, évaluation des risques, examen des fournisseurs, essais du plan d’intervention en cas d’incident et tests de sauvegarde.
- Conservez des preuves. Les ACVM mentionnent à maintes reprises la documentation, notamment les examens, les registres de formation, les évaluations des risques, le contrôle diligent des fournisseurs, les essais et les suivis.
- Considérez les incidents impliquant des tiers comme vous touchant aussi. Si un fournisseur détient des données de votre société ou de vos clients, une fuite pourrait rapidement devenir un problème pour vous sur les plans réglementaire, contractuel ou de la communication avec les clients.
- N’attendez pas qu’un incident se produise pour déterminer qui fait quoi. Testez votre plan d’intervention pendant une période calme.
Comme l’indique l’avis du personnel, les incidents de cybersécurité présentent un risque commercial pour les sociétés inscrites et un risque pour les données confidentielles de leurs clients en leur possession. Autrement dit, « nous pensions que les TI s’en étaient chargées » n’est pas vraiment une réponse acceptable.
Cinq pratiques de cybersécurité attendues
1. Des politiques adaptées à la réalité. Les sociétés devraient se doter de politiques et de procédures de cybersécurité écrites qui traitent des enjeux évidents : communications électroniques, appareils de la société et du personnel, accès à distance, protection et chiffrement des données, mises à jour logicielles, supervision des fournisseurs, formation, responsabilisation et signalement des incidents. Comme pour de nombreuses autres politiques, les ACVM s’attendent à ce que celles sur la cybersécurité soient révisées annuellement et qu’elles correspondent aux procédures ayant réellement cours. D’après notre expérience, il est judicieux d’évaluer les politiques, les contrôles, la gouvernance et l’établissement de rapports en fonction d’attentes véritables et de se baser sur les procédures de communication de crise, de continuité des activités, de reprise après sinistre et d’escalade déjà en vigueur. De plus, les guides d’intervention en cas d’incident devraient comporter des arbres décisionnels, un processus de signalement, ainsi que des protocoles de documentation et de conservation des preuves. Pour ce qui est des mots de passe…
2. Un programme d’apprentissage qui porte ses fruits. Une formation axée spécifiquement sur la cybersécurité devrait être donnée pendant le processus d’intégration des recrues, puis au moins une fois par année ensuite. Des rappels plus fréquents peuvent s’avérer nécessaires, selon le profil de risque de la société. Le contenu devrait porter sur l’hameçonnage et le piratage psychologique, les renseignements confidentiels, les mots de passe, la sécurité des appareils, ainsi que les situations dans lesquelles il faut signaler un incident et la manière de le faire. Il convient par ailleurs de tenir des registres des personnes ayant participé, de la date et des sujets abordés. Les simulations d’hameçonnage documentées sont pratiquement obligatoires et les membres du personnel qui ne les réussissent pas doivent faire l’objet d’un suivi ciblé.
3. Des évaluations de risques accompagnées de contrôles concrets. Les sociétés auraient avantage à mener et documenter leurs évaluations des risques de cybersécurité au moins une fois par année. Celles-ci doivent permettre de repérer les actifs critiques et les données confidentielles, les vulnérabilités internes et externes, les menaces, les conséquences potentielles et l’efficacité des contrôles mis en place. Le personnel des ACVM s’attend à ce que ces évaluations soient non seulement documentées, mais qu’elles prouvent aussi que tous les aspects essentiels ont été pris en compte. Parmi les priorités des ACVM, mentionnons les risques et les contrôles liés aux droits d’accès, notamment les accès en fonction du poste, le principe du droit d’accès minimal, la révocation rapide des droits d’accès et les examens périodiques. Les sociétés qui font appel à des tiers pour ces évaluations doivent remédier à toute lacune relevée et expliquer comment elles comptent répondre aux préoccupations soulevées. Les solutions de base possibles comprennent l’authentification multifacteur, les VPN, le chiffrement des données, les sauvegardes programmées du système, le filtrage des courriels, l’application de correctifs et la mise à jour des logiciels, la tenue de registres des activités numériques suspectes et la suppression sécuritaire des données. Le personnel souligne que les audits de cybersécurité et les tests d’intrusion, bien qu’ils ne soient pas obligatoires, constituent des pratiques efficaces.
4. Une surveillance des fournisseurs qui ne se limite pas à penser : « C’est une grande entreprise, donc tout va bien aller. » Toutes les sociétés examinées par les ACVM faisaient affaire avec des tiers fournisseurs de services ayant accès à leur système et à leurs données. Les ACVM s’attendent à ce qu’un contrôle diligent documenté soit effectué avant l’intégration d’un tiers, puis périodiquement par la suite. Il est important de comprendre comment les fournisseurs protègent les données, où elles sont stockées, comment l’accès est contrôlé et comment les responsabilités sont réparties dans les environnements infonuagiques. Nous conseillons souvent aux sociétés de renforcer leurs exigences contractuelles et de mettre à jour certains éléments, comme les contrôles liés à la cybersécurité, les avis d’incident, les droits d’audit, la sous-traitance et la gestion des données. Les rapports sur les contrôles des systèmes et de l’organisation SOC 2 ou autres documents semblables sont utiles, lorsque disponibles, mais ils doivent tout de même être revus.
5. Un plan d’intervention qui a été mis à l’essai avant qu’il ne soit trop tard. Les sociétés devraient rédiger un plan d’intervention qui comprend une définition claire de ce qu’est un cyberincident, une description des différents types de cyberattaques possibles et des mesures à prendre en cas de piratage des systèmes d’un tiers fournisseur de services qui détient des données de la société, les rôles et les responsabilités pour les notifications, les procédures d’escalade, etc. Ce plan doit être testé régulièrement au moyen de simulations. Un exercice bien conçu consiste en un scénario de rançongiciel ou de cyberincident réaliste qui fait intervenir différentes étapes décisionnelles au sein des TI, de la haute direction et du conseil d’administration. Des essais de sauvegarde et de récupération des données devraient aussi être consignés. Bien que l’assurance cybersécurité ne soit pas obligatoire, les ACVM notent qu’elle peut être utile sur les plans financier et opérationnel.
