Personne ne devrait affronter seule ces exigences.
La Communauté de pratique Défense réunit les PME québécoises, fournisseurs de la chaîne d’approvisionnement de la Défense et visées par les nouvelles exigences de cybersécurité pour ces marchés. Portée par Cybereco et avec la participation financière du ministère de l’Économie, de l’Innovation et de l’Énergie, elle transforme une démarche solitaire en effort collectif.
Ce qui a changé pour les fournisseurs de la défense
Pendant longtemps, une PME qui voulait travailler avec la défense devait démontrer sa compétence technique, sa capacité de production et sa fiabilité. C’est toujours vrai. Depuis peu, elle doit également démontrer que l’information qu’on lui confie est bien protégée chez elle et suit certaines normes.
Les gouvernements canadien et américain ont chacun mis en place un cadre qui l’exige. Ces exigences ne s’arrêtent pas aux grands maîtres d’œuvre, elles descendent jusqu’aux fournisseurs de deuxième et de troisième rang.
Et elles ne dépendent pas de votre taille. Le déclencheur, c’est le type d’information qui circule dans vos systèmes. Une entreprise de douze personnes qui traite les spécifications techniques d’un contrat de défense est visée. Une entreprise de trois cents qui n’en traite pas ne l’est pas.
Pourquoi c’est difficile
Les exigences sont publiques et les normes sont téléchargeables. En théorie, rien n’empêche une entreprise de s’y conformer seule. En pratique, trois obstacles se dressent.
La compréhension. Les documents de référence sont écrits pour des spécialistes de la sécurité de l’information, pas pour des dirigeants d’entreprise. Avant de pouvoir agir, il faut comprendre ce qui est demandé, et cette étape à elle seule décourage beaucoup d’entreprises.
L’isolement. Chaque entreprise refait seule un travail que des dizaines d’autres ont déjà fait avant elle, sans jamais bénéficier de leur expérience.
La preuve. Ce qui est évalué, ce n’est pas seulement ce que vous faites : c’est ce que vous pouvez démontrer. Constituer cette documentation représente souvent plus d’effort que la mesure technique elle-même, et c’est la surprise la plus fréquente.
Tandis que le troisième obstacle est propre à chaque entreprise, les 2 premiers sont ceux qui peuvent être appréhendés collectivement. C’est la raison d’être de la Communauté de pratique Défense.
Notre mission
Mutualiser l’effort de conformité pour qu’aucune PME québécoise n’ait à partir d’une page blanche.
La démarche de mise en conformité est identique d’une entreprise à l’autre. Les politiques à rédiger se ressemblent, les questions posées en chemin sont très similaires, seules les preuves à rassembler sont différentes. Faire recommencer ce processus à chaque entreprise séparément, sans profiter de l’expérience des pairs, est un gaspillage collectif que le Québec ne peut pas se permettre, d’autant plus en cette période d’ouverture des marchés.
Nous mettons donc en commun ce qui peut être mutualisé : les modèles, les méthodes, la documentation, les références, les questions déjà résolues et l’accès aux experts qui ont de l’expériences et peuvent apporter des réponses. Ce qui est propre à chaque organisation, comme son périmètre, ses systèmes et ses décisions, demeure entre ses mains.
Trois piliers
Une plateforme collaborative
Un point d’entrée unique qui rassemble études de cas, guides validés par les pairs, questions-réponses et veille réglementaire. Pour ne jamais recommencer ce qu’une autre entreprise a déjà fait.
En savoir plusUne trousse d’outils
Des modèles et des gabarits alignés sur les normes NIST SP 800-171 et ITSP.10.171, à adapter à votre réalité plutôt qu’à créer de toutes pièces.
En savoir plusUne communauté active
Séminaires, ateliers et conférences réunissant experts du ministère de la Défense nationale, autorités américaines, auditeurs accrédités et Conseil canadien des normes.
En savoir plusÀ qui s’adresse la communauté
La communauté est ouverte à toute entreprise immatriculée au Québec concernée par ces exigences, quelle que soit sa taille. Quatre situations reviennent le plus souvent.
Vous visez les marchés de la défense et découvrez que la cybersécurité conditionne l’accès.
Vous êtes déjà fournisseur d’une entreprise du secteur et l’on commence à vous demander des preuves.
Vous exportez ou souhaitez exporter vers les États-Unis, où les exigences s’appliquent aussi aux entreprises étrangères.
Vous fournissez des services numériques à des clients eux-mêmes soumis à ces exigences.
Vous n’êtes pas certain d’être concerné ? Quelques questions suffisent à le déterminer.
Ce que nous ne faisons pas
Cybereco n’est pas un cabinet de conseil, ni un organisme certificateur et donc ne délivre aucune attestation.
Nous aidons les dirigeants de PME à mieux comprendre et à vulgariser les exigences attendues pour les normes. Nous vous donnons les moyens de mieux comprendre les enjeux des certifications. Nous mettons à disposition des ressources : liens utiles et gabarits de documents standards, nous expliquons les attentes et démarches, nous partageons les expériences rencontrées par nos membres.
Notre feuille de route
La première phase du programme vise à amener les entreprises participantes à un niveau de maturité de base, condition préalable aux deux certifications. L’adoption de cette hygiène de base est le point d’entrée pour les deux certifications, c’est aussi à ce stade que l’accompagnement collectif fait la plus grande différence.
Les phases suivantes nécessitent un accompagnement vers les niveaux supérieurs avec à la clé, le développement d’une expertise québécoise pour l’évaluation.
Une initiative soutenue par le gouvernement du Québec
La Communauté de pratique Défense est développée avec la participation financière du ministère de l’Économie, de l’Innovation et de l’Énergie.
« Les nouvelles exigences de conformité représentent un défi majeur pour plusieurs PME québécoises. En développant des outils communs et des communautés de pratique, nous voulons accélérer la préparation des entreprises et favoriser leur intégration aux chaînes d’approvisionnement stratégiques. »
Rejoindre la communauté
L’accès est ouvert à toute entreprise immatriculée au Québec. Le diagnostic, dans Ressources, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.
Ce que vous trouverez dans la communauté
Plateforme collaborative, trousse d’outils et activités entre pairs : ce que la Communauté de pratique Défense met à la disposition des PME québécoises, et comment y accéder.
Une communauté de pratique, concrètement
Un groupe d’entreprises qui affrontent le même problème et décident de le résoudre ensemble plutôt que chacune de son côté. Ce n’est ni une formation, ni un service-conseil, ni un regroupement d’achat : c’est un mécanisme de partage encadré.
Le format n’est pas nouveau pour Cybereco. La mobilisation des connaissances par communautés de pratique est l’un des trois axes de l’organisme depuis sa fondation, et il a fait ses preuves sur d’autres enjeux avant celui-ci.
Une plateforme collaborative
Un espace unique où trouver ce que d’autres ont déjà produit, plutôt que de chercher dans des documents gouvernementaux dispersés.
Des études de cas d’entreprises québécoises qui ont franchi les étapes avant vous : ce qu’elles ont fait, dans quel ordre, et ce qu’elles referaient autrement.
Des guides validés par les pairs qui traduisent les exigences en gestes concrets.
Un espace de questions-réponses où poser une question précise et obtenir une réponse de quelqu’un qui a réellement traité le cas.
Une veille réglementaire qui suit les évolutions des deux cadres, particulièrement utile en ce moment, où le programme américain est en révision.
Une trousse d’outils
La conformité se démontre par des documents. La trousse rassemble les gabarits qui permettent de les produire sans partir d’une page blanche, chacun aligné sur les normes NIST SP 800-171 et ITSP.10.171.
Elle couvre les quatre besoins qui reviennent dans toutes les démarches : décrire votre environnement et son périmètre, mesurer l’écart entre vos pratiques actuelles et les exigences, planifier et suivre les correctifs, et constituer le dossier de preuves qui sera examiné lors de l’évaluation.
Une communauté active
Les documents ne répondent pas à tout. Certaines questions ne se règlent qu’en parlant à quelqu’un qui connaît la réponse.
La communauté organise des séminaires, des ateliers de travail et des conférences réunissant des experts du ministère de la Défense nationale, des autorités américaines, des auditeurs accrédités et du Conseil canadien des normes. L’objectif n’est pas d’écouter des présentations, mais de pouvoir poser vos questions à ceux qui appliquent ces cadres au quotidien.
Ce que la communauté ne fait pas
Autant le préciser tout de suite.
Nous ne faisons pas d’accompagnement opérationnel, des cabinets spécialisés, membres ou non, de notre communauté de pratique pourront répondre à vos attentes.
Nous ne sommes pas un organisme d’évaluation.
Nous ne pouvons en aucun cas être tenu responsable ou impliqué dans vos démarches.
Qui peut adhérer
La communauté est ouverte à toute entreprise immatriculée au Québec. L’inscription demande votre numéro d’entreprise du Québec (NEQ), le nom de votre organisation et quelques éléments sur votre activité.
Ces renseignements ne sont pas un filtre. Ils permettent de comprendre à qui nous nous adressons. Pour situer votre démarche, utilisez le diagnostic dans Ressources.
Cybereco, l’organisme porteur
Cybereco est un organisme à but non lucratif qui fédère près de 70 organisations autour de la cybersécurité. Voici pourquoi il porte la Communauté de pratique Défense.
Qui nous sommes
Cybereco est un organisme à but non lucratif fondé en 2018, dédié au développement de l’écosystème québécois de la cybersécurité, de la confiance numérique et de la résilience organisationnelle.
Nous fédérons près de 70 organisations issues des milieux public, privé et universitaire, dont les effectifs cumulés dépassent 300 000 personnes au Canada.
Nos trois axes
| Axe | Description |
|---|---|
| Mobilisation des connaissances | Codéveloppement par projets sectoriels et communautés de pratique. C’est l’axe dont relève directement l’initiative Défense. |
| Innovation | Recherche appliquée et commercialisation de solutions canadiennes, notamment par le Carrefour Cyber, premier complexe canadien d’innovation et de commercialisation en cybersécurité. |
| Talents et leadership | Développement de la relève et initiatives de formation. |
Pourquoi nous portons cette initiative
La question mérite d’être posée : pourquoi un organisme comme le nôtre, plutôt qu’un ministère, un ordre professionnel ou un cabinet-conseil ? Quatre raisons.
La neutralité. Nous ne vendons ni produit ni service. Nous ne sommes ni fournisseur, ni certificateur, ni concurrent des entreprises que nous accueillons au sein de la communauté. Notre indépendance fait de nous un interlocuteur privilégié pour les organismes institutionnels et les entreprises.
La capacité de convocation. Réunir autour d’une même table le ministère de la Défense nationale, des autorités américaines, des auditeurs accrédités et le Conseil canadien des normes suppose un tiers crédible auprès de tous. C’est ce que permet un réseau de 70 organisations bâti sur huit ans.
L’expérience du format. La communauté de pratique n’est pas une structure que nous découvrons pour l’occasion : c’est notre manière de travailler depuis la fondation.
L’ancrage québécois. L’initiative répond à une réalité économique précise, celle des PME d’ici, dans un écosystème que nous connaissons.
Ce que nous avons déjà bâti
- La Cyberconférence annuelle
- Elle réunit chaque année l’écosystème québécois de la cybersécurité.
- Le Centre de connaissances
- Il rend accessibles des ressources documentaires à l’ensemble de nos membres.
- Le Carrefour Cyber
- Premier complexe canadien d’innovation et de commercialisation en cybersécurité, il offre mentorat et accompagnement entrepreneurial.
La Communauté de pratique Défense s’appuie sur ces acquis plutôt que de repartir de zéro.
Gouvernance et financement
La Communauté de pratique Défense est développée avec la participation financière du ministère de l’Économie, de l’Innovation et de l’Énergie.
Qui fait quoi, et où nous nous situons
SPAC, MDN, Conseil canadien des normes, Centre pour la cybersécurité, organismes d’évaluation : qui fait quoi dans la certification en cybersécurité de défense, et où se situe la Communauté de pratique.
Un paysage encombré de sigles
Une entreprise qui découvre le sujet se heurte rapidement à une dizaine d’organismes dont les noms se ressemblent et dont les rôles se confondent. Cette confusion est le premier obstacle à l’action : on ne sait pas à qui s’adresser, donc on remet à plus tard.
Voici la carte. Cinq fonctions distinctes, souvent attribuées à tort au même acteur : écrire les règles, les imposer dans les contrats, accréditer les évaluateurs, évaluer, et accompagner.
| Organisme | Ce qu’il fait | Où |
|---|---|---|
| Services publics et Approvisionnement Canada | Pilote le programme canadien et définit les processus de certification | Canada |
| Ministère de la Défense nationale | Copilote le programme et réalise les évaluations du niveau le plus élevé | Canada |
| Centre canadien pour la cybersécurité | Rédige la norme technique ITSP.10.171 et fournit l’outil d’auto-évaluation | Canada |
| Conseil canadien des normes | Accrédite les organismes qui réaliseront les évaluations de niveau 2 | Canada |
| Department of War | Définit le CMMC et l’impose dans ses contrats | États-Unis |
| Cyber AB | Accrédite l’écosystème d’évaluation américain | États-Unis |
| Organismes d’évaluation tiers (C3PAO) | Réalisent les évaluations de certification américaines | États-Unis |
| Ministère de l’Économie, de l’Innovation et de l’Énergie | Soutient la préparation des entreprises québécoises | Québec |
| Cybereco | Anime la Communauté de pratique Défense et met à disposition des ressources pour permettre aux entreprises de mieux appréhender les certifications. | Québec |
| Conseillers et intégrateurs privés | Accompagnement individuel et mise en œuvre technique | Les deux |
Où nous nous situons
Nous intervenons en amont : information sur les normes, comprendre leurs exigences, identifier le parcours, structurer la démarche, mettre à disposition de la documentation, partager des expériences.
Nous nous arrêtons là où commence l’accompagnement formelle. Cela relève d’organismes indépendants et accrédités.
Il y a une véritable complémentarité entre ce que nous offrons et les services proposés par les cabinets d’accompagnement.
Nos partenaires
La Communauté de pratique Défense est développée avec la participation financière du ministère de l’Économie, de l’Innovation et de l’Énergie. Elle mobilise l’expertise du ministère de la Défense nationale, d’autorités américaines, d’auditeurs accrédités et du Conseil canadien des normes dans le cadre de ses activités.
Collaborer avec nous
La communauté ne s’adresse pas uniquement aux entreprises qui cherchent à passer une certification. Trois autres formes de participation sont possibles.
Apporter une expertise si vous maîtrisez ces normes et souhaitez animer un atelier ou participer à la relecture d’un guide.
Offrir vos services à la communauté si vous accompagnez déjà des organisations ou êtes auditeur sur ces normes.
Orienter vos fournisseurs si vous êtes donneur d’ordre et souhaitez que votre chaîne d’approvisionnement évolue.
Comment ça se passe
Vous vous inscrivez
L’inscription demande votre numéro d’entreprise du Québec, le nom de votre organisation et votre rôle. Quelques minutes suffisent.
Vous vous situez
Le diagnostic vous indique quel cadre vous concerne et quel niveau vous vise. C’est l’étape que la plupart des entreprises sautent, et celle qui leur coûte le plus cher ensuite.
Vous accédez aux ressources
Plateforme, gabarits et espace de questions vous sont ouverts.
Vous avancez avec les autres
Ateliers, séminaires et échanges entre pairs rythment la démarche et évitent l’enlisement.
Vous vous préparez à l’évaluation
Quand votre dossier est prêt, vous abordez l’auto-évaluation ou l’évaluation externe en sachant ce qui vous attend.