Par où commencer
Le parcours est le même pour les deux cadres. Ce qui change, c’est le référentiel auquel vous vous comparez et l’instance à qui vous rendez des comptes.
Étape zéro : savoir si vous êtes visé
Les cinq étapes
- 1
Cadrer
Identifier l’information de défense qui circule dans vos systèmes, et où elle circule. C’est l’étape qui détermine tout le reste, et celle que l’on saute le plus souvent.
→ Ce que vous produisez : l’inventaire des actifs et la définition du périmètre.
- 2
Mesurer l’écart
Comparer vos pratiques actuelles aux exigences du niveau visé, contrôle par contrôle, sans complaisance.
→ Ce que vous produisez : une matrice d’analyse d’écarts.
- 3
Planifier
Ordonner les correctifs selon le risque et l’effort. Commencer par ce qui est rapide et structurant plutôt que par ce qui est visible.
→ Ce que vous produisez : un plan d’action daté et chiffré.
- 4
Mettre en œuvre et documenter
Déployer les mesures et constituer les preuves. C’est la documentation qui est évaluée : une mesure appliquée mais non documentée ne compte pas.
→ Ce que vous produisez : le plan de sécurité, les politiques et le dossier de preuves.
- 5
Évaluer et maintenir
Auto-évaluation ou évaluation externe, dépôt du résultat, puis maintien dans le temps.
→ Ce que vous produisez : l’attestation déposée et le calendrier de renouvellement.
Combien de temps, combien ça coûte
Ce sont les deux premières questions de tout dirigeant, et les réponses générales n’ont aucune valeur : l’écart entre une entreprise de dix personnes visant le niveau 1 et une entreprise de deux cents visant le niveau 2 se compte en ordres de grandeur.
Nous avons donc préféré un estimateur à une fourchette. Quelques questions sur votre taille, votre situation actuelle et le niveau que vous visez, et vous obtenez un ordre de grandeur adapté à votre cas.
Les erreurs les plus fréquentes
Attaquer la technique avant d’avoir cadré le périmètre. On sécurise alors l’ensemble de l’entreprise là où quelques systèmes étaient concernés, pour un coût sans rapport avec l’exigence.
Sous-estimer la charge documentaire. Une mesure mise en œuvre mais non documentée ne compte pas à l’évaluation. C’est la déconvenue la plus fréquente et la plus coûteuse.
Tout confier au fournisseur informatique. Une part importante des exigences relève de la gouvernance : politiques, rôles, formation, décisions. Personne ne peut les prendre à votre place.
Attendre qu’un client l’exige. Les délais de mise en conformité se comptent en mois, ceux de réponse à un appel d’offres en semaines. Commencer au moment où l’exigence tombe, c’est arriver trop tard.
Traiter les deux cadres séparément. C’est doubler l’effort pour un gain nul.
Comment la communauté vous appuie
| Étape | Ce que vous y trouvez |
|---|---|
| 1. Cadrer | Guides de cadrage et retours d’expérience d’entreprises comparables sur la délimitation de leur périmètre |
| 2. Mesurer l’écart | Gabarit d’analyse d’écarts aligné sur les deux référentiels |
| 3. Planifier | Modèles de plan d’action et ordres de priorité éprouvés |
| 4. Mettre en œuvre et documenter | Modèles de politiques et gabarits de preuves, à adapter plutôt qu’à créer |
| 5. Évaluer et maintenir | Ateliers de préparation à l’évaluation et échanges avec des entreprises déjà évaluées |
L’accès est ouvert à toute entreprise immatriculée au Québec.
L’accès est ouvert à toute entreprise immatriculée au Québec
Le diagnostic, dans la conversation avec l'agent IA, permet de comprendre votre situation et de vous orienter vers les ressources qui vous concernent.