La taille et l’accès fixent la durée
Deux choses décident de l’essentiel du calendrier : ce qui est inclus dans la portée et la rapidité avec laquelle nous pouvons y accéder. Chaque site Web, serveur, compte infonuagique ou bureau supplémentaire ajoute des vérifications et des constats à confirmer. L’accès est l’autre moitié. Une semaine passée à attendre un identifiant d’hébergement ou quelqu’un qui peut ouvrir les paramètres DNS est une semaine où le rapport n’avance pas, et c’est le retard que nous voyons le plus souvent.
Le fait de nous confier aussi les corrections change la date de fin. Le rapport arrive d’abord; les correctifs et la revérification qui les confirme viennent ensuite, à des dates convenues avec vous.
Audit de sécurité pour PME : deux à trois semaines
Notre audit cybersécurité pour PME couvre le périmètre exposé à Internet, le site Web et ses extensions, les serveurs et les panneaux d’hébergement, les certificats et les en-têtes de sécurité, le domaine de courriel, les comptes et la connexion en deux étapes, ainsi que les sauvegardes. Avec un site Web, un domaine de courriel et quelques serveurs, le rapport écrit vous parvient habituellement de deux à trois semaines après la signature de la lettre de mandat.
Cette période comprend les vérifications pendant la fenêtre convenue, la confirmation de chaque constat par une personne et la rédaction d’un rapport en deux volets : un résumé en mots simples pour le propriétaire et une annexe technique pour la personne qui entretient vos systèmes. Un parc plus grand demande plus de temps, et la lettre de mandat dit combien avant que quoi que ce soit commence.
Évaluation de la maturité : un autre calendrier
L’évaluation de la maturité en matière de cybersécurité d’un conseil scolaire, d’un collège, d’une université, d’une société d’aide à l’enfance ou d’un hôpital visé mesure la façon dont l’organisation gère la cybersécurité dans son ensemble; elle dépend donc des personnes davantage que des balayages. Cybersécurité Ontario indique que son évaluation standard contient plus de 100 énoncés répartis sur six fonctions et que le temps d’achèvement varie selon la préparation organisationnelle.
Deux dates fixes l’encadrent. L’inscription à l’outil provincial d’évaluation donne lieu à un lien sécurisé ou à une demande de renseignements supplémentaires, habituellement dans les cinq jours ouvrables, selon Cybersécurité Ontario. Après l’évaluation, le Règl. de l’Ont. 51/26 accorde 30 jours ouvrables pour remettre le résumé au directeur général de la sécurité de l’information du ministère, et la première évaluation est due au plus tard le 1er juillet 2027. Planifier à rebours à partir de cette date est la façon prudente de s’organiser.
Ce qui garde les travaux dans les temps
L’essentiel du temps gagné se joue le premier jour. Avoir sous la main les adresses du site, des serveurs et du domaine de courriel, une personne de votre côté qui répond pendant la fenêtre convenue, un accès en lecture aux consoles d’hébergement, de DNS et de courriel, et une lettre de mandat signée permet de commencer les vérifications à la date prévue. Pour une évaluation de la maturité, il en va de même des entrevues avec les TI, les opérations, la protection de la vie privée et la direction, réservées tôt.
