itopsi
Tarifs
À propos
Contact
EnglishRappelez-moi
Préparation à la certification

Préparation à la certification CyberSécuritaire Canada

Se préparer à la certification CyberSécuritaire Canada, c’est faire le travail qui précède l’audit : comparer votre organisation à la norme nationale CAN/DGSI 104, corriger les écarts et mettre les preuves en ordre. Un organisme de certification accrédité vous audite ensuite et délivre le certificat.12 Nous assurons la préparation, pour que l’audit constate ce que vos documents décrivent.

Demandez un rappelRéservez l’audit gratuit
Un propriétaire de petite entreprise dans la fin cinquantaine travaille sur son portable à une table en bois, dans sa réserve, des boîtes de carton unies sur des étagères métalliques derrière lui
CyberSécuritaire Canada est pensé pour des entreprises comme celle-ci : quelques personnes et l’ordinateur sur lequel tourne le commerce.

Une personne ici vous rappelle le jour même, habituellement en moins d’une heure.

  • D’abord l’autorisation écrite
  • Un rapport en mots simples
  • Vérifié de nouveau après la correction

Ce que vérifie la certification CyberSécuritaire Canada

La certification CyberSécuritaire Canada vérifie une seule norme nationale : CAN/DGSI 104:2021 / Rev 1: 2024, Contrôles de base de la cybersécurité pour les petites et moyennes organisations.7 La norme fixe un ensemble minimal de contrôles pour des organisations qui comptent en général moins de 500 employés; ses notes précisent qu’une organisation qui traite des renseignements personnels, financiers ou sensibles, ou qui approvisionne un secteur à risque élevé, peut avoir besoin de contrôles supplémentaires.1

L’adhésion au programme est volontaire.5 Les organisations certifiées peuvent afficher la marque CyberSécuritaire Canada sur leur site Web et apposer des autocollants à l’intérieur et à l’extérieur de leurs locaux, ce qui permet aux clients, investisseurs, partenaires et fournisseurs de voir qu’elles ont pris des mesures contre les cybermenaces.65

CyberSécuritaire Canada en bref, d’après les pages officielles du programme
PointCe que dit la sourceSource
Norme auditéeCAN/DGSI 104:2021 / Rev 1: 2024, édition en vigueur1
Public viséPetites et moyennes organisations, en général moins de 500 employés1
Niveaux d’exigencesNiveau 1 et Niveau 2; la révision de 2024 a clarifié la différence dans six domaines7
Qui audite et certifieUn organisme de certification accrédité par le Conseil canadien des normes25
Information sur le programme depuis le 31 mars 2023Conseil canadien des normes; ISDE n’est plus l’autorité du programme4
Prochaine éditionCAN/DGSI 104:2021 / Rev 2: 2026, au stade de l’élaboration9

Qui gère CyberSécuritaire Canada depuis le 31 mars 2023

Depuis le 31 mars 2023, Innovation, Sciences et Développement économique Canada (ISDE) n’est plus l’autorité du programme CyberSécuritaire Canada et renvoie au Conseil canadien des normes (CCN) pour l’information à jour, la certification et la recertification.4 Le CCN accrédite les organismes de certification en s’appuyant sur ISO/IEC 17021-1, la norme internationale qui encadre l’audit et la certification des systèmes de management.2

Le répertoire des organisations accréditées du CCN classe ces organismes sous le domaine CyberSecure Canada Certification Scheme (CSC).3 C’est l’organisme de certification qui détermine si votre organisation est prête, vous donne un aperçu des coûts et évalue la mise en œuvre des contrôles.5 Notre rôle se situe avant cet audit.

Contrôles de cybersécurité de base : la liste du Centre et ce qu’ajoute la norme nationale

Les contrôles de cybersécurité de base pour les petites et moyennes organisations sont nés d’une liste de 13 contrôles publiée par le Centre canadien pour la cybersécurité, version 1.2, du plan d’intervention en cas d’incident à la sécurisation des supports amovibles.10 Depuis le 1er janvier 2023, les organismes accrédités certifient tout nouveau client selon la norme nationale, parue d’abord sous le nom CAN/CIOSC 104:2021, qui a remplacé la version 1.2 comme référence de l’audit.8

Le bulletin de transition du CCN décrit la norme en deux volets. Les contrôles organisationnels comprennent le leadership, la responsabilisation et l’évaluation des risques de cybersécurité, tous nouveaux, ainsi que la sensibilisation des employés; les contrôles de base reprennent les douze autres contrôles du Centre et en ajoutent deux : les systèmes de point de vente et financiers, et la gestion des journaux de sécurité.8 Le tableau présente notre travail pour chaque domaine; le guide sur la certification explique les contrôles eux-mêmes (en anglais).

Domaines de contrôle de CAN/DGSI 104 et notre travail de préparation
Domaine de contrôleNotre travail de préparation
Leadership, responsabilisation, évaluation des risques, sensibilisationNous menons l’évaluation des risques avec la direction, nommons un responsable pour chaque contrôle et consignons qui approuve quoi.
BC.1 Plan d’intervention en cas d’incidentUn plan rédigé pour votre organisation, avec les coordonnées de l’assureur, du Centre et de la police, mis à l’épreuve lors d’un exercice sur table.
BC.2 Correctifs, BC.3 Logiciels de sécurité, BC.4 Configuration sécuriséeTous les appareils recensés; mises à jour automatiques et logiciels de sécurité confirmés; réglages par défaut fermés; corrections faites dans le cadre du renforcement.
BC.5 Authentification forte, BC.12 Contrôle des accèsAuthentification multifacteur pour le courriel, l’accès à distance et les comptes d’administration; comptes d’administration distincts; accès retiré le jour du départ.
Sensibilisation des employés (BC.6 dans la liste du Centre)Une courte formation en langage clair, avec un registre de présence daté; des simulations d’hameçonnage si vous le souhaitez.
BC.7 Sauvegarde et chiffrementDes copies chiffrées séparées du réseau, et un essai de restauration dont la date et le résultat sont consignés (sauvegarde et reprise).
BC.8 Appareils mobiles, BC.13 Supports amoviblesDes règles pour les téléphones et les clés USB adaptées au travail réel, appliquées dans les réglages des appareils.
BC.9 Défense du périmètre, BC.11 Sites WebPare-feu, Wi-Fi invité et accès à distance vérifiés; DMARC sur le domaine de courriel (sécurité du courriel); site Web vérifié.
BC.10 Infonuagique et services de TI externalisésLa liste des fournisseurs infonuagiques et TI, ce que chacun protège, et les points de contrat à soumettre à votre avocat (risques liés aux fournisseurs).
Systèmes de point de vente et financiers, journaux de sécuritéTerminaux de paiement et logiciels comptables séparés de l’usage courant; journalisation activée sur les systèmes importants, avec une revue que vous pouvez démontrer.

Exigences de CyberSécuritaire Canada : ce qui doit être prêt avant l’audit

Le jour de l’audit, l’organisation doit montrer des contrôles en place et les registres qui le prouvent. La partie écrite représente souvent la moitié la plus lourde du travail, et une PME l’a rarement réunie au même endroit. Nos livrables sont pensés pour ce moment, et ils vous appartiennent.

  • La portée de la certification et le niveau d’exigences, convenus avec vous et confirmés auprès de votre organisme de certification
  • Une analyse des écarts selon CAN/DGSI 104, chaque écart classé à corriger aujourd’hui, ce mois-ci ou plus tard
  • Des politiques et procédures rédigées pour votre organisation, avec une politique de sécurité pour chaque domaine de la norme
  • Un registre des risques et le compte rendu de l’évaluation des risques
  • Les écarts techniques corrigés, par nous ou avec votre fournisseur TI, chacun daté
  • Un dossier de preuves classé par contrôle, et un rapport d’audit interne
  • Une courte liste de ce qui reste avant l’audit de certification

Le déroulement de la préparation, étape par étape

La préparation se fait en cinq étapes sous une seule lettre de mandat et s’arrête là où commence l’organisme de certification. Une conversation de 30 minutes fixe la portée : quelle partie de l’organisation sera certifiée, quel niveau s’applique, et qui corrige les écarts, nous ou votre fournisseur TI.

Nous examinons ensuite chaque domaine de contrôle, corrigeons ou coordonnons les corrections, rédigeons les documents et menons un audit interne comme un auditeur lirait vos preuves. Vous choisissez l’organisme de certification; une partie de son audit peut se faire à distance si vous en convenez tous les deux, selon les règles internationales que les organismes accrédités appliquent depuis le 30 janvier 2026.11 Sur demande, nous répondons à ses questions sur les preuves pendant l’audit.

Avec nous Organisme de certification Portée et niveau d’exigences Analyse des écarts selon CAN/DGSI 104 Corrections et preuves écrites Audit interne, liste de ce qui reste Vous choisissez un organisme accrédité Audit de certification Certificat et marque, puis recertification 1 2 3 4 5 6 7
De la portée au certificat : cinq étapes de préparation avec nous, puis la part de l’organisme de certification accrédité.

Coût de la certification CyberSécuritaire Canada : ce que vous payez

Le coût de la certification CyberSécuritaire Canada comprend deux volets : la préparation et les honoraires de l’organisme de certification. Celui-ci vous donne son propre aperçu des coûts après avoir discuté avec votre organisation.5 Notre préparation est chiffrée dans la lettre de mandat, à prix fixe convenu avant le début des travaux.

  • Taille et établissements : le nombre de personnes, de lieux et d’appareils compris dans la portée
  • Point de départ : les contrôles déjà en place et ce qui est déjà écrit
  • Niveau : exigences du Niveau 1 ou du Niveau 2
  • Fournisseurs externes : services infonuagiques, hébergement et fournisseur TI comptent aussi
  • Corrections : si nous corrigeons les écarts techniques ou les signalons à votre fournisseur TI

Pourquoi une équipe sous contrat : les risques de tout faire seul, avec un robot conversationnel ou un pigiste

La PME qui se prépare seule règle souvent la technique et néglige les registres : les mises à jour s’appliquent, mais personne ne peut montrer l’essai de restauration, le registre de formation ou l’évaluation des risques ajoutée par la norme nationale. Ces écarts apparaissent alors devant l’organisme de certification, et l’échéancier glisse.

Un robot conversationnel confond les 13 contrôles du Centre avec la norme nationale, oublie les deux contrôles ajoutés et rédige des politiques pour une entreprise imaginaire. Un pigiste configure un pare-feu, mais rédige rarement le plan d’intervention, tient peu le dossier de preuves dans l’ordre de l’audit et sera difficile à joindre à la recertification.

Une équipe sous contrat travaille selon une lettre de mandat signée, date chaque correction, vous remet tous les documents et répond de sa part du travail. INNOVA CONSULT LTD. détient une assurance responsabilité civile générale, et le prix de la préparation est fixé avant qu’elle commence.

Cinq raisons simples de nous confier ce travail

  • Une société canadienne enregistrée

    INNOVA CONSULT LTD., société fédérale 1522612-1, établie à Ottawa. itopsi est sa marque.

  • En activité depuis 2013

    Le groupe derrière itopsi exerce en droit et en marketing depuis 2013. Son fondateur travaille en droit et en conformité depuis plus de 14 ans.

  • Nous exploitons nos propres serveurs

    Nos propres serveurs et plus de 80 sites Web sont vérifiés chaque jour pour les vulnérabilités connues.

  • Assurés

    Une assurance responsabilité civile générale de 1 million de dollars canadiens est en vigueur.

  • Votre portée, votre rapport

    Une portée fixe dans une lettre signée avant le début du travail. Licences et équipement au prix coûtant, sans commission de fournisseur. Le rapport vous appartient.

Comment se déroule le travail

Cinq étapes, toujours dans le même ordre.

Avant tout test, vous signez une lettre d’autorisation : ce que nous testons, à quelles dates, qui appeler, et ce à quoi nous ne devons pas toucher.

Votre signature vient en premier

  1. Étape 1

    Nous convenons de ce qu’il faut vérifier

    Un court appel, ou le formulaire au bas de cette page. Ensemble, nous choisissons le site Web, le serveur ou les systèmes de bureau à examiner.

  2. Étape 2

    Vous signez la lettre d’autorisation

    Elle fixe les cibles, les dates, les personnes-ressources et ce à quoi nous ne devons pas toucher. Le travail commence seulement une fois la lettre signée.

  3. Étape 3

    Nous vérifions et mettons tout par écrit

    Un rapport en mots simples pour vous, avec le détail technique en annexe pour la personne qui s’occupe de vos systèmes.

  4. Étape 4

    Nous corrigeons

    Nous faisons les réparations nous-mêmes, ou avec votre fournisseur informatique ou votre développeur Web actuel.

  5. Étape 5

    Nous vérifions de nouveau

    Une deuxième vérification confirme que chaque problème est réglé.

Ce que ça coûte

Chaque mandat est de taille différente, alors chacun reçoit une soumission à prix fixe une fois la portée convenue. Vous voyez le prix par écrit avant que le travail commence.

  • Une soumission à prix fixe une fois la portée convenue
  • Le prix par écrit avant le début du travail
  • Une deuxième vérification après les corrections
Questions

Les questions qu’on nous pose

Votre question n’y est pas? Laissez votre numéro et posez-la dans vos mots.

Qu’est-ce que CyberSécuritaire Canada?
CyberSécuritaire Canada est un programme fédéral de certification à adhésion volontaire, conçu pour les petites et moyennes entreprises et les organisations canadiennes. L’organisation met en œuvre les contrôles de la norme nationale CAN/DGSI 104, puis un organisme de certification accrédité par le Conseil canadien des normes l’audite. Une fois certifiée, elle peut afficher la marque sur son site Web et dans ses locaux.
Quels sont les 13 contrôles de base?
La liste du Centre canadien pour la cybersécurité comprend : plan d’intervention en cas d’incident, correctifs automatiques, logiciels de sécurité, configuration sécurisée des appareils, authentification forte, sensibilisation des employés, sauvegarde et chiffrement, appareils mobiles, défense du périmètre, infonuagique et TI externalisée, sites Web, contrôle des accès et supports amovibles. La norme nationale y ajoute des contrôles organisationnels et deux contrôles de base.
Qui est admissible à la certification?
Le programme vise les petites et moyennes entreprises et les autres organisations au Canada. La norme nationale cible les organisations qui comptent en général moins de 500 employés, et ses notes indiquent que les plus grandes peuvent s’en servir comme point de départ. Une organisation qui traite des renseignements sensibles ou approvisionne un secteur à risque élevé peut avoir besoin de contrôles supplémentaires.
Combien de temps dure la certification?
La fiche d’information d’ISDE indique que la marque de certification est valide deux ans. Depuis le 31 mars 2023, la certification et la recertification passent par le Conseil canadien des normes et les organismes de certification accrédités; votre organisme confirme donc le cycle en vigueur dans sa soumission. Des contrôles maintenus entre deux audits font de la recertification une simple reprise des registres tenus.
L’audit de certification peut-il se faire à distance?
En partie, si vous et l’organisme de certification en convenez. Le Conseil canadien des normes demande aux organismes accrédités de systèmes de management qui utilisent les technologies de l’information et de la communication d’appliquer le document IAF MD 4:2025 à compter du 30 janvier 2026, lequel exige une entente mutuelle et des mesures de sécurité et de protection des données. Demandez à l’organisme la part prévue à distance.
Combien coûte la certification?
Le total comprend deux volets. L’organisme de certification fixe ses honoraires et vous donne un aperçu des coûts après avoir examiné votre organisation. Notre préparation dépend du nombre de personnes, de lieux et d’appareils visés, des contrôles déjà en place et documentés, du niveau d’exigences et des corrections confiées. Après une conversation de 30 minutes, vous recevez une lettre de mandat à prix fixe pour notre part.
Délivrez-vous le certificat CyberSécuritaire Canada?
Le certificat vient uniquement d’un organisme de certification accrédité par le Conseil canadien des normes, que le répertoire du CCN classe sous le programme CyberSécuritaire Canada. Notre part est la préparation : analyse des écarts, corrections, documents, dossier de preuves et audit interne. Vous choisissez l’organisme et signez avec lui; nous pouvons répondre à ses questions sur les preuves pendant l’audit.

À lire ensuite

Dites-nous ce qui vous inquiète.

Laissez votre nom et un numéro. Une personne ici vous rappelle le jour même, habituellement en moins d’une heure, et vous demande ce que vous voulez faire vérifier. Vous préférez commencer seul ? L’audit gratuit prend environ trois minutes.

  • Rappel le jour même
  • D’abord l’autorisation écrite
  • Soumission à prix fixe

Demandez qu’on vous rappelle

Laissez votre nom et votre numéro. Une personne réelle vous rappelle le jour même, habituellement en moins d’une heure.

Nous utilisons votre numéro pour vous rappeler au sujet de votre demande. Rien d’autre.

Rappelez-moi