Cybersécurité Les entreprises fautives seront pénalisées

Il sera désormais bien plus complexe pour les entreprises québécoises de négliger la cybersécurité. Entrée en vigueur le 22 septembre dernier, la loi 25 vise à les inciter à prendre ce problème grandissant au sérieux — et pénalisera celles qui demeurent nonchalantes. Survol.

Jusqu’à 4 % de son chiffre d’affaires mondial annuel. C’est ce qu’une entreprise pourrait perdre si elle ne respecte pas les nouvelles obligations imposées par la loi 25.

« C’est une première étape vers l’obligation de bonnes pratiques en matière de renseignements personnels, pour toutes les organisations québécoises », affirme Nicolas Duguay, directeur du développement des marchés et des programmes de cybersécurité chez In-Sec-M.

Il faudra toutefois « faire preuve de diligence et de compétence » pour bien s’adapter à ces mesures « coercitives », estime M. Duguay.

En cas de cyberattaque, les entreprises devront maintenant tenir un registre des évènements et « prendre des mesures afin de diminuer le risque qu’un préjudice soit causé aux personnes concernées », dicte la Commission d’accès à l’information du Québec, dans un document écrit. D’autres mesures viennent s’assurer qu’un souci particulier est porté à la sécurité de l’information détenue au sujet des employés, aspect souvent oublié à l’heure actuelle.

« Si vous perdez des données, vous devez le déclarer, explique Nicolas Duguay. Une fois que c’est déclaré, on vérifie si vous avez malgré tout adopté de bonnes pratiques. Il n’y a pas d’amende si c’est bien fait. »

Pas si simple

En plus des mesures citées plus haut, toutes les entreprises québécoises devront nommer (ou embaucher) une personne qui sera responsable de la protection des renseignements personnels.

« Pour les grandes entreprises, ce sera assez facile d’embaucher un avocat pour faire ce travail », fait remarquer Fyscillia Ream, coordonnatrice scientifique à la Chaire de recherche en prévention de la cybercriminalité. « Ce qui est difficile, c’est que ça va surtout se répercuter sur les PME. »

Les PME, selon Nicolas Duguay, sont justement « mal outillées, mal renseignées et mal sensibilisées » face à l’enjeu de la cybersécurité.

« Ça va être un défi, renchérit M^me Ream. La personne va devoir assumer ses nouvelles tâches en plus de ses fonctions habituelles. »

Autre problème : règle générale, la cybersécurité n’est pas une grande priorité pour les dirigeants d’entreprise. Ils oublient souvent d’y penser et, par conséquent, d’investir adéquatement, note M^me Ream.

De surcroît, le Règlement général sur la protection des données, instauré en 2016 par l’Union européenne, n’a pas encore eu les effets souhaités. Ce sont des collègues français de Nicolas Duguay qui ont fait ce constat.

Dans un contexte où les cyberattaques sont en « hausse nette » depuis 2019, ce n’est pas la meilleure nouvelle. Pour contexte : le collège Montmorency à Laval, Bombardier Produits récréatifs (BRP), l’Union des producteurs agricoles (UPA) ou encore l’Institut national de la recherche scientifique (IRNS) sont tous des exemples de victimes récentes. Ils ont chacun été ciblés depuis le début du mois d’août, et ils ne seront pas les derniers.

« On ne peut pas encourager la transformation de nos PME vers le numérique sans investir en cybersécurité, illustre M. Duguay. C’est comme encourager les gens en voiture à se placer sans ceinture dans la voie rapide, et donc causer des accidents terribles. »

Malgré ces obstacles, que peut-on faire pour régler le problème ? « Il est important que les entreprises prennent conscience, qu’elles commencent à faire un inventaire de toutes les informations qu’elles détiennent et qu’elles se rendent comptent qui dans leur organisation a accès à ces informations », conseille M^me Ream.

La loi 25 subira progressivement des modifications, jusqu’en 2024. Les prochains ajouts doivent avoir lieu le 22 septembre 2023.