Des PME québécoises attendront-elles de ne plus avoir le choix avant de protéger les renseignements personnels ? C’est ce que craint la firme de cybersécurité Neotrust. Forte de son expérience européenne, l’entreprise constate une similitude entre le comportement des PME d’ici et leurs homologues européennes, confrontées au même enjeu il y a quelques années.

À peine ses bureaux montréalais ouverts au début de l’année, le fournisseur français de services de cybersécurité Neotrust s’est aussitôt lancé dans les chantiers de mise en conformité des entreprises québécoises avec la loi 25. C’est que les PME québécoises sont encore loin des exigences de la réglementation provinciale qui vise à protéger les renseignements personnels dans les organisations.

Dès le début

Pour se conformer à la loi 25 comme pour leur sécurité en général, Neotrust encourage les entreprises à intégrer la cybersécurité dès le début des projets. « Traditionnellement, la cybersécurité arrive toujours en fin de chaîne », regrette Thomas Veynachter, directeur général pour le Québec de Neotrust. « Le problème est que la sécurité avant, c’est vu comme étant trop cher, mais la sécurité quand tout le reste est décidé, c’est trop tard. »

Or, une certaine habitude de mettre la cybersécurité comme la dernière des priorités se trouve renforcée par le manque d’information dont disposent les PME pour comprendre la loi 25 et ce qu’on attend d’elles.

« Des entrepreneurs viennent nous voir et nous demandent : comment je fais pour commencer ? » Il y a aussi tous ceux qui préfèrent ne pas se poser de questions en se disant qu’ils ne seront jamais audités, précise le responsable d’une équipe de neuf collaborateurs dans le Mile End.

Un retard compréhensible, mais temporaire

Thomas Veynachter n’est pas étonné de voir peu de PME lancer leur chantier de mise en conformité avec la loi 25. « C’était pareil en Europe quand le Règlement général sur la protection des données [RGPD] est arrivé », se souvient l’expert français, qui a assisté aux difficultés des entreprises européennes pour se conformer au RGPD avant de venir s’installer à Montréal. « Les grandes entreprises ont pris le RGPD de plein fouet. Tout le monde voyait qu’elles avaient du mal à se conformer... De leur côté, les petites entreprises ne se sentaient pas concernées », relate-t-il.

Quand les grandes entreprises européennes ont été en conformité avec le RGPD, beaucoup de choses ont subitement changé. Ces firmes avaient pris conscience que les systèmes interconnectés faisaient en sorte qu’une PME pouvait devenir une porte d’entrée pour les pirates.

« Les grandes entreprises ont décidé d’exclure les fournisseurs qui n’étaient pas conformes. De nombreuses PME ont perdu de gros clients pour ne pas avoir fait l’effort de se conformer » souligne M. Veynachter.

« Au Québec, nous n’en sommes pas encore là, précise le directeur général de Neotrust. Les grandes entreprises ne sont pas encore en position de travailler seulement avec des tiers conformes. Cela pourrait prendre deux ou trois ans. » Une fois arrivées à cette échéance, les PME non conformes pourraient perdre gros, prévient-il. Et il pourrait alors être trop tard pour plusieurs d’entre elles.