Audit de Cybersécurité en Entreprise : la Checklist Complète 2026

Qu'est-ce qu'un audit de cybersécurité en entreprise et par où commencer ? Un audit de cybersécurité est une revue structurée et documentée de l'ensemble des mesures de protection numérique d'une organisation — actifs, correctifs, sauvegardes, accès, postes, fournisseurs et plan de réponse aux incidents — réalisée pour trouver les failles réelles avant qu'un attaquant ou un incident ne les révèle à vos dépens. Pour une PME québécoise, un audit externe complet coûte généralement entre 1 500 $ et 25 000 $ selon la taille de l'entreprise et la complexité de son environnement.

Ce guide s'adresse aux gestionnaires IT et aux DSI de PME et moyennes entreprises québécoises qui doivent justifier un budget sécurité auprès de la direction, réaliser une revue interne avant le renouvellement d'une police d'assurance cyber-risque, ou tout simplement savoir où se situe réellement leur organisation en matière de posture de sécurité. Vous trouverez ici un cadre complet de checklist d'audit, un comparatif audit interne vs externe, des fourchettes de prix réalistes au Québec, des études de cas concrètes, une checklist téléchargeable actionnable et les ressources gouvernementales disponibles pour financer votre démarche. Nos techniciens certifiés appliquent cette même structure lorsqu'ils réalisent un audit de sécurité informatique ou déploient des mesures de cybersécurité en entreprise pour des PME à Montréal et ailleurs au Québec.

Pourquoi un audit de cybersécurité est incontournable en 2026

Les PME québécoises sont devenues des cibles de choix, pas parce qu'elles détiennent des fortunes à voler, mais parce qu'elles combinent souvent des données précieuses (renseignements personnels de clients, dossiers financiers, propriété intellectuelle) avec des ressources de sécurité limitées. Un attaquant automatisé ne fait pas de distinction entre une multinationale et un atelier de fabrication de 40 employés à Trois-Rivières : il cherche des portes ouvertes, peu importe la taille de l'écriteau sur la porte.

Trois pressions convergent en 2026 pour rendre l'audit de cybersécurité incontournable plutôt que discrétionnaire :

• La pression réglementaire — la Loi 25 sur la protection des renseignements personnels impose des mesures de sécurité proportionnelles au risque et une obligation de déclarer les incidents de confidentialité au Québec. Un audit documenté constitue une preuve tangible de diligence raisonnable en cas de vérification ou d'incident.
• La pression des assureurs — de plus en plus de polices d'assurance cyber-risque conditionnent la couverture, ou réduisent significativement la prime, à la présentation d'un audit récent démontrant l'authentification multifacteur, des sauvegardes testées et un plan de réponse aux incidents documenté.
• La pression contractuelle B2B — les grandes entreprises et les organismes publics exigent de plus en plus souvent une preuve de posture de sécurité de leurs fournisseurs et sous-traitants avant de signer ou de renouveler un contrat, particulièrement dans les secteurs financier, gouvernemental et de la santé.

Au-delà de ces pressions externes, l'argument le plus simple reste financier : le coût d'un audit demeure systématiquement inférieur à celui d'un incident de sécurité majeur — interruption d'activité, notification obligatoire de brèche, perte de clients ou rançon exigée après une attaque par rançongiciel. Un audit bien mené transforme une dépense perçue comme discrétionnaire en investissement de prévention mesurable.

Le cadre complet de la checklist d'audit de cybersécurité

Un audit de cybersécurité sérieux couvre huit volets distincts, chacun avec ses propres critères de vérification et ses propres preuves documentaires à exiger. Voici le cadre complet que nos techniciens utilisent lors d'un audit de sécurité informatique pour une PME québécoise.

1. Inventaire complet des actifs

Vous ne pouvez pas protéger ce que vous ne savez pas posséder. L'inventaire des actifs est systématiquement la première étape, et pourtant la plus fréquemment négligée : la majorité des PME sous-estiment de 20 % à 40 % le nombre réel d'appareils, de comptes cloud et d'applications utilisés dans leur organisation, en grande partie à cause du « shadow IT » — les outils adoptés par les employés sans passer par le service informatique.

Un inventaire complet doit recenser les postes de travail et ordinateurs portables (y compris ceux en télétravail), les serveurs physiques et virtuels, les appareils mobiles corporatifs et personnels connectés aux systèmes de l'entreprise (BYOD), les comptes et abonnements cloud (Microsoft 365, Google Workspace, services SaaS métier), les équipements réseau (routeurs, commutateurs, pare-feu, points d'accès Wi-Fi), et les applications logicielles installées, y compris les versions et leur statut de support par l'éditeur.

2. Gestion des correctifs (patching)

Une proportion écrasante des brèches exploitées avec succès repose sur des failles connues depuis des mois, voire des années, pour lesquelles un correctif existait déjà mais n'avait jamais été appliqué. L'audit doit vérifier l'existence d'un processus documenté de gestion des correctifs — pas seulement une intention informelle de « mettre à jour de temps en temps ».

Les points de vérification concrets incluent : un échéancier défini pour l'application des correctifs critiques (idéalement sous 72 heures pour les failles activement exploitées), une procédure de test avant déploiement en production pour éviter les interruptions de service, la couverture des systèmes d'exploitation ET des applications tierces (navigateurs, lecteurs PDF, plugins), et un suivi documenté des systèmes en fin de vie qui ne reçoivent plus de correctifs de sécurité de leur fabricant.

3. Sauvegardes testées, pas seulement effectuées

La distinction critique ici n'est pas « avez-vous des sauvegardes ? » — presque toutes les entreprises répondent oui — mais « avez-vous récemment restauré une sauvegarde avec succès pour confirmer qu'elle fonctionne réellement ? ». Un nombre alarmant de PME découvrent que leurs sauvegardes sont corrompues, incomplètes ou inaccessibles seulement au moment où elles en ont désespérément besoin, généralement après une attaque par rançongiciel.

L'audit doit vérifier la règle du 3-2-1 (trois copies des données, sur deux types de support différents, dont une copie hors site), l'isolation d'au moins une copie de sauvegarde du réseau principal (une sauvegarde connectée en permanence peut être chiffrée par le même rançongiciel que les données originales), la fréquence des sauvegardes en fonction de la tolérance réelle de l'entreprise à la perte de données, et surtout, la date du dernier test de restauration réel effectué et documenté.

4. Contrôle d'accès et authentification multifacteur (MFA)

Le principe du moindre privilège — accorder à chaque utilisateur uniquement les accès strictement nécessaires à ses fonctions — reste l'un des contrôles les plus rentables et les plus fréquemment ignorés. L'audit doit examiner la liste des comptes disposant de privilèges administrateur (souvent bien plus nombreux que nécessaire), la révocation systématique des accès lors du départ d'un employé, et la ségrégation des comptes personnels et administratifs pour le personnel technique.

L'authentification multifacteur mérite une attention particulière distincte : elle demeure l'une des mesures les plus efficaces pour bloquer les tentatives de compromission de comptes, même en cas de mot de passe volé ou deviné. L'audit doit confirmer son activation sur les comptes de messagerie, les accès administrateur, le VPN et tout portail exposé sur Internet — pas seulement « certains comptes jugés importants ».

5. Protection des postes (EDR)

Un antivirus traditionnel, basé sur la reconnaissance de signatures connues, ne suffit plus face aux menaces modernes qui évoluent constamment pour échapper à la détection. Une solution de détection et réponse aux points de terminaison (EDR — Endpoint Detection and Response) surveille les comportements suspects en temps réel, plutôt que de simplement comparer des fichiers à une liste de menaces connues, et permet une réponse rapide — isolement automatique d'un poste compromis, par exemple — avant qu'une infection ne se propage à l'ensemble du réseau.

L'audit doit vérifier la couverture EDR sur l'ensemble des postes et serveurs (pas uniquement un échantillon), la centralisation de la surveillance permettant une vue d'ensemble en temps réel, et l'existence d'alertes configurées qui parviennent réellement à une personne responsable — un système d'alerte que personne ne consulte équivaut à l'absence de protection.

6. Gestion des risques fournisseurs

Une entreprise peut avoir une sécurité interne exemplaire et demeurer vulnérable à travers un fournisseur ou un sous-traitant mal sécurisé disposant d'un accès à ses systèmes ou à ses données. Les attaques par la chaîne d'approvisionnement (supply chain) sont en hausse constante, et de nombreuses brèches très médiatisées des dernières années sont passées par un fournisseur tiers plutôt que par une attaque directe.

L'audit doit recenser tous les fournisseurs ayant un accès technique aux systèmes (comptabilité, paie, support informatique externe, plateformes SaaS), vérifier l'existence de clauses contractuelles de sécurité et de confidentialité, et confirmer que les accès accordés à des tiers sont limités dans le temps et dans leur portée, révoqués dès la fin du mandat.

7. Sensibilisation et formation des employés

Le facteur humain demeure le vecteur d'entrée le plus fréquent pour les attaques réussies, en particulier via le hameçonnage (phishing). L'audit doit vérifier l'existence d'un programme de formation régulier — pas une session unique lors de l'embauche, vite oubliée — et idéalement des simulations de phishing périodiques pour mesurer objectivement le taux de vulnérabilité réel des employés plutôt que de le présumer. Notre guide de formation cybersécurité pour employés détaille une checklist complète pour ce volet spécifique, et notre article sur les exemples d'emails de phishing peut servir de matériel de formation concret.

8. Plan de réponse aux incidents

Le dernier volet, souvent le plus négligé, détermine à quelle vitesse et avec quelle efficacité une entreprise réagit lorsqu'un incident survient malgré toutes les mesures préventives. Un plan de réponse aux incidents documenté doit préciser qui fait quoi dans les premières heures d'une attaque suspectée, les coordonnées de contact d'urgence (interne et externe, incluant un partenaire informatique et, le cas échéant, un conseiller juridique), la procédure d'isolement des systèmes compromis, et les obligations de notification légale applicables, notamment en vertu de la Loi 25 pour toute brèche touchant des renseignements personnels.

L'audit doit vérifier non seulement l'existence de ce document, mais aussi sa dernière mise à jour et, idéalement, la tenue d'un exercice de simulation récent — un plan jamais testé révèle presque toujours des lacunes au pire moment possible, lors d'un incident réel.

Audit interne vs audit externe : lequel choisir

Une des premières décisions à prendre concerne l'exécutant de l'audit : votre propre équipe informatique interne, ou un prestataire externe spécialisé. Ce n'est pas un choix binaire absolu — la plupart des organisations matures combinent les deux approches à différents moments du cycle — mais chaque option comporte des avantages et des limites réels qu'il faut comprendre avant de décider.

Critère	Audit interne	Audit externe
Coût direct	Faible — surtout du temps de personnel existant	1 500 $ à 25 000 $+ selon la portée
Objectivité	Limitée — biais naturel envers son propre travail	Élevée — regard neutre sans enjeu de réputation interne
Expertise spécialisée	Dépend des compétences déjà présentes à l'interne	Équipe dédiée avec expérience multi-clients et multi-secteurs
Connaissance du contexte d'affaires	Excellente — connaît les systèmes et priorités réelles	Doit être acquise en début de mandat
Valeur probante (assureurs, clients)	Faible — souvent jugée insuffisante seule	Élevée — rapport tiers indépendant reconnu
Fréquence réaliste	Continue ou trimestrielle, à faible effort marginal	Annuelle ou semestrielle, en raison du coût
Limite principale	Angles morts sur ses propres décisions passées	Coût et délai de mobilisation d'un prestataire externe

En pratique, la structure la plus efficace pour une PME combine les deux : des vérifications internes régulières et peu coûteuses (mise à jour de l'inventaire, revue des accès, confirmation des sauvegardes) réalisées en continu ou trimestriellement par l'équipe interne, complétées par un audit externe complet annuel ou semestriel apportant l'objectivité, l'expertise spécialisée et la valeur probante qu'un audit purement interne ne peut pas offrir seul.

Fréquence recommandée selon la taille et le secteur

Il n'existe pas de fréquence universelle applicable à toutes les entreprises. La cadence optimale dépend de la taille de l'organisation, de la sensibilité des données traitées, du rythme de changement de l'infrastructure et des exigences réglementaires ou contractuelles applicables au secteur d'activité.

Profil d'entreprise	Audit externe complet	Vérifications internes
Très petite entreprise (1 à 10 employés, faible surface numérique)	Aux 18 à 24 mois	Semestrielle
PME générale (10 à 50 employés)	Annuelle	Trimestrielle
Entreprise moyenne (50 à 250 employés)	Annuelle, voire semestrielle	Mensuelle à trimestrielle
Secteur financier, santé, juridique	Semestrielle	Mensuelle
Commerce en ligne / données de paiement	Semestrielle à annuelle	Trimestrielle
Après un incident de sécurité	Immédiate, puis suivi à 90 jours	Continue jusqu'à stabilisation
Après un changement majeur d'infrastructure	Ciblée sur le changement, sous 60 jours	Immédiate

Au-delà de ce calendrier de base, certains déclencheurs justifient toujours un audit ciblé hors cycle régulier, peu importe la taille de l'entreprise : une fusion ou acquisition, le lancement d'une nouvelle application traitant des données sensibles, un changement majeur de fournisseur cloud, une croissance rapide de l'effectif, ou une exigence nouvelle d'un assureur ou d'un client majeur.

Combien coûte réellement un audit de cybersécurité au Québec

Le prix d'un audit externe varie considérablement selon la taille de l'entreprise, la complexité de son environnement technique, la profondeur de l'audit demandé et la réputation du prestataire. Voici des fourchettes réalistes observées sur le marché québécois pour des mandats de PME et d'entreprises de taille moyenne.

Taille et portée	Fourchette de prix (CAD)	Durée typique
Micro-entreprise (1 à 10 employés), audit de base	1 500 $ à 3 500 $	2 à 5 jours
Petite PME (10 à 25 employés), audit standard	3 500 $ à 8 000 $	1 à 2 semaines
PME moyenne (25 à 75 employés), audit complet	8 000 $ à 15 000 $	2 à 3 semaines
Entreprise moyenne (75 à 250 employés), multi-sites	15 000 $ à 25 000 $+	3 à 5 semaines
Audit ciblé (un seul volet, ex. sauvegardes ou accès)	800 $ à 3 000 $	1 à 3 jours
Suivi annuel après un premier audit complet	Souvent 60 % à 75 % du tarif initial	1 à 2 semaines

Ces chiffres demeurent des ordres de grandeur généraux, et non des tarifs garantis — chaque soumission doit être évaluée selon la portée exacte proposée, le nombre de systèmes couverts et le niveau de détail du rapport final. Plusieurs facteurs font varier le prix à l'intérieur de ces fourchettes :

• La complexité de l'infrastructure — un environnement cloud hybride avec plusieurs fournisseurs demande davantage de temps qu'un environnement centralisé simple
• Le nombre de sites physiques — chaque emplacement additionnel ajoute du temps de vérification, particulièrement pour les contrôles physiques
• Les exigences documentaires — un rapport destiné à satisfaire une exigence contractuelle ou réglementaire stricte demande plus de rigueur qu'une revue exploratoire interne
• La profondeur technique demandée — un audit qui inclut des vérifications techniques actives (scans de vulnérabilités, par exemple) coûte plus cher qu'une revue purement documentaire et déclarative
• Le suivi post-audit inclus — certains prestataires incluent une session de présentation des résultats et un suivi à 90 jours, d'autres facturent ces services séparément

La checklist complète d'audit de cybersécurité (téléchargeable)

Voici une checklist actionnable regroupant les points de vérification concrets par volet. Imprimez-la, cochez chaque case au fur et à mesure de votre revue interne, et utilisez-la comme grille de référence lors de votre prochain audit externe pour vous assurer qu'aucun volet essentiel n'est oublié.

Études de cas : trois PME québécoises face à leur audit

Les scénarios suivants sont fictifs mais construits à partir de situations représentatives fréquemment rencontrées par des PME québécoises lors d'un audit de cybersécurité, avec des chiffres réalistes pour illustrer concrètement l'impact d'une démarche d'audit.

Budgéter votre démarche d'audit : approche réaliste pour une PME

Justifier un budget sécurité auprès de la direction demande souvent une approche différente d'une simple demande de fonds. Voici une structure de budget réaliste pour une PME québécoise type, en tenant compte des taxes applicables (TPS et TVQ) sur les honoraires professionnels au Québec.

• Année 1 — audit initial complet : prévoir la fourchette haute de votre catégorie de taille (par exemple 8 000 $ à 15 000 $ pour une PME moyenne), plus les taxes applicables (TPS 5 % + TVQ 9,975 %), pour un premier portrait exhaustif
• Remédiation post-audit : prévoir généralement 40 % à 80 % du coût de l'audit lui-même en correctifs techniques (MFA, EDR, solution de sauvegarde), selon l'état de maturité initial de l'entreprise
• Années suivantes — audit de suivi : généralement 60 % à 75 % du tarif initial, l'audit de suivi étant plus rapide grâce à la connaissance déjà acquise de l'environnement
• Vérifications internes trimestrielles : principalement du temps de personnel existant, avec un coût direct minimal si intégré aux tâches régulières de l'équipe informatique

Un argument souvent convaincant auprès d'une direction financière consiste à présenter le coût de l'audit en proportion du chiffre d'affaires ou du budget informatique total : un audit à 10 000 $ pour une entreprise générant 4 millions de dollars de revenus annuels représente environ 0,25 % du chiffre d'affaires — une fraction minime comparée au risque d'une interruption d'activité de plusieurs semaines après un incident majeur.

Ressources gouvernementales pour financer votre démarche de cybersécurité

Plusieurs organismes fédéraux et provinciaux offrent du financement, des conseils ou des programmes pouvant réduire le coût net d'une démarche d'audit et de remédiation en cybersécurité pour une PME québécoise. Voici les principales ressources à explorer avant de budgéter entièrement la démarche sur les fonds propres de l'entreprise.

• Banque de développement du Canada (BDC) — offre des prêts pour la modernisation technologique, incluant des investissements en cybersécurité, ainsi que des conseils stratégiques pour les PME en croissance qui cherchent à structurer leur démarche de sécurité informatique
• Investissement Québec — propose des programmes de financement et d'accompagnement pour la transformation numérique des entreprises québécoises, sous lesquels certains projets de sécurisation de l'infrastructure informatique peuvent être admissibles
• Caisse de dépôt et placement du Québec (CDPQ) — via ses filiales et partenariats en capital de croissance, peut soutenir des entreprises en expansion pour qui la cybersécurité constitue une condition de croissance vers de nouveaux marchés ou clients institutionnels
• Centre canadien pour la cybersécurité (CCC) — organisme fédéral offrant des guides gratuits, des outils d'auto-évaluation et des conseils pratiques directement applicables à la structure d'un audit interne, particulièrement utiles pour les très petites entreprises qui ne peuvent pas encore se permettre un audit externe complet

Ces ressources évoluent régulièrement en termes de critères d'admissibilité et de montants disponibles — il est recommandé de vérifier directement auprès de chaque organisme les programmes actifs au moment de votre démarche, plutôt que de se fier à des montants ou conditions qui peuvent avoir changé.

Après l'audit : transformer le rapport en amélioration réelle

Un rapport d'audit, même exhaustif, ne corrige rien par lui-même. La valeur réelle de la démarche se mesure dans les semaines suivant sa réception, lorsque l'entreprise applique effectivement les correctifs recommandés. Plusieurs erreurs fréquentes réduisent l'impact d'un audit par ailleurs bien réalisé.

Classer le rapport sans plan d'action daté

Un rapport reçu, discuté en réunion, puis archivé sans échéancier précis de correction perd rapidement de sa valeur. Chaque constat critique devrait être associé à un responsable nommé et à une date cible de correction, suivi en comité de direction jusqu'à sa fermeture effective — exactement la même discipline qui s'applique après un test d'intrusion.

Corriger seulement les constats critiques et ignorer les constats moyens

Une erreur fréquente consiste à ne traiter que les constats classés « critiques », en repoussant indéfiniment ceux de risque moyen. Or, plusieurs faiblesses moyennes combinées créent souvent un risque équivalent à une faille critique isolée — l'inventaire incomplet des actifs, par exemple, amplifie l'impact de chaque autre faiblesse identifiée dans le reste de la checklist.

Ne jamais planifier l'audit suivant

Un audit représente une photographie de la sécurité à un moment précis. De nouveaux systèmes, applications ou intégrations ajoutés après le mandat créent de nouvelles zones non couvertes par le rapport initial. La fréquence recommandée selon votre profil, présentée plus haut dans ce guide, devrait être inscrite dans un calendrier formel dès la réception du premier rapport, pas laissée à la bonne volonté future de l'équipe.

Les erreurs les plus fréquentes constatées lors d'un audit

Après des centaines de mandats réalisés auprès de PME québécoises, certains constats reviennent avec une régularité frappante, peu importe le secteur d'activité ou la taille de l'entreprise. Connaître ces erreurs typiques à l'avance permet à un gestionnaire IT de préparer sa propre revue interne avant même de commander un audit externe, et d'arriver à la rencontre avec le prestataire en ayant déjà corrigé les cas les plus évidents.

Les mots de passe partagés entre plusieurs employés

Malgré des années de sensibilisation, le partage d'un identifiant unique entre plusieurs membres d'une équipe reste étonnamment courant, particulièrement pour les comptes administratifs de systèmes hérités ou les portails de fournisseurs peu utilisés. Ce comportement rend impossible toute traçabilité réelle en cas d'incident : impossible de savoir qui a réellement effectué une action donnée lorsque cinq personnes utilisent le même mot de passe. Un audit sérieux relève systématiquement ce type de compte, en particulier lorsqu'aucune rotation de mot de passe n'a été effectuée depuis le départ d'un employé qui connaissait autrefois cet accès partagé.

Les journaux d'activité jamais consultés

De nombreuses PME investissent dans des outils capables de générer des journaux détaillés d'activité réseau et système, sans jamais mettre en place de processus de consultation régulière de ces journaux. Un journal qui existe mais que personne ne regarde équivaut, en pratique, à l'absence de journalisation : les signes avant-coureurs d'une intrusion, souvent visibles plusieurs jours ou semaines avant l'incident final, passent inaperçus. L'audit doit vérifier non seulement l'existence de la journalisation, mais la fréquence réelle de sa revue et par qui.

Le réseau Wi-Fi invité mal isolé du réseau de production

Un réseau Wi-Fi destiné aux visiteurs, fournisseurs ou clients qui n'est pas techniquement isolé du réseau interne de production représente une porte d'entrée directe vers les systèmes sensibles de l'entreprise pour toute personne ayant physiquement accès aux locaux, ou même simplement à portée du signal depuis l'extérieur du bâtiment. Cette segmentation, relativement simple à mettre en place techniquement, est pourtant absente dans une proportion importante des PME auditées, particulièrement celles opérant dans des locaux commerciaux partagés ou des immeubles à bureaux multi-locataires.

La documentation de sécurité qui existe seulement dans la tête d'une personne

Un risque souvent sous-estimé concerne la dépendance excessive envers une seule personne, généralement l'administrateur système en poste depuis longtemps, qui détient dans sa mémoire l'essentiel des connaissances critiques : mots de passe administrateur, architecture réseau, procédures d'urgence. Le départ soudain, la maladie ou simplement les vacances prolongées de cette personne peuvent paralyser l'entreprise en cas d'incident. Un audit rigoureux évalue systématiquement le niveau de documentation écrite disponible indépendamment d'une seule personne, un facteur de résilience organisationnelle trop souvent négligé dans les discussions purement techniques de cybersécurité.

Les comptes de service avec des privilèges excessifs

Au-delà des comptes utilisateurs humains, la plupart des environnements informatiques contiennent des comptes de service — utilisés par des applications ou des tâches automatisées pour communiquer entre systèmes — qui reçoivent fréquemment des privilèges beaucoup plus larges que nécessaire, simplement par commodité au moment de leur création initiale. Ces comptes, souvent oubliés dans les revues d'accès classiques puisqu'ils ne correspondent à aucun employé identifiable, constituent une cible privilégiée pour un attaquant ayant déjà obtenu un premier accès limité au réseau.

Méthodologie : comment se déroule concrètement une visite d'audit

Comprendre le déroulement concret d'une visite d'audit aide à mieux s'y préparer et à en tirer une valeur maximale. Bien que chaque prestataire ait ses propres variantes, la structure générale suit un schéma reconnu dans l'industrie.

Sécurité physique : le volet trop souvent oublié

La cybersécurité évoque presque toujours des enjeux purement numériques, mais un audit complet ne peut pas ignorer la sécurité physique des lieux qui hébergent l'infrastructure informatique. Un serveur techniquement bien protégé sur le plan logiciel demeure vulnérable si n'importe qui peut physiquement y accéder, le débrancher, voler un disque dur ou brancher un appareil malveillant directement sur le réseau interne.

Les points de vérification physique incluent l'accès restreint à la salle des serveurs ou à l'armoire réseau (verrouillage, liste des personnes autorisées), la présence de prises réseau actives accessibles dans des zones publiques ou des salles de réunion non surveillées, la politique de verrouillage automatique des postes de travail inactifs, et la gestion sécurisée des appareils en fin de vie — un vieux disque dur jeté sans effacement sécurisé peut contenir des années de données sensibles récupérables par quiconque le retrouve.

Adapter la checklist selon votre secteur d'activité

Bien que le cadre des huit volets présenté plus haut s'applique universellement, certains secteurs d'activité au Québec comportent des exigences ou des risques particuliers qui méritent une attention renforcée lors de l'audit.

Cabinets professionnels (comptables, avocats, notaires) — la confidentialité des dossiers clients impose une vigilance accrue sur le chiffrement des communications et le contrôle d'accès aux dossiers, souvent doublée d'obligations déontologiques propres à l'ordre professionnel concerné, en plus des exigences générales de la Loi 25.

Commerce de détail et restauration — la présence de systèmes de point de vente connectés à Internet et le traitement de données de carte de crédit exigent une attention particulière à la segmentation réseau entre les systèmes de paiement et le reste de l'infrastructure, ainsi qu'à la conformité aux normes de sécurité des données de l'industrie des cartes de paiement.

Manufacturier et industriel — la présence croissante de systèmes de contrôle industriel connectés (automates, capteurs IoT) crée une surface d'attaque distincte de l'informatique de bureau traditionnelle, souvent négligée dans un audit générique qui se concentre uniquement sur les postes et serveurs administratifs.

Organismes à but non lucratif et associations — souvent perçus à tort comme des cibles peu intéressantes, ces organismes gèrent fréquemment des bases de données de donateurs et de membres tout aussi sensibles qu'une entreprise commerciale, avec des budgets de sécurité généralement plus restreints, ce qui rend la priorisation des correctifs d'autant plus cruciale.

Questions fréquentes — Audit de cybersécurité en entreprise