Checklist de conformité avant de signer votre cyberassurance

Que demandent vraiment les assureurs cyber avant d'accepter d'assurer une PME en 2026 ? Les assureurs cyber examinent en priorité le déploiement de l'authentification à deux facteurs (MFA) sur les comptes critiques, la présence de sauvegardes régulières testées et isolées ou immuables, un plan de réponse aux incidents documenté, la gestion des correctifs de sécurité, un antivirus ou EDR à jour sur tous les postes, une politique de mots de passe formelle, une formation récente des employés et le contrôle des accès administrateurs — le tout appuyé par une documentation écrite plutôt que de simples affirmations verbales.

Cette checklist a été conçue pour les propriétaires et gestionnaires de PME québécoises qui s'apprêtent à remplir un formulaire de proposition de cyberassurance, ou qui viennent de recevoir un refus ou une prime jugée trop élevée par un premier assureur. Elle couvre onze mesures concrètes, un tableau comparatif de leur impact sur la prime, trois études de cas réalistes d'entreprises québécoises et une section budget. Nos techniciens certifiés s'appuient sur cette même structure lorsqu'ils réalisent un audit de sécurité informatique préparatoire ou déploient des mesures de cybersécurité en entreprise à Montréal. Important : IT Cares n'est pas un courtier d'assurance et ne vend aucune police de cyberassurance — notre rôle se limite à la sécurité informatique, soit exactement les mesures que votre futur assureur va vérifier.

Pourquoi les assureurs cyber sont devenus si exigeants

Il y a encore quelques années, obtenir une cyberassurance pour une PME se résumait souvent à remplir un formulaire court, cocher quelques cases générales et payer une prime relativement modeste. Cette époque est révolue. Face à une explosion du nombre de réclamations liées aux rançongiciels et à des sinistres de plus en plus coûteux, les assureurs actifs au Canada ont considérablement resserré leurs critères de souscription depuis 2023, et cette tendance s'est encore accentuée en 2026. Notre guide Cyberassurance PME au Québec : guide complet 2026 détaille l'ensemble du marché ; cet article se concentre spécifiquement sur la préparation technique avant de remplir le formulaire.

Concrètement, les assureurs ont constaté que certaines mesures de sécurité réduisent de façon mesurable la fréquence et la gravité des réclamations, notamment les rançongiciels qui chiffrent à la fois les données de production et les sauvegardes connectées. En réponse, plusieurs assureurs refusent désormais purement et simplement de couvrir une PME qui ne peut pas démontrer certaines mesures minimales, ou appliquent une surprime importante en leur absence. D'autres exigent un questionnaire technique détaillé, parfois accompagné d'une analyse de vulnérabilité externe menée par un tiers avant même d'émettre une soumission.

Pour une PME, cette réalité change l'ordre logique des choses : plutôt que de magasiner une police d'assurance en espérant que le formulaire passe sans trop de questions, il devient plus rentable de traiter la préparation à la cyberassurance comme un projet de sécurité informatique à part entière, avec un plan d'action concret avant même de contacter un courtier ou un assureur.

La checklist complète des mesures exigées par les assureurs cyber

Voici les onze catégories de mesures que devrait vérifier toute PME avant de remplir un formulaire de proposition de cyberassurance en 2026. Parcourez chaque catégorie honnêtement avec votre équipe technique ou votre fournisseur de services informatiques, et cochez uniquement ce qui est réellement en place aujourd'hui — pas ce qui est prévu pour bientôt.

a) Authentification à deux facteurs (MFA) sur les comptes critiques

C'est presque toujours la question numéro un du formulaire de proposition, et l'un des motifs de refus les plus fréquents lorsqu'elle est absente. Un fraudeur qui obtient un mot de passe par phishing ou par une fuite de données tierce ne peut généralement pas accéder au compte si un second facteur est requis. Vérifiez que votre PME :

• ☐ A activé le MFA sur l'ensemble des comptes de messagerie professionnelle, sans exception, y compris les comptes de direction
• ☐ A activé le MFA sur les accès à distance (VPN, bureau à distance) et sur les systèmes financiers ou bancaires en ligne
• ☐ A activé le MFA sur les comptes d'administration de systèmes cloud (Microsoft 365, Google Workspace, hébergement web)
• ☐ Privilégie une application d'authentification plutôt qu'un code par SMS lorsque le système le permet, pour réduire le risque d'interception
• ☐ Peut démontrer par écrit (capture d'écran de la politique de sécurité ou du panneau d'administration) que le MFA est réellement appliqué, pas seulement disponible en option

b) Sauvegardes régulières, testées, isolées et immuables

Une sauvegarde qui reste connectée en permanence au réseau de production peut être chiffrée par le même rançongiciel qui frappe les données originales, rendant la sauvegarde inutile au moment précis où elle serait nécessaire. Les assureurs distinguent désormais clairement une sauvegarde ordinaire d'une sauvegarde réellement protégée. Confirmez que votre PME :

• ☐ Effectue des sauvegardes automatiques et régulières (quotidiennes pour les données critiques) plutôt que ponctuelles ou manuelles
• ☐ Conserve au moins une copie isolée du réseau principal (déconnectée, hors ligne ou dans un environnement cloud séparé avec permissions distinctes)
• ☐ Utilise, lorsque possible, une solution de sauvegarde immuable, où les données copiées ne peuvent être ni modifiées ni supprimées pendant une période déterminée, même par un compte administrateur compromis
• ☐ Teste réellement la restauration des sauvegardes de façon périodique, pas seulement leur exécution — une sauvegarde qui échoue à la restauration équivaut à ne pas en avoir
• ☐ Documente la fréquence, la méthode et les résultats des derniers tests de restauration

c) Plan de réponse aux incidents documenté

Un plan de réponse aux incidents écrit — même simple — démontre à un assureur que la PME saura réagir méthodiquement plutôt que dans la panique lors d'un sinistre réel, ce qui réduit généralement la durée et le coût d'un incident. Vérifiez que votre PME dispose d'un document, même d'une page, qui :

• ☐ Identifie qui doit être contacté en premier en cas d'incident suspecté (interne et fournisseur externe), avec coordonnées directes
• ☐ Décrit les premières actions à poser (isoler l'appareil du réseau, ne pas éteindre un poste compromis sans consigne, préserver les preuves)
• ☐ Précise à quel moment et comment aviser l'assureur cyber, souvent dans un délai très court après la découverte de l'incident
• ☐ Identifie les obligations légales applicables, notamment celles de la Loi 25 en matière de notification d'un incident de confidentialité
• ☐ A été révisé ou testé au moins une fois dans la dernière année, pas rédigé une seule fois puis oublié dans un tiroir

d) Gestion des correctifs et des mises à jour de sécurité (patch management)

Une large part des incidents exploités par les rançongiciels passent par une vulnérabilité connue et déjà corrigée par l'éditeur, mais dont le correctif n'a simplement jamais été appliqué. Les assureurs demandent de plus en plus une démonstration de processus, pas seulement une intention. Vérifiez que votre PME :

• ☐ Applique les mises à jour de sécurité critiques des systèmes d'exploitation dans un délai raisonnable après leur publication (idéalement quelques jours, pas plusieurs mois)
• ☐ Maintient à jour les logiciels exposés à Internet en priorité (serveurs, pare-feu, VPN, applications web) puisqu'ils sont les cibles les plus fréquentes
• ☐ Dispose d'un inventaire à jour des appareils et logiciels utilisés dans l'entreprise, pour savoir ce qui doit être corrigé
• ☐ Utilise, idéalement, un outil de gestion centralisée des correctifs plutôt qu'une mise à jour manuelle poste par poste
• ☐ Documente la fréquence et le processus de gestion des correctifs pour pouvoir le décrire au formulaire de proposition

e) Antivirus et détection/réponse aux menaces (EDR) à jour sur tous les postes

Un antivirus traditionnel reste utile, mais les assureurs privilégient de plus en plus la présence d'une solution EDR (Endpoint Detection and Response), capable de détecter un comportement suspect en temps réel plutôt que de simplement reconnaître des signatures de virus connus. Confirmez que votre PME :

• ☐ Dispose d'une protection antivirus ou EDR active et à jour sur 100 % des postes de travail et serveurs, sans exception pour les appareils plus anciens
• ☐ Reçoit des alertes centralisées lorsqu'une menace est détectée sur un poste, plutôt que de dépendre d'un utilisateur qui remarque une alerte locale
• ☐ A désactivé ou restreint la possibilité pour un employé de désinstaller ou de contourner la protection installée
• ☐ Couvre également les appareils mobiles utilisés pour accéder aux systèmes de l'entreprise, pas seulement les ordinateurs
• ☐ Peut fournir, si demandé, un rapport de couverture démontrant le pourcentage de postes réellement protégés

f) Politique de mots de passe et gestionnaire de mots de passe

Une politique de mots de passe formelle, appuyée par un gestionnaire de mots de passe approuvé par l'entreprise, reste l'une des mesures les plus simples et les moins coûteuses à mettre en place, tout en figurant régulièrement dans les questionnaires d'assurance. Vérifiez que votre PME :

• ☐ Impose une longueur minimale et une complexité raisonnable pour tous les mots de passe professionnels
• ☐ Interdit formellement la réutilisation d'un même mot de passe entre plusieurs comptes professionnels critiques
• ☐ Fournit un gestionnaire de mots de passe approuvé à l'ensemble des employés, plutôt que de laisser chacun improviser sa propre méthode
• ☐ Documente cette politique par écrit, même sous forme simple, pour pouvoir la présenter à un assureur
• ☐ Révoque et change les accès partagés immédiatement lors du départ d'un employé

g) Formation de sensibilisation des employés, récente et documentée

Le facteur humain demeure le vecteur d'entrée le plus fréquent des incidents, et plusieurs assureurs demandent désormais une preuve de formation récente plutôt qu'une simple affirmation. Notre guide Formation cybersécurité pour employés : checklist complète pour PME détaille l'ensemble d'un programme de sensibilisation. Pour le volet assurance spécifiquement, confirmez que votre PME :

• ☐ A donné une session de sensibilisation à la cybersécurité à l'ensemble de son équipe au cours des douze derniers mois
• ☐ Peut fournir une preuve documentée de cette formation (date, contenu, liste de présence ou certificat de complétion)
• ☐ Inclut, idéalement, des simulations de phishing périodiques pour mesurer la vigilance réelle des employés
• ☐ Forme également les nouveaux employés dès leur embauche, pas seulement lors d'une session annuelle globale
• ☐ Couvre spécifiquement la reconnaissance du phishing et la procédure de signalement d'un incident, deux thèmes fréquemment ciblés par les questionnaires d'assurance

h) Chiffrement des appareils mobiles

Un ordinateur portable ou un téléphone professionnel perdu ou volé, sans chiffrement du disque, expose potentiellement l'ensemble des données qu'il contient à quiconque le récupère, sans même avoir besoin de contourner un mot de passe. Vérifiez que votre PME :

• ☐ Active le chiffrement complet du disque (BitLocker sous Windows, FileVault sous macOS) sur tous les ordinateurs portables utilisés pour le travail
• ☐ Confirme que les téléphones professionnels utilisent le chiffrement natif activé par défaut sur les systèmes récents
• ☐ Peut effacer à distance un appareil perdu ou volé contenant des données professionnelles
• ☐ Applique cette exigence également aux appareils personnels autorisés à accéder aux systèmes de l'entreprise (politique BYOD)

i) Segmentation réseau de base

Un réseau plat, où tous les appareils (postes de travail, imprimantes, serveurs, caméras de surveillance) communiquent librement entre eux sans restriction, permet à un rançongiciel de se propager rapidement d'un seul poste infecté vers l'ensemble du réseau. Une segmentation même simple limite considérablement cette propagation. Confirmez que votre PME :

• ☐ Sépare au minimum le réseau des invités du réseau interne de l'entreprise
• ☐ Isole les serveurs et systèmes critiques (comptabilité, dossiers clients) du reste du réseau lorsque techniquement possible
• ☐ Limite les communications directes entre postes de travail qui n'ont pas besoin de se joindre entre eux
• ☐ Utilise un pare-feu correctement configuré entre les segments, pas seulement à la frontière avec Internet

j) Contrôle des accès administrateurs (privilèges élevés)

Un compte administrateur compromis donne à un attaquant un accès quasi illimité, ce qui en fait une cible prioritaire. Les assureurs vérifient de plus en plus comment ces accès à privilèges élevés sont contrôlés. Vérifiez que votre PME :

• ☐ Limite le nombre de comptes disposant de droits administrateur au strict nécessaire, pas à l'ensemble de l'équipe technique par commodité
• ☐ Utilise des comptes distincts pour les tâches administratives et pour l'usage quotidien courant (courriel, navigation)
• ☐ Applique le MFA sur l'ensemble des comptes à privilèges élevés, sans exception
• ☐ Révise périodiquement la liste des comptes administrateurs actifs pour retirer les accès devenus inutiles
• ☐ Journalise les actions administratives critiques pour pouvoir reconstituer une chronologie en cas d'incident

k) Documentation écrite de l'ensemble des mesures

Ce dernier point transcende les dix précédents : une mesure de sécurité réellement en place mais jamais documentée reste, du point de vue d'un assureur, indémontrable au moment de remplir le formulaire ou de traiter une réclamation. Vérifiez que votre PME :

• ☐ Conserve une trace écrite de chaque mesure de sécurité en place (politique, capture d'écran de configuration, rapport de fournisseur)
• ☐ Peut répondre à chaque question du formulaire de proposition avec une preuve à l'appui, pas uniquement de mémoire
• ☐ Met à jour cette documentation lors de tout changement significatif d'infrastructure ou de fournisseur
• ☐ Désigne une personne responsable de maintenir cette documentation à jour dans l'entreprise

h) Sensibilisation aux arnaques de support technique

Cette catégorie mérite une attention particulière parce qu'elle cible directement la confiance des employés envers leur propre poste de travail. Notre article Arnaque pop-up virus : comment réagir détaille ce scénario en profondeur. Le principe reste simple : une fenêtre pop-up alarmante ou un appel non sollicité prétendant provenir d'un support technique (interne ou d'un fournisseur reconnu) qui exige un accès immédiat à distance est presque toujours frauduleux. Vérifiez que chaque employé :

• ☐ Sait qu'aucun fournisseur de logiciel de sécurité légitime ne contacte un utilisateur par pop-up ou appel non sollicité pour signaler un virus détecté à distance
• ☐ Ne donne jamais un accès à distance à son poste de travail à une personne l'ayant contacté en premier, même en se présentant comme membre du service informatique interne ou d'un fournisseur externe connu
• ☐ Raccroche et rappelle via un numéro connu et vérifié en cas de doute sur l'identité d'un « technicien » qui appelle
• ☐ Signale immédiatement toute fenêtre pop-up alarmante ou tout appel suspect à la personne responsable de la sécurité informatique désignée dans l'entreprise
• ☐ Comprend que la panique et l'urgence sont, ici aussi, la tactique de manipulation principale employée par le fraudeur

À quelle fréquence former les employés à la cybersécurité

Une formation unique à l'embauche, aussi complète soit-elle, perd rapidement son efficacité : les employés oublient une bonne partie du contenu en quelques mois, et les tactiques de fraude évoluent constamment. Un programme efficace repose plutôt sur un rythme récurrent, structuré en trois niveaux :

Comment mesurer l'efficacité d'un programme de formation

Un programme de sensibilisation qui n'est jamais mesuré finit généralement par s'essouffler, faute de preuve concrète de sa valeur. Deux indicateurs, complémentaires plutôt qu'isolés, permettent d'évaluer objectivement les progrès réalisés :

Le taux de clic sur les simulations de phishing

Cet indicateur mesure le pourcentage d'employés ayant cliqué sur un lien ou ouvert une pièce jointe lors d'une simulation contrôlée. Il devrait diminuer progressivement au fil des mois si la formation porte ses fruits. Un taux élevé lors des premières simulations n'est pas alarmant en soi — il constitue plutôt un point de départ objectif pour orienter le contenu des formations suivantes.

Le taux de signalement volontaire

Cet indicateur, souvent sous-estimé, mesure le pourcentage d'employés qui signalent activement un courriel suspect (simulé ou réel) plutôt que de simplement l'ignorer ou le supprimer. Un programme réussi voit généralement ce taux augmenter avec le temps, en parallèle d'une diminution du taux de clic. Un employé qui signale systématiquement les tentatives suspectes, même sans jamais cliquer, contribue directement à la sécurité collective de l'entreprise en alertant l'équipe responsable d'une éventuelle campagne ciblée.

Erreurs courantes des programmes de formation en cybersécurité

Après avoir accompagné de nombreuses PME dans la mise en place de leur programme de sensibilisation, voici les erreurs les plus fréquentes que nos techniciens observent — et qui expliquent souvent pourquoi une formation, malgré de bonnes intentions, ne produit pas les résultats attendus.

La formation unique sans suivi

Une session de formation présentée une seule fois, généralement à l'embauche, puis jamais répétée, perd son effet en quelques mois. Les employés oublient progressivement le contenu, les nouveaux employés embauchés plus tard n'y ont jamais été exposés, et les tactiques de fraude évoluent sans que la formation ne soit mise à jour en conséquence.

Un contenu trop technique ou trop générique

Un contenu rempli de jargon technique (protocoles, chiffrement, architecture réseau) perd rapidement l'attention d'employés qui n'ont pas de formation informatique, alors que ce sont précisément leurs comportements quotidiens — cliquer, taper un mot de passe, ouvrir une pièce jointe — qui déterminent le niveau de risque réel. À l'inverse, un contenu générique non adapté au secteur d'activité ou aux outils réellement utilisés par l'entreprise (exemples génériques plutôt que scénarios réalistes liés à Microsoft 365, à la comptabilité ou aux outils spécifiques de l'équipe) réduit également l'impact de la formation.

L'absence de conséquence claire pour la négligence répétée

À l'opposé du problème précédent, certaines PME n'établissent aucune attente claire quant aux comportements attendus après la formation, ce qui peut donner l'impression que les mesures de sécurité restent optionnelles. Une politique de sécurité informatique documentée, même simple, aide à clarifier que la formation n'est pas qu'une formalité, tout en réservant les mesures disciplinaires aux cas de négligence répétée et documentée après un accompagnement suffisant — jamais à une première erreur de bonne foi.

L'absence d'une culture non punitive qui décourage le signalement

C'est probablement l'erreur la plus coûteuse à long terme : une culture où un employé craint d'admettre avoir cliqué sur un lien suspect, de peur d'une réprimande ou d'une humiliation devant ses collègues, retarde systématiquement la détection des incidents réels. Un employé qui cache une erreur pendant plusieurs heures ou plusieurs jours, par crainte des conséquences, transforme souvent un incident mineur et facilement contenu en une compromission beaucoup plus grave. Le message à transmettre devrait toujours être clair : signaler rapidement une erreur, même embarrassante, est valorisé — la dissimuler ne l'est jamais.

Modèle de checklist récapitulative pour votre équipe

Voici un résumé synthétique des huit catégories, à imprimer ou à partager en réunion d'équipe pour valider où en est votre organisation aujourd'hui :

Catégorie	Fréquence recommandée	Responsable typique
Reconnaissance du phishing	Embauche + rappel trimestriel	Gestionnaire / RH
Gestion des mots de passe	Embauche + révision annuelle	Service informatique
Authentification à deux facteurs	Embauche + vérification annuelle	Service informatique
Appareils mobiles et télétravail	Embauche + rappel trimestriel	Gestionnaire / RH
Bureau propre et verrouillage d'écran	Rappel trimestriel	Gestionnaire
Signalement des incidents	Embauche + rappel constant (affichage)	Direction / Service informatique
Réseaux sociaux d'entreprise	Révision annuelle	Marketing / Gestionnaire
Arnaques de support technique	Embauche + rappel trimestriel	Service informatique
Simulations de phishing	Continu, imprévisible	Service informatique / partenaire externe

Si plusieurs cases de cette checklist demeurent non cochées dans votre organisation, cela ne signifie pas que votre PME est en retard de façon inhabituelle — la majorité des petites et moyennes entreprises québécoises n'ont pas encore de programme de sensibilisation formel. Cela représente toutefois une occasion concrète d'agir avant qu'un incident ne force la main, plutôt qu'après.

Comment déployer ce programme en 30 jours dans votre PME

Passer de « aucune formation formelle » à « programme structuré » n'exige pas de tout mettre en place en une seule journée. Voici un plan de déploiement réaliste sur un mois, conçu pour une PME sans service informatique dédié à temps plein.

Une fois ce cycle initial complété, le programme devient largement autoportant : les rappels trimestriels, la révision annuelle et les simulations continues prennent le relais avec un effort de gestion nettement moindre que la mise en place initiale. Les PME qui font appel à un partenaire externe pour cette phase de démarrage — qu'il s'agisse de la conception du contenu, de l'animation des sessions ou de la gestion technique des simulations — gagnent généralement un temps considérable par rapport à une mise en place entièrement interne, surtout lorsqu'aucun employé n'a la cybersécurité comme responsabilité principale.

Questions fréquentes — Formation cybersécurité pour employés