Un guide pratique pour mettre en œuvre les contrôles de cybersécurité recommandés par CAN/DGSI:104, sans avoir besoin d'une grande équipe de sécurité interne.
La mise en œuvre de CAN/DGSI:104 n'exige pas la mise sur pied d'une grande équipe interne de cybersécurité. Le cadre mise sur des contrôles de sécurité pratiques que les organisations peuvent adopter pour réduire le risque cybernétique et protéger leurs activités.
La plupart des entreprises disposent déjà de certaines protections. L'objectif est de veiller à ce que ces protections soient appliquées de façon uniforme et à ce que les lacunes de sécurité importantes soient corrigées.
Les étapes suivantes offrent une approche structurée pour mettre en œuvre CAN/DGSI:104.
Évaluation, leadership, gouvernance et plan de réponse aux incidents
Gestion des correctifs, sécurité des terminaux, configuration sécurisée et contrôles d'accès
Copies de sauvegarde, défenses du réseau et formation des employés
Sécurité du courriel, surveillance et contrôles propres à l'environnement
Ces huit étapes suivent la structure de la norme CAN/DGSI:104 et couvrent les contrôles organisationnels (section 4), les contrôles techniques de base (section 5) et les contrôles propres à l'environnement (section 6). Les références aux sections correspondent à la deuxième révision de la norme, publiée en juillet 2026, qui a conservé cette structure.
Avant de mettre en œuvre de nouveaux contrôles, évaluez vos protections de cybersécurité existantes et déterminez les écarts. CAN/DGSI:104 (section 4.4) exige une évaluation formelle des risques de cybersécurité qui tient compte des menaces auxquelles votre organisation fait face et des répercussions possibles d'une atteinte.
De nombreuses organisations constatent qu'elles satisfont déjà à certaines exigences, mais qu'elles doivent s'améliorer sur d'autres plans.
Faire l'évaluation de préparationCAN/DGSI:104 exige que des contrôles organisationnels soient en place pour que les contrôles techniques soient efficaces (sections 4.1 à 4.2). La direction doit assumer la responsabilité de la cybersécurité, et des politiques claires doivent être documentées couvrant :
Conseil : Gardez des politiques pratiques, rédigées en langage clair. Un cadre supérieur nommément désigné doit être responsable de la cybersécurité, et pas seulement l'équipe des TI.
La section 5.1 de CAN/DGSI:104 place le plan de réponse aux incidents en tête des contrôles de base, ce qui reflète le fait que les organisations doivent savoir comment réagir aux incidents avant qu'ils ne surviennent. Un plan solide définit :
Important : Conservez une copie imprimée du plan. Si les systèmes sont compromis, vous devez pouvoir accéder au plan même lorsque la technologie n'est pas disponible.
Les logiciels non corrigés et les appareils mal configurés comptent parmi les causes les plus fréquentes des cyberattaques réussies. Les sections 5.2 à 5.4 exigent que les organisations :
Maintenir les systèmes à jour permet de corriger les vulnérabilités connues avant que les attaquants puissent les exploiter.
Les identifiants compromis figurent parmi les causes les plus fréquentes des atteintes. Les sections 5.5 et 5.8 exigent des pratiques rigoureuses d'authentification et de contrôle des accès :
Mesure prioritaire : Activer l'AMF sur tous les comptes de courriel et d'applications d'affaires est l'une des améliorations les plus efficaces qu'une organisation puisse apporter.
Les sections 5.6 et 5.7 portent sur la résilience des données et la sécurité du périmètre. Les organisations devraient s'assurer que :
Règle de sauvegarde 3-2-1 : Conservez 3 copies de vos données, sur 2 types de supports différents, dont 1 stockée hors site ou dans le nuage.
La section 6 de CAN/DGSI:104 comprend des contrôles qui s'appliquent selon le mode de fonctionnement de votre organisation. Vérifiez lesquels des éléments suivants s'appliquent à votre environnement :
De nombreuses petites entreprises auront besoin de plusieurs de ces contrôles. Déterminer tôt lesquels s'appliquent évite l'apparition de lacunes.
La section 4.3 de CAN/DGSI:104 exige une formation continue de sensibilisation à la cybersécurité pour tout le personnel. Les gens sont fréquemment ciblés par l'hameçonnage, l'ingénierie sociale et le vol d'identifiants. La formation devrait couvrir :
Une formation régulière, y compris des exercices simulés d'hameçonnage, réduit considérablement le risque qu'une erreur humaine facilite les attaques.
Remarque : La formation n'est pas un événement ponctuel. La norme exige une sensibilisation continue à mesure que les menaces évoluent et que de nouveaux employés se joignent à l'organisation.
Les organisations qui mettent en œuvre CAN/DGSI:104 rencontrent souvent les défis suivants. Les surmonter exige généralement une stratégie structurée, souvent avec le soutien d'un fournisseur de services de sécurité gérés.
La plupart des PME n'ont pas d'équipe de sécurité dédiée. La mise en œuvre incombe souvent à des généralistes des TI ou à des propriétaires d'entreprise sans connaissances spécialisées en sécurité.
Les organisations qui ont grandi sans programme de sécurité formel utilisent souvent des outils et des configurations différents selon les services, ce qui complique l'établissement d'un socle uniforme.
De nombreuses organisations n'ont pas un portrait complet des appareils, des logiciels et des comptes présents dans leur environnement, un préalable pour les sécuriser.
Avec un temps et un budget limités, décider quels contrôles aborder en premier est difficile. Sans structure, les organisations se concentrent souvent sur les problèmes visibles plutôt que sur les risques les plus élevés.
Les investissements en sécurité rivalisent avec d'autres priorités d'affaires. CAN/DGSI:104 est conçu pour être réalisable sans budget important, mais certains contrôles exigent tout de même des investissements en outils ou en services.
Des contrôles comme l'AMF, les politiques de mots de passe et les restrictions d'utilisation acceptable peuvent sembler contraignants. Bâtir une culture de sécurité prend du temps et exige un appui constant de la direction.
La section 5.2 exige la gestion des correctifs sur tous les appareils. Les environnements hétérogènes et les systèmes patrimoniaux peuvent rendre l'application uniforme et rapide des correctifs exigeante sur le plan opérationnel, mais elle demeure l'une des défenses les plus efficaces contre les vulnérabilités connues.
De nombreuses organisations relèvent ces défis en s'associant à un fournisseur de services gérés spécialisé en cybersécurité. MTech Cyber aide les PME canadiennes à mettre en œuvre les contrôles CAN/DGSI:104 sans avoir besoin d'une équipe de sécurité à l'interne.
Établit des protections essentielles comme la gestion des correctifs, la formation des employés, les copies de sauvegarde et les contrôles d'accès de base. Le bon point de départ pour la plupart des organisations.
S'appuie sur les fondations avec une surveillance renforcée, des processus de sécurité plus formels et une meilleure visibilité sur les systèmes. Passez au niveau 2 à mesure que votre programme gagne en maturité.
Les organisations qui souhaitent améliorer leur posture de cybersécurité commencent souvent par une évaluation de préparation afin d'examiner les protections existantes et de repérer les écarts.
Utilisez notre évaluation de préparation gratuite de 21 questions, alignée sur l'annexe B de CAN/DGSI:104, pour évaluer vos protections actuelles et recevoir un pointage personnalisé accompagné de recommandations précises.
Commencer l'évaluationParcourez la liste de vérification détaillée CAN/DGSI:104 pour déterminer quels contrôles sont en place et lesquels exigent votre attention.
Voir la liste de vérificationUne fois les écarts repérés, consultez le guide détaillé des contrôles pour comprendre ce que chaque contrôle exige et comment les organisations le mettent habituellement en œuvre.
Voir le guide des contrôles