Vous avez été touché par un incident de sécurité numérique? Voici quoi faire.

Recevoir un courriel suspect, apprendre qu’un compte a été piraté, ou voir son nom utilisé à des fins frauduleuses, ça peut être stressant.

La bonne nouvelle? Il existe des gestes simples et efficaces à poser, et des réglementations sont en place au Québec pour protéger les personnes.

Prenons quelques minutes pour savoir quoi faire, étape par étape, si un incident de sécurité survient.

D’abord, respirez : vous n’êtes pas seul

Les incidents de type hameçonnage (phishing) sont malheureusement très fréquents aujourd’hui.

Même les entreprises et organisations bien protégées peuvent en être victimes.

Ce qui fait la différence, c’est la façon de réagir.

1. Reconnaître qu’il s’agit d’un incident de sécurité

Un incident de sécurité peut se manifester de différentes façons, et il n’est pas toujours évident à reconnaître au premier coup d’œil.

Par exemple, cela peut être :

• un compte courriel utilisé sans votre autorisation ;
• un message frauduleux envoyé en votre nom ;
• un lien suspect reçu d’une entreprise que vous connaissez et en qui vous aviez confiance ;
• l’accès non autorisé à une liste de contacts.

Si vous vivez l’une de ces situations, sachez que vos inquiétudes sont légitimes.

Même lorsqu’aucune information sensible n’a été confirmée comme volée, un accès non autorisé demeure un incident de confidentialité au Québec. L’important est de ne pas paniquer, et reconnaître la situation rapidement afin de pouvoir agir et protéger les personnes concernées.

2. Agir rapidement pour limiter les impacts

Dès que vous soupçonnez un incident, chaque minute compte. Agir rapidement permet souvent d’éviter que la situation s’aggrave et de limiter les impacts pour vous, vos employés, votre clientèle et vos partenaires d’affaires.

La première chose à faire est de sécuriser les accès concernés. Cela peut inclure :

• changer immédiatement les mots de passe touchés ;
• communiquer avec votre fournisseur informatique ou votre service informatique ;
• bloquer tout accès ou activité inhabituelle ;
• vérifier s’il existe des règles automatiques suspectes dans les courriels (comme des redirections inconnues).

Même si la situation est stressante, rappelez-vous qu’une réaction rapide et calme est déjà une excellente protection. Ces gestes simples montrent que vous prenez l’incident au sérieux et qu’il est en cours de gestion.

3. Informer les personnes concernées, avec transparence

Lorsqu’un incident de sécurité survient, il est normal de se demander s’il faut en parler. La réponse est oui : informer, c’est protéger.

Si des clients, fournisseurs ou partenaires peuvent être touchés, il est important de les aviser rapidement, avec des mots simples et rassurants. L’objectif n’est pas de créer de l’inquiétude, mais de leur permettre d’être vigilants et d’éviter de tomber dans un piège.

Cela peut se faire de différentes façons :

• un courriel explicatif ;
• une publication sur vos réseaux sociaux ;
• un message automatique temporaire sur votre boîte courriel ou votre ligne téléphonique.

En faisant preuve de transparence, vous montrez que vous prenez la situation au sérieux et que la sécurité des personnes concernées est une priorité. Cette approche contribue aussi à maintenir la confiance, même dans un contexte délicat.

4. Prendre un moment pour évaluer le niveau de risque

Une fois la situation stabilisée, il est important de prendre un pas de recul et d’évaluer calmement le niveau de risque. Tous les incidents ne se ressemblent pas, et il n’y a pas toujours lieu de s’inquiéter outre mesure.

Pour mieux comprendre la situation, on se pose quelques questions simples :

• Quel type d’information pourrait être concerné (adresse courriel, données personnelles, informations médicales ou financières) ?
• Combien de personnes pourraient avoir été touchées ?
• L’accès non autorisé a-t-il duré longtemps ou a-t-il été rapidement interrompu ?

Dans bien des cas, surtout lorsqu’aucune donnée médicale ou financière n’est en cause et que l’incident a été pris en charge rapidement, le risque est considéré comme faible à modéré. Cette étape permet surtout de déterminer les prochaines actions à poser, en toute lucidité.

5. Documenter l’incident, comme un journal de bord des actions posées

Une fois la situation sous contrôle, il est important de consigner ce qui s’est passé, un peu comme un journal de bord de l’incident. Au Québec, la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels dans le secteur privé, aussi appelée Loi 25, demande aux organisations de tenir un registre des incidents de confidentialité, même lorsque tout a été réglé rapidement.

Ce journal sert à garder une trace claire et chronologique de la situation. On y indique notamment :

• les événements survenus ;
• les dates de chaque événement ;
• les actions posées, étape par étape ;
• les dates auxquelles ces actions ont été réalisées ;
• les mesures mises en place pour éviter qu’un incident semblable se reproduise.

Ce registre n’est pas qu’une obligation légale. Il permet aussi de démontrer que l’incident a été géré avec sérieux et rigueur, et il devient un outil précieux pour apprendre de la situation et renforcer les bonnes pratiques à l’avenir.

6. Déterminer s’il est nécessaire d’aviser la Commission d’accès à l’information

Après avoir documenté l’incident, vient le moment de se demander s’il est pertinent d’en informer la Commission d’accès à l’information (CAI). Cette étape n’est pas systématique et dépend du niveau de risque pour les personnes concernées.

Pour vous guider, prenez un moment pour vous poser quelques questions simples :

• Les renseignements touchés sont-ils sensibles, comme des données médicales ou financières ?
• Le nombre de personnes concernées est-il élevé ?
• Y a-t-il un risque réel de fraude, d’usurpation d’identité ou d’atteinte à la réputation ?

Lorsque le risque est jugé sérieux, il est obligatoire d’aviser la CAI.

Lorsque le risque est plus faible, cette démarche n’est pas obligatoire, mais elle est fortement encouragée et généralement bien accueillie.

Plusieurs organisations choisissent d’aviser la CAI à titre préventif, afin de protéger leur organisation, de démontrer leur bonne foi et de s’assurer que les bonnes pratiques sont en place, particulièrement dans des secteurs sensibles comme la santé.   

Dans tous les cas, prendre le temps de faire cette réflexion fait partie d’une gestion responsable, transparente et proactive de l’incident. Cette approche contribue à maintenir et à renforcer la confiance du public.

Pour en savoir plus ou, au besoin, déclarer un incident de confidentialité, vous pouvez consulter le site officiel de la Commission d’accès à l’information :

https://www.cai.gouv.qc.ca/

Selon la situation, il est possible de remplir le formulaire « Déclarer un incident de confidentialité » directement en ligne.

7. Renforcer la prévention pour l’avenir

Une fois l’incident derrière vous, c’est aussi l’occasion de prendre soin de l’avenir. Sans blâme ni culpabilité, on peut tirer des apprentissages concrets pour réduire les risques et se sentir mieux outillé.

Parmi les gestes simples qui font une réelle différence :

• activer l’authentification à deux facteurs (2FA) sur les comptes courriel et les outils sensibles ;
• sensibiliser l’équipe à reconnaître les courriels suspects et à réagir rapidement en cas de doute ;
• revoir périodiquement les pratiques de sécurité et les accès ;

• s’assurer que chacun sait à qui s’adresser en cas d’incident.

Renforcer la prévention, c’est avant tout une façon de protéger les personnes, mais aussi de protéger votre organisation. C’est un investissement dans la confiance, la tranquillité d’esprit et la continuité des services.

Agir avec confiance et transparence

Vivre un incident de sécurité peut être déstabilisant, mais vous n’avez pas à traverser cette situation seul. En posant les bons gestes, avec calme et transparence, il est possible de limiter les impacts, de protéger les personnes concernées et de respecter les obligations légales.

L’important est de se rappeler qu’un incident peut arriver à tout le monde. Ce qui compte vraiment, c’est la façon dont on réagit, dont on communique et dont on apprend de la situation. Chaque action posée contribue à renforcer la confiance et à bâtir un environnement numérique plus sécuritaire pour tous.

Vous avez des questions ou besoin d’accompagnement?

Contactez César Vianna, conseiller en marketing de contenu et affaires numériques à la MRC d’Abitibi-Ouest.

Notez que la plupart des assureurs offrent des assurances cybersécurité afin de protéger les entreprises contre les pertes financières et opérationnelles liées aux cyberattaques, telles que le rançonnage, le vol de données ou l'interruption d'activités. Ces dernières couvrent généralement les frais de réponse aux incidents, les poursuites juridiques et la restauration des systèmes.

Informez-vous auprès de votre assureur!