Une vague silencieuse qui touche entreprises et OBNL
De plus en plus d’entreprises et d’OBNL québécois sont victimes de violations de données ou de compromissions de leurs systèmes de courriel. Résultat : des milliers de clients, membres ou partenaires reçoivent ensuite des courriels frauduleux, des tentatives d’hameçonnage ou même des messages contenant des liens malveillants provenant directement d’adresses légitimes.
« Le problème est réglé »… vraiment?
La réaction observée est souvent la même :
« Nous avons sécurisé notre environnement »,
« Un correctif a été apporté »,
ou encore :
« Le problème est maintenant réglé ».
Mais ce que plusieurs organisations semblent oublier — ou choisissent de minimiser — c’est qu’une simple correction technique ne les libère pas de leurs obligations légales.
La Loi 25 impose des obligations claires
Depuis l’entrée en vigueur des nouvelles dispositions de la Loi 25 au Québec, toute organisation qui subit un incident de confidentialité impliquant des renseignements personnels doit évaluer sérieusement le risque de préjudice. Lorsqu’un risque sérieux est présent, l’organisation a l’obligation de déclarer l’incident à la Commission d’accès à l’information du Québec et d’aviser les personnes concernées.
Et dans un contexte où des comptes courriel compromis servent ensuite à envoyer des messages frauduleux à une liste complète de clients ou de donateurs, il devient difficile de prétendre qu’il n’existe aucun risque réel.
Minimiser un incident peut coûter très cher
Le problème est que plusieurs organisations semblent encore croire qu’en silence, avec une intervention rapide de leur fournisseur TI, l’incident disparaîtra de lui-même. Pourtant, l’absence de déclaration peut entraîner des conséquences importantes : enquêtes, sanctions administratives, atteinte à la réputation et perte de confiance du public.
La cybersécurité est maintenant une responsabilité légale
Les entreprises et les OBNL doivent comprendre une chose essentielle :
la cybersécurité n’est plus seulement une question technique. C’est désormais une responsabilité légale et organisationnelle.
Ignorer ou minimiser une fuite de données peut coûter beaucoup plus cher que de la déclarer correctement dès le départ.
Ce qui est réellement en jeu : la confiance
La transparence, la gestion rigoureuse des incidents et le respect des obligations prévues par la loi sont aujourd’hui indispensables pour protéger non seulement les données des citoyens, mais aussi la crédibilité même des organisations.
Parce qu’au final, ce n’est pas seulement le système informatique qui est compromis : c’est la confiance.