Cyberassurance des petites entreprises : les mesures de sécurité d’abord

Pourquoi les mesures de sécurité passent avant l’assurance

Les petites entreprises commencent généralement à penser à la cyberassurance après avoir eu une bonne frousse : le compte de courriel d’un client est piraté, un portable est volé, une demande de rançon apparaît sur le lecteur partagé. À ce moment-là, la première question de l’assureur n’est pas « Quel montant de protection voulez-vous? », mais « Quelles mesures de sécurité avez-vous en place? »

Les chiffres laissent croire que la plupart des petites entreprises ne sont pas prêtes à répondre à cette question. Dans un sondage commandé par le Bureau d’assurance du Canada (BAC) et publié le 1er octobre 2025, seulement 47 % des répondants de petites et moyennes entreprises affirmaient que leur entreprise était prête à faire face à une cyberattaque ou à une atteinte à la sécurité des données, moins de la moitié (48 %) avaient mis en place une quelconque forme de cyberdéfense, à peine 22 % détenaient une cyberassurance et seulement 12 % avaient une police distincte consacrée aux cyberrisques ^[1]. Le même communiqué cite une étude de BDC selon laquelle 73 % des petites entreprises ont subi un incident de cybersécurité.

Ce guide commence par les préparatifs qui ne coûtent rien : les contrôles de base du Centre canadien pour la cybersécurité, un organisme fédéral. Il explique ensuite les frais qu’une police de cyberassurance prend habituellement en charge, les questions des assureurs et les obligations légales au Québec qui s’appliquent, que vous ayez une assurance ou non.

Cet article fournit des renseignements généraux et ne constitue pas un conseil en assurance ni un avis juridique.

Étape 1 : Les 13 contrôles de base du Centre pour la cybersécurité

Le Centre canadien pour la cybersécurité publie les Contrôles de cybersécurité de base pour les petites et moyennes organisations (version 1.2). Son objectif déclaré est d’appliquer « the 80/20 rule (achieve 80% of the benefit from 20% of the effort) » à la cybersécurité des petites et moyennes organisations ^[2]. Le document présente 13 contrôles :

Ces conseils s’adressent aux organisations qui n’ont pas une grande équipe informatique, et les recommandations le précisent. Par exemple, pour l’application des correctifs, le document recommande aux petites et moyennes organisations de « enable automatic updates for all software and hardware if such an option is available - or consider replacing products with ones that provide the option, » plutôt que d’adopter les programmes complets de gestion des correctifs qu’il conseille aux grandes entreprises (même source).

Les cinq contrôles les plus avantageux pour une petite équipe

1. L’authentification à deux facteurs (3.5). Le Centre pour la cybersécurité recommande l’authentification à deux facteurs « wherever possible, » et indique que les organisations devraient l’exiger pour les comptes importants, comme les comptes financiers, en consignant chaque cas où elles décident de ne pas le faire. Il recommande aussi de changer les mots de passe seulement lorsqu’on soupçonne une compromission ou qu’on en a la preuve, plutôt qu’à intervalles fixes (même source). Commencez par les courriels, les services bancaires, la paie, le logiciel de comptabilité et votre registraire de noms de domaine.

2. Des sauvegardes avec une copie hors ligne (3.7). Les contrôles de base recommandent de sauvegarder régulièrement les renseignements essentiels de l’entreprise dans un emplacement externe sécurisé, de conserver les sauvegardes chiffrées avec un accès restreint et d’envisager un stockage hors ligne dans un lieu sécurisé à l’extérieur des locaux, ou de consigner les raisons de ne pas le faire. Ils précisent que les sauvegardes à long terme (par exemple, hebdomadaires) doivent être hors ligne, tandis que les sauvegardes fréquentes (par exemple, quotidiennes) peuvent être en ligne (même source). Un dossier synchronisé dans le nuage n’est pas une sauvegarde si un rançongiciel peut aussi le chiffrer.

3. Les mises à jour automatiques (3.2). Activez-les sur les portables, les téléphones, les routeurs et les navigateurs. Remplacez le vieux routeur qui ne reçoit plus de mises à jour.

4. La formation de sensibilisation (3.6). Les contrôles de base énumèrent des sujets pratiques : les politiques sur les mots de passe, la reconnaissance des courriels et des liens malveillants, les logiciels approuvés, l’utilisation appropriée d’Internet et l’utilisation sécuritaire des médias sociaux (même source). Une séance de 30 minutes par année, accompagnée d’une règle exigeant de confirmer par téléphone tout changement aux renseignements de paiement, permet de parer à la plupart des tentatives de fraude à la facture.

5. Un plan d’intervention en cas d’incident (3.1). Le Centre pour la cybersécurité conseille de tenir pour acquis que des incidents surviendront et de prévoir un plan d’intervention et de rétablissement dans le cadre de la planification de la continuité des activités (même source). Notre modèle de plan de continuité des activités pour petites entreprises comporte une section que vous pouvez adapter.

Si votre équipe travaille à distance ou dans des espaces partagés, notre liste de vérification de la sécurité en télétravail applique ces contrôles aux réseaux domestiques et au Wi-Fi public.

Étape 2 : À quoi sert une police de cyberassurance

Une police de cyberassurance prend en charge les coûts que les mesures de sécurité n’ont pas permis d’éviter. Pensez cybersécurité, la campagne fédérale de sensibilisation, et le BAC énumèrent les coûts qu’une police de cyberassurance distincte peut aider à couvrir ^[3] :

Le BAC décrit les risques de façon plus large : les pertes liées aux atteintes à la sécurité des données personnelles, à la cyberextorsion, aux perturbations technologiques et à d’autres risques ^[4].

Pourquoi votre assurance d’entreprise actuelle peut être insuffisante

Le BAC est clair dans ses conseils : « most property or liability policies don't expressly cover cyber risks, or have very limited coverage, » de sorte qu’il peut être pertinent d’envisager une police de cyberassurance distincte, en complément des mesures préventives (même page du BAC). Si vous avez déjà une assurance responsabilité civile des entreprises ou une police multirisque, demandez par écrit à votre courtier lesquelles des quatre catégories ci-dessus elle couvre et jusqu’à quel montant. Notre guide d’assurance pour les travailleurs autonomes explique les autres assurances qu’une petite entreprise détient habituellement.

Étape 3 : Les questions que les assureurs vous poseront

Le BAC a créé un outil gratuit d’autoévaluation de 10 questions qui aide les propriétaires à se renseigner sur les protocoles de sécurité et les pratiques exemplaires que recherchent la plupart des assureurs en cyberassurance, et qui pose certaines des questions que les assureurs pourraient poser lors de la demande. Il invite notamment les propriétaires à réfléchir à leurs cyberrisques, à la collecte et à la conservation des renseignements personnels de leurs clients, à leurs procédures de sécurité et à la fréquence des formations des employés sur la cybersécurité. Le BAC précise que l’outil « cannot provide an actual risk assessment, » mais qu’il peut aider à évaluer le degré de préparation ^[4].

Avant d’appeler un courtier, préparez des réponses à des questions comme celles-ci, associées aux contrôles de base :

Répondez honnêtement. La valeur d’une police dépend de l’exactitude des renseignements fournis dans la demande; si vos mesures de sécurité ne sont pas encore en place, il vaut généralement mieux les mettre en œuvre avant de présenter une demande.

Étape 4 : Les questions à poser avant de signer

Le libellé des polices varie, et aucune source publique ne définit une police de cyberassurance type pour les petites entreprises. Voici les questions à poser à votre courtier :

1. Lesquelles des quatre catégories de garantie (restauration des données, avis, enquête informatique judiciaire, frais juridiques et dommages-intérêts) sont incluses, et quelle est la limite de chacune?
2. Y a-t-il une franchise ou un délai de carence avant que la garantie contre les pertes d’exploitation entre en vigueur?
3. La police couvre-t-elle l’ingénierie sociale ou la fraude à la facture (un client qui paie un fraudeur après avoir reçu un faux courriel)?
4. Couvre-t-elle les incidents chez vos fournisseurs de services infonuagiques ou informatiques?
5. Quelles mesures de sécurité sont des conditions de la garantie (par exemple, l’authentification à deux facteurs doit être activée)?
6. L’assureur offre-t-il une ligne d’urgence en cas d’incident, et devez-vous faire appel à ses fournisseurs?
7. La police couvre-t-elle les enquêtes réglementaires et les coûts des avis aux personnes exigés par la loi québécoise?

Étape 5 : Les obligations légales au Québec après un incident

Qu’elle soit assurée ou non, une entreprise québécoise qui détient des renseignements personnels a des obligations légales lorsqu’un problème survient. En vertu de la Loi sur la protection des renseignements personnels dans le secteur privé ^[5] :

• Ce qui constitue un incident. Un « confidentiality incident » est un accès, une utilisation ou une communication de renseignements personnels non autorisés par la loi, ou la perte de renseignements personnels ou toute autre atteinte à leur protection (art. 3.6). La Commission d’accès à l’information (CAI) donne notamment comme exemples un employé qui consulte des renseignements sans autorisation, l’envoi de renseignements au mauvais destinataire et une cyberattaque comme l’hameçonnage ou un rançongiciel ^[6].
• Agir pour limiter les préjudices. Si vous avez des motifs de croire qu’un incident s’est produit, vous devez prendre des mesures raisonnables pour diminuer les risques de préjudice et éviter que de nouveaux incidents de même nature se produisent (art. 3.5).
• Aviser lorsque le risque est sérieux. Si l’incident présente un risque de préjudice sérieux, vous devez aviser avec diligence la CAI et les personnes dont les renseignements sont concernés (art. 3.5). Pour évaluer ce risque, vous devez tenir compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables, et consulter la personne responsable de la protection des renseignements personnels (art. 3.7).
• Tenir un registre. Vous devez tenir un registre des incidents de confidentialité et en transmettre une copie à la CAI à sa demande (art. 3.8). Cette obligation s’applique à tous les incidents, pas seulement aux incidents sérieux.
• Les fournisseurs ne vous dégagent pas de vos obligations. La CAI indique qu’une entreprise qui confie des renseignements personnels à un tiers demeure responsable de ses obligations en cas d’incident : mesures, registre et avis ^[6].

La CAI suggère d’évaluer rapidement un incident à l’aide de six questions : qui est touché, combien de personnes, quels renseignements sont concernés, quand l’incident s’est produit et a été découvert, où (au sein de l’entreprise ou chez un fournisseur) et pourquoi les mesures de sécurité ont échoué (même page de la CAI). Intégrez ces questions à votre plan d’intervention en cas d’incident.

Si vous n’avez pas encore mis en place les autres mesures de conformité à la Loi 25, commencez par notre liste de vérification de la conformité à la Loi 25 pour les microentreprises.

Un plan de départ sur 30 jours