Cybersécurité & Assureurs : 12 contrôles essentiels pour une PME au Québec

La cyberassurance est devenue l’un des garde-fous financiers pour les PME. Problème : les assureurs refusent de plus en plus les dossiers sans contrôles minimaux. Voici les 12 mesures qui font souvent la différence entre un devis accepté et un refus.

1) MFA partout

• Activez la double authentification sur la messagerie, les VPN, les consoles d’admin (Microsoft 365/Google Workspace, pare-feu, routeurs, sauvegardes). Les tokens FIDO2 sont un plus.

2) EDR ou MDR

Un EDR protège et isole les postes ; un MDR ajoute un SOC 24/7 pour la détection et la réponse. Les assureurs privilégient le MDR pour réduire le temps de réponse.

3) Sauvegardes 3-2-1-1-0

Trois copies, deux supports, une hors site, une immutable, zéro erreur de restauration. Testez mensuellement la restauration (échantillons) et trimestriellement le plan BCDR.

4) Gestion des correctifs

Automatisez les patchs système (Windows/Linux/Mac), pilotes VPN, navigateurs et logiciels. Fixez un SLA : critiques en < 7 jours.

5) Durcissement & least privilege

Désactivez SMBv1/SSL obsolètes, appliquez politiques de mots de passe, supprimez comptes inactifs, séparez comptes admin et utilisateur.

6) Segmentation réseau

Isoler serveurs, postes, IoT, invités. VLANs + ACLs + Wi-Fi distinct. Moins d’impact en cas d’incident.

7) Filtrage DNS & e-mail

DNS sécurisé (blocage malware/phishing), SPF/DKIM/DMARC en quarantine/reject pour limiter l’usurpation.

8) Journalisation centralisée

Conservez logs (pare-feu, EDR, AD, M365/GWS) 90 jours minimum. Alertes sur connexions admin, échecs anormaux, créations de comptes.

9) Formation anti-phishing

Courts modules trimestriels + simulations. Mesurez le taux de clic et ciblez les équipes à risque.

10) Gestion des tiers

Accès fournisseurs réduits et tracés (comptes individuels, expiration, MFA). Clauses contractuelles de sécurité.

11) Plan IR (Incident Response)

Qui décide, qui communique, qui isole ? Runbooks par scénario (ransomware, e-mail compromis). Exercices table-top 2×/an.

12) Gouvernance

Un propriétaire sécurité (interne/infogérant), des politiques succinctes et vivantes (accès, sauvegardes, classification, mobilité).