Dans un paysage numérique de plus en plus complexe, la sécurité informatique ne se limite plus à l’installation d’un simple antivirus. La semaine dernière, Frédérik Bernard (Président de Secure01) et François Michaud (Président d’Oriso) se sont réunis lors d’un webinar, présenté par Jonathan Maybury, et ayant pour objectif de lever le voile sur les failles que les entreprises ignorent trop souvent. 

Le constat est plus que parlant : selon les dernières données de CDW, 68 % des entreprises canadiennes possèdent des fondations en cybersécurité faibles ou inexistantes. Voici les cinq erreurs critiques identifiées par nos experts et les pistes concrètes pour protéger votre organisation. 

Ne pas connaitre ses données 

Depuis le tournant des années 2000, et donc depuis le passage du physique au numérique, les entreprises ont massivement accumulé des actifs numériques sans toujours en garder le contrôle, créant ainsi un flou informationnel. Aujourd’hui, l’absence de visibilité sur la nature, la localisation et l’utilité réelle des données stockées représente un risque majeur, tant sur le plan opérationnel que légal, et ça beaucoup ne s’en rendent pas compte. Avec l’entrée en vigueur de la Loi 25, l’inventaire rigoureux des renseignements personnels n’est plus une option, mais une obligation stricte. 

Au-delà de la conformité, cette méconnaissance fragilise la résilience de l’organisation : en cas d’incident, l’impossibilité d’identifier précisément les données compromises paralyse la gestion de crise et la communication auprès des clients. Trop souvent, des informations sensibles, tels que des mots de passe ou des numéros de cartes de crédit, par exemple, dorment dans des fichiers accessibles à tous, transformant l’entreprise en une cible de choix.  

Plus une entreprise stocke de données, plus elle est une cible attractive pour les attaquants. – Frédérik Bernard 

Pour réduire sa surface d’attaque, il est désormais crucial de détruire ou d’anonymiser systématiquement les données dès qu’elles ne sont plus nécessaires à la poursuite des activités. 

Recueillir trop de renseignements personnels 

Identifié ce que l’on possède déjà, c’est bien, maintenant il faut repenser ce que vous choisissez de récolter à l’avenir ! Un piège courant pour de nombreuses organisations consiste à recueillir plus de renseignements personnels que ce qui est strictement nécessaire à leurs activités. Cette pratique, bien que souvent motivée par une volonté de simplification administrative, augmente inutilement la surface d’attaque de l’entreprise.

Des données sensibles, telles que les numéros de permis de conduire ou d’assurance maladie, sont fréquemment collectées sans justification durable. Alors oui, même si certains secteurs, comme par exemple les concessionnaires automobiles, peuvent légitimement exiger ces informations de manière temporaire, leur conservation prolongée est une vulnérabilité. 

De la même manière, enregistrer des données de paiement pour faciliter les transactions futures ou compter sur la mémorisation automatique des navigateurs web crée des failles de sécurité majeures. Chaque donnée conservée est une responsabilité de plus en cas de fuite.

Pour limiter ces dangers, la règle d’or demeure la collecte minimale : ne demandez que le strict nécessaire et sensibilisez vos utilisateurs ainsi que vos employés à ce principe de précaution. En matière de données, le moins est définitivement le mieux pour assurer votre protection. 

Absence de gouvernance claire des données 

L’un des maillons les plus faibles de la stratégie numérique réside souvent dans l’absence de balises claires entourant l’imputabilité des données. Sans responsabilités définies, la gestion des actifs informationnels devient floue, laissant place à une utilisation non encadrée de technologies émergentes. L’adoption rapide de l’intelligence artificielle et des plateformes SaaS sans politique interne solide expose l’organisation à des divulgations non contrôlées de secrets commerciaux ou de données financières sensibles. Une fois intégrées dans des outils externes ou des modèles d’IA, ces informations deviennent quasi impossibles à supprimer, créant une vulnérabilité permanente si aucune gouvernance n’a été établie au préalable. 

Pour pallier ce vide, la gestion des risques liés aux données ne doit plus être perçue comme une simple tâche technique, mais comme un enjeu stratégique de premier plan. Il est impératif d’intégrer ces enjeux au cœur des comités de pilotage et des revues de direction (comme lors des audits annuels ISO 27001).

Établir une structure de gouvernance rigoureuse permet non seulement de protéger l’entreprise, mais aussi d’assurer une transparence essentielle face aux partenaires et aux autorités réglementaires. 

Donner trop d’accès aux données (interne et externe) 

Une gestion rigoureuse des accès est plus importante que vous ne le pensez contre la fuite de données face aux permissions excessives qui demeurent une faille omniprésente.

Trop souvent, les privilèges accordés aux employés ne sont pas révisés lors de changements de poste ou de départs, permettant à certains de conserver des accès à des dossiers sensibles qui ne concernent plus leurs fonctions. Pour contrer ce risque d’erreur humaine ou d’abus, un audit annuel des accès est le strict minimum requis pour s’assurer que chaque utilisateur ne voit que ce qui est nécessaire à sa mission. 

Ce défi prend une dimension critique avec l’arrivée d’outils d‘intelligence artificielle. Ces technologies agissent comme un utilisateur humain et peuvent scanner instantanément l’intégralité des répertoires auxquels elles ont accès.

Un mauvais paramétrage des permissions peut alors mener à des catastrophes internes, comme par exemple, la divulgation accidentelle des salaires de toute l’entreprise via une simple requête IA. La rapidité de déploiement de ces outils ne doit jamais se faire au détriment du contrôle : sans une structure de permissions peaufinée, vous ne faites qu’accélérer le potentiel d’exfiltration de vos secrets les plus précieux. 

Ne pas être prêt en cas d’incident de confidentialité 

L’absence de plan d’intervention en cas d’incident de confidentialité est souvent le début d’un désastre. Sans une structure de gestion de crise, une entreprise s’expose à des décisions improvisées et au non-respect de ses obligations légales.

Un plan d’action documenté n’a de valeur que s’il est accessible et, surtout, pratiqué. À l’image d’une échelle d’évacuation que l’on découvrirait défectueuse au moment d’un incendie, un plan jamais testé procure un faux sentiment de sécurité. Il est crucial de réaliser des simulations annuelles pour développer une véritable « mémoire musculaire » au sein de vos équipes. 

Une réponse rapide et coordonnée est le seul moyen de réduire l’impact d’une fuite et d’accélérer la reprise des opérations. Cela implique de disposer, bien avant la crise, d’une liste de contacts stratégiques (experts juridiques, TI, communications, assureurs). Enfin, cette préparation ne doit pas s’arrêter aux murs de votre entreprise : exigez de vos fournisseurs TI qu’ils démontrent leur propre capacité à gérer une crise. En cybersécurité, la question n’est plus de savoir si vous serez visé, mais quand vous le serez… La différence entre un contretemps et une faillite réside entièrement dans votre niveau de préparation ! 

Vous l’aurez compris, en 2026, la cybersécurité ne peut plus se limiter à l’achat de logiciels : avec une entreprise sur deux touchée et des arrêts de services frôlant les 20 jours, l’improvisation est un luxe que vous ne pouvez plus vous permettre. Le constat est plus que parlant : posséder les meilleurs outils est inutile si 60 % des organisations échouent encore à bâtir un plan de réponse cohérent. 

Pour ne pas faire partie de ces statistiques, la voie à suivre est claire :  

• Maîtriser leur inventaire numérique pour savoir exactement quelles données elles possèdent, 

• Pratiquer la collecte minimale afin de réduire leur surface d’attaque, 

• Instaurer une gouvernance stratégique pour encadrer l’usage de l’IA et des outils SaaS, 

• Auditer strictement les accès pour limiter les risques d’exfiltration interne, 

• Simuler régulièrement des plans d’urgence pour être prêtes à réagir dès le premier signe d’incident. 

La question n’est plus de savoir si vous serez la cible d’une brèche, mais si vous aurez la structure nécessaire pour y survivre.