Guide pratique : inventorier les actifs et faire le gap analysis du Centre canadien pour la cybersécurité (CCCS) en 90 minutes

Le manque de visibilité : un obstacle à la sécurité des PME

Une approche courante en cybersécurité consiste à acquérir des outils de protection avant d’avoir défini ce qui doit être protégé. Pour une petite ou moyenne organisation, cette absence de périmètre clair dilue les investissements et laisse des zones d'ombre critiques. L'objectif pédagogique de cette séance est d'établir un inventaire rigoureux des actifs et de réaliser une analyse d'écarts (gap analysis) basée sur les premiers contrôles du Centre canadien pour la cybersécurité (CCCS).

Il est utile de préciser que cet atelier constitue une proposition de structure de séance, non une durée prescrite par le Centre canadien pour la cybersécurité. Ce cadre éditorial vise à forcer la prise de décision sur les actifs critiques. On s'appuie sur la version V1.2 des contrôles de base, une publication non classifiée du gouvernement fédéral.

Pourquoi adopter cette ligne directrice

Les PME manquent souvent des ressources financières ou humaines pour suivre les conseils de sécurité conçus pour les grandes entreprises. Le CCCS a élaboré cette baseline précisément pour combler ce manque, en proposant un ensemble allégé de mesures prioritaires. Selon le document d'introduction aux contrôles de base, ces organisations manquent souvent de ressources pour suivre les conseils d'entreprise existants; la baseline vise ce manque spécifique.

On écarte souvent des standards comme l'ITSG-33, le NIST ou l'ISO 27001 dans un premier temps, car ces profils sont jugés trop coûteux à implanter pour la majorité des PME canadiennes. Le CCCS note d'ailleurs que le profil 1 de l'ITSG-33 (annexe 4A) est coûteux à mettre en œuvre et dépasse les moyens financiers et humains de nombreuses organisations. La baseline offre donc un point de départ plus accessible et pragmatique.

Prérequis de la séance

Pour maximiser l'efficacité de l'exercice et s'assurer que la séance demeure productive, on a besoin des éléments suivants avant de commencer :

Un accès administrateur au tenant (M365 ou Google Workspace) pour lister les identités et les applications.
La liste des abonnements SaaS (logiciels en tant que service) payés par l'entreprise, souvent trouvée dans les relevés de carte de crédit corporative.
Un organigramme approximatif pour identifier les unités d'affaires et les responsabilités.
La désignation d'une personne en rôle de direction responsable de la sécurité TI, comme le demande explicitement le contrôle OC.5.1 du CCCS.

Étapes de la séance de travail

1. Définir le périmètre organisationnel (OC.1)

La première étape consiste à valider si l'organisation se qualifie pour l'application de cette baseline simplifiée. Le contrôle OC.1 précise que ces mesures visent les organisations de moins de 499 employés. Ce seuil s'appuie sur les définitions d'ISDE Canada (KSBS 2025), où les petites et moyennes entreprises sont définies comme celles ayant de 1 à 499 employés rémunérés.

Plus précisément, on distingue la petite entreprise (1 à 99 employés rémunérés) de la moyenne entreprise (100 à 499 employés). Si la structure dépasse 500 employés, le Centre pour la cybersécurité estime que les besoins et les risques justifient généralement des cadres de contrôle plus robustes.

2. Inventorier les actifs et les systèmes (OC.2)

On doit lister systématiquement les parties des systèmes d'information et les actifs qui entrent dans le périmètre d'application. Selon le document officiel du Centre pour la cybersécurité, cet inventaire doit couvrir les postes de travail, les serveurs, les dispositifs réseau, les appareils mobiles, les applications et les services infonuagiques.

Une distinction importante doit être faite sur le mode d'acquisition et d'utilisation. Le CCCS recommande d'inclure les actifs qu'ils soient possédés par l'entreprise, contractés (loués ou gérés par un tiers) ou autrement utilisés. Cela inclut les actifs numériques et les services comme les comptes de médias sociaux, les sites web, le nuage et les outils de comptabilité en ligne, comme le rappellent les conseils des actions fondamentales en cybersécurité (ITSAP.10.300).

Pour structurer cette liste sans se perdre dans les détails techniques, on peut prioriser trois catégories suggérées par le guide sur la gestion des actifs TI (ITAM) :

Les logiciels (systèmes d'exploitation, applications métiers).
Les systèmes matériels (ordinateurs, serveurs, périphériques réseau).
Les données critiques ou sensibles.

Cet effort rejoint le contrôle CM-8 de l'ITSG-33 concernant l'inventaire des composantes système, transformant une obligation technique en un outil de gestion stratégique. On doit savoir exactement où l'information de grande valeur est stockée pour orienter les investissements de protection.

3. Évaluer le préjudice potentiel (CID) (OC.3)

Chaque système identifié doit faire l'objet d'une évaluation du préjudice potentiel lié à sa confidentialité, son intégrité et sa disponibilité (CID). Le contrôle OC.3 propose une échelle de quatre niveaux opérationnels pour qualifier la gravité d'un incident :

Très faible : aucun préjudice attendu.
Faible : préjudice attendu.
Moyen : préjudice grave attendu.
Élevé : préjudice extrêmement grave attendu.

Il est crucial de noter que la baseline est spécifiquement conçue pour les situations où tous les préjudices potentiels sont évalués au niveau moyen ou inférieur. Si un système critique, tel qu'une base de données de recherche et développement ou un système de production industrielle, présente un risque de préjudice "élevé" (Injury High), les contrôles de base ne suffiront pas. Dans ce cas, l'organisation devra se tourner vers des cadres plus exhaustifs.

4. Identifier la menace principale (OC.4)

L'organisation identifie sa menace principale (contrôle OC.4). Le guide des contrôles de base situe la cybercriminalité comme la menace la plus probable pour les PME canadiennes, et l'espionnage commercial comme un risque pour certains secteurs stratégiques.

Cependant, certaines PME opérant dans des secteurs stratégiques ou manipulant des données hautement sensibles peuvent être la cible d'espionnage commercial. Si l'analyse révèle que l'organisation fait face à une menace plus élevée que la simple cybercriminalité opportuniste, la baseline de base doit être complétée par des mesures de protection spécifiques.

5. Procédure de gap analysis

Une fois l'inventaire et les évaluations terminés, on procède à la comparaison entre l'état actuel et les 13 catégories de contrôles de la baseline. La structure de cette analyse est résumée dans le schéma suivant :

Points de vigilance

Un inventaire de première passe est forcément incomplet, surtout dans un contexte de croissance. Le Centre pour la cybersécurité permet d'exclure certains actifs du périmètre d'application des contrôles, mais impose deux conditions strictes : toute exclusion doit être documentée avec une justification claire du motif d'exclusion, et l'acceptation du risque doit être reconnue, pas seulement oubliée.

On doit aussi rester attentif aux exigences légales québécoises qui recoupent ces contrôles. Selon la FCEI, la Loi 25 impose des obligations spécifiques aux PME, notamment la désignation d'une personne responsable de la protection des renseignements personnels et la tenue d'un registre des incidents de confidentialité. Bien que l'inventaire TI (OC.2) et le registre des renseignements personnels soient des actifs documentaires distincts, ils doivent être cohérents. Par exemple, une évaluation des facteurs relatifs à la vie privée (ÉFVP) est exigée avant de communiquer des renseignements personnels hors du Québec, ce qui nécessite de savoir quel service infonuagique (SaaS) traite ces données. Un audit régulier des processus de collecte et de stockage est également requis par les experts juridiques (BCLP).

Enfin, notez que la baseline du CCCS partage le même titre que la norme nationale CAN/CIOSC 104:2021. Les textes publics consultés ne tranchent pas formellement s'il s'agit du même document sous deux noms, un site secondaire présente les deux cadres comme complémentaires. Le Conseil des normes générales du Canada (DGSI) a d'ailleurs lancé une maintenance périodique pour la norme CAN/DGSI 104 en 2025.

Aide-mémoire : synthèse opératoire

L'objectif final de cette séance de travail est de produire quatre livrables concrets qui serviront de fondation à la posture de sécurité de l'entreprise :

Liste d'actifs validée : incluant le matériel (ordinateurs, serveurs, mobiles), les logiciels et les comptes de services infonuagiques (SaaS).
Registre des exclusions : documentant les parties des systèmes hors périmètre avec une justification métier et une acceptation du risque par la direction.
Note de cadrage CID : une confirmation documentée que le niveau de préjudice potentiel pour les actifs critiques est majoritairement évalué comme "moyen" ou inférieur.
Tableau d'écarts : une identification claire des contrôles de la baseline non encore implantés, accompagnée d'un engagement à des améliorations progressives (OC.5.4).

La cybersécurité n'est pas une approche unique ou figée; elle doit être adaptée aux besoins réels et critiques de chaque organisation. Cet inventaire constitue le premier pas indispensable pour passer d'une gestion réactive à une stratégie de protection structurée et mesurable.