Accompagnement à la certification CAN/DGSI 104

Pourquoi c'est important

ISO 27001 n'est pas toujours la bonne première étape. CAN/DGSI 104 existe précisément parce que la plupart des PME ont besoin d'une certification proportionnée et crédible, pas du coût et du délai d'un cadre conçu pour une autre échelle.

ISO 27001 est hors de portée

Un client corporatif exige une certification cyber reconnue, mais ISO 27001 est hors budget ou hors délai.

Les questionnaires s'accumulent

Vous remplissez régulièrement des questionnaires de sécurité clients et voulez une certification qui réponde à l'essentiel une fois pour toutes.

Les assureurs veulent plus qu'un formulaire

Votre assureur cyber commence à demander plus qu'un questionnaire : il veut une certification ou une attestation formelle.

Les deux programmes canadiens se confondent

CAN/DGSI 104 (CyberSécuritaire Canada) et le PCCC (programme pour les fournisseurs de la Défense) ne sont pas la même chose ; nous clarifions lequel s'applique à vous.

Ce qui nous distingue

Des contrôles vécus, pas seulement documentés. Une MFA qui existe sur papier mais n'est pas activée sur les comptes critiques n'est pas un contrôle. Nous implémentons les contrôles techniques requis avec votre équipe TI ou votre MSP, puis menons un audit interne formel avant l'audit de certification, le regard externe que l'auto-audit ne peut pas offrir.

• Gestion des identités et des accès : MFA, accès par rôle, politiques de mots de passe robustes.
• Sécurité des terminaux et du réseau : protection contre les maliciels, pare-feu, surveillance.
• Sauvegarde et récupération : sauvegardes sécurisées avec tests de restauration réguliers.
• Un audit interne formel mené avant votre audit de certification.

Exemples de constats d'écart

Exemples illustratifs ; ils ne décrivent pas un client en particulier.

• Élevé : l'authentification multifacteur n'est pas activée sur tous les comptes privilégiés et distants. Action : activer le MFA et appliquer l'accès par rôle avant l'audit de certification.
• Moyen : les travaux de sauvegarde réussissent, mais la restauration n'a jamais été testée de bout en bout. Action : effectuer et documenter un test de restauration complet avant l'audit interne.
• Moyen : la protection des terminaux est déployée, mais n'est pas surveillée de façon centralisée sur tous les appareils. Action : centraliser la surveillance des terminaux et documenter la couverture pour le dossier de preuve.
• Faible : un plan d'intervention en cas d'incident existe, mais n'a jamais été répété avec l'équipe. Action : réaliser un exercice de simulation et documenter les leçons apprises avant l'audit.

Qu'est-ce que CAN/DGSI 104 et CyberSécuritaire Canada ?

CAN/DGSI 104 est une norme nationale canadienne, publiée par l'Institut de normes de gouvernance numérique (rattaché au Digital Governance Council). Elle établit un socle pratique de contrôles de cybersécurité spécialement conçu pour les organisations qui n'ont pas d'équipe de sécurité dédiée. Selon le texte de la norme, elle spécifie 18 contrôles principaux (55 sous-contrôles), répartis sur des domaines comme la gouvernance, l'évaluation des risques, la protection technique, la formation, les sauvegardes et la réponse aux incidents.

Cette norme est le fondement du programme CyberSécuritaire Canada : c'est en implémentant les contrôles de CAN/DGSI 104 qu'une organisation obtient la certification, délivrée par un organisme certificateur tiers accrédité par le Conseil canadien des normes (CCN) selon la norme ISO/IEC 17021-1. Selon le programme, la certification est valide deux ans.

La version en vigueur est CAN/DGSI 104:2021 / Rév. 1:2024, qui a notamment clarifié la distinction entre le niveau 1 et le niveau 2 sur plusieurs domaines (formation, évaluation des risques, plan d'intervention en cas d'incident, configuration sécurisée, sauvegardes, services infonuagiques et TI externalisés). La fiche CAN/DGSI 104 résume le référentiel.

Niveau 1 ou niveau 2 : lequel viser ?

La norme prévoit deux niveaux d'exigences. Le bon choix dépend de votre maturité actuelle, de vos clients et de vos obligations contractuelles, pas d'une préférence commerciale.

Niveau 1 : socle fondamental

Un socle de cybersécurité idéal pour une PME qui structure sa sécurité pour la première fois. L'audit y est généralement plus léger (revue documentaire principale). C'est souvent le bon point de départ pour bâtir des fondations solides.

Niveau 2 : posture renforcée

Les exigences du niveau 2 s'ajoutent à celles du niveau 1 à mesure que votre organisation gagne en maturité. Il est généralement requis quand vos clients ou le gouvernement fédéral demandent une assurance plus robuste. L'audit inclut une vérification approfondie de la mise en œuvre.

Parfois, la meilleure stratégie est de viser le niveau 1 maintenant, puis le niveau 2 au cycle suivant. Nous vous aidons à trancher.

Préparer sans certifier : notre engagement d'indépendance

La règle protège la valeur de votre certification : celui qui vous accompagne ne doit pas être celui qui vous certifie. Nous structurons votre démarche, implémentons les contrôles et vous préparons à l'audit, mais l'organisme certificateur reste un tiers accrédité par le Conseil canadien des normes, choisi par vous. Nous pouvons vous présenter plusieurs options accréditées, sans aucun lien commercial avec elles.

À qui s'adresse cet accompagnement ?

CAN/DGSI 104 a été conçue pour les petites et moyennes organisations canadiennes de tous les secteurs qui dépendent de la technologie pour opérer et gérer leurs données.

• PME canadiennes qui veulent une certification cyber adaptée à leur taille, sans viser ISO 27001 immédiatement.
• Entreprises qui reçoivent des questionnaires de sécurité de leurs clients corporatifs et veulent y répondre avec un cadre reconnu au fédéral, sans porter le coût d'ISO 27001.
• Fournisseurs de services professionnels (comptables, avocats, consultants, agences) qui gèrent de l'information client sensible et veulent démontrer une posture cyber mesurable.
• Cliniques, cabinets médicaux et organismes de santé qui détiennent des renseignements sensibles et cherchent une certification pragmatique alignée sur leur maturité.
• Organisations qui font affaire avec le gouvernement fédéral ou qui visent des appels d'offres où la certification CyberSécuritaire Canada devient un critère d'admissibilité.
• PME qui envisagent ISO 27001 à moyen terme et cherchent une première étape concrète ; le niveau 2 est une rampe de lancement logique.

Est-ce le bon moment pour vous ?

Si vous vous reconnaissez dans l'une de ces situations, cet accompagnement est conçu pour vous.

• Un client corporatif exige une certification cyber reconnue, mais ISO 27001 est hors budget ou hors délai.
• Vous remplissez régulièrement des questionnaires de sécurité clients et voulez une certification qui réponde à l'essentiel une fois pour toutes.
• Vous hésitez entre le niveau 1 et le niveau 2 et voulez un regard externe pour trancher, pas un vendeur qui pousse vers le plus cher.
• Vous avez vu « CyberSécuritaire Canada » dans un appel d'offres ou un contrat fédéral et voulez comprendre ce qui est réellement demandé.
• Votre assureur cyber commence à demander plus qu'un questionnaire : il veut une certification ou une attestation formelle.
• Vous êtes déjà conforme à la Loi 25 et voulez capitaliser sur ce travail pour obtenir CAN/DGSI 104 sans repartir à zéro.
• Vous voulez une certification valide deux ans, avec un effort proportionné à votre taille, pas un projet qui monopolise l'organisation pendant des mois.
• Vous confondez CAN/DGSI 104 (CyberSécuritaire Canada) avec le PCCC (programme pour les fournisseurs de la Défense) et voulez savoir laquelle s'applique à vous.

Ce que couvre la norme : une approche en profondeur

CAN/DGSI 104 favorise une approche de défense en profondeur : plusieurs couches de protection qui travaillent ensemble pour couvrir les personnes, les appareils, les comptes, les réseaux et les données. Les contrôles se regroupent notamment autour des domaines suivants :

• Gouvernance et politiques de sécurité : des politiques claires définissant l'usage acceptable, les exigences de mots de passe et les procédures d'incident.
• Inventaire des actifs : un registre des appareils, systèmes, applications et données de votre environnement.
• Gestion des identités et des accès : accès par rôle, authentification multifacteur et politiques de mots de passe robustes.
• Sécurité des terminaux : protection contre les maliciels, chiffrement et surveillance des postes et appareils mobiles.
• Gestion des correctifs et vulnérabilités : mises à jour régulières des systèmes et applications.
• Sécurité de la messagerie : filtrage, anti-hameçonnage, analyse des pièces jointes et authentification de domaine.
• Formation et sensibilisation : des programmes pour aider le personnel à reconnaître l'hameçonnage et l'ingénierie sociale.
• Sauvegarde et récupération : sauvegardes sécurisées et tests de restauration réguliers.
• Sécurité réseau : pare-feu, accès distant sécurisé et surveillance de l'activité réseau.
• Surveillance et détection des menaces : journalisation et détection des activités suspectes pour une réponse rapide.
• Plan d'intervention en cas d'incident : une marche à suivre claire pour détecter, signaler, contenir et résoudre les incidents.
• Sécurité infonuagique et TI externalisés : configuration sécurisée et surveillance des services infonuagiques et des fournisseurs.

Regroupement thématique des 18 contrôles (55 sous-contrôles) de la norme, présenté pour faciliter la lecture ; l'énumération officielle figure dans le texte de CAN/DGSI 104:2021 / Rév. 1:2024.

Ce que vous obtenez

Une recommandation de niveau claire

Un choix niveau 1 ou niveau 2 justifié par votre réalité opérationnelle, vos clients et vos obligations contractuelles, pas par une préférence commerciale.

Une analyse d'écart complète

La comparaison entre votre posture actuelle et les exigences du niveau retenu, avec un plan d'action priorisé par niveau de risque.

Les politiques et procédures requises

Les documents et enregistrements exigés par la norme, rédigés et adaptés à votre réalité, pas des gabarits génériques copiés-collés.

L'implémentation des contrôles manquants

La mise en place, avec votre équipe TI ou votre MSP, des contrôles techniques requis : authentification multifacteur, sauvegardes testées, gestion des accès, surveillance.

Un audit interne documenté

Un audit interne mené avant l'audit de certification, pour éviter les mauvaises surprises le jour J (prérequis notamment pour le niveau 2).

Un dossier de preuve organisé

Vos documents structurés selon les attentes de l'organisme certificateur, prêts au bon endroit, pas une course le jour de l'audit.

Un accompagnement pendant l'audit

L'appui pendant l'audit conduit par l'organisme accrédité de votre choix : préparation des équipes, traduction des questions, gestion des non-conformités éventuelles.

Un plan de maintien sur deux ans

La surveillance des changements de la norme, la préparation de la recertification et les ajustements si votre environnement évolue (nouveaux systèmes, employés, contrats).

Notre démarche, étape par étape

Une approche rigoureuse et transparente, proportionnée à votre taille.

1. Évaluation et choix du niveau. Nous déterminons quel niveau vous convient en examinant votre contexte d'affaires, vos obligations contractuelles et votre maturité actuelle. Parfois, la bonne réponse est de viser le niveau 1 maintenant et le niveau 2 au cycle suivant.
2. Analyse d'écart. Nous cartographions votre posture actuelle contre les exigences du niveau retenu : ce qui est déjà en place et documentable, ce qui manque, ce qui doit être réaligné. Livrable : un rapport d'écart priorisé et une recommandation claire sur le délai atteignable.
3. Implémentation des contrôles. Nous implémentons les contrôles manquants avec votre équipe TI ou votre MSP, selon un principe directeur : chaque contrôle doit être vécu, pas seulement documenté. Le cadre NIST CSF sert d'appui pour prioriser par impact réel.
4. Documentation et audit interne. Nous rédigeons les politiques, procédures et enregistrements requis, puis conduisons un audit interne formel avant l'audit de certification, un regard externe qui révèle les angles morts que l'auto-audit ne voit pas. C'est souvent là que les démarches non accompagnées dérapent.
5. Accompagnement à l'audit et maintien. Nous vous accompagnons pendant l'audit conduit par l'organisme certificateur accrédité par le CCN que vous aurez choisi. Puis, sur le cycle de deux ans, nous restons disponibles pour préparer la recertification et ajuster le dispositif à mesure que votre environnement évolue, sans vous enfermer dans un contrat récurrent.

Pourquoi viser la certification CyberSécuritaire Canada

• Une certification à l'échelle de votre PME : un effort proportionné à votre taille et à vos ressources, sans le coût d'ISO 27001.
• Une réponse aux attentes du marché : répondez aux questionnaires de sécurité clients, aux exigences de la chaîne d'approvisionnement et aux demandes des assureurs cyber avec un cadre reconnu.
• Une meilleure cyber-résilience : réduisez concrètement le risque de rançongiciel, d'hameçonnage et de fuite de données grâce à un socle de contrôles éprouvés.
• Une base évolutive : CAN/DGSI 104 partage des principes avec ISO 27001 et le NIST CSF ; le niveau 2 constitue une rampe de lancement naturelle vers une certification plus poussée.
• La confiance de vos clients et partenaires : démontrez une posture de sécurité mesurable, un argument de différenciation dans les secteurs où la confiance compte.

Pourquoi confier votre démarche CAN/DGSI 104 à Sentrix

Indépendance préservée

Nous préparons, nous ne certifions pas. Le choix de l'organisme certificateur accrédité reste le vôtre, sans lien commercial de notre part.

Un choix de niveau honnête

Nous recommandons le niveau qui convient à votre organisation, en fonction de vos besoins réels, pas de la facture la plus élevée.

Des contrôles vécus, pas seulement documentés

Nous implémentons des contrôles réellement en place et opérationnels, avec le NIST CSF en appui pour prioriser par impact réel.

Un effort proportionné

Une démarche calibrée pour une PME, qui ne monopolise pas votre organisation et qui reste maintenable sur le cycle de deux ans.

Où se situe CAN/DGSI 104

Une norme proportionnée, conçue pour se raccorder à de plus grands cadres plus tard. CAN/DGSI 104 partage des principes avec ISO 27001 et le NIST CSF, et le travail déjà fait pour la Loi 25 peut réduire vos écarts. Quand un client exige ISO 27001, l'accompagnement ISO 27001 prend le relais ; pour les fournisseurs de la Défense, c'est le PCCC qui s'applique. Les contrôles techniques de la norme correspondent à nos services de protection des postes et serveurs et de protection des données.

Discutons de votre démarche CAN/DGSI 104.

Que vous soyez sous demande d'un client, en réflexion, ou simplement soucieux de valider votre niveau de préparation, parlons-en. Une première discussion permet de déterminer le bon niveau et d'estimer le délai atteignable.

Nous contacter