Un seuil minimal exigé pour participer aux contrats de défense
Le gouvernement du Canada a introduit en avril le niveau 1 du Programme canadien de certification en cybersécurité (PCCC), une exigence qui vise les entreprises souhaitant soumissionner pour certains contrats liés à la défense. Pour décrocher cette première attestation, les organisations doivent compléter une autoévaluation portant sur treize critères.
Ces critères couvrent des pratiques de base en sécurité informatique, notamment :
- le contrôle d’accès aux systèmes informatiques;
- l’identification et l’authentification des utilisateurs;
- la destruction des supports de stockage mis hors service;
- la protection physique des équipements et des données;
- l’utilisation de réseaux de communication sécurisés et des protections contre les cybermenaces.
Le PCCC cherche à s’assurer que les entreprises mettent en place des bonnes pratiques pour réduire le risque que des informations sensibles ne tombent entre de mauvaises mains.
« La différence entre le Canada et les États-Unis concerne leur approche sur qui doit obtenir les certifications les plus poussées », explique Karim Ganame.
Le programme canadien s’aligne sur les standards américains du Cybersecurity Maturity Model Certification (CMMC), et Ottawa précise que les deux pays recourent aux mêmes contrôles techniques afin d’éviter aux entreprises la nécessité de satisfaire à deux référentiels distincts.
Karim Ganame, fondateur de la firme StreamScan et enseignant en cybersécurité, ajoute que les Américains favorisent la protection de la donnée tandis que le Canada évalue davantage l’exposition de l’entreprise aux risques, notamment l’espionnage et les cyberattaques. Les niveaux 2 et 3 du PCCC, plus exigeants, seront annoncés ultérieurement, précise l’article.
Pour les entreprises québécoises qui visent des contrats dans la chaîne de défense, l’entrée en vigueur du niveau 1 du PCCC constitue désormais un passage obligé au moment de répondre aux appels d’offres fédéraux.
