Personne ne peut se passer de cybersécurité : les attaques courantes ratissent large et la Loi 25 impose des obligations à toutes les organisations. Authentification multifacteur, mises à jour, sauvegardes, mots de passe uniques et sensibilisation de l’équipe couvrent l’essentiel.
Personne, et certainement pas les services de garde. Toute organisation qui utilise un ordinateur, un courriel ou une application en ligne est exposée aux cyberattaques, et celles qui détiennent des renseignements sensibles sur des enfants et des familles ont une responsabilité de plus. La bonne nouvelle : pour une petite organisation, l’essentiel de la cybersécurité repose sur des gestes simples et peu coûteux.
Pourquoi personne n’y échappe
Les attaques les plus courantes ne visent pas une organisation en particulier : elles ratissent large. Un courriel d’hameçonnage est envoyé à des milliers d’adresses en espérant que quelques personnes mordent. Un rançongiciel exploite les systèmes mal mis à jour, peu importe à qui ils appartiennent. Être petit ne protège pas; au contraire, les attaquants savent que les petites organisations ont rarement des défenses solides.
S’ajoute un cadre légal qui ne laisse plus le choix. Au Québec, la Loi 25 impose à toute organisation qui détient des renseignements personnels de les protéger, de désigner un responsable et de déclarer les incidents de confidentialité. « On est juste une petite garderie » n’est pas une défense recevable.
Les services de garde, des cibles plus intéressantes qu’on pense
Qu’est-ce qu’un attaquant pourrait bien vouloir à un CPE? Plus qu’on imagine :
- des renseignements personnels en quantité : identités d’enfants et de parents, adresses, renseignements médicaux, situations familiales;
- des données financières : paiements de frais de garde, informations bancaires, paies du personnel;
- un levier de pression : une organisation qui ne peut plus accéder à ses dossiers ni communiquer avec les parents est fortement incitée à payer une rançon;
- une porte vers d’autres cibles : un compte courriel compromis sert ensuite à piéger les parents et les partenaires, en se faisant passer pour vous.
Par où commencer sans se ruiner
Pas besoin d’un budget de banque pour couvrir l’essentiel. Les organismes publics recommandent une poignée de mesures de base qui bloquent la majorité des attaques courantes :
- Activez l’authentification multifacteur sur le courriel et les plateformes importantes : c’est la mesure au meilleur rapport effort-protection;
- Appliquez les mises à jour sans tarder sur les ordinateurs, tablettes et téléphones;
- Faites des copies de sauvegarde régulières et testez-les : c’est votre porte de sortie face à un rançongiciel;
- Utilisez des mots de passe uniques et robustes, idéalement avec un gestionnaire de mots de passe, et éliminez les comptes partagés;
- Parlez-en en équipe : montrer à tout le monde à quoi ressemble un courriel d’hameçonnage vaut mieux que bien des outils.
Ce que ça change pour votre service de garde
Concrètement, intégrez la cybersécurité à votre gestion courante comme vous l’avez fait pour la santé et la sécurité physique. Nommez une personne responsable de la protection des renseignements personnels, comme la Loi 25 l’exige. Prévoyez un petit plan en cas d’incident : qui appeler, comment fonctionner sans les systèmes pendant quelques jours, quoi dire aux parents. Et appuyez-vous sur les ressources gratuites des gouvernements, conçues précisément pour les organisations comme la vôtre : les guides du Centre canadien pour la cybersécurité et la section cybersécurité de Québec.ca sont de bons points de départ, en français et sans jargon inutile.
La cybersécurité n’est plus un luxe réservé aux grandes entreprises : c’est une habitude de gestion, au même titre que les ratios ou l’hygiène. Et comme pour le reste, le plus dur, c’est de commencer.
Sources
Foire aux questions
Pourquoi un service de garde serait-il ciblé par des cyberattaques?
Les attaques courantes comme l’hameçonnage et les rançongiciels ratissent large sans viser personne en particulier. Un service de garde détient aussi des renseignements personnels en quantité, des données financières et un besoin urgent d’accéder à ses dossiers, ce qui en fait une cible intéressante.
Quelles mesures de base adopter sans gros budget?
Activer l’authentification multifacteur sur le courriel et les plateformes importantes, appliquer les mises à jour sans tarder, faire des copies de sauvegarde et les tester, utiliser des mots de passe uniques et robustes, et sensibiliser l’équipe à l’hameçonnage.
Quelles obligations légales s’appliquent au Québec?
La Loi 25 impose à toute organisation qui détient des renseignements personnels de les protéger, de désigner une personne responsable de la protection des renseignements personnels et de déclarer les incidents de confidentialité.
À lire aussi
Les produits en cours d’évaluation: une nouvelle façon de protéger les enfants
4 avril 2023 · 2 min de lecture
Comment la cybersécurité peut aider les petits enfants du Québec
18 février 2023 · 4 min de lecture