L’ITSM.10.071 est un guide du Centre canadien pour la cybersécurité sur les menaces de la chaîne d’approvisionnement des logiciels. Pour un service de garde : inventorier ses logiciels, questionner ses fournisseurs et appliquer les mises à jour officielles.
L’ITSM.10.071, intitulée « Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels », est une publication de conseils du Centre canadien pour la cybersécurité destinée aux gestionnaires. Contrairement à ce qu’une ancienne version de cet article affirmait, il ne s’agit pas d’une norme internationale : c’est un guide produit par l’organisme fédéral canadien responsable de la cybersécurité. Son message central : les logiciels que vous achetez peuvent devenir une porte d’entrée pour les attaquants, et il faut gérer ce risque.
C’est quoi, la chaîne d’approvisionnement des logiciels?
Chaque logiciel que votre organisation utilise a une histoire : il a été développé par un éditeur, assemblé à partir de composantes diverses, distribué, puis mis à jour régulièrement. Cette chaîne complète, du développeur jusqu’à votre ordinateur, c’est la chaîne d’approvisionnement des logiciels.
Le problème? Un attaquant peut s’en prendre à n’importe quel maillon. S’il réussit à glisser du code malveillant dans une mise à jour légitime, tous les clients qui l’installent sont compromis d’un coup. C’est ce qui rend ces attaques redoutables : elles arrivent par des canaux auxquels on fait confiance. Et comme le souligne le guide du Centre, vous avez très peu d’influence sur les contrôles de sécurité de vos fournisseurs, d’où l’importance de choisir ces derniers avec soin.
Ce que recommande l’ITSM.10.071
La publication s’adresse aux organisations de toutes tailles et propose d’intégrer la sécurité de la chaîne d’approvisionnement au programme de sécurité des TI et à la gestion des risques. En pratique, cela veut dire :
- connaître ses logiciels : tenir un inventaire de ce qui est installé et utilisé, y compris les applications infonuagiques;
- évaluer ses fournisseurs : avant d’adopter un logiciel, se renseigner sur les pratiques de sécurité de l’éditeur et sur la façon dont il gère ses propres fournisseurs;
- encadrer les mises à jour : appliquer les correctifs rapidement, mais à partir de sources officielles seulement;
- surveiller et prévoir le pire : détecter les comportements inhabituels et savoir quoi faire si un fournisseur est compromis.
Ce que ça change pour votre service de garde
Un CPE ou une garderie n’a pas d’équipe TI pour éplucher le code de ses fournisseurs, et personne ne vous le demande. Mais vous avez bel et bien une chaîne d’approvisionnement logicielle : application de gestion des présences, portail aux parents, logiciel comptable, suite bureautique, site web. Voici comment appliquer l’esprit du guide à votre échelle.
- Faites la liste de vos logiciels et services en ligne. Une simple feuille suffit. On ne protège pas ce qu’on ne connaît pas.
- Posez trois questions à chaque fournisseur : où sont hébergées nos données, comment sont-elles protégées, et que se passe-t-il en cas d’incident? Un fournisseur sérieux répond sans détour.
- Méfiez-vous des logiciels gratuits trouvés au hasard du web. Téléchargez uniquement depuis les sites officiels et les magasins d’applications reconnus.
- Activez les mises à jour automatiques sur vos postes et vos appareils mobiles : c’est la version simple de la « gestion des correctifs ».
Les renseignements sur les enfants et les familles transitent par ces outils tous les jours. Choisir ses logiciels avec le même sérieux qu’on choisit son personnel, c’est une forme de prudence qui vous ressemble.
Sources
Foire aux questions
Qu’est-ce que l’ITSM.10.071?
Une publication de conseils du Centre canadien pour la cybersécurité, destinée aux gestionnaires, intitulée « Protéger votre organisation contre les menaces de la chaîne d’approvisionnement des logiciels ». Ce n’est pas une norme internationale, mais un guide gratuit de l’organisme fédéral canadien.
Pourquoi la chaîne d’approvisionnement des logiciels est-elle risquée?
Un attaquant qui compromet un éditeur peut glisser du code malveillant dans une mise à jour légitime, ce qui compromet d’un coup tous les clients. Et une organisation a très peu d’influence sur les contrôles de sécurité de ses fournisseurs.
Comment un service de garde peut-il appliquer ce guide?
Faire la liste de ses logiciels et services en ligne, demander aux fournisseurs où sont hébergées les données et comment elles sont protégées, télécharger uniquement depuis les sources officielles et activer les mises à jour automatiques.
À lire aussi
Votre fournisseur de logiciel de gestion de service de garde : 12 questions à lui poser avant de lui confier les données des enfants
31 octobre 2026 · 11 min de lecture
Protéger l’information au niveau de l’organisme (ITSM.10.097)
18 février 2023 · 4 min de lecture