Fondamentaux de la cybersécurité
Comprenez les bases pour naviguer en sécurité dans un monde connecté.
À la fin de ce module, vous saurez…
- Expliquer ce qu'est la cybersécurité en termes simples
- Identifier les quatre grandes familles de cybermenaces
- Comprendre pourquoi les erreurs humaines sont la principale faille
- Appliquer les règles d'hygiène numérique fondamentales
- Connaître votre rôle dans la protection des données
Bienvenue dans le monde de la cybersécurité
Lundi matin, 8h15. Martine, directrice administrative d'une PME à Montréal, allume son ordinateur. Un courriel lui annonce que son compte bancaire a été bloqué. Elle clique sur le lien pour « déverrouiller » son compte — et en quelques secondes, ses identifiants sont volés. Pourtant, Martine est une personne prudente. Que s'est-il passé ?
La cybersécurité n'est pas qu'une affaire de techniciens. C'est la pratique qui consiste à protéger les systèmes, les réseaux et les données contre les accès non autorisés, les dommages et les attaques. Elle touche chaque personne qui utilise un appareil connecté — un téléphone, un ordinateur ou même une montre intelligente.
Comme Martine, nous prenons tous des décisions numériques chaque jour : ouvrir un courriel, télécharger un fichier, se connecter à un réseau Wi-Fi. Chacune de ces actions comporte un risque, mais aussi une possibilité de s'en protéger avec les bons réflexes.
Qu'est-ce que la cybersécurité ?
La cybersécurité repose sur trois piliers fondamentaux, souvent appelés la triade CIA :
- Confidentialité : seules les personnes autorisées accèdent à l'information.
- Intégrité : les données ne sont pas modifiées sans autorisation.
- Disponibilité : les systèmes fonctionnent quand on en a besoin.
Une cyberattaque vise à briser un ou plusieurs de ces piliers. Un rançongiciel (ransomware) compromet la disponibilité et la confidentialité. Un courriel frauduleux compromet la confidentialité. Une modification non autorisée d'un fichier compromet l'intégrité.
✓ Bonnes pratiques
- Pensez toujours : est-ce que cette action peut compromettre la confidentialité, l'intégrité ou la disponibilité de mes données ?
- Signalez immédiatement toute anomalie à votre responsable TI ou à votre fournisseur.
Pourquoi c'est l'affaire de tous
Un employé d'entrepôt reçoit un texto lui disant que sa livraison est bloquée. Il clique sur le lien pour « payer les frais de douane » et entre sa carte de crédit. Ce n'est pas un spécialiste TI — mais c'est lui qui vient d'ouvrir la porte à une fraude.
Au Canada, une PME sur cinq a subi une cyberattaque en 2023 (selon le Centre canadien pour la cybersécurité). Le coût moyen d'un incident au Canada dépasse 200 000 $. Mais les conséquences vont au-delà de l'argent : perte de réputation, perte de confiance des clients, stress pour les équipes.
Les attaquants ciblent délibérément les individus plutôt que les systèmes, car c'est plus facile. Ils savent qu'un courriel bien conçu peut tromper n'importe qui, même le PDG.
Pour une PME : chaque employé est une porte d'entrée potentielle. Une seule mauvaise décision — cliquer sur un lien malveillant — peut paralyser toute l'entreprise pendant des jours.
Pour les parents : vos enfants utilisent des appareils partagés. Leurs habitudes (téléchargements, jeux en ligne) peuvent exposer toute la famille à des risques.
Pour les aînés : les fraudeurs ciblent particulièrement les personnes à la retraite avec des arnaques téléphoniques et par courriel simulant des institutions officielles (gouvernement, banques, CRA).
Les grandes familles de menaces
Il existe des centaines de types d'attaques, mais elles appartiennent toutes à quelques grandes familles :
- Malware (logiciel malveillant) : tout programme conçu pour nuire — virus, cheval de Troie, rançongiciel, espion. Il s'installe à votre insu et agit en arrière-plan.
- Phishing (hameçonnage) : tentative de vous tromper via un faux courriel, texto ou appel téléphonique pour voler vos identifiants ou votre argent.
- Rançongiciel (ransomware) : type de malware qui chiffre vos fichiers et exige une rançon pour les déverrouiller. Les hôpitaux, municipalités et PME sont fréquemment ciblés.
- Ingénierie sociale : manipulation psychologique pour vous amener à divulguer des informations ou à effectuer des actions compromettantes. Pas besoin de logiciel — juste des mots bien choisis.
✓ Bonnes pratiques
- Méfiez-vous de tout message créant un sentiment d'urgence.
- Ne téléchargez jamais de fichiers depuis des sources inconnues.
- Vérifiez les demandes inhabituelles, même si elles semblent venir d'un collègue.
✗ Erreurs fréquentes
- Croire que les antivirus protègent contre tout.
- Penser que les attaques ne visent que les grandes entreprises.
- Ignorer les alertes de sécurité de son navigateur.
Comment les attaques exploitent les erreurs humaines
Pascal, comptable dans une entreprise de construction à Québec, reçoit un courriel de son « directeur général » lui demandant de virer 15 000 $ d'urgence pour une acquisition confidentielle. Il transfère les fonds sans appeler pour vérifier. Le directeur général n'a jamais envoyé ce courriel.
Selon IBM, 95 % des cyberincidents impliquent une erreur humaine. Les attaquants exploitent nos biais cognitifs naturels : la confiance envers l'autorité, la peur des conséquences, la volonté d'aider, et surtout — la précipitation.
Les trois erreurs les plus courantes sont : cliquer sans vérifier l'expéditeur, réutiliser le même mot de passe partout, et ignorer les mises à jour de sécurité. Chacune de ces habitudes est corrigeable avec un peu d'attention.
✓ Bonnes pratiques
- Prenez 10 secondes avant de cliquer sur un lien ou de télécharger un fichier.
- Vérifiez les demandes financières par téléphone, avec un numéro que vous connaissez.
- Appliquez les mises à jour dès qu'elles sont disponibles.
✗ Erreurs fréquentes
- Agir dans la précipitation face à un message urgent.
- Faire confiance automatiquement à l'identité affichée dans un courriel.
- Reporter les mises à jour de sécurité « à plus tard ».
L'hygiène numérique de base
Tout comme l'hygiène physique prévient les maladies, l'hygiène numérique prévient les infections informatiques. Elle repose sur quelques habitudes simples mais efficaces :
- Mots de passe uniques et robustes pour chaque compte — ou mieux, un gestionnaire de mots de passe.
- Authentification à deux facteurs (2FA) activée sur tous les comptes importants (courriel, banque, réseaux sociaux).
- Mises à jour régulières du système d'exploitation, des applications et de l'antivirus.
- Sauvegardes fréquentes des données importantes, stockées hors ligne ou dans le nuage.
- Prudence sur les liens et pièces jointes — douter avant de cliquer est un réflexe sain.
Pour une PME : instaurez une politique de mot de passe, activez la 2FA sur tous les comptes d'entreprise, et testez régulièrement vos sauvegardes.
Pour les parents : créez un compte utilisateur limité pour vos enfants, installez un antivirus sur tous les appareils familiaux, et discutez de la prudence en ligne dès le jeune âge.
Pour les aînés : activez les mises à jour automatiques, utilisez un gestionnaire de mots de passe simple, et n'hésitez pas à demander de l'aide à un proche avant d'agir sur un message suspect.
Votre rôle dans la protection des données
Sylvie travaille dans une clinique médicale. Un après-midi, elle laisse son poste de travail déverrouillé pour aller chercher un café. En cinq minutes, un visiteur photograph les dossiers affichés à l'écran. Des renseignements personnels de patients sont compromis.
Vous gérez des données à longueur de journée : coordonnées de clients, informations financières, données de santé, données personnelles de collègues. Au Canada, la Loi 25 au Québec et la Loi C-27 au fédéral imposent des obligations strictes en matière de protection des données personnelles.
Votre rôle est concret : verrouillez votre écran quand vous quittez votre poste, ne partagez pas vos identifiants, signalez immédiatement tout incident ou soupçon d'incident à votre responsable. Ces gestes simples protègent les personnes dont vous avez la charge.
✓ Bonnes pratiques
- Verrouillez systématiquement votre écran (Win + L ou Ctrl + Cmd + Q sur Mac).
- Ne partagez jamais vos identifiants, même avec un collègue.
- Signalez tout incident, même mineur — mieux vaut signaler pour rien que rien signaler.
- Classifiez vos données : public, interne, confidentiel.
✗ Erreurs fréquentes
- Partager ses identifiants pour « dépanner » un collègue.
- Travailler sur des données sensibles dans un lieu public sans écran de confidentialité.
- Ne pas signaler un incident par crainte des répercussions.
🎮 Démo — Associez la menace à sa définition
Cliquez sur un terme, puis sur sa définition pour les associer.
Termes
Définitions
Quiz du module
Testez vos acquis avec 4 questions sur les fondamentaux.