La cybersécurité à la portée de toute l’équipe, avec des preuves.
Douze autoformations courtes pour respecter la Loi 25, protéger ce qui compte et réagir vite quand ça tourne mal. La direction suit les parcours et garde les preuves de sa démarche. Chaque personne repart avec des gestes concrets et une reconnaissance vérifiable.
Personnel · compétences reconnues
| Personne | A1 | A2 | A3 |
|---|---|---|---|
| M. Tremblay | Non acquis | Non acquis | Non acquis |
| J. Lavoie | Reconnu | Reconnu | Non acquis |
| S. Nguyen | Reconnu | Non acquis | Reconnu |
Aperçu illustratif · données fictives
Apprendre, démontrer, faire reconnaître.
Comprendre
Des capsules de 2 à 3 minutes sur la loi, les pièges des fraudeurs et les gestes qui protègent.
S’exercer
Des mises en situation à embranchements : on choisit, on voit les conséquences, on retient les bons réflexes.
Prouver
Un badge Meritag vérifiable et des rappels espacés qui transforment l’apprentissage en habitude.
12 compétences, un badge pour chacune.
Chaque autoformation mène à un badge Meritag vérifiable. Le pictogramme central du badge indique la compétence.
Loi 25 : vos obligations de dirigeant
Savoir qui est responsable, ce que la Loi 25 exige d’une entreprise et ce qui engage la direction.
Ce qu’on protège et ce qui menace
Savoir quels renseignements et quels systèmes comptent le plus, et fixer des priorités réalistes.
Fournisseurs et infonuagique
Choisir, encadrer et surveiller les fournisseurs qui touchent aux données de l’organisation.
Incident de confidentialité
Reconnaître un incident, agir tout de suite, évaluer le risque, aviser et consigner.
Accès et authentification forte
Protéger les comptes : phrases de passe, authentification multifacteur, accès au juste niveau.
Mises à jour, sauvegardes, reprise
Garder les systèmes à jour et pouvoir reprendre après une panne ou un rançongiciel.
Télétravail, mobiles et Wi-Fi
Travailler en sécurité hors du bureau, avec ses appareils et ceux de l’organisation.
IA générative et données
Utiliser l’IA sans exposer les renseignements de l’organisation ni ceux des gens.
Comprendre comment on nous manipule
Reconnaître les leviers de l’ingénierie sociale et adopter le réflexe Arrêter–Vérifier–Signaler.
Hameçonnage : courriel, texto, QR
Repérer un message piégé, ne pas mordre et agir vite si on a cliqué.
Fraude au paiement et hypertrucage
Vérifier hors bande une demande de paiement, de changement bancaire ou une voix qui presse.
Signaler vite, agir quand ça va mal
Savoir quoi faire dans les premières minutes d’un incident et à qui parler.
Neuf repères, une seule preuve.
Responsable de la protection des renseignements personnels
Par défaut, la personne qui a la plus haute autorité dans l’entreprise. Elle peut déléguer par écrit. Son titre et ses coordonnées sont publiés sur le site Web. En vigueur depuis le 22 septembre 2022.
Gouvernance et politique de confidentialité
Des politiques et pratiques encadrent la conservation, la destruction, les rôles du personnel et le traitement des plaintes, et l’information est publiée en langage simple. En vigueur depuis le 22 septembre 2023.
Évaluation des facteurs relatifs à la vie privée
Pour tout projet d’acquisition, de développement ou de refonte d’un système ou d’un service électronique qui touche des renseignements personnels. L’ampleur est proportionnée à la sensibilité.
Incident de confidentialité
Mesures pour réduire le risque, évaluation de la gravité, avis à la Commission d’accès à l’information et aux personnes en cas de risque de préjudice sérieux, registre de tous les incidents conservé au moins cinq ans.
Fournisseurs de services
Une entente écrite décrit les mesures de sécurité, limite l’usage des renseignements aux services demandés, prévoit leur destruction à la fin et le signalement sans délai de toute violation.
Communication hors Québec
Une évaluation préalable vérifie que les renseignements seront adéquatement protégés, puis une entente écrite en tient compte.
Décisions automatisées
Quand une décision est prise exclusivement par un traitement automatisé, la personne en est informée et peut, sur demande, obtenir des explications et faire réviser la décision.
Ce que risque une entreprise
Sanction administrative pécuniaire jusqu’à 10 M$ ou 2 % du chiffre d’affaires mondial ; amende pénale jusqu’à 25 M$ ou 4 % ; dommages-intérêts punitifs d’au moins 1 000 $ en cas d’atteinte intentionnelle ou de faute lourde.
Contrôles de base pour les PME
Treize pratiques recommandées aux petites et moyennes organisations : plan d’intervention, mises à jour automatiques, authentification forte, sauvegardes, formation, contrôles d’accès, services infonuagiques sécurisés, et plus.
Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1), telle que modifiée par la Loi 25 (L.Q. 2021, c. 25) ; Règlement sur les incidents de confidentialité ; Commission d’accès à l’information du Québec ; Centre canadien pour la cybersécurité, contrôles de cybersécurité de base pour les petites et moyennes organisations ; Centre antifraude du Canada. À valider par une personne qualifiée.
Qui est à jour, qui arrive à échéance, qui doit commencer.
L'espace direction montre l'équipe compétence par compétence, assigne un parcours à chaque nouvel employé, atteste les observations en deux clics et exporte le tableau pour la visite de certification.
Devenir organisation membre →Une preuve qui suit la personne, d'un employeur à l'autre.
Chaque reconnaissance est un badge Meritag signé, vérifiable en deux secondes sans appeler personne, et un dossier de compétences que la personne garde et partage comme elle veut.
Voir les badges