Incident de confidentialité Loi 25 : vos 72 premières heures

Votre adjointe comptable clique sur un lien piégé à 9 h 12 un mardi matin. À 9 h 40, un inconnu lit sa boîte de courriels et transfère des factures de clients à l'externe. Il s'agit d'un incident de confidentialité Loi 25, et vos obligations de notification viennent de s'activer. Vos 72 prochaines heures décideront si l'affaire reste une mauvaise semaine ou devient un dossier à la Commission d'accès à l'information (CAI).

Notre guide sur la Loi 25 et la sécurité Microsoft 365 couvrait la prévention. Celui-ci couvre le jour où elle échoue. Voici le plan heure par heure que nous appliquons avec les PME québécoises : contenir, évaluer, aviser, documenter.

Points clés à retenir

• La Loi 25 exige d'aviser la CAI « avec diligence », donc promptement. Le fameux délai de 72 heures vient du RGPD.
• Vous avisez la CAI et les personnes concernées seulement en cas de risque de préjudice sérieux.
• Chaque incident, déclarable ou non, doit figurer dans votre registre des incidents.
• Contenez avant d'enquêter : isolez les appareils, révoquez les sessions, réinitialisez les mots de passe.
• Defender et Sentinel accélèrent le confinement et conservent les preuves que la CAI pourrait demander.

72 heures : une fenêtre de travail, pas un délai légal

Réglons d'abord le malentendu le plus fréquent. Le RGPD européen impose un délai de 72 heures. Pas la Loi 25. La loi québécoise exige un avis « avec diligence », c'est-à-dire promptement, sans retard injustifié. Aucun nombre d'heures ne figure dans le texte.

Pourquoi 72 heures, alors? Parce que ça fonctionne. Trois jours, c'est environ le temps dont vous disposez avant que les preuves se dégradent, que les journaux s'écrasent et que vos clients l'apprennent par quelqu'un d'autre.

Dès qu'un incident survient, la loi vous demande trois choses :

• Prendre des mesures raisonnables pour diminuer le risque de préjudice et éviter la récidive.
• Si l'incident présente un risque de préjudice sérieux, aviser la CAI et chaque personne concernée avec diligence.
• Inscrire l'incident dans un registre, qu'il soit déclarable ou non.

Un incident de confidentialité est plus large qu'on le croit : tout accès, utilisation ou communication non autorisés de renseignements personnels, ou leur perte. Un portable volé compte. Une liste de clients mal adressée aussi. Le rançongiciel n'est qu'un scénario parmi d'autres.

Heures 0 à 8 : contenir l'incident

Dans les premières heures, le confinement passe avant l'enquête. Chaque minute d'accès élargit la portée que vous devrez évaluer. Procédez dans cet ordre :

1. Isolez les appareils touchés. Dans Microsoft Defender pour entreprise, l'isolement se fait en un clic : la machine reste accessible pour l'analyse, mais coupée du réseau.
2. Désactivez le compte compromis et révoquez les sessions. Dans Entra ID, bloquez la connexion et révoquez les sessions actives pour neutraliser les jetons volés.
3. Réinitialisez les mots de passe et la MFA. Présumez que l'attaquant détient le mot de passe et a peut-être inscrit sa propre méthode MFA.
4. Traquez la persistance. Vérifiez les règles de boîte de réception, le transfert de courriels, les consentements OAuth récents et les nouveaux comptes administrateurs.
5. Préservez, ne purgez pas. N'effacez pas la machine, ne supprimez pas les messages suspects : ce sont vos preuves, possiblement pour la CAI.

Sans équipe de sécurité à l'interne, appelez votre fournisseur. Une équipe de cybersécurité gérée qui exploite déjà Defender exécute ces cinq étapes à distance, souvent en moins d'une heure.

Heures 8 à 24 : évaluer le risque de préjudice sérieux

L'attaquant verrouillé dehors, la question juridique commence : y a-t-il risque de préjudice sérieux? La Loi 25 donne trois facteurs à soupeser :

• La sensibilité du renseignement. Un numéro d'assurance sociale, un dossier de santé ou une donnée bancaire pèse plus lourd qu'un bottin téléphonique.
• Les conséquences appréhendées de son utilisation. Les renseignements volés permettraient-ils fraude, vol d'identité ou atteinte à la réputation?
• La probabilité d'une utilisation préjudiciable. Des données exfiltrées par un groupe criminel risquent bien plus d'être utilisées qu'un fichier ouvert brièvement par le mauvais employé.

Cette évaluation revient à votre responsable de la protection des renseignements personnels (par défaut, votre plus haut dirigeant). Consignez la conclusion et le raisonnement pendant que tout est frais.

On ne peut pas évaluer ce qu'on ne voit pas. Quelles boîtes de courriels ont été ouvertes? Quels fichiers SharePoint ont été téléchargés? Les journaux d'audit Microsoft Purview et les requêtes de chasse Sentinel répondent en quelques minutes.

Notification d'un incident de confidentialité Loi 25 : la CAI et les personnes concernées

Si vous concluez à un risque de préjudice sérieux, deux avis deviennent obligatoires, tous deux transmis avec diligence.

Aviser la CAI. La Commission publie un formulaire officiel de déclaration sur son site. Le règlement québécois sur les incidents de confidentialité précise le contenu : renseignements visés, circonstances et date, nombre de personnes concernées, mesures prises et personne-ressource.

Aviser les personnes concernées. Chaque personne touchée doit être avisée directement, avec assez de détails pour se protéger : quoi, quand, ce que vous faites et ce qu'elle peut faire. Un avis public est permis dans certains cas, par exemple quand joindre chaque personne causerait des difficultés excessives.

La Loi 25 permet aussi de communiquer des renseignements à toute personne ou organisme susceptible de diminuer le risque, une agence de crédit par exemple, sans le consentement des personnes concernées.

Résistez à la tentation du silence. La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, et les amendes pénales grimpent encore plus haut. Une notification tardive ou absente est facile à prouver pour un régulateur.

Heures 24 à 72 : preuves, registre des incidents et reprise

Le registre n'est pas optionnel. Chaque incident de confidentialité y entre, y compris ceux sans risque sérieux. Le règlement en précise le contenu (description, renseignements visés, dates, personnes touchées, évaluation du risque, mesures prises) et exige de les conserver cinq ans après la prise de connaissance de l'incident. La CAI peut en exiger une copie en tout temps; un registre vide après une violation connue fait mauvaise impression.

Préservez vos preuves maintenant. Exportez la chronologie Defender, les incidents Sentinel, les journaux de connexion Entra, les recherches d'audit et les traces de messages pendant qu'ils sont disponibles, puis conservez-les hors de l'environnement compromis.

Puis récupérez. Nettoyez ou reconstruisez les machines touchées et restaurez les données modifiées ou supprimées. Cette étape est indolore quand la sauvegarde et la relève sont déjà en place; notre billet Microsoft 365 Backup ou Dropsuite compare les options de restauration pour vos données M365. La loi exige aussi des mesures raisonnables pour éviter la récidive. Corrigez la cause, pas seulement le symptôme.

Comment Defender et Sentinel accélèrent chaque étape

Les outils Microsoft reviennent souvent ci-dessus. Ce n'est pas un hasard.

• Confinement. La perturbation automatique des attaques de Defender peut isoler un appareil et désactiver un compte compromis avant qu'un humain ouvre l'alerte.
• Délimitation. Sentinel regroupe journaux de connexion, événements d'audit et télémétrie des postes dans une seule chronologie : « qu'ont-ils touché? » devient une requête plutôt qu'une semaine d'archéologie.
• Preuves. Sentinel conserve les données de sécurité au-delà des fenêtres par défaut des portails, un atout quand un incident refait surface des semaines plus tard.

Notre billet sur Sentinel et Defender comme SOC pour PME décrit notre façon de faire. L'outillage qui arrête la violation est le même qui monte votre dossier pour la CAI.

Rédigez le plan avant l'incident

Chaque étape passe deux fois plus vite quand elle a été répétée. Un plan de réponse aux incidents d'une page pour une PME contient des rôles nommés (qui contient, qui tranche le préjudice sérieux, qui parle aux clients), des moyens de contact hors bande si le courriel est compromis, le formulaire de la CAI dans vos favoris et le numéro d'urgence de votre fournisseur. Faites un exercice sur table deux fois par année; trente minutes suffisent à révéler la plupart des failles.

FAQ

La Loi 25 impose-t-elle un délai de 72 heures pour aviser la CAI?

Non. La Loi 25 exige un avis « avec diligence », donc promptement, lorsque l'incident présente un risque de préjudice sérieux. Le délai de 72 heures souvent cité vient du RGPD européen. Voyez 72 heures comme une cible opérationnelle, pas comme une règle de droit.

Qu'est-ce qu'un incident de confidentialité au sens de la Loi 25?

Tout accès, utilisation ou communication de renseignements personnels non autorisés par la loi, ainsi que leur perte. Cela inclut les boîtes de courriels piratées, les portables volés et les courriels mal adressés. Le rançongiciel n'est qu'un scénario parmi d'autres.

Dois-je déclarer chaque incident à la CAI?

Non. Vous avisez la CAI et les personnes concernées seulement lorsque l'incident présente un risque de préjudice sérieux, évalué selon la sensibilité des renseignements, les conséquences appréhendées et la probabilité d'utilisation préjudiciable. Chaque incident doit toutefois figurer dans votre registre interne.

Combien de temps dois-je conserver le registre des incidents?

Le règlement québécois exige que les renseignements du registre soient tenus à jour et conservés au moins cinq ans après la prise de connaissance de l'incident. La CAI peut en demander une copie en tout temps.

Quelles sanctions en cas de violation mal gérée sous la Loi 25?

La CAI peut imposer des sanctions administratives pécuniaires allant jusqu'à 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Au pénal, les amendes peuvent atteindre 25 millions de dollars ou 4 % du même chiffre. Omettre d'aviser, ou aviser en retard sans justification, est parmi les manquements les plus faciles à sanctionner.

Le jour de la violation n'est pas le bon moment pour apprendre tout cela. Pour savoir comment votre environnement Microsoft 365 tiendrait le coup, et si vous pourriez produire un dossier prêt pour la CAI en 72 heures, réservez une évaluation TI gratuite et nous ferons l'exercice avec vous.