Les coûts de la cybersécurité au Canada, poste par poste, pour une entreprise de 30 à 80 employés: licences, surveillance, évaluations et préparation à l'assurance, avec des fourchettes publiées en 2026.
Il n'existe pas un prix unique pour la « cybersécurité » — il y a une série de postes, et votre total dépend de ceux que vous avez réellement. Les repères publiés: une licence de sécurité des terminaux peut être offerte à aussi peu que 4,10 $ CA par utilisateur par mois, tandis qu'une couche de sécurité entièrement gérée d'un fournisseur canadien peut coûter de 185 $ CA à 230 $ CA ou plus par utilisateur par mois. La plupart des entreprises de 30 à 80 employés se situent entre ces deux pôles.
La plus récente enquête de Statistique Canada auprès des entreprises, publiée dans Le Quotidien le 21 octobre 2026, a révélé qu'environ 16 % des entreprises canadiennes de 10 employés ou plus ont été touchées par un incident de cybersécurité en 2025 — 15 % chez les petites entreprises (10 à 49 employés). Parmi les entreprises touchées, les escroqueries et la fraude étaient la méthode la plus fréquente, à 55 %, les rançongiciels avaient reculé à 8 %, et seulement 11 % ont signalé l'incident à la police. L'incident typique n'a plus rien d'un piratage de film; c'est un employé qu'on a trompé, ou une faille connue que personne n'a corrigée.
Du côté de la préparation, le portrait est mince. Le Canadian Small Business Cyber Risk Report 2026 (Cybersécurité Canada, 11 octobre 2026), bâti sur les tableaux de Statistique Canada, a constaté qu'en 2023, seulement 15,4 % des petites entreprises avaient une politique écrite pour gérer les risques de cybersécurité, seulement 17,8 % appliquaient les correctifs des systèmes d'exploitation chaque mois ou plus souvent, et 45,1 % n'avaient aucun employé dont le rôle habituel comprenait des tâches de cybersécurité. Le même rapport calcule que les petites entreprises ont dépensé environ 15 000 $ par entreprise par année en prévention et en détection en 2023.
C'est le logiciel installé sur chaque ordinateur portable et chaque serveur qui surveille les comportements malveillants. Un antivirus de base réagit aux menaces connues; l'EDR (détection et réponse aux terminaux) enregistre ce qu'un appareil a réellement fait, de sorte qu'une attaque peut être examinée et annulée. À l'extrémité « licence seulement », Microsoft offre Microsoft Defender for Business à 4,10 $ CA par utilisateur par mois (payé annuellement); il est aussi compris dans Microsoft 365 Business Premium. La licence est la partie bon marché — le facteur déterminant, c'est qui examine ses alertes la nuit: le temps de votre équipe, ou une partie d'un service géré.
Parce que les escroqueries et la fraude arrivent en tête des méthodes recensées par Statistique Canada, c'est dans la boîte de réception que la plupart des incidents commencent. Les coûts correspondent habituellement à une licence par utilisateur pour le filtrage avancé et la protection contre l'usurpation d'identité — souvent incluse dans un forfait Microsoft 365 supérieur — plus le travail ponctuel de configuration de SPF, DKIM et DMARC pour que votre domaine ne puisse pas être facilement usurpé.
La MFA est souvent déjà incluse dans le forfait Microsoft 365 ou Google que vous payez, donc son coût de licence peut être nul — son vrai coût, ce sont les heures pour l'imposer sur chaque compte (y compris les comptes d'administration et de service oubliés) et pour configurer les règles d'accès conditionnel. Les assureurs demandent la MFA nommément, ce qui rend « nous l'avons activée pour la plupart des gens » une réponse coûteuse — voir l'assurance plus bas.
La sauvegarde est tarifée selon les utilisateurs, les serveurs et le volume de données — et selon que les restaurations sont réellement testées. Une sauvegarde que personne n'a restaurée est un espoir, pas un contrôle, et le rançongiciel est précisément le scénario pour lequel elle existe. La vraie conversation porte sur l'indépendance — une copie qu'un attaquant à l'intérieur de votre locataire ne peut pas aussi supprimer — plus la conservation et des tests de restauration approuvés.
C'est l'écart de prix le plus large de l'ensemble, parce qu'il s'agit de personnes, pas de logiciels. À une extrémité, les alertes arrivent dans la boîte de réception de quelqu'un et sont lues pendant les heures d'ouverture. À l'autre, un SOC (centre d'opérations de sécurité) ou un service MDR (détection et réponse gérées) surveille, trie et agit pendant la nuit, 24 heures sur 24. À titre de repère canadien publié, la grille tarifaire 2026 de Fusion Computing tarifie sa couche de cybersécurité autonome de 185 $ CA à 230 $ CA et plus par utilisateur par mois, avec une couverture alignée sur le CIS et incluant la sécurité à environ 230 $ CA — les chiffres publiés d'un seul fournisseur, pas une moyenne nationale, mais un repère réaliste pour une sécurité gérée et surveillée à elle seule. Le niveau dont vous avez besoin dépend de vos heures, de vos contrats et de votre assureur — pas de la peur.
Les évaluations sont normalement des projets ponctuels ou annuels, tarifés selon la taille et la complexité de l'environnement plutôt que par utilisateur. C'est le poste que les dirigeants sautent le plus souvent — pourtant, c'est lui qui décide si le reste du budget vise de vraies lacunes ou un dépliant, et qui produit la liste écrite et priorisée qu'un assureur ou un client d'entreprise demandera à voir.
L'assurance cyberrisque est une prime distincte, payée à un assureur ou à un courtier — pas à votre fournisseur de TI. Selon un guide canadien publié de SecEvolution (20 août 2026), les primes des petites entreprises vont d'environ 1 200 $ à plus de 15 000 $ CA par année, selon le secteur, les revenus, les données que vous détenez et les contrôles que vous pouvez prouver. Le coût de préparation se cache en dessous: les souscripteurs demandent précisément la MFA, l'EDR et des sauvegardes vérifiées, et un « non » peut signifier une prime plus élevée ou un refus pur et simple. (Ce que vous détenez compte aussi pour vos obligations en matière de protection de la vie privée — notre guide sur les bases de la LPRPDE les explique.)
Bâtissez le budget par couches. D'abord, le plancher: l'EDR sur chaque terminal, la MFA sur chaque compte, une sécurité du courriel configurée, et une sauvegarde indépendante et testée. Ensuite, la surveillance: décidez honnêtement qui voit une alerte à 2 h du matin — si la réponse est « personne », acceptez ce risque par écrit ou payez pour la surveillance, par un forfait géré ou un service de sécurité spécialisé. Enfin, la preuve: une évaluation et les politiques écrites que votre assureur et vos plus gros clients demanderont.
Un dernier mot d'honnêteté sur nos propres prix: Amen Security ne publie pas de grille tarifaire, et aucune fourchette dans ce billet n'est un prix d'Amen. Nos services de cybersécurité sont soumissionnés après une évaluation, parce que les facteurs ci-dessus changent trop le travail pour un chiffre honnête sur une page Web.
Combien une petite entreprise devrait-elle dépenser en cybersécurité au Canada?
Partez des postes, pas d'un pourcentage. Les planchers « licence seulement » commencent à quelques dollars par utilisateur par mois (Microsoft offre Defender for Business à 4,10 $ CA); une couche de sécurité entièrement gérée d'un fournisseur canadien publié coûte de 185 $ CA à plus de 230 $ CA par utilisateur par mois. La moyenne d'environ 15 000 $ par entreprise de Cybersécurité Canada (2023) est un repère utile.
Antivirus ou EDR — quelle est la différence, et l'antivirus suffit-il encore?
L'antivirus bloque surtout les menaces connues par signature. L'EDR enregistre le comportement des appareils, de sorte qu'une attaque peut être examinée, contenue et annulée — et il produit les preuves que les assureurs demandent. L'antivirus seul n'est plus une stratégie de terminaux défendable pour une entreprise dont le travail s'arrête quand ses systèmes s'arrêtent; la vraie question est de savoir qui surveille l'EDR.
Que faut-il pour être admissible à une assurance cyberrisque en 2026?
Attendez-vous à des questions sur la MFA pour tous les comptes, l'EDR sur les terminaux, et des sauvegardes distinctes et testées — plus les bases de la réponse aux incidents, par écrit. Les fourchettes canadiennes publiées situent les primes entre environ 1 200 $ et plus de 15 000 $ par année, et des contrôles manquants peuvent augmenter la prime ou mettre fin à la demande.
Sécurité à l'interne ou fournisseur de sécurité gérée pour une entreprise de 50 personnes?
Une embauche vous donne les heures, les compétences et les vacances d'une seule personne — et 45,1 % des petites entreprises n'ont personne qui fait des tâches de sécurité. Un fournisseur géré répartit la couverture d'une équipe, les outils et la surveillance de nuit entre de nombreux clients. Beaucoup se situent entre les deux: un responsable à l'interne qui est imputable, et un fournisseur qui exploite l'ensemble.
Le coût de la cybersécurité cesse d'être un mystère dès qu'une soumission est détaillée. Si une proposition vous donne un seul chiffre et aucun poste, vous n'avez pas un prix — vous avez une promesse. Demandez l'ensemble par écrit: terminaux, courriel, identité, sauvegarde, surveillance, évaluation, et les preuves d'assurance à la fin.
Si vous souhaitez ce détail pour votre propre environnement, notre évaluation gratuite est un point de départ pratique — apportez les soumissions que vous avez déjà, ou partez d'une page blanche avec nous.
Votre commentaire sera publié après examen par notre équipe.
