Définitions simples des termes MSP, cloud, identité, sauvegarde et cybersécurité pour les équipes d’affaires canadiennes — tenu à jour par Amen Security.
La confiance zéro suppose qu’aucun utilisateur ou appareil n’est fiable par défaut — chaque demande d’accès est vérifiée selon l’identité, l’état de l’appareil, le lieu et le moindre privilège, même « à l’intérieur » du réseau de bureau. Elle remplace le périmètre seul (VPN château-fosse) par une validation continue. L’approche Microsoft combine accès conditionnel Entra ID, conformité Intune, segmentation et journaux SIEM. Adopter la confiance zéro est un parcours : MFA partout, retirer l’accès SaaS par VPN seul, micro-segmenter les serveurs critiques et surveiller les connexions anormales.
L’EDR surveille portables et serveurs pour détecter des comportements malveillants — au-delà des signatures connues — et peut isoler un appareil compromis avant la propagation d’un rançongiciel. L’antivirus traditionnel manque les attaques sans fichier. L’EDR enregistre les arbres de processus et connexions réseau pour contenir ou restaurer. Microsoft Defender pour point de terminaison s’intègre à Entra ID et au SIEM. Déployez l’EDR sur chaque poste géré, y compris à distance. Associez MFA et gestion des correctifs; l’EDR est plus efficace lorsque l’hygiène de base est solide.
Microsoft Entra ID (anciennement Azure Active Directory) est l’annuaire infonuagique des comptes, groupes et politiques de connexion pour Microsoft 365 et des milliers d’applications SaaS. Entra ID active l’accès conditionnel (MFA, appareil conforme), la réinitialisation en libre-service et l’identité hybride avec Active Directory sur place. C’est le plan de contrôle des accès. Durcissez Entra ID : MFA résistante au hameçonnage pour les administrateurs globaux, rôles admin limités et revue des journaux de connexion pour voyages impossibles ou protocoles legacy.
L’hameçonnage est une ingénierie sociale qui pousse à révéler des mots de passe, approuver de faux paiements ou installer des logiciels malveillants — souvent par courriel, SMS ou appels urgents se faisant passer pour banques, ARC, Microsoft ou dirigeants. La compromission de courriel professionnel coûte des millions aux organisations canadiennes. Les défenses combinent formation, tests simulés, authentification courriel (SPF, DKIM, DMARC), bac à sable pour pièces jointes et MFA. Signalez les messages suspects à votre MSP; ne cliquez pas sur « vérifier le compte » dans un courriel non sollicité. Confirmez les virements par un second canal.
L’infrastructure en tant que service (IaaS) fournit machines virtuelles, stockage et réseau dans le centre de données d’un fournisseur infonuagique — vous gérez l’OS et les applications; le fournisseur gère le matériel et les locaux. Les équipes canadiennes utilisent l’IaaS pour remplacer des serveurs vieillissants, créer des environnements dev/test ou héberger des applications avec paiement à l’usage. Le choix de région (Canada Central, Canada Est) compte pour la LPRPDE. L’IaaS exige toujours correctifs, sauvegardes et durcissement. Beaucoup de PME associent l’IaaS à un MSP pour la surveillance plutôt que des VM « sans suivi ».
La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) régit la collecte, l’utilisation et la communication de renseignements personnels dans le secteur privé fédéral au Canada. Les choix TI touchent la LPRPDE : lieu de stockage, accès aux sauvegardes, durée des journaux et délai d’avis au Commissaire après une violation présentant un risque réel de préjudice grave. Les MSP sont souvent des sous-traitants avec obligations contractuelles. Mesures pratiques : inventaire des données, moindre privilège, chiffrement en transit et au repos, ententes écrites avec les fournisseurs sur les mesures de sécurité et les délais d’avis.
La Loi 25 modernise la protection des renseignements personnels au Québec pour les organisations qui collectent des données sur des résidents québécois — même si l’entreprise est ailleurs au Canada. Thèmes TI : désigner un responsable de la protection, réaliser des évaluations d’impact pour certains projets, resserrer le consentement et aviser la CAI en cas de violation. Avis bilingues et minimisation des données dans applications et CRM sont des tâches fréquentes. Si vous servez des clients ou employés au Québec, alignez rétention des sauvegardes, journaux d’accès et sous-traitants avec la Loi 25 et la LPRPDE.
L’authentification multifacteur (MFA) exige deux facteurs ou plus — ce que l’utilisateur connaît (mot de passe), possède (téléphone ou clé de sécurité) ou est (biométrie). Les mots de passe seuls restent la principale porte d’entrée des rançongiciels et de la compromission de courriel professionnel. Activer la MFA sur Microsoft 365, le VPN et les consoles d’administration bloque la majorité des attaques par credentials volés. Déployez la MFA par phases : administrateurs globaux d’abord, puis tous les employés. Privilégiez les applications d’authentification ou les clés d’accès plutôt que le SMS lorsque possible, et documentez la récupération de compte pour éviter les blocages.
Un fournisseur de services gérés (MSP) assure les opérations TI quotidiennes de votre organisation selon une entente récurrente — surveillance, correctifs, sauvegardes et support — plutôt que des factures imprévisibles à la réparation. Les PME canadiennes s’appuient souvent sur un MSP pour administrer Microsoft 365, sécuriser les postes de travail, maintenir le réseau et offrir une couverture après les heures ouvrables. Un bon MSP documente les niveaux de service, communique les tendances de tickets et planifie les mises à niveau avant la fin de vie des équipements. Comparé à une équipe interne complète, un MSP mutualise l’expertise (sécurité, infonuagique, réseau), ce qui réduit souvent le coût total tout en améliorant les délais de réponse et la conformité (LPRPDE et exigences sectorielles).
La plateforme en tant que service (PaaS) offre un environnement d’exécution géré — applications Web, conteneurs ou bases de données — pour déployer du code sans corriger les serveurs sous-jacents. Exemples : Azure App Service, Azure SQL, Kubernetes géré. Le PaaS réduit l’exploitation mais exige CI/CD sécurisé, gestion des secrets et intégration réseau avec le sur place. Choisissez le PaaS pour des mises en production rapides et l’élasticité; l’IaaS si vous avez besoin du contrôle complet de l’OS ou de logiciels legacy.
L’objectif de point de reprise (RPO) est l’âge maximal des données que vous pouvez perdre, en temps — par exemple quatre heures de courriel ou 15 minutes de commandes. Si le RPO est d’une heure, sauvegardes ou réplication doivent être au moins aussi fréquentes. Un RPO plus serré coûte plus en stockage et bande passante mais réduit les pertes lors d’un rançongiciel ou d’une suppression massive. Fixez le RPO par système avec finance et opérations : comptabilité à 15 minutes, wiki interne à 24 heures. Documentez ces choix dans le plan DR.
L’objectif de temps de reprise (RTO) est la durée maximale d’interruption acceptable — la rapidité avec laquelle un système doit fonctionner après le début d’une panne. Un RTO de quatre heures pour le courriel peut permettre une restauration manuelle; 30 minutes pour une application métier peut exiger de la haute disponibilité ou un secours tiède dans Azure. Le RTO détermine la couverture de garde pendant les incidents. Publiez les RTO en interne pour prioriser correctement en crise. Les contrats MSP lient souvent la sévérité au RTO; vérifiez qu’ils correspondent à la réalité de l’entreprise.
La reprise après sinistre (DR) est le processus planifié pour rétablir les services TI après un incident majeur — perte de centre de données, cyberattaque ou panne prolongée — pas seulement un fichier supprimé. Un plan DR définit les rôles, l’arbre de communication, l’ordre de basculement (courriel vs ERP) et l’activation de réplicas infonuagiques. Les entreprises canadiennes alignent la DR avec l’assurance et les avis LPRPDE. La DR diffère de la sauvegarde : la sauvegarde fournit les données; la DR assure la continuité. Testez le guide annuellement; les exercices de table révèlent les lacunes de contacts et fournisseurs.
Un SIEM collecte les journaux des pare-feu, serveurs, applications infonuagiques et postes de travail, puis corrèle les événements pour détecter des schémas suspects — échecs de connexion, changements de privilèges ou exfiltration. Pour les organisations réglementées au Canada, le SIEM soutient les pistes d’audit exigées lors d’incidents LPRPDE. Un SOC géré filtre le bruit pour ne garder que les alertes actionnables. La réussite dépend de la couverture des journaux : sans envoi d’événements, des angles morts persistent. Commencez par l’identité, le courriel et le périmètre, puis élargissez avec la maturité.
Une entente de niveau de service (SLA) définit des engagements mesurables en support TI — par exemple le délai pour accuser réception d’une panne critique comparativement à une demande de faible priorité. Les SLA MSP couvrent habituellement des niveaux de priorité (serveur hors service vs. réinitialisation de mot de passe), les heures de service, les escalades et parfois des crédits si les objectifs ne sont pas atteints. L’entente doit rester réaliste : 15 minutes pour une panne majeure est courant; corriger chaque ticket instantanément ne l’est pas. Avant de signer, vérifiez ce qui compte comme « réponse » (accusé automatique ou ingénieur), quels systèmes sont couverts et comment les fenêtres de maintenance sont annoncées.
L’authentification unique (SSO) permet d’accéder à plusieurs applications avec les mêmes identifiants d’entreprise, généralement via Microsoft Entra ID ou un autre fournisseur d’identité. Le SSO réduit la fatigue des mots de passe, centralise la désactivation des comptes lors d’un départ et active l’accès conditionnel — par exemple bloquer les connexions depuis des pays inconnus ou exiger la MFA pour les applications infonuagiques. Mettez en place le SSO progressivement : commencez par Microsoft 365 et les applications SaaS à haut risque. Combinez-le avec l’approvisionnement automatique des utilisateurs pour les nouvelles recrues.
Le logiciel en tant que service (SaaS) fournit des applications par Internet en abonnement — Microsoft 365, Salesforce, comptabilité — le fournisseur exploitant l’infrastructure. Le SaaS déplace les mises à niveau vers le fournisseur mais pas la responsabilité sécurité : vous contrôlez identités, partages et classification. La LPRPDE s’applique aux renseignements personnels stockés en SaaS. Inventoriez les applications SaaS, imposez SSO et MFA, révisez les intégrations trimestriellement et vérifiez les clauses sur la localisation des données et les avis de violation.
La sauvegarde est une copie des données et systèmes à un instant donné pour restaurer après suppression, panne matérielle ou rançongiciel. La règle 3-2-1 : trois copies, deux supports, une hors site. La sauvegarde infonuagique vers des régions canadiennes ou approuvées aide la résidence des données tout en protégeant contre un sinistre au bureau. Les instantanés immuables empêchent le chiffrement de la dernière bonne copie. Les sauvegardes échouent sans tests de restauration. Planifiez des exercices trimestriels pour les applications critiques et documentez le RTO pour que l’équipe connaisse la durée d’interruption possible.
Un LAN virtuel (VLAN) divise un réseau physique en réseaux logiques isolés sur des commutateurs gérés — par exemple séparer le Wi‑Fi invité des serveurs comptables. La segmentation limite le mouvement latéral en cas d’infection : un attaquant sur le VLAN invité ne devrait pas atteindre la caisse ou les sauvegardes. Les VLAN sont associés à des règles de pare-feu entre segments. Planifiez les VLAN par rôle (entreprise, VoIP, IoT/caméras, gestion) et documentez les schémas d’adresses IP. Pour les entreprises multi-sites au Canada, un design cohérent facilite le dépannage et le support MSP à distance.
Un réseau privé virtuel (VPN) crée un tunnel chiffré entre un appareil distant et votre réseau de bureau ou vos ressources infonuagiques, protégeant le trafic sur le Wi‑Fi public et Internet résidentiel. Les VPN site à site relient des succursales; les VPN clients permettent aux portables d’atteindre partages et applications internes. Les approches modernes incluent le VPN permanent avec MFA Entra ID ou l’accès Zero Trust qui vérifie l’état de l’appareil à chaque session. Pour les équipes canadiennes, documentez qui peut utiliser le VPN, imposez la MFA et définissez le split tunneling pour que la visioconférence ne transite pas inutilement par le centre de données.
