Audit de sécurité et conformitéSecurity and compliance auditMesurer votre niveau de protection, en toute objectivité.Measure your level of protection, objectively.

Pourquoi auditer votre système d’informationWhy audit your information system

Les organisations québécoises, publiques comme privées, font face à des menaces de plus en plus ciblées, alors que leurs environnements technologiques se complexifient. Dans ce contexte, il ne suffit plus d’empiler des outils. Il faut pouvoir démontrer, preuves à l’appui, que les contrôles en place sont efficaces et que les renseignements personnels sont traités selon les exigences de la Loi 25 et de la Commission d’accès à l’information.

Québec organizations, public and private alike, face increasingly targeted threats while their technology environments grow more complex. In this context, stacking tools is no longer enough. You must be able to demonstrate, with evidence, that the controls in place are effective and that personal information is handled according to the requirements of Law 25 and the Commission d’accès à l’information.

L’audit de sécurité pour éprouver votre niveau de protectionSecurity audits to test your level of protection

Un audit de sécurité est un examen complet de votre système d’information. Il poursuit deux objectifs : repérer les risques qui pèsent sur vos actifs et mesurer l’efficacité réelle des processus et des solutions de sécurité déployés. Il réduit ainsi votre exposition aux menaces de façon concrète et vérifiable.

A security audit is a comprehensive review of your information system. It has two objectives: identify the risks facing your assets and measure the real effectiveness of the security processes and solutions you have deployed. It reduces your exposure to threats in a concrete and verifiable way.

Concrètement, un audit de sécurité permet de :

In practical terms, a security audit allows you to:

• Dresser l’inventaire des risques et les classer selon leur criticitéBuild an inventory of risks and rank them by criticality
• Repérer les vulnérabilités à corriger et les configurations techniques à renforcerIdentify vulnerabilities to fix and technical configurations to strengthen
• Prioriser les actions de sécurité selon leur impact et leur effortPrioritize security actions according to their impact and effort
• Vérifier l’application des mesures exigées et des bonnes pratiques reconnuesVerify that required measures and recognized best practices are applied
• Évaluer la sécurité de l’environnement dans son ensemble, y compris les plateformes de donnéesAssess the security of the environment as a whole, including data platforms
• Améliorer les processus internes de gestion des accès et des changementsImprove internal processes for access and change management

L’audit de conformité pour vérifier vos obligationsCompliance audits to verify your obligations

L’audit de conformité évalue dans quelle mesure votre infrastructure, vos applications et vos pratiques respectent les lois et les normes applicables. Au Québec, la Loi 25 a modernisé les règles de protection des renseignements personnels, tant pour les entreprises privées que pour les organismes publics. Elle impose notamment des politiques de gouvernance, des évaluations des facteurs relatifs à la vie privée et la déclaration des incidents de confidentialité.

A compliance audit assesses how well your infrastructure, applications and practices meet the applicable laws and standards. In Québec, Law 25 modernized the rules protecting personal information for both private businesses and public bodies. Among other things, it requires governance policies, privacy impact assessments and the reporting of confidentiality incidents.

Certains secteurs ajoutent leurs propres exigences, comme la norme PCI DSS pour les données de cartes de paiement, ou des cadres comme ISO/IEC 27001 et SOC 2 que vos clients peuvent exiger. Lorsque vous traitez des données de résidents européens, le RGPD s’applique également.

Some sectors add their own requirements, such as PCI DSS for payment card data, or frameworks such as ISO/IEC 27001 and SOC 2 that your clients may require. When you process data about European residents, the GDPR also applies and is included in the review.

Un audit de conformité permet de :

A compliance audit allows you to:

• Repérer l’ensemble des écarts de conformité et leurs causesIdentify all compliance gaps and their root causes
• Évaluer votre niveau de conformité par exigence et par systèmeAssess your level of compliance by requirement and by system
• Réduire le risque de sanctions administratives et de recoursReduce the risk of administrative penalties and legal action
• Préparer une certification ou une attestation reconnuePrepare for a recognized certification or attestation

Le périmètre d’un auditThe scope of an audit

Le périmètre est défini avec vous dès le départ, selon vos enjeux et vos contraintes. Il peut couvrir le réseau et sa supervision (trafic, VPN, pare-feu, segmentation, zones démilitarisées), les serveurs et l’annuaire, les postes de travail, les applications et leur code, ainsi que les plateformes infonuagiques et les entrepôts de données. La documentation de sécurité, comme la politique de sécurité ou les plans de continuité, fait aussi partie de l’examen.

The scope is defined with you from the outset, based on your priorities and constraints. It can cover the network and its monitoring (traffic, VPN, firewalls, segmentation, demilitarized zones), servers and the directory, workstations, applications and their code, as well as cloud platforms and data warehouses. Security documentation, such as the security policy or continuity plans, is also part of the review.

Ce que vous retirez d’un auditWhat you gain from an audit

Un audit n’a de valeur que s’il mène à des décisions. Nos livrables sont conçus pour être utilisés autant par vos équipes techniques que par votre direction : un sommaire exécutif pour orienter les investissements, et un rapport détaillé qui décrit chaque constat, ses preuves et la marche à suivre pour le corriger.

An audit is only valuable if it leads to decisions. Our deliverables are designed to be used by your technical teams and your leadership alike: an executive summary to guide investment, and a detailed report describing each finding, its evidence and the steps required to fix it.