Sauvegardes, mises à jour et réaction à un incident

Capsules

1. 1

   Une sauvegarde qui sauve vraiment

   2 min
   Capsule vidéo en tournage

   Une sauvegarde qui sauve vraiment

   Une sauvegarde protège si elle est ciblée, hors ligne, chiffrée et testée. Sinon, elle peut brûler avec le reste.

   Lire la capsule (transcription)

   À Westmount, des serveurs de la Ville ont été chiffrés. C’est un employé qui l’a découvert, un dimanche matin. Imaginez maintenant une municipalité de 900 habitants, en Gaspésie, avec trois employés. Le disque externe de la greffière est branché au poste en permanence. Il porte l’étiquette « sauvegarde ». Voici l’idée centrale : une sauvegarde ne vaut que si elle survit à l’attaque et qu’on sait la restaurer.

   Premier élément : choisir quoi sauvegarder. Le Centre canadien pour la cybersécurité, le CCC, conseille de cibler l’information essentielle. Pour une petite municipalité, pensez aux registres du greffe, à la comptabilité, aux règlements, aux courriels. Posez-vous la question : si ce fichier disparaît lundi matin, qu’est-ce qui s’arrête ?

   Deuxième élément : où se trouve la copie. Le CCC recommande de conserver des copies hors site, hors ligne et déconnectées. Les sauvegardes branchées au réseau peuvent être infectées en même temps que le reste. Le disque de la greffière, toujours branché, serait chiffré avec les serveurs. Un bon réflexe : au moins une copie chiffrée qu’on débranche, et qu’on range ailleurs que dans le même bâtiment.

   Troisième élément : tester. Le CCC demande de tester la restauration. On choisit régulièrement un dossier au hasard et on essaie de le récupérer pour vrai. Après une attaque, on analyse aussi les copies avant de restaurer, pour ne pas réintroduire le maliciel. Le jour où il faut restaurer n’est pas le jour pour découvrir que le disque est vide.

   Le piège, c’est la fausse tranquillité. « On a une sauvegarde, donc on est protégés. » La phrase rassure, et personne ne vérifie. Demandez à la personne qui s’en occupe : où est la copie, est-elle déconnectée, et quand l’a-t-on restaurée pour la dernière fois ?

   À retenir : une sauvegarde utile est ciblée, hors ligne, chiffrée et testée.

   • On cible l’information essentielle : ce sans quoi la municipalité ne peut pas fonctionner.
   • On garde des copies hors site, hors ligne et déconnectées du réseau.
   • Une sauvegarde branchée au réseau peut être infectée avec le reste; on la chiffre et on l’analyse avant de restaurer.
   • On teste la restauration régulièrement : une copie jamais restaurée reste une hypothèse.
2. 2

   Mises à jour et vieux systèmes

   2 min
   Capsule vidéo en tournage

   Mises à jour et vieux systèmes

   On installe les correctifs dès qu’ils paraissent, et l’inventaire des appareils révèle les systèmes désuets à remplacer.

   Lire la capsule (transcription)

   Dans une ville de 40 000 habitants, en Montérégie, les travaux publics ont un vieux poste qui commande une pompe. Il fonctionne depuis des années. « Ne touchez pas à ça, ça marche. » Personne n’y a installé de mise à jour depuis longtemps. Voici l’idée centrale : ce qui marche sans qu’on y touche n’est pas ce qui est protégé. Un système qu’on n’a pas mis à jour est une porte qu’on n’a pas fermée.

   Premier élément : les correctifs. Un correctif, c’est une réparation que le fabricant publie quand une faille est découverte. Le CCC demande de les installer dès leur parution et d’activer les mises à jour automatiques quand c’est possible. Chaque semaine de retard laisse une faille connue ouverte à qui veut l’exploiter.

   Deuxième élément : savoir ce qu’on possède. Le CCC suggère un inventaire régulier : les ordinateurs, les téléphones, le stockage, les objets connectés et les services numériques. Dans une petite municipalité, il tient sur une feuille. On y inscrit qui s’en occupe et quand on a fait la dernière mise à jour. Ce qui n’est pas dans l’inventaire n’est pas mis à jour, parce que personne ne sait que cela existe.

   Troisième élément : remplacer ce qui est désuet. Un système désuet, c’est un système que son fabricant ne met plus à jour. Le CCC invite à les repérer et à les remplacer. Si le remplacement prend du temps, on retire au moins la connexion à Internet qui n’est pas nécessaire, surtout pour les équipements du terrain.

   La Fédération québécoise des municipalités, la FQM, estime que la prévention coûterait environ 1 % du coût d’une attaque. Elle rappelle aussi que le facteur humain reste la principale porte d’entrée. Les mises à jour ne remplacent donc pas la vigilance de chacun et chacune : elles la complètent. Le piège, c’est la peur de casser quelque chose. Alors on planifie la mise à jour avec la personne qui connaît l’équipement, au bon moment, avec une copie en place.

   À retenir : je sais ce que nous possédons, je pose les correctifs vite, et je remplace ce qui n’est plus mis à jour.

   • Installer les correctifs dès leur parution, de préférence par mises à jour automatiques.
   • Faire un inventaire régulier : appareils, stockage, objets connectés, services numériques.
   • Repérer les systèmes désuets à remplacer, et retirer au moins les connexions Internet inutiles en attendant.
   • La prévention coûte bien moins cher qu’une attaque : la FQM parle d’environ 1 % du coût.
3. 3

   Les premières heures d’un incident

   2 min
   Capsule vidéo en tournage

   Les premières heures d’un incident

   Isoler sans éteindre, conserver les traces, ne pas payer sur un coup de tête : les premiers gestes protègent les preuves et les options.

   Lire la capsule (transcription)

   Lundi, 8 h 15, dans une ville de 40 000 habitants, en Montérégie. Une employée ouvre son poste : tous ses fichiers portent une extension étrange, et un message exige une rançon. Elle veut tout éteindre, tout de suite. Un collègue propose de payer pour en finir. Voici l’idée centrale : dans les premières heures, on isole, on conserve les traces et on appelle, avant de décider quoi que ce soit.

   Premier geste : isoler l’appareil du réseau, en débranchant le câble ou en coupant le réseau sans fil. Mais on ne l’éteint pas. Le CCC est clair là-dessus. Éteindre peut faire perdre des traces utiles à l’enquête et à la remise en service. Isoler, oui. Éteindre, non.

   Deuxième geste : conserver. On garde la note de rançon et on note les extensions des fichiers touchés. On photographie l’écran, on écrit l’heure, on note qui a vu quoi. Ces détails serviront à la police, à l’assureur et aux spécialistes.

   Troisième geste : ne pas payer sur un coup de tête. Le CCC prévient que payer ne garantit pas la récupération des données. Les attaquants peuvent exiger plus, revenir, ou revendre ou divulguer ce qu’ils ont pris. À Hamilton, en Ontario, on a demandé à la Ville environ 18,5 M$ en 2024. Elle n’a pas payé. Elle a quand même dépensé environ 18,3 M$ en réponse et en remise en état, jusqu’en juillet 2025. Cet exemple ne dit pas quoi décider. Il dit qu’une décision de cette taille ne se prend ni seul ni dans la panique.

   Quatrième geste : signaler avant de payer. Le CCC conseille d’aviser la police locale ou le Centre antifraude avant même d’envisager un paiement. Et on prévient tout de suite la direction générale. Le piège ici, c’est l’urgence mêlée de honte : on voudrait régler ça discrètement. Or à Westmount comme à Saint-Noël, c’est un employé qui a détecté le problème. Signaler tôt vaut mieux que cacher.

   À retenir : j’isole sans éteindre, je conserve les traces, je ne paie pas sans conseil.

   • Isoler l’appareil infecté du réseau, mais ne pas l’éteindre.
   • Conserver la note de rançon et les extensions des fichiers touchés.
   • Payer ne garantit pas la récupération : les attaquants peuvent exiger plus, revenir ou divulguer les données.
   • Signaler à la police locale ou au Centre antifraude avant d’envisager un paiement.
4. 4

   Qui appeler, et ce qu’on prépare avant

   2 min
   Capsule vidéo en tournage

   Qui appeler, et ce qu’on prépare avant

   Un plan simple, des contacts sur papier et une police d’assurance connue d’avance évitent d’improviser le jour où ça arrive.

   Lire la capsule (transcription)

   À Châteauguay, les courriels des employés ont été touchés, et la Ville a dû créer des adresses temporaires. Le site, le 911 et les alertes fonctionnaient toujours. La Sûreté du Québec a enquêté, et des experts ont été engagés pour la remise en service. Voici l’idée centrale : le jour d’un incident n’est pas le jour pour chercher le numéro de téléphone.

   Premier élément : le plan. Le CCC recommande un plan d’intervention testé, avec une copie papier des contacts clés. Papier, parce que le courriel peut être hors service. Le plan nomme une petite cellule de crise : les TI ou le fournisseur informatique, les communications, les ressources humaines et une personne juriste. Dans une petite municipalité, une même personne porte plusieurs chapeaux. Écrivez-le quand même.

   Deuxième élément : les appels. Selon la situation, on joint la police locale, ou le 911 s’il y a urgence criminelle, et le Centre antifraude. Le Centre canadien pour la cybersécurité reçoit les signalements, de façon volontaire, au 1-833-CYBER-88. Si votre municipalité est membre de la FQM, informez-vous de son service de cyberspécialistes, offert en tout temps, et inscrivez son numéro dans votre plan.

   Troisième élément : l’argent et l’assureur. Si de l’argent est parti, par exemple après un faux changement de coordonnées bancaires, avisez immédiatement l’institution financière, puis la police. Avisez aussi l’assureur, et lisez votre police avant l’incident. À Hamilton, l’assureur a refusé environ 5 M$ de réclamations en invoquant l’absence d’authentification multifacteur, ce que la Ville conteste. L’authentification multifacteur, c’est la deuxième preuve d’identité à la connexion.

   Quatrième élément : les renseignements personnels. Si des renseignements de citoyens ou d’employés sont touchés, prévenez tout de suite la personne responsable de leur protection. C’est elle qui évalue, avec la loi, s’il faut aviser la Commission d’accès à l’information et les personnes concernées. Ce cours n’affirme pas qu’une loi cyber précise impose un plan aux municipalités. Un plan reste pourtant la meilleure défense contre l’improvisation.

   À retenir : le plan est écrit, les contacts sont sur papier, et l’assureur se connaît avant d’en avoir besoin.

   • Un plan d’intervention testé, avec une copie papier des contacts clés.
   • Une petite cellule de crise : TI ou fournisseur, communications, ressources humaines, juridique.
   • Aviser l’assureur, et vérifier d’avance les conditions de sa police, comme l’authentification multifacteur.
   • Si des renseignements personnels sont touchés, prévenir tout de suite la personne responsable de leur protection.

Un lundi matin difficile

Sauvegardes, mises à jour et incident : l’essentiel

Une copie hors ligne et testée, des correctifs rapides, et en cas d’incident : j’isole, je conserve, je ne paie pas sans conseil, je signale.

En cas de doute : Appelez la direction générale et la personne qui s’occupe des TI. Pour signaler : police locale, Centre antifraude, Centre canadien pour la cybersécurité (1-833-CYBER-88), et 911 s’il y a urgence criminelle.

Astuces de terrain

Ressources

• Centre canadien pour la cybersécurité : rançongiciels, comment les prévenir et s’en remettre
• Centre canadien pour la cybersécurité : signalement des cyberincidents
• Centre canadien pour la cybersécurité : nous joindre
• Centre canadien pour la cybersécurité : mesures de base pour les petites organisations
• Fédération québécoise des municipalités : des cybermenaces bien réelles (février 2024)

Quiz