La sécurité de l’information est plus que jamais au cœur de la croissance des entreprises, voire de leur survie. Le Groupe CIS, un développeur de solutions logicielles pour le personnel mobile, l’a bien compris : il a mis en œuvre un important processus afin d’adopter les meilleures pratiques en cybersécurité.
La PME de Saint-Jérôme s’apprête ainsi à obtenir la certification ISO 27001, la norme internationale de référence en sécurité de l’information.
Une exigence des clients
Groupe CIS est l’un des premiers fournisseurs nord-américains de solutions informatiques utilisées dans la livraison directe en magasin et l’automatisation de la force de vente, ainsi que dans le transport de personnes et de marchandises. Ses applications sont déployées tant sur les serveurs des clients qu’en infonuagique, et contiennent souvent de l’information sensible. Elles comptent 15 000 utilisateurs, surtout du domaine alimentaire.
« Nous avons implanté un programme de sécurité personnalisé afin que les meilleures pratiques de sécurité soient suivies à toutes les étapes du développement des produits de Groupe CIS », dit Guillaume Caron, président-directeur général de VARS, la division en cybersécurité de Raymond Chabot Grant Thornton qui a appuyé Groupe CIS dans ce processus.
Groupe CIS prévoyait entreprendre prochainement une telle démarche, mais l’a devancée lorsque deux clients importants lui ont demandé de se conformer à une norme de cybersécurité reconnue.
C’est d’ailleurs une réalité qui touche toutes les PME. En effet, de plus en plus de grandes entreprises publiques et privées exigent que leurs fournisseurs instaurent de solides mesures de sécurité de l’information. Elles veulent ainsi se protéger des cybercriminels qui cherchent à les attaquer en s’infiltrant dans les systèmes de leurs fournisseurs, souligne M. Caron. La pandémie, qui a bouleversé les méthodes de travail, a accéléré cette tendance.
Groupe CIS pourra maintenant garantir à ses clients qu’elle respecte les règles de cybersécurité les plus rigoureuses. « Cela nous donnera un avantage concurrentiel pour fidéliser notre clientèle et appuyer notre développement au pays et à l’étranger », dit Éric Tessier, vice-président, ventes et marketing, de Groupe CIS.
« Nous avions déjà de bonnes pratiques, mais nos processus n’étaient pas suffisamment documentés et peut-être pas toujours appliqués avec toute la rigueur requise. La démarche de certification nous a permis de colmater certaines brèches et de sensibiliser nos 70 employés aux règles de sécurité », explique Joël Desjardins, directeur stratégique, solutions mobiles, de Groupe CIS.
Un travail de fond
Pour atteindre la certification ISO 27001, le chemin peut être long : évaluation complète des risques; repérage des points à corriger; implantation d’un programme de sécurité de l’information; création d’un plan de continuité des affaires et d’un plan de réponse aux incidents; mise sur pied d’un comité permanent de gestion des risques; audit, etc. Plus de 25 nouvelles politiques touchant divers aspects de la cybersécurité ont été définies dans le cas de Groupe CIS. « Ça nécessite un travail important et il faut être accompagné par les bonnes personnes. Avec VARS, nous avons pu compléter la démarche en seulement 4 mois », précise M. Desjardins.
Il faut d’ailleurs s’assurer de mettre en place des solutions 24/7 pour prévenir les cyberattaques, qui peuvent coûter très cher à une PME. Parmi ses essentiels, VARS propose la surveillance continuelle des postes de travail et du réseau de l’entreprise, les tests d’intrusion et simulations d’hameçonnage, une sécurité avancée des courriels, ainsi que la formation du personnel et les services d’un chef de la sécurité de l’information.
Même lorsqu’elle sera certifiée ISO 27001, Groupe CIS poursuivra ses efforts d’amélioration en sécurité de l’information. Elle s’engage d’ailleurs à suivre les règles de la norme pendant au moins trois ans. Une vérification annuelle permettra de s’en assurer et de repérer de nouvelles améliorations possibles.
