Pour les PME et les organisations jusqu'à 2 000 employés : de faux courriels d'hameçonnage, une formation adaptée à chaque rôle et un compte rendu des résultats.
Un volet entraîne vos employés. L'autre vous laisse une preuve écrite.
La partie récurrente. On s'en occupe, mois après mois.
La partie livrable. La loi québécoise exige des mesures de sécurité raisonnables (art. 10), et la sensibilisation du personnel en est une. On la documente, date par date.
Ce volet ne couvre pas vos autres obligations, et nous ne donnons pas d'avis juridique. On vous le dit dès le premier appel.
On identifie où se situe le risque humain dans votre organisation.
On met en place la plateforme et les campagnes. De votre côté : la liste des employés et l'autorisation de nos envois par votre TI.
Campagnes, formation et ajustements, mois après mois.
Un rapport qui documente la formation de votre personnel, à verser à votre dossier.
Oui. Avant la première campagne, vous leur transmettez un avis que nous fournissons : ce qui est enregistré, qui y a accès, où les données sont conservées et comment exercer leurs droits. Les simulations, elles, ne sont pas annoncées une à une : sinon elles ne mesureraient rien.
Un peu. Votre TI doit autoriser nos courriels de simulation dans votre messagerie, sinon vos filtres les bloquent. On fournit la marche à suivre et on reste disponibles.
Sur la plateforme de notre partenaire éditeur. La région d'hébergement vous est confirmée par écrit avant toute signature. Si les données sortent du Québec, la loi vous demande une évaluation des facteurs relatifs à la vie privée et une entente écrite (art. 17) : on vous fournit les renseignements techniques nécessaires.
Non, pas à lui seul. La loi québécoise exige des mesures de sécurité raisonnables (art. 10) : la sensibilisation du personnel en fait partie, selon les exemples de la Commission d'accès à l'information, et notre rapport la documente. Elle exige aussi, entre autres, un responsable de la protection des renseignements personnels publié, des politiques publiées, un registre des incidents et, dans certains cas, des évaluations des facteurs relatifs à la vie privée.
La même mesure sert ailleurs : la LPRPDE demande de sensibiliser le personnel dans le reste du Canada (principe 4.7.4), le RGPD exige des mesures appropriées en Europe (art. 32), le NIST CSF 2.0 prévoit la sensibilisation du personnel aux États-Unis (PR.AT), et la norme PCI DSS un programme formel dès qu'il y a des cartes de paiement (12.6.1). Le rapport vous est remis en français ou en anglais.
Écrivez-nous : on vous répond avec des créneaux pour un appel de 20 minutes.