Par Michael Turcsanyi, PDG de TruPoint · Contenu commandité

Contenu sponsorisé

Au cours des deux dernières années, nous avons présenté dans ces pages les principaux éléments d’une pratique sécurisée : le respect des exigences du surintendant en matière de documents électroniques, une utilisation de l’IA qui respecte la confidentialité des renseignements sur les clients et le renforcement de la sécurité de Microsoft 365 au-delà de ses paramètres par défaut. Le présent article porte sur le concept qui relie tous ces éléments. Son nom est simple, voire un peu austère : le modèle Zero Trust. Pourtant, il s’est petit à petit imposé comme la norme à laquelle s’attendent aujourd’hui les assureurs, les organismes de réglementation et les principaux partenaires qui recommandent vos services. Voici en quoi il consiste et pourquoi il est important pour un cabinet de syndic.

Les limites du bureau ont disparu

Pendant longtemps, la sécurité d’un cabinet fonctionnait comme une ville fortifiée : une barrière autour du bureau, un pare-feu à la frontière du réseau et l’hypothèse que tout ce qui se trouvait à l’intérieur pouvait être considéré comme fiable. Ce modèle était pertinent lorsque les personnes et les fichiers que vous deviez protéger se trouvaient tous dans le même immeuble et sur le même réseau. Ce n’est plus le cas aujourd’hui. Certains jours, vos administrateurs travaillent à domicile. Vous examinez peut-être un dossier dans une salle de réunion ou à la table de cuisine d’un débiteur. Vos dossiers sont conservés dans Microsoft 365, dans des courriels et dans votre système de gestion de dossiers, et l’accès à des applications comme Ascend se fait par Internet plutôt qu’à partir d’un serveur situé au bout du couloir. La barrière qui entoure le bureau ne peut rien protéger de tout cela, puisque le travail s’est désormais déplacé au-delà de ses limites.

Ce que signifie réellement le modèle Zero Trust

Le modèle Zero Trust remplace cette barrière par une règle simple : ne jamais faire confiance, toujours vérifier. Au lieu de considérer une demande comme fiable simplement parce qu’elle provient du réseau du bureau, un système Zero Trust vérifie chaque demande d’accès, chaque fois : qui est l’utilisateur, utilise-t-il un appareil géré par l’organisation, ce qu’il tente de faire correspond-il à son comportement habituel? Ce n’est qu’après ces vérifications qu’il accorde l’accès à une application ou à un fichier. Imaginez un immeuble où un laissez-passer est vérifié à chaque porte, et non seulement à l’entrée principale, et où chaque laissez-passer ne permet d’accéder qu’aux espaces dont son détenteur a réellement besoin. L’accès est accordé à une application à la fois, pendant la durée nécessaire et pas davantage. Il s’agit moins d’un produit que l’on achète que d’une façon de concevoir l’accès aux ressources nécessaires au travail.

Pourquoi cela est important pour un cabinet de syndic

Un syndic détient certains des renseignements les plus sensibles qu’une personne puisse confier : numéros d’assurance sociale, relevés bancaires, revenus, dettes et détails liés à une période difficile de sa vie. Un seul mot de passe volé ne devrait jamais suffire à donner accès à l’ensemble d’un dossier. Dans un modèle Zero Trust, ce n’est pas le cas, puisque le mot de passe à lui seul ne satisfait pas aux contrôles requis.

L’aspect de la conformité entre également en ligne de compte. L’instruction no 32R exige que les documents électroniques soient conservés de manière à garantir leur intégrité, avec un accès contrôlé et une piste de vérification fiable. Un système Zero Trust produit presque naturellement ce résultat : puisque chaque accès est vérifié et consigné, vous disposez d’un registre clair indiquant qui a consulté quel dossier et à quel moment. La même réalité s’applique de plus en plus à la cyberassurance. Les questionnaires remis au moment du renouvellement demandent désormais si vous appliquez l’authentification multifacteur, si les accès sont contrôlés et journalisés et si des mécanismes de surveillance permettent de détecter les intrusions. Il s’agit là de mesures de contrôle Zero Trust sous une autre appellation, et les cabinets qui ne peuvent démontrer leur application s’exposent à des surprimes ou à un refus de couverture.

Pour un cabinet de petite taille, les enjeux sont bien réels. Une atteinte à la sécurité visant des renseignements sur des débiteurs n’est pas seulement un problème opérationnel; elle soulève également des enjeux réglementaires et de réputation, et un cabinet aux ressources financières limitées pourrait difficilement en absorber les conséquences.

À quoi cela ressemble dans la pratique

Au quotidien, le modèle Zero Trust remplit continuellement trois fonctions. Premièrement, il vérifie : chaque utilisateur et chaque appareil sont validés avant d’accéder à une application. C’est précisément là qu’interviennent l’authentification multifacteur et l’accès conditionnel, sujets de notre dernier article. Deuxièmement, il protège : les appareils, les courriels et les fichiers sont surveillés et, lorsqu’une activité semble suspecte, une personne est en mesure d’intervenir. On ne se limite pas à une alerte perdue au milieu d’un journal. Troisièmement, il fournit des preuves : puisque chaque accès est vérifié et consigné à mesure que le travail est effectué, les renseignements qu’un organisme de réglementation ou un assureur pourrait demander sont déjà disponibles. Nul besoin de les rassembler à la hâte avant une échéance.

Imaginons qu’un syndic ouvre Ascend à partir d’un ordinateur portable chez un débiteur. Dans un environnement Zero Trust, le logiciel s’exécute sur un bureau hébergé plutôt que sur cet ordinateur; l’identité de la personne et son appareil sont vérifiés avant l’ouverture de la session, et les données des dossiers demeurent dans un environnement unique, contrôlé et surveillé, plutôt que d’être copiées sur un appareil qui pourrait être oublié dans un train. La commodité demeure la même. L’exposition au risque, elle, est bien moindre.

Vous n’avez pas besoin du service informatique d’un cabinet national

Le modèle Zero Trust était autrefois réservé aux grandes entreprises, non pas parce que la technologie était complexe, mais parce que sa mise en œuvre nécessitait une équipe de sécurité que la plupart des cabinets ne possédaient pas. Les choses ont changé. Un cabinet de petite ou moyenne taille peut désormais bénéficier des mêmes contrôles sous forme de service géré, sans avoir à embaucher de personnel supplémentaire. Deux éléments méritent toutefois une attention particulière. Il vous faut conserver les données relatives aux débiteurs au Canada, sur une infrastructure dont vous pouvez connaître précisément l’emplacement, afin de pouvoir répondre clairement à toute question d’un client ou d’un organisme de réglementation concernant l’endroit où elles sont hébergées. Il convient également de privilégier une solution intégrée plutôt qu’une collection d’outils disparates, afin que l’équipe qui protège votre environnement soit également celle qui en assure le soutien et la documentation.

C’est cette philosophie qui a guidé la conception de nos propres services : TruWorkspace SSC, pour lequel soutien, sécurité et conformité sont réunis au sein d’une même offre, et TruCloud, notre service d’hébergement canadien, qui permet de conserver sur une infrastructure canadienne les applications, telles qu’Ascend, et les dossiers d’un cabinet. Cela dit, le principe importe davantage que le choix d’un fournisseur particulier : quelle que soit la solution retenue, choisissez-en une qui vérifie chaque demande, conserve vos données au Canada et peut attester des mesures qu’elle applique.

Une invitation à échanger

Nous travaillons aux côtés de la communauté de l’insolvabilité depuis plusieurs années et sommes toujours heureux d’échanger avec les cabinets afin d’évaluer leur situation, sans obligation et sans démarche commerciale. Si vous souhaitez mieux comprendre votre niveau de risque ou simplement voir comment le modèle Zero Trust pourrait s’appliquer à votre cabinet, vous pouvez prendre rendez-vous pour une rencontre exploratoire à l’adresse trupoint.com/CAIRP.

Michael Turcsanyi est le PDG de TruPoint, un fournisseur canadien de services gérés et de solutions infonuagiques qui prend en charge la sécurité, la conformité et les technologies de l’information d’organisations qui traitent des renseignements sensibles. L’entreprise exploite également deux environnements infonuagiques privés au Canada destinés aux charges de travail qui doivent demeurer au pays.

Ce contenu a été fourni par le commanditaire. L’ACPIR n’approuve pas et n’est pas responsable des points de vue, opinions, produits, services ou affirmations qui y sont exprimés.