Bécancour
Services informatiques à Bécancour pour les fournisseurs du parc industriel
Quand on vend à une grande entreprise, le contrat arrive de plus en plus souvent avec un questionnaire de sécurité. Quarante questions, parfois cent, et une case « preuve à joindre » à côté de chacune. OKTO Solutions offre ses services TI gérés aux PME de Bécancour depuis Trois-Rivières, à 23 km, et garde ces preuves prêtes.
Un sous-traitant de Bécancour qui reçoit le questionnaire de sécurité d’un donneur d’ordres doit démontrer ses contrôles : double authentification, correctifs, sauvegardes testées, gestion des accès. OKTO Solutions, établie à Trois-Rivières à 23 km, met ces mesures en place, les documente et fournit la preuve datée de chacune.
Comment un fournisseur de Bécancour répond-il au questionnaire de sécurité d’un donneur d’ordres ?
Un fournisseur de Bécancour répond au questionnaire de sécurité d’un donneur d’ordres en joignant une preuve à chaque affirmation, et OKTO Solutions l’aide à produire ces preuves. L’entreprise travaille depuis son bureau de Trois-Rivières, à 23 km, sans adresse ni employé à Bécancour. Elle gère les postes, les serveurs et Microsoft 365 à distance, puis documente ce que le questionnaire vérifie : double authentification sur tous les comptes, correctifs appliqués, sauvegardes restaurées lors d’un essai, appareils chiffrés, accès retirés au départ d’un employé. Chaque contrôle laisse une trace datée, tirée des outils de gestion plutôt que rédigée à la main. Quand une mesure manque, OKTO l’indique et propose une date de correction, parce qu’un écart reconnu vaut mieux qu’une réponse impossible à démontrer. OKTO ne détient pas de certification SOC 2 ou ISO et n’en délivre aucune. Une visite sur place se fait le jour même ou le lendemain.
Ici, le formulaire d’un assureur. Celui d’un donneur d’ordres fonctionne pareil : une case, puis la preuve à côté.
Ce qui arrive avec le contrat
Pourquoi ce questionnaire atterrit-il sur votre bureau ?
Une grande entreprise ne se fait presque jamais attaquer de front. On passe par le plus petit : l’atelier d’usinage qui a un accès au portail des commandes, la firme d’entretien dont les employés ont un badge, le transporteur qui reçoit les bordereaux par courriel. Le service des achats le sait. Il demande donc à chaque fournisseur de décrire sa sécurité avant de renouveler l’entente.
Le document aboutit chez la contrôleuse ou chez le directeur d’usine, rarement chez quelqu’un dont c’est le métier. Les questions sont rédigées dans un vocabulaire d’auditeur. La tentation est de cocher « oui » partout pour s’en débarrasser. Mauvaise idée : ces réponses font partie du contrat, et le client peut demander à voir.
La mécanique
De la question posée à la pièce jointe
Les formulaires changent d’un client à l’autre, mais les mêmes sujets reviennent. Pour chacun, il y a une mesure à mettre en place et un document qui la démontre.
| Ce que le questionnaire demande | Le contrôle en place | La preuve remise |
|---|---|---|
| Les comptes sont-ils protégés par un deuxième facteur ? | Double authentification exigée pour tous, direction comprise | Export de la liste des comptes et de leur méthode d’authentification |
| Les systèmes sont-ils tenus à jour ? | Correctifs déployés et suivis poste par poste | Rapport de conformité des correctifs, daté |
| Les données peuvent-elles être restaurées ? | Sauvegarde quotidienne avec copie hors site | Journal des sauvegardes et compte rendu du dernier essai de restauration |
| Qui a accès à quoi ? | Un compte par personne, droits revus à intervalle fixe | Registre des accès et procédure de départ signée |
| Les appareils sont-ils connus et chiffrés ? | Inventaire tenu par l’outil de gestion, chiffrement du disque | Liste des appareils avec l’état du chiffrement |
| Que se passe-t-il lors d’un incident ? | Marche à suivre écrite, personne responsable nommée | Le document lui-même, avec sa date de révision |
Plusieurs de ces questions recoupent ce que demande la Loi 25 à une PME du Québec, notamment sur la personne responsable et le registre des incidents. Le travail fait pour l’un sert à l’autre.
La preuve la plus négligée
Que répondre quand on vous demande vos journaux ?
C’est la question qui embête le plus. « Conservez-vous un historique des connexions ? » Beaucoup de PME répondent oui de bonne foi, parce que Microsoft 365 garde effectivement des traces. Sauf que personne ne les regarde, et que personne ne saurait les retrouver un vendredi à 16 h.
Un journal ne vaut quelque chose que s’il est lu. Dans un parc géré, une connexion faite depuis un endroit inhabituel sort du lot, quelqu’un la vérifie, et l’accès est révoqué s’il le faut. Le geste est consigné. Six mois plus tard, quand le client demande comment un incident a été traité, on lui remet la séquence : qui, quand, quoi.
Une connexion inhabituelle est révoquée, puis le journal consigne chaque geste. C’est cette trace qu’on joint au dossier.
La démarche
Le questionnaire est arrivé lundi. On fait quoi ?
Rien ne sert de courir. Un formulaire bâclé revient avec des questions de suivi, et c’est là qu’on perd des semaines.
- Lire le formulaire en entier et classer chaque question : déjà en place, en place mais sans preuve, absent.
- Vérifier l’état réel des systèmes avant d’écrire un seul « oui ». Ce que l’on croit actif ne l’est pas toujours.
- Fermer les écarts rapides, ceux qui se règlent par un réglage plutôt que par un achat.
- Rassembler les preuves dans un seul dossier, une pièce par question, chacune avec sa date.
- Écrire les écarts restants avec une échéance réaliste, que la direction approuve.
- Garder le dossier vivant. Le même client reposera les mêmes questions l’an prochain, et un autre le fera avant.
Le territoire
Un parc industriel et portuaire de 70 km² au bord du fleuve
Bécancour comptait 13 561 habitants au recensement de 2021. La ville est le chef-lieu de la MRC de Bécancour, dans le Centre-du-Québec. La Société du parc industriel et portuaire de Bécancour, créée par le gouvernement du Québec en 1968, y administre un territoire de 70 km² et un port de cinq postes d’amarrage. Autour de ces grandes installations gravitent les PME à qui les questionnaires sont envoyés.
Trois-Rivières
Notre bureau se trouve sur la rive nord, à 23 km. Les visites à Bécancour partent de là.
Nicolet
Plus à l’ouest, pour les petites organisations où l’informatique repose sur une seule personne.
Shawinigan
Pour les PME qui ont un atelier à côté du bureau et un réseau de production à remettre en ordre.
Les autres territoires couverts sont sur la page régions desservies. Si vous avez déjà une personne aux TI à l’interne, voyez les services TI cogérés.
Foire aux questions
Vos questions sur nos services à Bécancour
Un client du parc industriel nous a envoyé un questionnaire de sécurité. Pouvez-vous le remplir ?
Que fait-on quand la vraie réponse est non ?
Quelles preuves un donneur d’ordres demande-t-il le plus souvent ?
OKTO Solutions a-t-elle une certification SOC 2 ou ISO 27001 ?
Avez-vous une adresse à Bécancour ?
Venez-vous sur place à Bécancour ?
Vous avez un questionnaire à rendre ?
Transmettez-nous le formulaire et la date de remise. On vous dit quelles réponses sont déjà appuyées, lesquelles demandent du travail et combien de temps il faut prévoir.
Révisé par Antonio Pazzi, président d’OKTO Solutions · mis à jour le