5 questions d’un entrepreneur en construction à son fournisseur TI après la cyberattaque à la CCQ

Ce que l’on sait — contexte factuel

Selon la couverture de La Presse et les mises à jour de la CCQ, les services en ligne et téléphoniques de la Commission ont été perturbés à partir du 24 août 2026 environ, avec une reprise complète des services le 8 septembre 2026. Des pirates associés au groupe Qilin auraient volé des données personnelles d’au moins 350 000 personnes ; la CCQ a confirmé le vol de certains renseignements de clients et d’employés.

Le 14 septembre 2026, La Presse rapportait que des documents sensibles (par exemple permis de conduire, passeports, documents bancaires ou de crédit) étaient diffusés sur le web caché. La CCQ a indiqué disposer de sauvegardes (« backups ») fiables permettant une restauration sécurisée et a choisi de ne pas traiter avec les criminels.

Pourquoi un entrepreneur en construction devrait s’en soucier

Même si votre entreprise n’est pas la CCQ, vous dépendez souvent des mêmes types de maillons : portails RH et formation, facturation, listes d’employés et de sous-traitants, dossiers clients, outils de chantier et de bureau. Une interruption prolongée ou une fuite de données personnelles force trois conversations : continuité des opérations, communication interne et clients, et obligations de protection des renseignements personnels (Loi 25 au Québec).

L’objectif n’est pas de « paniquer », mais de demander des preuves concrètes à votre fournisseur TI — ou de structurer une évaluation si vous n’en avez pas encore un.

1. Vos sauvegardes sont-elles testées (restauration réelle) et hors ligne / immuables ?

La leçon la plus claire de l’épisode CCQ, telle que rapportée, est que des sauvegardes fiables ont permis une restauration sécurisée et un refus de payer. Pour une PME de construction, posez :

• Quand a eu lieu le dernier test de restauration réel (pas seulement une copie réussie) — et avez-vous un rapport daté ?
• Existe-t-il une copie hors ligne ou immuable (non modifiable par un rançongiciel qui aurait déjà les droits admin) ?
• Quels systèmes sont couverts : fichiers bureau, courriel Microsoft 365, logiciels métier / DMS, photos de chantier, listes d’employés ?

Une sauvegarde non testée est une hypothèse. Une restauration réussie documentée est une preuve.

2. Qui décide de ne pas payer une rançon, et quel est le plan de communication ?

La CCQ a choisi de ne pas traiter avec les criminels, en s’appuyant sur sa capacité de restauration. Dans une PME, cette décision ne doit pas être improvisée à 2 h du matin. Demandez :

• Qui a l’autorité (propriétaire, direction, assureur cyber) pour refuser ou négocier ?
• Quel message type est prêt pour le personnel, les sous-traitants et les clients si les systèmes sont indisponibles 24–72 heures ?
• Qui parle aux autorités / assureur / conseil juridique si des données personnelles sont en jeu ?

3. Que se passe-t-il si des données personnelles fuient (Loi 25 / registre d’incidents) ?

La CCQ a confirmé le vol de certains renseignements personnels et a notamment mis de l’avant un suivi (offre de surveillance Equifax mentionnée dans sa mise à jour). Pour une PME québécoise, la Loi 25 exige une gouvernance claire : responsable de la protection des renseignements personnels (RPRP), registre des incidents de confidentialité, et avis lorsque le risque de préjudice sérieux le justifie.

• Qui est nommé RPRP chez vous — et votre fournisseur TI documente-t-il les incidents techniques de façon exploitable pour ce registre ?
• Quel délai et quel contenu d’avis sont prévus si des dossiers employés ou clients fuient ?
• Les accès admin et les journaux permettent-ils de savoir quoi a pu être exfiltré ?

Ce n’est pas un « produit pare-feu » : c’est un processus métier + preuve technique. (La conformité Loi 25 pour PME fera l’objet d’une page dédiée prochainement.)

4. Comment segmentez-vous nos systèmes (atelier, bureau, outils métier) ?

Un rançongiciel se propage souvent parce que le poste « bureau » et le serveur métier partagent trop de confiance. Demandez une carte simple :

• Le Wi-Fi chantier / atelier est-il séparé du réseau administratif ?
• Les comptes admin sont-ils distincts des comptes quotidiens ?
• Les postes de facturation et les postes « navigation libre » ont-ils les mêmes droits ?

5. Quel délai de reprise (RTO / RPO) est écrit dans notre entente ?

Le jargon RTO (temps maximal d’interruption acceptable) et RPO (perte de données maximale acceptable) doit se traduire en chiffres écrits : « courriel de retour en X heures », « facturation restaurée en Y heures », « perte maximale de Z heures de fichiers ». Sans chiffre, vous achetez de la tranquillité d’esprit verbale — pas un engagement opérationnel.

Comment utiliser cette liste en 15 minutes

Transférez les cinq questions à votre fournisseur TI (ou à deux candidats si vous magasinez). Demandez une réponse écrite sous 10 jours ouvrables, avec pièces : date du dernier test de restauration, schéma de segmentation sommaire, et chiffres RTO/RPO. Gardez le fil dans le même dossier que vos polices d’assurance et votre registre d’incidents Loi 25.

Si vous n’avez pas encore de fournisseur dédié, ces questions deviennent le cahier des charges d’une consultation : elles forcent le marché à parler preuves plutôt que slogans.

Checklist rapide à envoyer à votre fournisseur

• Date et résultat du dernier test de restauration (rapport).
• Présence d’une copie hors ligne ou immuable.
• Périmètre : M365, fichiers, logiciels métier, listes RH.
• Décideur rançon + plan de communication prêt.
• Processus Loi 25 / registre d’incidents branché sur les journaux TI.
• Schéma de segmentation (même sommaire).
• RTO / RPO écrits par système critique.