Programme CyberSécuritaire Canada

La confiance des PME en matière de cybersécurité

On a exploré des concepts généraux de cybersécurité avec des consommateurs et des PME dans le but d’acquérir une compréhension initiale du contexte dans lequel s’inscrirait un programme de certification.

Le rôle du gouvernement en matière d’appui aux PME

La plupart des PME et des consommateurs croient que le gouvernement fédéral a un rôle à jouer pour aider les PME à améliorer leur niveau de cybersécurité. Parmi les suggestions les plus populaires, il y a l’offre de formation, des lignes directrices, des pratiques exemplaires et des listes de contrôle pour que les PME puissent vérifier et améliorer le niveau de cybersécurité. Certains participants ont suggéré que le gouvernement fournisse des logiciels ou des systèmes informatiques abordables ou encore des conseils sur le genre de système ou de logiciel que les entreprises devraient se procurer.

Cependant, l’implication gouvernementale ne bénéficie pas d’un soutien unanime. Certains s’opposaient à une réglementation additionnelle pour les entreprises ou encore au fait qu’on affecte des ressources fédérales à une question qui, pour eux, se gère bien par le secteur privé. On note aussi certaines craintes à l’égard du gouvernement du Canada vu ses propres problèmes liés aux systèmes informatiques, ce qui met en doute la capacité du gouvernement du Canada à devenir un conseiller de confiance en la matière.

L’idée d’exiger un certain niveau en matière de cybersécurité pour exploiter une entreprise au Canada a suscité des réactions mitigées. À la base, la plupart s’entendent sur le fait que les PME doivent offrir un niveau minimum de cybersécurité. Certains se disent préoccupés par une approche universelle puisque certaines entreprises doivent assurer un niveau de sécurité supérieur à d’autres en fonction de la quantité et la nature de la collecte de renseignements d’une entreprise. Dans le même ordre d’idées, certains participants des deux groupes s’inquiètent que des exigences en matière de cybersécurité puissent être injustes envers les petites entreprises qui n’ont pas les ressources ou les moyens de satisfaire aux exigences.

L’évaluation générale des concepts

Les participants aux groupes de discussion ont évalué trois différents concepts visuels. Ils ont commenté l’attrait et la pertinence globale des concepts et ont donné leurs impressions à savoir si ceux-ci se prêtent bien à un programme de certification sur la cybersécurité.

Les commentaires suivants s’appliquent aux trois concepts :

• La feuille d’érable rouge constitue un symbole canadien fort pour chaque concept.

• La feuille d’érable seule ne suffit cependant pas pour indiquer que le gouvernement du Canada endosse le programme ou qu’il s’agit d’un programme du gouvernement du Canada.

• Plusieurs participants trouvent que les concepts paraissent trop simples et que n’importe quelle entreprise pourrait reproduire et afficher le logo sans pour autant détenir la certification. Il faut pouvoir valider l’authenticité du certificat.

• On a bien reçu les concepts bilingues – certains les préféraient aux concepts unilingues.

• Les francophones ont décidément aimé le langage utilisé dans la version anglaise des concepts, mais ont trouvé la version française déficiente. Plus particulièrement, ils ont remis en question l’utilisation du mot « fiable » - certains trouvaient qu’il n’était pas suffisamment robuste ou percutant alors que d’autres ne trouvaient pas qu’il se prêtait bien à la cybersécurité.

• Certains participants aimeraient que le mot « certifié » soit intégré au concept de manière à informer qu’il s’agit d’une certification, et non d’un logo d’entreprise ou de produit.

Les commentaires propres à chaque concept sont résumés ci-dessous :

• Concept A (bouclier) : Plusieurs ont aimé l’image puisqu’elle rend bien l’aspect de sécurité; ils ont aussi aimé la police de caractère utilisée avec le concept. D’autre part, bien qu’elle communique la sécurité, on ne considère pas l’image unique puisque d’autres entreprises du domaine de la sécurité utilisent le bouclier dans leur logo.

• Concept B (cadenas) : Le concept communique clairement l’aspect « sécurité » - presque tous les participants ont tout de suite reconnu le cadenas. Certains ont aimé l’incorporation d’un « C » pour cyber et d’un « S » pour sécurité dans la conception du cadenas. Cependant, certains y ont vu un cadenas ouvert, suggérant un manque de sécurité. Plusieurs auraient préféré deux types de polices (semblable à celles utilisées dans les deux autres concepts).

• Concept C (voûte) : Le seul avantage du concept est que certains l’ont trouvé unique. En revanche, on a souvent rejeté ce concept parce que des participants ne pouvaient pas identifier ce que l’image représentait et qu’il ne transmettait pas l’aspect « sécurité ». On a aussi trouvé la police de caractère inadéquate et « manquant de sérieux ».

Dans l’ensemble, les consommateurs aiment mieux, dans une large mesure, le concept du cadenas alors que le choix des PME se partage entre le concept du bouclier et celui du cadenas. Le concept de la voûte s’est classé bon dernier dans les deux groupes. Un concept plus fort pour bon nombre des participants combine l’image du cadenas et la police de caractère utilisée dans le concept du bouclier.

L’exploration d’un programme composé d’échelons

Les consommateurs et les PME ont tous deux largement rejeté la notion d’un programme composé d’échelons. Ils préfèrent un programme qui précise si une entreprise est cybersécuritaire ou si elle ne l’est pas. Les principales préoccupations des participants face aux échelons sont :

• Les consommateurs ont trouvé qu’il faut déjà suffisamment d’efforts pour remarquer le logo, et plus encore pour les échelons. De plus, même s’ils les remarquent, ils croient qu’il faudrait beaucoup de temps pour se familiariser avec le programme et comprendre la différence entre les échelons.

• Les PME considèrent ne pas vouloir rendre les échelons publics, particulièrement s’ils ne se trouvent pas à l’échelon le plus élevé. Elles s’inquiètent du fait que leurs clients s’interrogeraient sur le niveau de cybersécurité, peu importe la signification des échelons.

• Certaines PME ont carrément indiqué qu’elles ne publiciseront pas leur niveau si elles se trouvent « seulement au premier échelon » – elles considèrent que le message suggère des mesures moindres en matière de cybersécurité, ce qui nuirait à leur entreprise, et de plus, les identifierait comme une cible pour les pirates informatiques.

• En examinant la manière de communiquer les échelons aux clients à l’aide des logos, plusieurs participants s’entendent que l’intégration des échelons aux concepts visuels les encombre.

L’usage de couleurs dans les concepts visuels

Les participants ont souvent réagi immédiatement et de manière décisive face aux couleurs présentées : peu d’entre eux les ont aimées. S’ils étaient contraints de choisir, les participants opteraient soit pour le statu quo (c.-à-d. le concept en noir et blanc) ou ils choisiraient le gris parmi les couleurs proposées.

Quoique la plupart des participants n’aiment tout simplement pas les couleurs présentées, certains trouvent que l’ajout d’une couleur affaiblissait le ton général ou le message véhiculé par le concept visuel. Ils considèrent que le concept de sécurité doit être transmis par une couleur plus sérieuse ou plus « dure » que les couleurs présentées.

L’impact possible sur la concurrence

Les consommateurs s’avèrent peu enclins à modifier leurs habitudes de magasinage selon qu’une entreprise a ou non une cybercertification, surtout parce qu’ils font confiance aux entreprises avec lesquelles ils font affaire en ce moment. Les consommateurs ne cesseront pas de faire affaire avec une PME en l’absence de certification.

Les PME ont une opinion partagée à savoir si le fait de détenir une certification aura un impact positif sur leur entreprise. Les PME qui s’intéressent à la cybercertification supposent qu’elle peut devenir un différentiateur concurrentiel, que les consommateurs la remarqueront, et qu’elle pourrait les aider à devenir une meilleure entreprise en étant plus proactives et plus « sensibilisées » à la cybersécurité. Pour plusieurs PME, l’impact de la certification sur leur entreprise dépend largement de l’intérêt et de la compréhension des consommateurs face au programme, de ce que la certification représente pour le consommateur et de ce que la PME a dû faire pour obtenir sa certification.

• Certaines PME se rendent compte que les consommateurs ne reconnaitront pas le programme du jour au lendemain et que l’impact sur leur entreprise pourrait prendre du temps à se faire sentir, impression partagée par certains consommateurs.

Outre sur la vitrine d’un magasin ou sur un site Web, les participants s’attendent à voir ou à utiliser les logos à différents endroits, par exemple sur l’emballage, à la caisse enregistreuse ou près des dispositifs de points de vente, dans la publicité, sur les cartes professionnelles, les factures et dans les signatures de courriel.

Les attentes face au programme

Les participants, et particulièrement les consommateurs, ont eu peine à décrire ce à quoi le programme devrait ressembler. Les PME et les consommateurs voient du même œil certains des principaux éléments du programme, dont plusieurs portent sur le rôle du gouvernement du Canada, et qui comprennent les points suivants :

• Le gouvernement fédéral offrirait à tous ceux qui détiennent une certification l’accès à de la formation, à des lignes directrices et aux pratiques exemplaires en matière de cybersécurité.

• Il devrait y avoir une forme d’audit de la certification et la plupart des participants présument qu’un expert en informatique qui travaille pour le compte du gouvernement du Canada s’en chargerait (plutôt que de sous-traiter à une tierce partie).

• Il faudrait inclure le renouvellement périodique de la certification.

Le rôle du gouvernement

Parmi les rôles les plus fréquents, les participants croient que le gouvernement du Canada devrait :

• Faire la promotion du programme au public pour s’assurer que celui-ci comprenne bien ce que la certification signifie.

• Établir les normes liées à la certification.

• Mener les audits, la certification et le renouvellement de la certification, y compris des évaluations spécifiques qui permettent de s’assurer que les entreprises certifiées continuent d’être sécuritaires.

• Offrir les outils et les ressources pour valider l’authenticité du certificat d’un fournisseur.

• Offrir des ressources pour la formation des employés, des listes de vérification, des ressources et des outils éducatifs et des pratiques exemplaires pour appuyer les efforts d’obtention et du maintien de la certification.

• Offrir un certain soutien aux entreprises « piratées » malgré leur certification.

• Poursuivre en justice les pirates informatiques et autres cybercriminels de manière plus proactive.

• Sensibiliser les Canadiens et les Canadiennes à leur propre cybersécurité.