[{"data":1,"prerenderedAt":491},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Fpolitique-securite-information-modele-pme":45,"post-alt-\u002Fblogue\u002Fpolitique-securite-information-modele-pme":468,"post-rel-\u002Fblogue\u002Fpolitique-securite-information-modele-pme":470},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":421,"date":422,"description":423,"extension":424,"faq":425,"keyword":438,"meta":439,"minutes":27,"navigation":371,"path":440,"rawbody":441,"seo":442,"sources":443,"stem":459,"tags":460,"translationKey":465,"updated":466,"__hash__":467},"blog_fr\u002Fblogue\u002Fpolitique-securite-information-modele-pme.md","Politique de sécurité de l'information : modèle pour PME",{"type":49,"value":50,"toc":413},"minimark",[51,55,58,61,82,87,90,169,178,182,185,261,274,278,282,285,309,317,320,324,356,360,403,410],[52,53,54],"p",{},"Le questionnaire de l'assureur demande : « Avez-vous une politique de sécurité de l'information écrite et approuvée par la direction ? » Chez un distributeur de Drummondville de 30 employés, la contrôleuse hésite. Il existe bien un document de 2019, rédigé par l'ancien technicien, qui parle encore de Windows 7. Personne ne l'a lu depuis.",[52,56,57],{},"C'est la situation la plus courante dans les PME : soit il n'y a rien, soit il y a un document générique de 40 pages que personne n'applique. Les deux posent problème. Une politique de sécurité utile est courte, adaptée à l'entreprise et réellement suivie.",[52,59,60],{},"Voici un plan en 12 sections que vous pouvez adapter, ce que la Loi 25 change au processus d'approbation, et les erreurs à éviter.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Une politique de sécurité fixe les principes et les responsabilités ; les détails techniques vont dans des directives et des procédures séparées.",[70,74,75],{},"Pour une PME, 6 à 10 pages suffisent, à condition que chaque engagement corresponde à une pratique réelle.",[70,77,78],{},"La Loi 25 exige des politiques de gouvernance des renseignements personnels approuvées par le responsable de la protection des renseignements personnels : arrimez les deux documents.",[70,80,81],{},"Révisez la politique chaque année et après tout changement important.",[83,84,86],"h2",{"id":85},"politique-directive-procédure-trois-niveaux","Politique, directive, procédure : trois niveaux",[52,88,89],{},"Le premier piège est de tout mettre dans un seul document. Une structure à trois niveaux reste simple et vieillit beaucoup mieux.",[91,92,93,115],"table",{},[94,95,96],"thead",{},[97,98,99,103,106,109,112],"tr",{},[100,101,102],"th",{},"Niveau",[100,104,105],{},"Rôle",[100,107,108],{},"Qui approuve",[100,110,111],{},"Fréquence de mise à jour",[100,113,114],{},"Exemple",[116,117,118,136,153],"tbody",{},[97,119,120,124,127,130,133],{},[121,122,123],"td",{},"Politique",[121,125,126],{},"Principes, portée, rôles, engagements",[121,128,129],{},"Direction (et responsable RP pour le volet renseignements personnels)",[121,131,132],{},"Annuelle",[121,134,135],{},"« Tous les accès à distance exigent l'authentification multifacteur. »",[97,137,138,141,144,147,150],{},[121,139,140],{},"Directives ou normes",[121,142,143],{},"Règles mesurables",[121,145,146],{},"Responsable de la sécurité ou fournisseur TI, validé par la direction",[121,148,149],{},"Au besoin",[121,151,152],{},"« Correctifs critiques exposés à Internet : 72 heures au maximum. »",[97,154,155,158,161,164,166],{},[121,156,157],{},"Procédures",[121,159,160],{},"Pas-à-pas opérationnel",[121,162,163],{},"Responsable TI",[121,165,149],{},[121,167,168],{},"Procédure de départ d'un employé, restauration d'une sauvegarde",[52,170,171,172,177],{},"Le Centre canadien pour la cybersécurité, dans ses contrôles de base pour les petites et moyennes organisations, recommande notamment de confier la sécurité des TI à une personne précise de la direction et de se doter de règles claires pour les mots de passe. Ce sont deux engagements typiques d'une politique. Le cadre du NIST, de son côté, range la politique de cybersécurité dans sa fonction « Gouverner » : elle doit être établie, communiquée, appliquée et révisée (voir notre article sur le ",[173,174,176],"a",{"href":175},"\u002Fblogue\u002Fnist-csf-2-pme","NIST CSF 2.0 pour les PME",").",[83,179,181],{"id":180},"le-modèle-plan-en-12-sections","Le modèle : plan en 12 sections",[52,183,184],{},"Voici un plan type que notre équipe utilise comme point de départ. Adaptez chaque section ; supprimez ce qui ne s'applique pas.",[186,187,188,195,201,207,213,219,225,231,237,243,249,255],"ol",{},[70,189,190,194],{},[191,192,193],"strong",{},"Objet et portée."," Pourquoi la politique existe, à qui elle s'applique (employés, stagiaires, sous-traitants, fournisseur TI) et quels actifs elle couvre : postes, téléphones, comptes infonuagiques, papier.",[70,196,197,200],{},[191,198,199],{},"Rôles et responsabilités."," Direction, responsable de la sécurité de l'information, responsable de la protection des renseignements personnels, gestionnaires, employés, fournisseur TI. Un nom ou un titre par rôle.",[70,202,203,206],{},[191,204,205],{},"Classification de l'information."," Trois niveaux suffisent souvent : public, interne, confidentiel. Exemples concrets pour chacun (dossiers clients, paie, soumissions).",[70,208,209,212],{},[191,210,211],{},"Utilisation acceptable."," Appareils de l'entreprise, usage personnel raisonnable, logiciels autorisés, outils d'IA générative, appareils personnels.",[70,214,215,218],{},[191,216,217],{},"Gestion des accès."," Moindre privilège, comptes nominatifs, MFA, comptes d'administration séparés, revue des accès, arrivée et départ du personnel.",[70,220,221,224],{},[191,222,223],{},"Mots de passe et authentification."," Longueur minimale, gestionnaire de mots de passe, interdiction de réutilisation.",[70,226,227,230],{},[191,228,229],{},"Protection des appareils."," Chiffrement, antivirus ou EDR, verrouillage automatique, mises à jour.",[70,232,233,236],{},[191,234,235],{},"Gestion des correctifs et des vulnérabilités."," Délais par gravité, renvoi à la directive détaillée.",[70,238,239,242],{},[191,240,241],{},"Sauvegardes et continuité."," Fréquence, copie hors ligne, tests de restauration.",[70,244,245,248],{},[191,246,247],{},"Fournisseurs et infonuagique."," Exigences contractuelles, accès des tiers, emplacement des données.",[70,250,251,254],{},[191,252,253],{},"Gestion des incidents."," Comment signaler, qui décide, lien avec le plan de réponse et le registre des incidents de confidentialité.",[70,256,257,260],{},[191,258,259],{},"Sensibilisation, conformité et révision."," Formation à l'embauche et annuelle, conséquences en cas de manquement, date de révision, historique des versions et signatures.",[52,262,263,264,268,269,273],{},"Pour les sections 8 et 11, vous pouvez vous appuyer sur nos modèles de ",[173,265,267],{"href":266},"\u002Fblogue\u002Fpolitique-gestion-correctifs-pme","politique de gestion des correctifs"," et de ",[173,270,272],{"href":271},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","plan de réponse aux incidents",".",[275,276],"cta",{"variant":277},"audit",[83,279,281],{"id":280},"ce-que-la-loi-25-change","Ce que la Loi 25 change",[52,283,284],{},"La Loi sur la protection des renseignements personnels dans le secteur privé n'exige pas un document intitulé « politique de sécurité ». Elle impose toutefois plusieurs obligations qui s'y rattachent directement.",[67,286,287,297,303],{},[70,288,289,292,293,296],{},[191,290,291],{},"Article 3.2 :"," l'entreprise doit établir et mettre en œuvre des politiques et des pratiques encadrant sa gouvernance des renseignements personnels et propres à assurer leur protection. Elles doivent prévoir, notamment, la conservation et la destruction, les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements et un processus de traitement des plaintes. Elles doivent être proportionnées à la nature et à l'importance des activités, et ",[191,294,295],{},"approuvées par le responsable de la protection des renseignements personnels",". Des informations détaillées à leur sujet doivent être publiées, en termes simples et clairs, sur le site Web de l'entreprise.",[70,298,299,302],{},[191,300,301],{},"Article 10 :"," les mesures de sécurité doivent être raisonnables compte tenu, notamment, de la sensibilité des renseignements, de leur finalité, de leur quantité, de leur répartition et de leur support.",[70,304,305,308],{},[191,306,307],{},"Article 20 :"," un employé n'accède à un renseignement personnel que s'il est nécessaire à l'exercice de ses fonctions. C'est le principe du moindre privilège, inscrit dans la loi.",[52,310,311,312,316],{},"En pratique, deux options s'offrent à vous. Soit la politique de sécurité intègre le volet renseignements personnels et elle est approuvée à la fois par la direction et par le responsable RP. Soit les deux documents restent séparés, mais se renvoient l'un à l'autre. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise qui exerce la fonction de responsable RP (article 3.1), ce qui simplifie souvent l'approbation dans une PME. Notre article sur le ",[173,313,315],{"href":314},"\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite","rôle du responsable de la protection des renseignements personnels"," détaille ce volet. Validez votre approche avec votre conseiller juridique.",[52,318,319],{},"La liste de contrôle publiée par la Commission d'accès à l'information en janvier 2026 mentionne d'ailleurs des éléments à prévoir : formation du personnel, utilisation des appareils mobiles, exigences envers les prestataires et gestion des incidents.",[83,321,323],{"id":322},"les-erreurs-les-plus-fréquentes","Les erreurs les plus fréquentes",[67,325,326,332,338,344,350],{},[70,327,328,331],{},[191,329,330],{},"Promettre ce qu'on ne fait pas."," « Toutes les données sont chiffrées » alors que le NAS ne l'est pas. Lors d'une réclamation d'assurance ou d'une enquête, l'écart entre l'écrit et la réalité coûte cher.",[70,333,334,337],{},[191,335,336],{},"Copier un modèle sans l'adapter."," Les gabarits gratuits, comme ceux de SANS, sont de bons points de départ, mais ils sont pensés pour de grandes organisations.",[70,339,340,343],{},[191,341,342],{},"Oublier le fournisseur TI."," Il a souvent les accès les plus puissants. La politique doit s'appliquer à lui aussi.",[70,345,346,349],{},[191,347,348],{},"Ne jamais la présenter aux employés."," Une politique non lue n'existe pas. Une séance de 30 minutes et une signature à l'embauche suffisent.",[70,351,352,355],{},[191,353,354],{},"Laisser vieillir le document."," Fixez une date de révision et un propriétaire.",[83,357,359],{"id":358},"mettre-la-politique-en-place-en-30-jours","Mettre la politique en place en 30 jours",[67,361,364,375,382,389,396],{"className":362},[363],"contains-task-list",[70,365,368,374],{"className":366},[367],"task-list-item",[369,370],"input",{"disabled":371,"type":372,"aria-label":373},true,"checkbox","Semaine 1 : désigner le propriétaire de la politique et faire l'inventaire de ce qui existe déjà."," Semaine 1 : désigner le propriétaire de la politique et faire l'inventaire de ce qui existe déjà.",[70,376,378,381],{"className":377},[367],[369,379],{"disabled":371,"type":372,"aria-label":380},"Semaine 2 : rédiger les 12 sections en décrivant la pratique réelle, avec des dates cibles pour les écarts."," Semaine 2 : rédiger les 12 sections en décrivant la pratique réelle, avec des dates cibles pour les écarts.",[70,383,385,388],{"className":384},[367],[369,386],{"disabled":371,"type":372,"aria-label":387},"Semaine 3 : faire réviser par la direction, le responsable RP et le fournisseur TI."," Semaine 3 : faire réviser par la direction, le responsable RP et le fournisseur TI.",[70,390,392,395],{"className":391},[367],[369,393],{"disabled":371,"type":372,"aria-label":394},"Semaine 4 : approuver, signer, présenter aux employés et obtenir leur accusé de lecture."," Semaine 4 : approuver, signer, présenter aux employés et obtenir leur accusé de lecture.",[70,397,399,402],{"className":398},[367],[369,400],{"disabled":371,"type":372,"aria-label":401},"En continu : rattacher les directives et procédures, puis planifier la révision annuelle."," En continu : rattacher les directives et procédures, puis planifier la révision annuelle.",[52,404,405,406,409],{},"Si vous voulez qu'un regard externe confronte votre politique à vos pratiques réelles et à vos obligations, notre service de ",[173,407,408],{"href":17},"conformité Loi 25"," inclut la révision des politiques de gouvernance et de sécurité.",[275,411],{"variant":412},"devis",{"title":414,"searchDepth":11,"depth":15,"links":415},"",[416,417,418,419,420],{"id":85,"depth":11,"text":86},{"id":180,"depth":11,"text":181},{"id":280,"depth":11,"text":281},{"id":322,"depth":11,"text":323},{"id":358,"depth":11,"text":359},"compliance","2026-10-24","Un plan de politique de sécurité de l'information prêt à adapter : 12 sections, approbation, lien avec la Loi 25 et pièges à éviter pour une PME québécoise.","md",[426,429,432,435],{"q":427,"a":428},"Une PME est-elle obligée d'avoir une politique de sécurité de l'information ?","Aucune loi québécoise n'exige un document portant exactement ce titre. Par contre, la Loi 25 oblige toute entreprise à adopter des politiques et pratiques encadrant sa gouvernance des renseignements personnels et propres à assurer leur protection, et à prendre des mesures de sécurité raisonnables. Une politique de sécurité écrite est la façon la plus simple de démontrer ces mesures. Validez la portée exacte de vos obligations avec votre conseiller juridique.",{"q":430,"a":431},"Quelle est la différence entre une politique, une directive et une procédure ?","La politique fixe les principes et les responsabilités ; elle change rarement et elle est approuvée par la direction. Les directives ou normes précisent les règles (longueur des mots de passe, délais de correctifs). Les procédures décrivent le pas-à-pas, comme la révocation des accès lors d'un départ. Séparer les trois évite de faire approuver la politique chaque fois qu'un réglage change.",{"q":433,"a":434},"Peut-on simplement télécharger un modèle de politique sur Internet ?","Un modèle aide à structurer le document, mais une politique copiée telle quelle promet souvent des contrôles que l'entreprise n'applique pas. En cas d'incident, de questionnaire d'assurance ou de vérification, cet écart peut se retourner contre vous. Adaptez chaque section à ce que vous faites réellement, quitte à prévoir une date cible pour ce qui reste à mettre en place.",{"q":436,"a":437},"À quelle fréquence faut-il réviser la politique de sécurité ?","Au moins une fois par année, et chaque fois qu'un changement important survient : migration vers l'infonuagique, nouveau fournisseur TI, incident, acquisition. La révision annuelle est aussi l'occasion de vérifier que les directives et procédures suivent encore la réalité.","politique de sécurité de l'information",{},"\u002Fblogue\u002Fpolitique-securite-information-modele-pme","---\ntitle: \"Politique de sécurité de l'information : modèle pour PME\"\ndescription: \"Un plan de politique de sécurité de l'information prêt à adapter : 12 sections, approbation, lien avec la Loi 25 et pièges à éviter pour une PME québécoise.\"\ndate: 2026-10-24\ncategory: compliance\ntags: [\"politique de sécurité\", \"gouvernance\", \"loi 25\", \"pme\"]\ntranslationKey: politique-securite\nkeyword: \"politique de sécurité de l'information\"\nfaq:\n  - q: \"Une PME est-elle obligée d'avoir une politique de sécurité de l'information ?\"\n    a: \"Aucune loi québécoise n'exige un document portant exactement ce titre. Par contre, la Loi 25 oblige toute entreprise à adopter des politiques et pratiques encadrant sa gouvernance des renseignements personnels et propres à assurer leur protection, et à prendre des mesures de sécurité raisonnables. Une politique de sécurité écrite est la façon la plus simple de démontrer ces mesures. Validez la portée exacte de vos obligations avec votre conseiller juridique.\"\n  - q: \"Quelle est la différence entre une politique, une directive et une procédure ?\"\n    a: \"La politique fixe les principes et les responsabilités ; elle change rarement et elle est approuvée par la direction. Les directives ou normes précisent les règles (longueur des mots de passe, délais de correctifs). Les procédures décrivent le pas-à-pas, comme la révocation des accès lors d'un départ. Séparer les trois évite de faire approuver la politique chaque fois qu'un réglage change.\"\n  - q: \"Peut-on simplement télécharger un modèle de politique sur Internet ?\"\n    a: \"Un modèle aide à structurer le document, mais une politique copiée telle quelle promet souvent des contrôles que l'entreprise n'applique pas. En cas d'incident, de questionnaire d'assurance ou de vérification, cet écart peut se retourner contre vous. Adaptez chaque section à ce que vous faites réellement, quitte à prévoir une date cible pour ce qui reste à mettre en place.\"\n  - q: \"À quelle fréquence faut-il réviser la politique de sécurité ?\"\n    a: \"Au moins une fois par année, et chaque fois qu'un changement important survient : migration vers l'infonuagique, nouveau fournisseur TI, incident, acquisition. La révision annuelle est aussi l'occasion de vérifier que les directives et procédures suivent encore la réalité.\"\nsources:\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n  - title: \"CAI : Prévenir les incidents de confidentialité — liste de contrôle pour les entreprises (janvier 2026)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_FIC_ENTR_Prevention_incidents.pdf\"\n  - title: \"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n  - title: \"NIST : Cybersecurity Framework 2.0\"\n    url: \"https:\u002F\u002Fwww.nist.gov\u002Fcyberframework\"\n  - title: \"SANS : Information Security Policy Templates\"\n    url: \"https:\u002F\u002Fwww.sans.org\u002Finformation-security-policy\u002F\"\n---\n\nLe questionnaire de l'assureur demande : « Avez-vous une politique de sécurité de l'information écrite et approuvée par la direction ? » Chez un distributeur de Drummondville de 30 employés, la contrôleuse hésite. Il existe bien un document de 2019, rédigé par l'ancien technicien, qui parle encore de Windows 7. Personne ne l'a lu depuis.\n\nC'est la situation la plus courante dans les PME : soit il n'y a rien, soit il y a un document générique de 40 pages que personne n'applique. Les deux posent problème. Une politique de sécurité utile est courte, adaptée à l'entreprise et réellement suivie.\n\nVoici un plan en 12 sections que vous pouvez adapter, ce que la Loi 25 change au processus d'approbation, et les erreurs à éviter.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Une politique de sécurité fixe les principes et les responsabilités ; les détails techniques vont dans des directives et des procédures séparées.\n- Pour une PME, 6 à 10 pages suffisent, à condition que chaque engagement corresponde à une pratique réelle.\n- La Loi 25 exige des politiques de gouvernance des renseignements personnels approuvées par le responsable de la protection des renseignements personnels : arrimez les deux documents.\n- Révisez la politique chaque année et après tout changement important.\n::\n\n## Politique, directive, procédure : trois niveaux\n\nLe premier piège est de tout mettre dans un seul document. Une structure à trois niveaux reste simple et vieillit beaucoup mieux.\n\n| Niveau | Rôle | Qui approuve | Fréquence de mise à jour | Exemple |\n|---|---|---|---|---|\n| Politique | Principes, portée, rôles, engagements | Direction (et responsable RP pour le volet renseignements personnels) | Annuelle | « Tous les accès à distance exigent l'authentification multifacteur. » |\n| Directives ou normes | Règles mesurables | Responsable de la sécurité ou fournisseur TI, validé par la direction | Au besoin | « Correctifs critiques exposés à Internet : 72 heures au maximum. » |\n| Procédures | Pas-à-pas opérationnel | Responsable TI | Au besoin | Procédure de départ d'un employé, restauration d'une sauvegarde |\n\nLe Centre canadien pour la cybersécurité, dans ses contrôles de base pour les petites et moyennes organisations, recommande notamment de confier la sécurité des TI à une personne précise de la direction et de se doter de règles claires pour les mots de passe. Ce sont deux engagements typiques d'une politique. Le cadre du NIST, de son côté, range la politique de cybersécurité dans sa fonction « Gouverner » : elle doit être établie, communiquée, appliquée et révisée (voir notre article sur le [NIST CSF 2.0 pour les PME](\u002Fblogue\u002Fnist-csf-2-pme)).\n\n## Le modèle : plan en 12 sections\n\nVoici un plan type que notre équipe utilise comme point de départ. Adaptez chaque section ; supprimez ce qui ne s'applique pas.\n\n1. **Objet et portée.** Pourquoi la politique existe, à qui elle s'applique (employés, stagiaires, sous-traitants, fournisseur TI) et quels actifs elle couvre : postes, téléphones, comptes infonuagiques, papier.\n2. **Rôles et responsabilités.** Direction, responsable de la sécurité de l'information, responsable de la protection des renseignements personnels, gestionnaires, employés, fournisseur TI. Un nom ou un titre par rôle.\n3. **Classification de l'information.** Trois niveaux suffisent souvent : public, interne, confidentiel. Exemples concrets pour chacun (dossiers clients, paie, soumissions).\n4. **Utilisation acceptable.** Appareils de l'entreprise, usage personnel raisonnable, logiciels autorisés, outils d'IA générative, appareils personnels.\n5. **Gestion des accès.** Moindre privilège, comptes nominatifs, MFA, comptes d'administration séparés, revue des accès, arrivée et départ du personnel.\n6. **Mots de passe et authentification.** Longueur minimale, gestionnaire de mots de passe, interdiction de réutilisation.\n7. **Protection des appareils.** Chiffrement, antivirus ou EDR, verrouillage automatique, mises à jour.\n8. **Gestion des correctifs et des vulnérabilités.** Délais par gravité, renvoi à la directive détaillée.\n9. **Sauvegardes et continuité.** Fréquence, copie hors ligne, tests de restauration.\n10. **Fournisseurs et infonuagique.** Exigences contractuelles, accès des tiers, emplacement des données.\n11. **Gestion des incidents.** Comment signaler, qui décide, lien avec le plan de réponse et le registre des incidents de confidentialité.\n12. **Sensibilisation, conformité et révision.** Formation à l'embauche et annuelle, conséquences en cas de manquement, date de révision, historique des versions et signatures.\n\nPour les sections 8 et 11, vous pouvez vous appuyer sur nos modèles de [politique de gestion des correctifs](\u002Fblogue\u002Fpolitique-gestion-correctifs-pme) et de [plan de réponse aux incidents](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele).\n\n::cta{variant=\"audit\"}\n::\n\n## Ce que la Loi 25 change\n\nLa Loi sur la protection des renseignements personnels dans le secteur privé n'exige pas un document intitulé « politique de sécurité ». Elle impose toutefois plusieurs obligations qui s'y rattachent directement.\n\n- **Article 3.2 :** l'entreprise doit établir et mettre en œuvre des politiques et des pratiques encadrant sa gouvernance des renseignements personnels et propres à assurer leur protection. Elles doivent prévoir, notamment, la conservation et la destruction, les rôles et responsabilités du personnel tout au long du cycle de vie des renseignements et un processus de traitement des plaintes. Elles doivent être proportionnées à la nature et à l'importance des activités, et **approuvées par le responsable de la protection des renseignements personnels**. Des informations détaillées à leur sujet doivent être publiées, en termes simples et clairs, sur le site Web de l'entreprise.\n- **Article 10 :** les mesures de sécurité doivent être raisonnables compte tenu, notamment, de la sensibilité des renseignements, de leur finalité, de leur quantité, de leur répartition et de leur support.\n- **Article 20 :** un employé n'accède à un renseignement personnel que s'il est nécessaire à l'exercice de ses fonctions. C'est le principe du moindre privilège, inscrit dans la loi.\n\nEn pratique, deux options s'offrent à vous. Soit la politique de sécurité intègre le volet renseignements personnels et elle est approuvée à la fois par la direction et par le responsable RP. Soit les deux documents restent séparés, mais se renvoient l'un à l'autre. Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise qui exerce la fonction de responsable RP (article 3.1), ce qui simplifie souvent l'approbation dans une PME. Notre article sur le [rôle du responsable de la protection des renseignements personnels](\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite) détaille ce volet. Validez votre approche avec votre conseiller juridique.\n\nLa liste de contrôle publiée par la Commission d'accès à l'information en janvier 2026 mentionne d'ailleurs des éléments à prévoir : formation du personnel, utilisation des appareils mobiles, exigences envers les prestataires et gestion des incidents.\n\n## Les erreurs les plus fréquentes\n\n- **Promettre ce qu'on ne fait pas.** « Toutes les données sont chiffrées » alors que le NAS ne l'est pas. Lors d'une réclamation d'assurance ou d'une enquête, l'écart entre l'écrit et la réalité coûte cher.\n- **Copier un modèle sans l'adapter.** Les gabarits gratuits, comme ceux de SANS, sont de bons points de départ, mais ils sont pensés pour de grandes organisations.\n- **Oublier le fournisseur TI.** Il a souvent les accès les plus puissants. La politique doit s'appliquer à lui aussi.\n- **Ne jamais la présenter aux employés.** Une politique non lue n'existe pas. Une séance de 30 minutes et une signature à l'embauche suffisent.\n- **Laisser vieillir le document.** Fixez une date de révision et un propriétaire.\n\n## Mettre la politique en place en 30 jours\n\n- [ ] Semaine 1 : désigner le propriétaire de la politique et faire l'inventaire de ce qui existe déjà.\n- [ ] Semaine 2 : rédiger les 12 sections en décrivant la pratique réelle, avec des dates cibles pour les écarts.\n- [ ] Semaine 3 : faire réviser par la direction, le responsable RP et le fournisseur TI.\n- [ ] Semaine 4 : approuver, signer, présenter aux employés et obtenir leur accusé de lecture.\n- [ ] En continu : rattacher les directives et procédures, puis planifier la révision annuelle.\n\nSi vous voulez qu'un regard externe confronte votre politique à vos pratiques réelles et à vos obligations, notre service de [conformité Loi 25](\u002Fservices\u002Fconformite-loi-25) inclut la révision des politiques de gouvernance et de sécurité.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":423},[444,447,450,453,456],{"title":445,"url":446},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1",{"title":448,"url":449},"CAI : Prévenir les incidents de confidentialité — liste de contrôle pour les entreprises (janvier 2026)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_FIC_ENTR_Prevention_incidents.pdf",{"title":451,"url":452},"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations",{"title":454,"url":455},"NIST : Cybersecurity Framework 2.0","https:\u002F\u002Fwww.nist.gov\u002Fcyberframework",{"title":457,"url":458},"SANS : Information Security Policy Templates","https:\u002F\u002Fwww.sans.org\u002Finformation-security-policy\u002F","blogue\u002Fpolitique-securite-information-modele-pme",[461,462,463,464],"politique de sécurité","gouvernance","loi 25","pme","politique-securite",null,"eamEUuQeL9Pv2qc68OW68DJAMlCQ-i2NEMZaEZhNiYM",{"path":469},"\u002Fen\u002Fblog\u002Finformation-security-policy-template-small-business",[471,476,484],{"path":314,"title":472,"description":473,"category":421,"minutes":27,"tags":474},"Responsable des renseignements personnels : le volet sécurité","Responsable de la protection des renseignements personnels (Loi 25) : délégation, tâches liées à la sécurité, tableau de bord et modèle de délégation écrite.",[463,462,475,464],"responsable rp",{"path":477,"title":478,"description":479,"category":421,"minutes":27,"tags":480},"\u002Fblogue\u002Fevaluer-securite-fournisseur-ti","Évaluer la sécurité de son fournisseur TI : 12 questions","Votre fournisseur TI détient les clés de votre PME : 12 questions à lui poser, à quoi ressemble une bonne réponse et ce que la Loi 25 exige au contrat.",[481,482,483,463,464],"fournisseur ti","msp","chaîne d'approvisionnement",{"path":485,"title":486,"description":487,"category":421,"minutes":27,"tags":488},"\u002Fblogue\u002Floi-25-checklist-cybersecurite","Loi 25 : la checklist cybersécurité pour les PME du Québec","Loi 25 et cybersécurité : une checklist en 5 blocs pour vérifier la gouvernance, les accès, les contrôles techniques, les incidents et vos fournisseurs.",[463,489,490,464],"conformité","checklist",1792970122216]