[{"data":1,"prerenderedAt":417},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"cmp-\u002Fcomparatifs\u002Fmsp-mssp-vciso-ressource-interne":45,"cmp-alt-\u002Fcomparatifs\u002Fmsp-mssp-vciso-ressource-interne":402,"cmp-others-\u002Fcomparatifs\u002Fmsp-mssp-vciso-ressource-interne":404},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"criteria":233,"date":290,"description":291,"extension":292,"faq":293,"keyword":306,"meta":307,"navigation":308,"options":309,"path":366,"rawbody":367,"seo":368,"sources":369,"stem":387,"translationKey":388,"updated":389,"verdict":390,"verified":400,"__hash__":401},"comparisons_fr\u002Fcomparatifs\u002Fmsp-mssp-vciso-ressource-interne.md","MSP, MSSP, vCISO ou ressource interne : qui gère la sécurité ?",{"type":49,"value":50,"toc":225},"minimark",[51,55,58,79,84,92,98,104,111,115,118,127,135,139,142,146,172,180,184,187,214,221],[52,53,54],"p",{},"Dans bien des PME québécoises, la question « qui s'occupe de la cybersécurité ? » reçoit une réponse floue : « notre gars de TI », « notre fournisseur », « on a un antivirus ». Ce n'est pas un reproche. Selon un sondage KPMG de 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber.",[52,56,57],{},"Quatre modèles s'offrent à vous : le fournisseur de services TI gérés (MSP), le fournisseur de services de sécurité gérés (MSSP), le RSSI virtuel (vCISO) et la ressource interne. Ils ne font pas le même travail, et la plupart des PME finissent par en combiner deux.",[59,60,63],"callout",{"title":61,"type":62},"Notre méthode","info",[64,65,66,70,73,76],"ul",{},[67,68,69],"li",{},"Nous comparons des modèles d'organisation, pas des fournisseurs. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, de la CISA, du NCSC britannique et du NIST, consultées en octobre 2026.",[67,71,72],{},"Critères retenus : rôle, surveillance 24\u002F7, correctifs, gouvernance, accès privilégié, indépendance, imputabilité, exigences contractuelles et continuité.",[67,74,75],{},"Les modèles de coûts sont décrits de façon qualitative : les tarifs varient trop selon la taille et la portée pour publier des chiffres fiables.",[67,77,78],{},"Ce comparatif n'est pas commandité.",[80,81,83],"h2",{"id":82},"quatre-rôles-pas-quatre-versions-du-même-service","Quatre rôles, pas quatre versions du même service",[52,85,86,87,91],{},"Le ",[88,89,90],"strong",{},"MSP"," fait tourner votre TI : il installe les correctifs, gère les comptes, surveille les sauvegardes et répond aux appels. La sécurité fait partie de son travail dans la mesure où le contrat le prévoit.",[52,93,86,94,97],{},[88,95,96],{},"MSSP",", ou le service MDR, surveille. Le NCSC britannique décrit le rôle d'un centre des opérations de sécurité comme celui de limiter les dégâts en détectant et en contrant les attaques qui ont réussi à contourner les protections préventives. C'est le service qui réagit à 3 h du matin.",[52,99,86,100,103],{},[88,101,102],{},"vCISO"," gouverne. Le Centre canadien pour la cybersécurité recommande que chaque organisation désigne une personne en position de direction précisément responsable de la sécurité des TI. Le vCISO ne remplace pas cette personne : il l'outille, établit les priorités, rédige les politiques et vérifie que le plan avance.",[52,105,106,107,110],{},"La ",[88,108,109],{},"ressource interne"," connaît l'entreprise mieux que quiconque. Sa limite est mathématique : une personne ne couvre ni les nuits, ni les fins de semaine, ni ses propres vacances.",[80,112,114],{"id":113},"ce-que-limpartition-ne-transfère-pas","Ce que l'impartition ne transfère pas",[52,116,117],{},"Impartir le travail ne transfère pas la responsabilité. Le Centre canadien pour la cybersécurité est explicite : l'organisation reste imputable de la réponse aux incidents, même quand le fournisseur en exécute une partie. Il recommande aussi de préciser dans l'entente de service les délais de réponse, les moyens de communication et le processus d'escalade.",[52,119,120,121,126],{},"Le fournisseur lui-même est un risque. Les MSP sont des cibles de choix parce que leur accès privilégié ouvre la porte de nombreux clients à la fois. Un avis de la CISA et de ses partenaires, dont le Centre canadien, recommande d'exiger par contrat l'authentification multifacteur sur tous les comptes du fournisseur, la conservation des journaux importants pendant au moins six mois et la désactivation de ses accès à la fin du contrat. Notre article sur la façon d'",[122,123,125],"a",{"href":124},"\u002Fblogue\u002Fevaluer-securite-fournisseur-ti","évaluer la sécurité de son fournisseur TI"," propose les questions à poser.",[52,128,129,130,134],{},"Enfin, sous la Loi 25, le ",[122,131,133],{"href":132},"\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite","responsable de la protection des renseignements personnels"," est par défaut la personne ayant la plus haute autorité dans l'entreprise. Aucun fournisseur ne porte ce rôle à votre place sans délégation écrite ; validez ces choix avec votre conseiller juridique.",[80,136,138],{"id":137},"lindépendance-angle-mort-fréquent","L'indépendance, angle mort fréquent",[52,140,141],{},"Quand le même fournisseur configure vos systèmes, les surveille et vous dit que tout va bien, personne ne vérifie son travail. Ce n'est pas une question d'honnêteté : il est difficile d'évaluer objectivement ce qu'on a soi-même mis en place. Un vCISO distinct du MSP, ou un audit indépendant périodique, comble cet angle mort.",[80,143,145],{"id":144},"les-combinaisons-les-plus-courantes","Les combinaisons les plus courantes",[64,147,148,154,160,166],{},[67,149,150,153],{},[88,151,152],{},"MSP seul, avec un audit périodique"," : le point de départ des petites entreprises.",[67,155,156,159],{},[88,157,158],{},"MSP et MSSP"," : l'exploitation le jour, la surveillance en continu.",[67,161,162,165],{},[88,163,164],{},"MSP et vCISO"," : quand des clients, un assureur ou un programme comme la CPCSC posent des exigences précises.",[67,167,168,171],{},[88,169,170],{},"Ressource interne et MSSP"," : l'employé garde la main sur les systèmes, le MSSP couvre les heures où il n'est pas là.",[52,173,174,175,179],{},"Quelle que soit la combinaison, votre ",[122,176,178],{"href":177},"\u002Fblogue\u002Fplan-reponse-incidents-pme-modele","plan de réponse aux incidents"," doit dire qui appelle qui, et qui a le droit d'isoler un poste ou de couper un accès.",[80,181,183],{"id":182},"comment-choisir","Comment choisir",[52,185,186],{},"Répondez honnêtement à quatre questions :",[188,189,190,196,202,208],"ol",{},[67,191,192,195],{},[88,193,194],{},"Qui applique les correctifs aujourd'hui, et dans quel délai ?"," Si personne ne peut répondre, commencez par un MSP ou une ressource interne.",[67,197,198,201],{},[88,199,200],{},"Qui verrait une alerte à 3 h le dimanche ?"," Si la réponse est « personne », un MSSP ou un service MDR s'impose.",[67,203,204,207],{},[88,205,206],{},"Qui répond aux questionnaires des assureurs et des clients ?"," Si c'est la direction, seule et sans appui, un vCISO allège la charge.",[67,209,210,213],{},[88,211,212],{},"Qui vérifie le travail du fournisseur ?"," Si personne, prévoyez un regard indépendant.",[52,215,216,217,220],{},"Notre service d'",[122,218,219],{"href":25},"accompagnement continu"," joue le rôle de vCISO pour les PME, en collaboration avec leur fournisseur TI actuel.",[222,223],"cta",{"variant":224},"devis",{"title":226,"searchDepth":11,"depth":15,"links":227},"",[228,229,230,231,232],{"id":82,"depth":11,"text":83},{"id":113,"depth":11,"text":114},{"id":137,"depth":11,"text":138},{"id":144,"depth":11,"text":145},{"id":182,"depth":11,"text":183},[234,241,248,254,259,265,272,277,284],{"label":235,"values":236},"Rôle principal",[237,238,239,240],"Exploitation TI quotidienne","Surveillance, détection et réponse","Gouvernance, priorités et conformité","Selon le profil : exploitation, sécurité ou les deux",{"label":242,"values":243},"Surveillance des alertes 24\u002F7",[244,245,246,247],"Selon le contrat","Souvent offerte, à confirmer au contrat","Non","Non, sauf équipe complète",{"label":249,"values":250},"Application des correctifs et durcissement",[251,244,252,253],"Oui, au cœur du mandat","Non : il fixe les exigences","Oui",{"label":255,"values":256},"Politiques, plan de réponse et feuille de route",[244,257,251,258],"Partiel : procédures de réponse aux alertes","Selon l'expertise de la personne",{"label":260,"values":261},"Accès privilégié à vos systèmes",[262,263,264,253],"Oui, étendu","Oui, aux outils de sécurité","Limité",{"label":266,"values":267},"Indépendance face à l'exploitation TI",[268,269,270,271],"Faible : il évaluerait son propre travail","Moyenne","Élevée s'il est distinct du MSP","Faible",{"label":273,"values":274},"Imputabilité en cas d'incident",[275,275,276,276],"Reste à l'entreprise ; rôles à définir au contrat","Reste à l'entreprise",{"label":278,"values":279},"Ce qu'il faut exiger par écrit",[280,281,282,283],"MFA sur ses comptes, moindre privilège, journaux conservés au moins 6 mois","Périmètre surveillé, délais d'avis, actions autorisées","Livrables, fréquence des suivis, disponibilité en cas d'incident","Description de poste et plan de relève",{"label":285,"values":286},"Continuité pendant les absences",[287,287,288,289],"Oui (équipe)","Partielle","Non, sauf relève prévue","2026-10-24","MSP, MSSP, vCISO ou employé interne : rôles, surveillance 24\u002F7, indépendance et modèles de coûts comparés pour décider qui gère la cybersécurité de votre PME.","md",[294,297,300,303],{"q":295,"a":296},"Mon fournisseur TI s'occupe-t-il automatiquement de la cybersécurité ?","Pas forcément. Certains contrats couvrent le soutien et l'entretien, sans surveillance des alertes, sans test des sauvegardes et sans plan de réponse. Relisez le vôtre et demandez par écrit ce qui est inclus. La CISA recommande que le contrat précise qui, du fournisseur ou du client, est responsable du durcissement, de la détection et de la réponse aux incidents.",{"q":298,"a":299},"Quelle est la différence entre un MSSP et un service MDR ?","Les termes se chevauchent. Un MSSP offre en général des services de sécurité gérés variés, comme la gestion de pare-feu ou la surveillance de journaux. Un service MDR (détection et réponse gérées) se concentre sur la détection des attaques et l'intervention, par exemple isoler un poste compromis. Lisez le contrat : ce sont les actions autorisées et les délais qui comptent, pas l'étiquette.",{"q":301,"a":302},"Qui est responsable en cas d'incident si la TI est impartie ?","Votre entreprise. Le Centre canadien pour la cybersécurité rappelle que l'organisation reste imputable de la réponse aux incidents, même si le fournisseur en exécute une partie. Sous la Loi 25, c'est aussi l'entreprise qui doit aviser la Commission d'accès à l'information et les personnes concernées en cas de risque de préjudice sérieux. Validez la répartition des rôles avec votre conseiller juridique.",{"q":304,"a":305},"Un vCISO peut-il être le responsable de la protection des renseignements personnels ?","La Loi 25 confie ce rôle par défaut à la personne ayant la plus haute autorité dans l'entreprise, qui peut le déléguer par écrit. Un vCISO peut certainement soutenir ce responsable sur le volet sécurité. Confier la fonction elle-même à une personne externe soulève des questions à valider avec votre conseiller juridique.","MSP ou MSSP",{},true,[310,324,338,352],{"name":311,"url":312,"tagline":313,"pricing":314,"bestFor":315,"pros":316,"cons":320},"Fournisseur de services TI gérés (MSP)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-considerer-par-les-clients-de-services-geres-en-matiere-de-cybersecurite","Votre impartiteur TI : postes, serveurs, comptes, sauvegardes et soutien technique au quotidien.","Sur soumission ; habituellement un forfait mensuel par utilisateur ou par appareil","Les PME sans service TI interne, qui ont d'abord besoin d'une TI bien tenue.",[317,318,319],"Couvre l'exploitation quotidienne : correctifs, comptes, sauvegardes","Coût mensuel prévisible","Une équipe plutôt qu'une seule personne",[321,322,323],"La sécurité n'est pas toujours incluse au contrat","Son accès privilégié à vos systèmes en fait une cible pour les attaquants","Difficile pour lui d'évaluer objectivement son propre travail",{"name":325,"url":326,"tagline":327,"pricing":328,"bestFor":329,"pros":330,"cons":334},"Fournisseur de services de sécurité gérés (MSSP \u002F MDR)","https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002Fbuilding-a-security-operations-centre","Une équipe de sécurité qui surveille vos alertes, détecte les attaques et intervient, souvent en continu.","Sur soumission ; habituellement un abonnement mensuel par appareil ou par utilisateur","Les PME qui ont des outils (EDR, journaux) mais personne pour surveiller les alertes la nuit et la fin de semaine.",[331,332,333],"Surveillance au-delà des heures de bureau","Expertise spécialisée en détection et en réponse","Mutualise un coût qu'une PME ne pourrait porter seule",[335,336,337],"Ne corrige pas toujours lui-même : il faut quelqu'un pour agir","Portée très variable d'un contrat à l'autre","Ne fixe pas les priorités ni la gouvernance",{"name":339,"url":340,"tagline":341,"pricing":342,"bestFor":343,"pros":344,"cons":348},"RSSI virtuel (vCISO)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations","Un responsable de la sécurité à temps partiel qui fixe les priorités, rédige les politiques et suit le plan.","Sur soumission ; habituellement un forfait mensuel ou une banque d'heures","Les PME qui doivent répondre à des clients, à des assureurs ou à un cadre (Loi 25, CPCSC, ISO 27001) sans budget pour un RSSI à temps plein.",[345,346,347],"Gouvernance et feuille de route sans salaire à temps plein","Regard indépendant sur le travail du fournisseur TI","Aide pour les questionnaires d'assureurs et de clients",[349,350,351],"Ne fait pas l'exploitation quotidienne","Disponibilité partagée entre plusieurs clients","Efficace seulement si la direction s'implique",{"name":353,"url":354,"tagline":355,"pricing":356,"bestFor":357,"pros":358,"cons":362},"Ressource interne","https:\u002F\u002Fwww.nist.gov\u002Fitl\u002Fapplied-cybersecurity\u002Fnice\u002Fnice-framework-resource-center","Un employé dédié à la TI ou à la sécurité, sur place et intégré à l'équipe.","Salaire, avantages sociaux, formation et outils ; un seul poste ne couvre ni les nuits, ni les fins de semaine, ni les vacances","Les PME d'une certaine taille dont les systèmes particuliers (OT, logiciels maison) exigent une connaissance fine.",[359,360,361],"Connaît l'entreprise, les gens et les systèmes","Sur place, réagit vite","Garde le savoir à l'interne",[363,364,365],"Difficile à recruter : 65 % des PME québécoises disent manquer de personnel qualifié pour gérer le risque cyber (KPMG, 2023)","Une seule personne ne peut pas assurer une surveillance 24\u002F7","Risque de perte de savoir si elle quitte","\u002Fcomparatifs\u002Fmsp-mssp-vciso-ressource-interne","---\ntitle: \"MSP, MSSP, vCISO ou ressource interne : qui gère la sécurité ?\"\ndescription: \"MSP, MSSP, vCISO ou employé interne : rôles, surveillance 24\u002F7, indépendance et modèles de coûts comparés pour décider qui gère la cybersécurité de votre PME.\"\ndate: 2026-10-24\nverified: \"octobre 2026\"\ntranslationKey: qui-gere-securite\nkeyword: \"MSP ou MSSP\"\noptions:\n  - name: \"Fournisseur de services TI gérés (MSP)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-considerer-par-les-clients-de-services-geres-en-matiere-de-cybersecurite\"\n    tagline: \"Votre impartiteur TI : postes, serveurs, comptes, sauvegardes et soutien technique au quotidien.\"\n    pricing: \"Sur soumission ; habituellement un forfait mensuel par utilisateur ou par appareil\"\n    bestFor: \"Les PME sans service TI interne, qui ont d'abord besoin d'une TI bien tenue.\"\n    pros: [\"Couvre l'exploitation quotidienne : correctifs, comptes, sauvegardes\", \"Coût mensuel prévisible\", \"Une équipe plutôt qu'une seule personne\"]\n    cons: [\"La sécurité n'est pas toujours incluse au contrat\", \"Son accès privilégié à vos systèmes en fait une cible pour les attaquants\", \"Difficile pour lui d'évaluer objectivement son propre travail\"]\n  - name: \"Fournisseur de services de sécurité gérés (MSSP \u002F MDR)\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002Fbuilding-a-security-operations-centre\"\n    tagline: \"Une équipe de sécurité qui surveille vos alertes, détecte les attaques et intervient, souvent en continu.\"\n    pricing: \"Sur soumission ; habituellement un abonnement mensuel par appareil ou par utilisateur\"\n    bestFor: \"Les PME qui ont des outils (EDR, journaux) mais personne pour surveiller les alertes la nuit et la fin de semaine.\"\n    pros: [\"Surveillance au-delà des heures de bureau\", \"Expertise spécialisée en détection et en réponse\", \"Mutualise un coût qu'une PME ne pourrait porter seule\"]\n    cons: [\"Ne corrige pas toujours lui-même : il faut quelqu'un pour agir\", \"Portée très variable d'un contrat à l'autre\", \"Ne fixe pas les priorités ni la gouvernance\"]\n  - name: \"RSSI virtuel (vCISO)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n    tagline: \"Un responsable de la sécurité à temps partiel qui fixe les priorités, rédige les politiques et suit le plan.\"\n    pricing: \"Sur soumission ; habituellement un forfait mensuel ou une banque d'heures\"\n    bestFor: \"Les PME qui doivent répondre à des clients, à des assureurs ou à un cadre (Loi 25, CPCSC, ISO 27001) sans budget pour un RSSI à temps plein.\"\n    pros: [\"Gouvernance et feuille de route sans salaire à temps plein\", \"Regard indépendant sur le travail du fournisseur TI\", \"Aide pour les questionnaires d'assureurs et de clients\"]\n    cons: [\"Ne fait pas l'exploitation quotidienne\", \"Disponibilité partagée entre plusieurs clients\", \"Efficace seulement si la direction s'implique\"]\n  - name: \"Ressource interne\"\n    url: \"https:\u002F\u002Fwww.nist.gov\u002Fitl\u002Fapplied-cybersecurity\u002Fnice\u002Fnice-framework-resource-center\"\n    tagline: \"Un employé dédié à la TI ou à la sécurité, sur place et intégré à l'équipe.\"\n    pricing: \"Salaire, avantages sociaux, formation et outils ; un seul poste ne couvre ni les nuits, ni les fins de semaine, ni les vacances\"\n    bestFor: \"Les PME d'une certaine taille dont les systèmes particuliers (OT, logiciels maison) exigent une connaissance fine.\"\n    pros: [\"Connaît l'entreprise, les gens et les systèmes\", \"Sur place, réagit vite\", \"Garde le savoir à l'interne\"]\n    cons: [\"Difficile à recruter : 65 % des PME québécoises disent manquer de personnel qualifié pour gérer le risque cyber (KPMG, 2023)\", \"Une seule personne ne peut pas assurer une surveillance 24\u002F7\", \"Risque de perte de savoir si elle quitte\"]\ncriteria:\n  - label: \"Rôle principal\"\n    values: [\"Exploitation TI quotidienne\", \"Surveillance, détection et réponse\", \"Gouvernance, priorités et conformité\", \"Selon le profil : exploitation, sécurité ou les deux\"]\n  - label: \"Surveillance des alertes 24\u002F7\"\n    values: [\"Selon le contrat\", \"Souvent offerte, à confirmer au contrat\", \"Non\", \"Non, sauf équipe complète\"]\n  - label: \"Application des correctifs et durcissement\"\n    values: [\"Oui, au cœur du mandat\", \"Selon le contrat\", \"Non : il fixe les exigences\", \"Oui\"]\n  - label: \"Politiques, plan de réponse et feuille de route\"\n    values: [\"Selon le contrat\", \"Partiel : procédures de réponse aux alertes\", \"Oui, au cœur du mandat\", \"Selon l'expertise de la personne\"]\n  - label: \"Accès privilégié à vos systèmes\"\n    values: [\"Oui, étendu\", \"Oui, aux outils de sécurité\", \"Limité\", \"Oui\"]\n  - label: \"Indépendance face à l'exploitation TI\"\n    values: [\"Faible : il évaluerait son propre travail\", \"Moyenne\", \"Élevée s'il est distinct du MSP\", \"Faible\"]\n  - label: \"Imputabilité en cas d'incident\"\n    values: [\"Reste à l'entreprise ; rôles à définir au contrat\", \"Reste à l'entreprise ; rôles à définir au contrat\", \"Reste à l'entreprise\", \"Reste à l'entreprise\"]\n  - label: \"Ce qu'il faut exiger par écrit\"\n    values: [\"MFA sur ses comptes, moindre privilège, journaux conservés au moins 6 mois\", \"Périmètre surveillé, délais d'avis, actions autorisées\", \"Livrables, fréquence des suivis, disponibilité en cas d'incident\", \"Description de poste et plan de relève\"]\n  - label: \"Continuité pendant les absences\"\n    values: [\"Oui (équipe)\", \"Oui (équipe)\", \"Partielle\", \"Non, sauf relève prévue\"]\nverdict:\n  - profile: \"Étude de notaires de 10 personnes à Trois-Rivières, sans TI interne\"\n    pick: \"Fournisseur de services TI gérés (MSP)\"\n    why: \"Une TI bien tenue d'abord, avec la sécurité écrite au contrat : MFA, sauvegardes testées, correctifs. Un audit indépendant ponctuel permet de vérifier que c'est fait.\"\n  - profile: \"Distributeur de 80 employés à Drummondville, avec un technicien TI interne\"\n    pick: \"Fournisseur de services de sécurité gérés (MSSP \u002F MDR)\"\n    why: \"Le technicien garde l'exploitation et les correctifs ; le MSSP surveille les alertes la nuit et la fin de semaine, quand personne n'est au bureau.\"\n  - profile: \"Sous-traitant aéronautique de 40 employés visé par la certification CPCSC\"\n    pick: \"RSSI virtuel (vCISO)\"\n    why: \"Il traduit les exigences en plan, prépare l'évaluation et encadre le fournisseur TI, sans le coût d'un poste de direction à temps plein.\"\nfaq:\n  - q: \"Mon fournisseur TI s'occupe-t-il automatiquement de la cybersécurité ?\"\n    a: \"Pas forcément. Certains contrats couvrent le soutien et l'entretien, sans surveillance des alertes, sans test des sauvegardes et sans plan de réponse. Relisez le vôtre et demandez par écrit ce qui est inclus. La CISA recommande que le contrat précise qui, du fournisseur ou du client, est responsable du durcissement, de la détection et de la réponse aux incidents.\"\n  - q: \"Quelle est la différence entre un MSSP et un service MDR ?\"\n    a: \"Les termes se chevauchent. Un MSSP offre en général des services de sécurité gérés variés, comme la gestion de pare-feu ou la surveillance de journaux. Un service MDR (détection et réponse gérées) se concentre sur la détection des attaques et l'intervention, par exemple isoler un poste compromis. Lisez le contrat : ce sont les actions autorisées et les délais qui comptent, pas l'étiquette.\"\n  - q: \"Qui est responsable en cas d'incident si la TI est impartie ?\"\n    a: \"Votre entreprise. Le Centre canadien pour la cybersécurité rappelle que l'organisation reste imputable de la réponse aux incidents, même si le fournisseur en exécute une partie. Sous la Loi 25, c'est aussi l'entreprise qui doit aviser la Commission d'accès à l'information et les personnes concernées en cas de risque de préjudice sérieux. Validez la répartition des rôles avec votre conseiller juridique.\"\n  - q: \"Un vCISO peut-il être le responsable de la protection des renseignements personnels ?\"\n    a: \"La Loi 25 confie ce rôle par défaut à la personne ayant la plus haute autorité dans l'entreprise, qui peut le déléguer par écrit. Un vCISO peut certainement soutenir ce responsable sur le volet sécurité. Confier la fonction elle-même à une personne externe soulève des questions à valider avec votre conseiller juridique.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : facteurs à considérer par les clients de services gérés (ITSM.50.030)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Ffacteurs-considerer-par-les-clients-de-services-geres-en-matiere-de-cybersecurite\"\n  - title: \"Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n  - title: \"CISA et partenaires (dont le Centre canadien pour la cybersécurité) : protéger les fournisseurs de services gérés et leurs clients (AA22-131A)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fcybersecurity-advisories\u002Faa22-131a\"\n  - title: \"NCSC (Royaume-Uni) : Building a Security Operations Centre\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002Fbuilding-a-security-operations-centre\"\n  - title: \"NIST : NICE Framework Resource Center\"\n    url: \"https:\u002F\u002Fwww.nist.gov\u002Fitl\u002Fapplied-cybersecurity\u002Fnice\u002Fnice-framework-resource-center\"\n  - title: \"KPMG (via Newswire) : la cybercriminalité a touché plus de six PME québécoises sur dix\"\n    url: \"https:\u002F\u002Fwww.newswire.ca\u002Ffr\u002Fnews-releases\u002Fla-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html\"\n  - title: \"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)\"\n    url: \"https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1\"\n---\n\nDans bien des PME québécoises, la question « qui s'occupe de la cybersécurité ? » reçoit une réponse floue : « notre gars de TI », « notre fournisseur », « on a un antivirus ». Ce n'est pas un reproche. Selon un sondage KPMG de 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber.\n\nQuatre modèles s'offrent à vous : le fournisseur de services TI gérés (MSP), le fournisseur de services de sécurité gérés (MSSP), le RSSI virtuel (vCISO) et la ressource interne. Ils ne font pas le même travail, et la plupart des PME finissent par en combiner deux.\n\n::callout{type=\"info\" title=\"Notre méthode\"}\n- Nous comparons des modèles d'organisation, pas des fournisseurs. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, de la CISA, du NCSC britannique et du NIST, consultées en octobre 2026.\n- Critères retenus : rôle, surveillance 24\u002F7, correctifs, gouvernance, accès privilégié, indépendance, imputabilité, exigences contractuelles et continuité.\n- Les modèles de coûts sont décrits de façon qualitative : les tarifs varient trop selon la taille et la portée pour publier des chiffres fiables.\n- Ce comparatif n'est pas commandité.\n::\n\n## Quatre rôles, pas quatre versions du même service\n\nLe **MSP** fait tourner votre TI : il installe les correctifs, gère les comptes, surveille les sauvegardes et répond aux appels. La sécurité fait partie de son travail dans la mesure où le contrat le prévoit.\n\nLe **MSSP**, ou le service MDR, surveille. Le NCSC britannique décrit le rôle d'un centre des opérations de sécurité comme celui de limiter les dégâts en détectant et en contrant les attaques qui ont réussi à contourner les protections préventives. C'est le service qui réagit à 3 h du matin.\n\nLe **vCISO** gouverne. Le Centre canadien pour la cybersécurité recommande que chaque organisation désigne une personne en position de direction précisément responsable de la sécurité des TI. Le vCISO ne remplace pas cette personne : il l'outille, établit les priorités, rédige les politiques et vérifie que le plan avance.\n\nLa **ressource interne** connaît l'entreprise mieux que quiconque. Sa limite est mathématique : une personne ne couvre ni les nuits, ni les fins de semaine, ni ses propres vacances.\n\n## Ce que l'impartition ne transfère pas\n\nImpartir le travail ne transfère pas la responsabilité. Le Centre canadien pour la cybersécurité est explicite : l'organisation reste imputable de la réponse aux incidents, même quand le fournisseur en exécute une partie. Il recommande aussi de préciser dans l'entente de service les délais de réponse, les moyens de communication et le processus d'escalade.\n\nLe fournisseur lui-même est un risque. Les MSP sont des cibles de choix parce que leur accès privilégié ouvre la porte de nombreux clients à la fois. Un avis de la CISA et de ses partenaires, dont le Centre canadien, recommande d'exiger par contrat l'authentification multifacteur sur tous les comptes du fournisseur, la conservation des journaux importants pendant au moins six mois et la désactivation de ses accès à la fin du contrat. Notre article sur la façon d'[évaluer la sécurité de son fournisseur TI](\u002Fblogue\u002Fevaluer-securite-fournisseur-ti) propose les questions à poser.\n\nEnfin, sous la Loi 25, le [responsable de la protection des renseignements personnels](\u002Fblogue\u002Fresponsable-protection-renseignements-personnels-securite) est par défaut la personne ayant la plus haute autorité dans l'entreprise. Aucun fournisseur ne porte ce rôle à votre place sans délégation écrite ; validez ces choix avec votre conseiller juridique.\n\n## L'indépendance, angle mort fréquent\n\nQuand le même fournisseur configure vos systèmes, les surveille et vous dit que tout va bien, personne ne vérifie son travail. Ce n'est pas une question d'honnêteté : il est difficile d'évaluer objectivement ce qu'on a soi-même mis en place. Un vCISO distinct du MSP, ou un audit indépendant périodique, comble cet angle mort.\n\n## Les combinaisons les plus courantes\n\n- **MSP seul, avec un audit périodique** : le point de départ des petites entreprises.\n- **MSP et MSSP** : l'exploitation le jour, la surveillance en continu.\n- **MSP et vCISO** : quand des clients, un assureur ou un programme comme la CPCSC posent des exigences précises.\n- **Ressource interne et MSSP** : l'employé garde la main sur les systèmes, le MSSP couvre les heures où il n'est pas là.\n\nQuelle que soit la combinaison, votre [plan de réponse aux incidents](\u002Fblogue\u002Fplan-reponse-incidents-pme-modele) doit dire qui appelle qui, et qui a le droit d'isoler un poste ou de couper un accès.\n\n## Comment choisir\n\nRépondez honnêtement à quatre questions :\n\n1. **Qui applique les correctifs aujourd'hui, et dans quel délai ?** Si personne ne peut répondre, commencez par un MSP ou une ressource interne.\n2. **Qui verrait une alerte à 3 h le dimanche ?** Si la réponse est « personne », un MSSP ou un service MDR s'impose.\n3. **Qui répond aux questionnaires des assureurs et des clients ?** Si c'est la direction, seule et sans appui, un vCISO allège la charge.\n4. **Qui vérifie le travail du fournisseur ?** Si personne, prévoyez un regard indépendant.\n\nNotre service d'[accompagnement continu](\u002Fservices\u002Faccompagnement-continu) joue le rôle de vCISO pour les PME, en collaboration avec leur fournisseur TI actuel.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":291},[370,372,374,377,379,381,384],{"title":371,"url":312},"Centre canadien pour la cybersécurité : facteurs à considérer par les clients de services gérés (ITSM.50.030)",{"title":373,"url":340},"Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations",{"title":375,"url":376},"CISA et partenaires (dont le Centre canadien pour la cybersécurité) : protéger les fournisseurs de services gérés et leurs clients (AA22-131A)","https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fcybersecurity-advisories\u002Faa22-131a",{"title":378,"url":326},"NCSC (Royaume-Uni) : Building a Security Operations Centre",{"title":380,"url":354},"NIST : NICE Framework Resource Center",{"title":382,"url":383},"KPMG (via Newswire) : la cybercriminalité a touché plus de six PME québécoises sur dix","https:\u002F\u002Fwww.newswire.ca\u002Ffr\u002Fnews-releases\u002Fla-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html",{"title":385,"url":386},"LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)","https:\u002F\u002Fwww.legisquebec.gouv.qc.ca\u002Ffr\u002Fdocument\u002Flc\u002FP-39.1","comparatifs\u002Fmsp-mssp-vciso-ressource-interne","qui-gere-securite",null,[391,394,397],{"profile":392,"pick":311,"why":393},"Étude de notaires de 10 personnes à Trois-Rivières, sans TI interne","Une TI bien tenue d'abord, avec la sécurité écrite au contrat : MFA, sauvegardes testées, correctifs. Un audit indépendant ponctuel permet de vérifier que c'est fait.",{"profile":395,"pick":325,"why":396},"Distributeur de 80 employés à Drummondville, avec un technicien TI interne","Le technicien garde l'exploitation et les correctifs ; le MSSP surveille les alertes la nuit et la fin de semaine, quand personne n'est au bureau.",{"profile":398,"pick":339,"why":399},"Sous-traitant aéronautique de 40 employés visé par la certification CPCSC","Il traduit les exigences en plan, prépare l'évaluation et encadre le fournisseur TI, sans le coût d'un poste de direction à temps plein.","octobre 2026","F4pc6l1pHeL9OJnUVZqjAttyNXt99q16LoTPSnZSoLg",{"path":403},"\u002Fen\u002Fcomparisons\u002Fmsp-vs-mssp-vs-vciso-vs-in-house",[405,409,413],{"path":406,"title":407,"description":408},"\u002Fcomparatifs\u002Fantivirus-edr-mdr-protection-postes","Antivirus, EDR ou MDR : quelle protection pour vos postes ?","Antivirus, EDR ou MDR : détection, intervention, surveillance 24\u002F7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.",{"path":410,"title":411,"description":412},"\u002Fcomparatifs\u002Fedr-pme-comparatif","EDR pour PME : Defender, CrowdStrike, SentinelOne et Sophos","Defender for Business, CrowdStrike Falcon, SentinelOne ou Sophos : forfaits qui incluent vraiment l'EDR, prix publics, données au Canada et surveillance 24\u002F7.",{"path":414,"title":415,"description":416},"\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options","Formation en cybersécurité : en ligne, atelier ou simulations ?","Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.",1792970121341]