Document d’exemple : l’entreprise, les constats et les données sont fictifs. Il montre la structure et le niveau de détail de nos rapports.
cybercaribouVersion 1.0 · Confidentiel
Rapport d’audit de cybersécurité
Cabinet Exemple CPA inc.
Cabinet comptable fictif · 24 employés · Laval
- Période d’audit : 6 au 17 octobre 2026
- Version 1.0 · Confidentiel
- Référence de l’autorisation : EX-2026-014
1. Résumé pour la direction
Niveau de risque actuel
Élevé
Après les 3 priorités
Modéré
Le cabinet dispose de bonnes bases : sauvegardes quotidiennes, antivirus à jour sur tous les postes, Microsoft 365 bien administré dans l’ensemble. Trois faiblesses exposent toutefois directement les données fiscales des clients et la trésorerie du cabinet : des comptes sans authentification multifacteur, des sauvegardes qu’un rançongiciel pourrait chiffrer, et un domaine de courriel facile à usurper pour une fraude au virement.
Vos 3 priorités des 30 prochains jours
- 1.Activer l’authentification multifacteur sur les 6 comptes Microsoft 365 qui n’en ont pas, dont les 2 comptes administrateurs.
- 2.Isoler une copie des sauvegardes hors du réseau principal (copie immuable ou hors ligne) et tester une restauration complète.
- 3.Faire passer la politique DMARC de « surveillance » à « quarantaine », puis à « rejet ».
Effort estimé : Environ 3 jours-personnes, partagés entre le cabinet et son fournisseur TI.
Constats par gravité
Critique · 1Élevé · 3Moyen · 5Faible · 4
2. Portée et méthode
Dans le périmètre
- Domaine et services exposés sur Internet
- Locataire Microsoft 365 (accès en lecture seule)
- Échantillon de 5 postes et le serveur de fichiers
- Réseau Wi-Fi du bureau
- Entrevues : associée directrice et fournisseur TI
Hors périmètre
- Test d’intrusion actif interne
- Applications tierces hébergées par des fournisseurs
- Sécurité physique au-delà de l’observation
Méthode et référentiels
- Entrevues et revue documentaire
- Revue de configuration Microsoft 365
- Analyse externe passive et vérifications manuelles
- Référentiels : NIST CSF 2.0, contrôles de base du Centre canadien pour la cybersécurité, Loi 25
Autorisation
Lettre d’autorisation signée par l’associée directrice le 3 octobre 2026, précisant le périmètre, les dates et les personnes à joindre.
3. Synthèse des constats
| N° | Constat | Gravité | Effort | Échéance |
|---|---|---|---|---|
| C-01 | Comptes Microsoft 365 sans authentification multifacteur, dont 2 administrateurs | Critique | Faible | 7 jours |
| E-02 | Sauvegardes accessibles depuis le réseau principal | Élevé | Moyen | 30 jours |
| E-03 | DMARC en mode surveillance (p=none) | Élevé | Faible | 30 jours |
| E-04 | Règle de transfert automatique vers une adresse externe | Élevé | Faible | 7 jours |
| M-05 | Portables sans chiffrement du disque (2 sur 5) | Moyen | Faible | 60 jours |
| M-06 | Wi-Fi invités sur le même réseau que les postes | Moyen | Moyen | 60 jours |
| M-07 | Comptes d’anciens employés encore actifs (2) | Moyen | Faible | 7 jours |
| M-08 | Aucun registre des incidents de confidentialité | Moyen | Faible | 30 jours |
| M-09 | Correctifs de logiciels tiers en retard sur 3 postes | Moyen | Moyen | 60 jours |
| F-10 | En-têtes de sécurité absents sur le site Web | Faible | Faible | 90 jours |
| F-11 | Version du serveur Web divulguée | Faible | Faible | 90 jours |
| F-12 | Pas de fichier security.txt | Faible | Faible | 90 jours |
| F-13 | Politique de mots de passe non documentée | Faible | Faible | 90 jours |
4. Constats détaillés (extrait)
C-01Critique
Comptes Microsoft 365 sans authentification multifacteur
- Description
- Six comptes sur 24 n’ont aucune méthode d’authentification multifacteur enregistrée. Deux d’entre eux détiennent le rôle d’administrateur général.
- Impact pour le cabinet
- Un seul mot de passe volé par hameçonnage suffit pour lire les dossiers fiscaux des clients, envoyer de fausses factures depuis une adresse légitime, ou, avec un compte administrateur, prendre le contrôle de tout le locataire.
- Preuve
- Rapport d’inscription MFA (extrait anonymisé) : 6 utilisateurs sans méthode enregistrée, dont admin-1 et admin-2 (rôle Administrateur général). Authentification héritée (anciens protocoles) toujours autorisée.
- Recommandation
- Exiger la MFA pour tous les comptes par une stratégie d’accès conditionnel (ou les paramètres de sécurité par défaut).
- Pour les administrateurs, privilégier des clés FIDO2 ou des clés d’accès plutôt que le SMS.
- Bloquer l’authentification héritée.
- Créer des comptes administrateurs séparés, sans boîte de courriel.
- Références
- NIST CSF 2.0 PR.AA · Contrôles de base du Centre canadien pour la cybersécurité (authentification)
E-02Élevé
Sauvegardes accessibles depuis le réseau principal
- Description
- Les sauvegardes quotidiennes sont écrites sur un NAS monté comme lecteur réseau sur le serveur de fichiers. Aucune copie n’est hors ligne ni immuable, et aucune restauration complète n’a été testée.
- Impact pour le cabinet
- Un rançongiciel qui atteint le serveur chiffrerait aussi les sauvegardes. Le cabinet ne pourrait pas reprendre ses activités en période d’impôts sans payer ou tout reconstruire.
- Preuve
- Lecteur réseau mappé vers le NAS sur le serveur ; même compte de service en lecture-écriture ; journal de restauration : aucun test consigné.
- Recommandation
- Appliquer la règle 3-2-1-1-0 : au moins une copie immuable ou hors ligne.
- Retirer le lecteur réseau mappé et utiliser un compte dédié à la sauvegarde.
- Tester une restauration complète chaque trimestre et consigner le résultat.
- Références
- NIST CSF 2.0 PR.DS, RC.RP · Guide du Centre canadien pour la cybersécurité sur les sauvegardes
E-03Élevé
DMARC en mode surveillance
- Description
- Le domaine publie une politique DMARC en mode p=none : les courriels qui usurpent l’adresse du cabinet sont livrés normalement.
- Impact pour le cabinet
- Un fraudeur peut envoyer à vos clients une demande de paiement qui semble venir exactement de votre adresse, un scénario courant de fraude au virement.
- Preuve
- _dmarc.cabinet-exemple.example : « v=DMARC1; p=none; rua=mailto:… » ; SPF en ~all ; DKIM actif pour Microsoft 365, absent pour la plateforme d’infolettres.
- Recommandation
- Activer DKIM pour la plateforme d’infolettres.
- Analyser les rapports DMARC pendant 3 à 4 semaines.
- Passer à p=quarantine, puis à p=reject.
- Références
- RFC 7489 (DMARC) · Exigences des expéditeurs de Gmail, Yahoo et Outlook
5. Feuille de route
30 jours
- MFA pour tous (C-01)
- Supprimer la règle de transfert (E-04)
- Désactiver les comptes d’anciens employés (M-07)
- Ouvrir le registre des incidents (M-08)
60 jours
- Copie de sauvegarde immuable et test de restauration (E-02)
- DMARC en quarantaine (E-03)
- Chiffrement des portables (M-05)
- Réseau Wi-Fi invités séparé (M-06)
90 jours
- DMARC en rejet
- Gestion des correctifs tiers (M-09)
- En-têtes de sécurité et security.txt (F-10 à F-12)
- Politique de mots de passe (F-13)
6. Loi 25 — volet sécurité
- Responsable de la protection des renseignements personnels désigné et publiéConforme
- Politique de confidentialité publiée sur le siteConforme
- Registre des incidents de confidentialitéÀ créer (M-08)
- Procédure d’évaluation et d’avis à la CAIÀ rédiger
- Évaluation des facteurs relatifs à la vie privée pour le nouveau portail clientCommencée, à compléter
- Mesures de sécurité raisonnablesVoir C-01 et E-02
7. Prochaines étapes
- Présentation des résultats à l’associée directrice et au fournisseur TI (1 heure, sur place).
- Soutien à la correction, à la demande, sur soumission.
- Contre-vérification des constats Critique et Élevé dans 60 jours.