Cyberattaque : procédure pour les entreprises — le Canada

Après une cyberattaque — le Canada : preuves, signalements, conseil juridique, assurance et communication.

Cet article a été traduit par une machine.

Utilisez cette liste lorsqu’une entreprise exerçant ses activités dans le pays concerné (le Canada) soupçonne une attaque. Déterminez le droit applicable à partir de l’entité, des informations et des activités, et non de la langue de lecture. Sources vérifiées le 20 octobre 2026. Il s’agit d’un processus éditorial Mithril, pas d’un formulaire officiel. Faites confirmer les obligations par un conseil qualifié.

## 1. Constituer l’équipe et préserver les faits

Désignez un responsable d’incident, un responsable technique, un réviseur juridique, un responsable de communication et un contact financier. Si la messagerie peut être compromise, choisissez un canal de confiance distinct. Autorisez le périmètre technique avant toute collecte ou modification. Conservez les originaux fournis, les heures, les fuseaux et les empreintes ; séparez les résumés et les traductions par version.

Préparez un dossier minimal : découverte et prise de connaissance, services touchés, effets confirmés ou suspectés, références des preuves, inconnues et responsables. Une exfiltration ou un nombre de personnes inconnu ne devient pas zéro. Faites avancer en parallèle les volets technique, juridique, déclaratif, communication et assurance ; l’enquête ne doit pas faire disparaître un autre délai.

## 2. Vérifier les canaux locaux et les délais

Pour les organisations assujetties à la LPRPDE, un risque réel de préjudice grave impose une déclaration au Commissariat et un avis aux personnes dès que possible. Conservez un registre de toutes les atteintes, même sous ce seuil. [OPC — Mandatory breach reporting](https://www.priv.gc.ca/en/privacy-topics/privacy-for-businesses/privacy-breaches-at-your-business/gd_pb_201810/)

Utilisez l’orientation de signalement du Centre canadien pour la cybersécurité pour identifier le bon canal. L’assistance technique, la plainte policière et les avis relatifs à la vie privée restent distincts. [Canadian Centre for Cyber Security — Report a cyber incident](https://www.cyber.gc.ca/en/incident-management)

Vérifiez les règles fédérales, provinciales et sectorielles applicables à l’organisation et aux renseignements. Ne remplacez pas la règle canadienne applicable par un délai uniforme de 72 heures inspiré du RGPD.

## 3. Saisir le conseil et vérifier l’assurance tôt

Transmettez au conseil un dossier restreint comprenant chronologie, inventaire, lacunes et questions de compétence. Vérifiez identité professionnelle, conflits, mandat et honoraires. Avant de commander des travaux, demandez à l’assureur ou au courtier les conditions de déclaration, les prestataires agréés et les autorisations préalables. Distinguez déclaration, demande d’indemnisation, décision de garantie et paiement. Documentez les coûts sans promettre de remboursement.

## 4. Préparer communication et avis individuels

Préparez une version factuelle approuvée par public. Le communiqué indique les effets confirmés, les mesures prises, les éléments encore étudiés, les précautions utiles, un contact vérifié et la prochaine mise à jour. N’inventez ni attribution, ni date de reprise, ni absence de fuite. Un communiqué ne remplace pas automatiquement les avis individuels exigés par la loi ou un contrat.

Trame de brouillon : « Nous avons identifié [fait confirmé] le [heure et fuseau]. [Effets confirmés]. Nous appliquons [mesures approuvées] et vérifions [inconnues]. Les personnes concernées peuvent [précautions validées]. Contact : [canal vérifié]. Prochaine mise à jour : [heure approuvée]. » Remplacez les champs par des éléments étayés et consignez l’approbation de la version exacte.

## 5. Utiliser le projet de préparation par Agent

Le projet Mithril Agent/Registry définit 12 capacités de préparation et de suivi : inventaire, chronologie sourcée, prochaines actions, examen des obligations, brouillons par destinataire, dossier pour le conseil, communication, pertes et rapprochement des accusés. Ce processus d’entreprise reste prévu. Publier cet article n’active ni exécuteur ni connecteur officiel. Les personnes habilitées soumettent et publient par les canaux appropriés ; tout futur connecteur délégué exige une qualification distincte.

## 6. Télécharger le processus du pays

Le fichier BPMN 2.0 est un modèle de référence non exécutable : cinq volets parallèles, décisions humaines, alertes de revue et relais acceptés. Il contient le contexte documentaire du pays, pas le processus officiel d’une autorité. Le sous-ensemble d’exécution Mithril actuel ne prend pas en charge tous ses éléments.

- [Télécharger le BPMN — le Canada (Français)](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/ca/fr.bpmn) - [Lire le contrat de capacités prévues](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/capabilities.json) - [Consulter versions et empreintes](https://blog.mithril.fund/processes/enterprise-cyber-response/v0.1.0/manifest.json)

## 7. Tenir le registre des actions et accusés

Pour chaque action, consignez destinataire, finalité, responsable, source et déclencheur du délai envisagé, revue confirmée, contenu/version approuvés, envoi, accusé officiel et suite. Envoi, réception, acceptation, garantie et réparation sont différents. Rapprochez un résultat inconnu avant de réessayer. Clôturez la réponse opérationnelle après validation de la reprise et acceptation des relais juridiques, réglementaires et assurantiels.

## Sources officielles pour ce pays

- [OPC — Mandatory breach reporting](https://www.priv.gc.ca/en/privacy-topics/privacy-for-businesses/privacy-breaches-at-your-business/gd_pb_201810/) - [Canadian Centre for Cyber Security — Report a cyber incident](https://www.cyber.gc.ca/en/incident-management)

[Comparer les guides des autres pays](https://blog.mithril.fund/cyber-incident-response-by-country?lang=fr)