Ce qui suit est un article initialement publié par The Globe en juin 2026. Il traite de l’importance cruciale des mesures de cybersécurité pour les entreprises et de la menace croissante que représente le cyberrisque. Sheena Barnett, Vice-présidente, Gestion, cyberresponsabilité et responsabilité civile professionnelle, apporte son point de vue et son expertise, expliquant que les mesures actuelles, bien qu’importantes, pourraient ne pas être suffisantes. Pour plus d’informations et d’expertise en matière de cybersécurité et de cyberrisque, contactez un expert ou une experte NFP.
L’année dernière, un client de Sheena Barnett, une entreprise du secteur manufacturier, finalisait l’une de ses plus importantes transactions à ce jour lorsqu’une cyberattaque a paralysé ses systèmes, provoquant l’arrêt de la production à un moment particulièrement inopportun.
Heureusement, l’entreprise disposait d’une cyberassurance et a pu surmonter cette perturbation et en absorber le coût. Toutes les organisations n’ont pas cette chance, explique Mme Barnett, vice-présidente chargée de la gestion, de la cyberresponsabilité et de la responsabilité civile professionnelle chez NFP, une société du groupe Aon. Même si la fréquence et la gravité des cyberattaques augmentent, elle constate que de nombreuses organisations négligent encore les mesures qui pourraient les protéger.
Le cyberrisque doit figurer régulièrement à l’ordre du jour du conseil d’administration
La lutte contre ces risques ne relève plus uniquement de la compétence du directeur des technologies et du service informatique. Mme Barnett estime que le cyberrisque représente le plus grand risque pour les conseils d’administration. Les cadres responsables de gérer les risques, la réputation et la croissance doivent se prémunir de manière proactive contre les risques liés à la cybersécurité.
De nombreuses organisations estiment être raisonnablement protégées grâce à des mesures telles que l’authentification multifactorielle obligatoire, la restriction des accès des utilisateurs, le chiffrement et la sauvegarde des données clés, la mise à jour régulière des logiciels et des systèmes, ainsi que la mise en place de pare-feu robustes.
Ces efforts sont essentiels, mais ils ne suffisent pas, affirme Mme Barnett. Les cyberrisques exigent une gouvernance solide face aux expositions. Un seul cyberincident peut entraîner des temps d’arrêt, la perte de clients, des frais juridiques, un contrôle réglementaire et une atteinte à l’image de marque.
Pour Mme Barnett, la question des cyberrisques devrait figurer à l’ordre du jour de chaque réunion du conseil d’administration. Elle ajoute qu’il est essentiel de tester non seulement les systèmes technologiques, mais aussi les plans d’intervention en cas d’incident, et de dispenser une formation complète au personnel.
Même lorsque des contrôles techniques et des mesures de protection adéquats sont en place, le personnel peut constituer le maillon faible. Trop d’employé·e·s cliquent encore sur des liens qu’ils ne devraient pas, dit-elle, et c’était déjà le cas avant même que l’intelligence artificielle ne permette aux acteurs malveillants de sembler plus légitimes.
Mme Barnett précise qu’il existe même un terme dans le monde de l’informatique pour désigner ce point de défaillance particulier : le code 19. « Le problème se trouve à 19 pouces de l’écran — et c’est vous », dit-elle.
À mesure que la prise de conscience des risques liés à la cyberresponsabilité et de la couverture d’assurance s’accroît, de plus en plus d’organisations adoptent une approche proactive et choisissent de travailler avec des entreprises proposant des programmes d’assurance solides incluant la cyberresponsabilité. « Les entreprises voient de plus en plus souvent des clauses relatives à la cyberresponsabilité figurer dans leurs contrats avec leurs fournisseurs », explique Mme Barnett.
Aucune organisation n’est trop petite pour être vulnérable — ou proactive
Même les entreprises technologiques elles-mêmes peuvent être la proie de cybercriminels. Le risque est universel, ajoute-t-elle. Certaines organisations pourraient penser qu’elles sont trop petites pour être attaquées, tandis que d’autres estiment pouvoir survivre à une brèche informatique en limitant les dégâts. Pourtant, Mme Barnett connaît des petites entreprises qui ont dû déclarer faillite après avoir été victimes d’une cyberattaque. N’importe qui peut être une cible.
Statistique Canada indique que les dépenses totales des entreprises consacrées à la reprise après des cyberincidents ont dépassé 1,2 milliard de dollars en 2023 — soit le double de ce qu’elles étaient cinq ans auparavant. Malgré cela, leurs données ont révélé que seule une entreprise sur cinq prévoyait de mettre en place des mesures supplémentaires de cybersécurité.
Si les cybermenaces constituent des risques potentiellement existentiels, elles peuvent être atténuées par des stratégies prudentes. Outre les précautions opérationnelles et les formations nécessaires, les cyberassurances et l’assurance responsabilité civile professionnelle constituent des lignes de défense essentielles. Mme Barnett indique que les souscriptions de cyberassurances sont en hausse, mais qu’il en va de même pour les sinistres, et que de nombreuses organisations présentent encore d’importantes lacunes de couverture.
La situation est critique, mais elle n’a pas besoin d’être compliquée. En collaborant avec le bon courtier ou la bonne courtière technique et le bon fournisseur de solutions, les organisations peuvent obtenir une couverture adaptée à leur activité et s’assurer que celle-ci évolue au rythme de leur croissance. NFP, par exemple, offre une expertise spécialisée dans tous les secteurs et aide les organisations à s’y retrouver dans un paysage de risques complexe et en constante évolution.
L’assurance n’est qu’un élément d’une stratégie plus large de cyberrésilience. Grâce à elle, les conseils d’administration et les cadres supérieurs peuvent avoir davantage confiance dans le fait qu’ils accomplissent leurs responsabilités de surveillance.
Une chose est sûre : aucune entreprise ne prendrait le risque de tout perdre en laissant ses locaux partir en fumée. Elle miserait sur des mesures de prévention des incendies, des systèmes d’extinction automatique et, bien sûr, une assurance des biens professionnels. « Le cyberrisque, c’est le nouvel incendie », affirme Mme Barnett.
