Pourquoi la plupart des incidents commencent par une personne : la formation à la vie privée des employés au Canada

Une teneuse de livres dans un cabinet comptable de Calgary reçoit un courriel de son associé directeur. C'est fin mars, le chaos de la saison des impôts, et il a besoin que les T4 de 2025 d'un client soient transférés à une adresse Gmail tout de suite. Elle l'a vu lancer de telles demandes une centaine de fois, alors elle les envoie. Les noms, NAS, adresses et chiffres de salaire de quarante-deux personnes, partis en un clic.

L'associé n'a jamais envoyé ce courriel. Le cabinet a passé les six mois suivants à nettoyer le gâchis, y compris une déclaration au Commissariat à la protection de la vie privée du Canada parce que l'atteinte atteignait le seuil du risque réel de préjudice grave en vertu de la LPRPDE. Pas de maliciel. Pas d'exploit. Personne n'a percé un pare-feu. Une personne a pris une décision, et la décision était mauvaise.

C'est à cela que ressemblent réellement la plupart des atteintes. Le pirate au capuchon est surtout une photo de stock. La véritable surface d'attaque est la personne qui a déjà un accès légitime et qui fait un mauvais choix un mardi après-midi.

Les chiffres que personne ne veut mettre sur une diapositive

Lisez assez de rapports d'incident du CPVP et de la Commission d'accès à l'information du Québec et un motif saute vite aux yeux. Les atteintes qui font les manchettes impliquent des attaquants externes, mais le volume, le filet quotidien régulier, remonte aux employés. Courriel mal acheminé. Ordinateur portable laissé dans un taxi. Feuille de calcul partagée avec le mauvais collaborateur externe. Quelqu'un qui clique sur un lien d'hameçonnage et remet ses identifiants.

Le rapport annuel d'enquêtes sur les compromissions de données de Verizon situe l'élément humain à environ deux tiers à trois quarts des atteintes depuis des années, un chiffre qui englobe les erreurs, les usages abusifs et l'ingénierie sociale. Les organismes de réglementation canadiens voient la même chose. Depuis l'entrée en vigueur de la déclaration obligatoire des atteintes en vertu de la LPRPDE en novembre 2018, le CPVP a souligné à répétition à quel point une grande part des atteintes déclarées proviennent d'actions d'employés plutôt que d'un piratage externe malveillant.

Voici la partie qui devrait changer la façon dont vous dépensez votre budget de sécurité : vous ne pouvez pas corriger une personne. Vous pouvez seulement la former, et la plupart des organisations la forment mal.

Pourquoi la vidéo de conformité annuelle ne fait rien

Entrez dans presque n'importe quelle entreprise canadienne de taille moyenne et demandez quelle formation des employés en matière de confidentialité les organismes de réglementation canadiens attendent réellement, et vous tendez à entendre la même réponse. « Ah oui, tout le monde fait le module pendant l'intégration. » Au singulier. Une fois. Un diaporama de 25 minutes avec un questionnaire à choix multiples que vous réussissez en cliquant sur la réponse la plus longue.

Cette case à cocher existe pour satisfaire un futur auditeur, pas pour changer le comportement de quiconque. Les deux ne sont pas la même chose.

Le changement de comportement a besoin de trois choses que la vidéo annuelle ne livre jamais. Premièrement, elle doit être propre au travail que les gens font réellement. Une réceptionniste qui gère l'admission de patients sans rendez-vous dans une clinique fait face à des décisions de confidentialité complètement différentes de celles d'un développeur ayant un accès à la base de données de production. Un contenu générique les traite comme la même personne, alors les deux décrochent.

Deuxièmement, elle doit être synchronisée au moment du risque, pas livrée neuf mois à l'avance. La connaissance se désintègre. La leçon sur l'hameçonnage de janvier dernier est depuis longtemps disparue lorsque le courriel convaincant atterrit en octobre.

Troisièmement, elle doit rendre la décision plus facile en temps réel, parce que dans l'instant les gens ne se rappellent pas des clauses de politique. Ils reconnaissent des motifs. La teneuse de livres de Calgary n'ignorait pas l'hameçonnage. Elle savait exactement ce qu'était l'hameçonnage. Elle ne l'a simplement pas reconnu pendant que cela se produisait, sous pression d'échéance, de la part d'un expéditeur en qui elle avait confiance.

Le but, ce ne sont pas des employés capables de définir « renseignements personnellement identifiables ». Ce sont des employés qui ressentent une étincelle de doute avant d'appuyer sur envoyer.

À quoi ressemble réellement une bonne formation

Commencez par les scénarios qui font mal. Pas des principes abstraits. De vraies situations tirées de vos propres quasi-incidents et des conclusions publiées du CPVP et de la CAI.

En vertu de la Loi 25 du Québec, la barre est plus haute, et la précision compte ici. Toute organisation exerçant au Québec doit désigner une personne responsable de la protection des renseignements personnels; par défaut c'est la personne ayant la plus haute autorité dans l'entreprise à moins que le rôle ne soit délégué par écrit, et il comporte une réelle responsabilité en matière de gouvernance et de formation. La Loi 25 exige que vous avisiez la CAI de tout incident de confidentialité qui présente un risque de préjudice sérieux, et de le faire avec diligence une fois que vous avez des raisons de croire qu'il s'est produit. Notez le libellé : la loi dit « avec diligence », pas « dans les 72 heures ». Ce chiffre de 72 heures est emprunté au RGPD et discrètement greffé à la Loi 25 dans bien des présentations de fournisseurs; il n'est pas dans le texte québécois.

Les sanctions sont réelles, et elles arrivent en deux volets qui valent la peine d'être distingués. La CAI peut imposer des sanctions administratives pécuniaires pouvant atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial, selon le montant le plus élevé. Séparément, la poursuite pénale peut atteindre 25 millions de dollars ou 4 % du chiffre d'affaires mondial, selon le montant le plus élevé. Votre personnel de première ligne n'a pas besoin de mémoriser tout cela. Il doit savoir que s'il soupçonne que des renseignements personnels ont été exposés, vous le signalez à l'interne immédiatement plutôt que d'espérer discrètement que cela se résolve de soi-même.

Ce dernier point est celui que la plupart des programmes ratent entièrement. Le comportement unique le plus précieux que vous pouvez bâtir est le signalement interne rapide des erreurs. Le cauchemar de six mois du cabinet de Calgary a empiré précisément parce que la teneuse de livres, gênée, est restée assise dessus deux jours avant d'en parler à quiconque. Deux jours d'une feuille de calcul truffée de NAS garée dans une boîte de réception inconnue. Si votre culture punit la personne qui signale un faux pas, vous avez entraîné tout le monde à les cacher, ce qui est l'exact opposé de ce qu'exigent vos obligations de réponse aux atteintes.

Les bons programmes s'appuient aussi sur la répétition plutôt que l'intensité. De courtes touches fréquentes battent le marathon annuel. Une microleçon mensuelle de deux minutes bâtie autour d'un scénario concret, avec une question qui force un véritable jugement, surpassera un cours d'une heure à tout coup. Le cerveau traite la pratique répétée à faibles enjeux comme une compétence, et repérer un risque de confidentialité est une compétence, pas un fait.

Et ils mesurent la bonne chose. Les taux d'achèvement sont une mesure de vanité. Suivez si les quasi-incidents signalés augmentent (bien, les gens sont attentifs) et si les erreurs répétées dans la même catégorie diminuent. Si trois personnes aux comptes fournisseurs continuent de tomber pour la même arnaque de redirection de facture, la formation a échoué pour ces trois personnes, et vous devez le savoir par leur nom, pas comme un pourcentage agrégé enfoui dans un tableau de bord.

Simulations d'hameçonnage : utiles, si vous les gérez bien

Les tests d'hameçonnage simulé sont devenus la norme, et ils fonctionnent, avec une réserve. Menez-les pour enseigner, pas pour humilier. Dès l'instant où une simulation ratée ressemble à un « piège » en route vers l'évaluation de rendement de quelqu'un, les employés cessent de faire confiance aux communications internes, et vous avez échangé un problème contre un pire.

Voici le motif qui fonctionne. Quelqu'un clique sur l'appât simulé, et au lieu d'une réprimande il reçoit une explication amicale de 90 secondes des trois indices qu'il a ratés, sur-le-champ, pendant que l'erreur est encore fraîche. Les clics chutent le plus vite quand la leçon arrive au moment de l'erreur et ne porte aucune honte. Cette approche sert aussi mieux le principe de responsabilité du CPVP, parce que vous améliorez démontrablement les gens plutôt que de simplement documenter leurs échecs.

Le faire survivre à un vrai audit

Si la CAI ou le CPVP frappe un jour à la porte, « nous tenons à la confidentialité » ne vaut rien. La preuve vaut tout. Vous avez besoin de registres montrant qui a été formé, sur quoi, quand, et que le programme est revu et rafraîchi. En vertu du principe de responsabilité de la LPRPDE et des exigences de gouvernance de la Loi 25, cette piste documentaire n'est pas un agrément. C'est la ligne entre un organisme de réglementation qui voit un programme de bonne foi et un organisme de réglementation qui voit de la négligence.

Pour une petite ou moyenne entreprise canadienne, bâtir tout cela à partir de zéro (scénarios propres aux rôles, planification, suivi des achèvements, livraison bilingue pour le personnel québécois, registres prêts pour l'audit) est exactement le genre de travail qui dévore une semaine que vous n'avez pas. C'est l'écart entre l'entreprise qui peut se payer un consultant à 500 000 $ et les 95 % qui ne le peuvent pas mais font face à des obligations juridiques identiques.

Cet écart est ce autour de quoi nous avons construit. Si vous voulez une formation des employés en matière de confidentialité que les organismes de réglementation canadiens respecteront réellement, avec de courts modules associés à de vrais rôles, un suivi des achèvements qui sert aussi de preuve d'audit, et le français et l'anglais dès la sortie de la boîte, commencez par l'Académie de formation de Valdra.