Préparer une région entière aux rançongicielsPreparing an entire region for ransomwareMutualiser les efforts pour protéger les services essentiels de chaque municipalité.Pooling efforts to protect every municipality’s essential services.

Le contexteThe context

Les municipalités membres partageaient certains systèmes avec la MRC, mais chacune gérait ses postes, ses sauvegardes et ses fournisseurs à sa façon. Dans les plus petites, une seule personne s’occupait à la fois de l’informatique, du greffe ou des finances. Taxation, permis, eau potable, sécurité incendie : une attaque pouvait toucher des services dont les citoyens dépendent au quotidien.

Member municipalities shared some systems with the regional county municipality, but each managed its workstations, backups and vendors in its own way. In the smallest ones, a single person handled IT along with clerk or finance duties. Property taxes, permits, drinking water, fire safety: an attack could affect services that citizens rely on every day.

Les élus voulaient agir de façon concrète et proportionnée, sans multiplier les dépenses en double. L’approche devait respecter l’autonomie de chaque municipalité tout en tirant parti de la mutualisation régionale, et tenir compte des obligations de la Loi 25 en matière d’incidents de confidentialité.

Elected officials wanted to act in a concrete and proportionate way, without duplicating spending. The approach had to respect each municipality’s autonomy while taking advantage of regional pooling, and account for Law 25 obligations regarding confidentiality incidents.

Les enjeuxThe challenges

• Le niveau de maturité variait fortement d’une municipalité à l’autre, tout comme les ressources disponibles.Maturity levels varied widely from one municipality to another, as did available resources.
• Les sauvegardes existaient, mais leur capacité réelle de restauration n’avait jamais été éprouvée.Backups existed, but their real ability to restore had never been tested.
• Personne ne savait précisément qui devait décider quoi pendant les premières heures d’une attaque.No one knew precisely who should decide what during the first hours of an attack.
• Les fournisseurs informatiques et les systèmes partagés créaient des dépendances mal connues.IT vendors and shared systems created poorly understood dependencies.

Notre démarcheOur approach

1. 01

   Cadrage et évaluationScoping and assessment

   Nous avons réalisé une évaluation de maturité dans chaque municipalité, à partir d’entretiens, d’une revue des configurations et d’un inventaire des services essentiels. Les résultats ont été présentés de manière comparable, sans palmarès, pour orienter les priorités.

   We carried out a maturity assessment in each municipality, based on interviews, a configuration review and an inventory of essential services. Results were presented in a comparable way, without rankings, to guide priorities.

2. 02

   Conception du planPlan design

   Nous avons rédigé un plan de réponse aux incidents commun, décliné par municipalité, avec rôles, arbres de décision, modèles de communication et procédure de déclaration des incidents de confidentialité. Les dépendances envers les fournisseurs ont été documentées et intégrées.

   We wrote a common incident response plan, tailored to each municipality, with roles, decision trees, communication templates and a procedure for reporting confidentiality incidents. Vendor dependencies were documented and built in.

3. 03

   Réalisation des mesuresDelivering the measures

   Nous avons accompagné le déploiement de sauvegardes isolées et immuables, l’authentification multifacteur et la segmentation des systèmes critiques. Des tests de restauration ont validé que les services essentiels pouvaient réellement être rétablis.

   We supported the rollout of isolated, immutable backups, multi-factor authentication and segmentation of critical systems. Restoration tests confirmed that essential services could actually be brought back.

4. 04

   Exercices et transfertExercises and transfer

   Des exercices sur table ont réuni directions générales, élus, responsables TI et fournisseurs autour de scénarios réalistes. Un comité régional a pris en charge le suivi du programme et la mise à jour de la documentation.

   Tabletop exercises brought together general managers, elected officials, IT leads and vendors around realistic scenarios. A regional committee took over program follow-up and documentation updates.

La solutionThe solution

Les résultatsThe results

1. Chaque municipalité connaît ses services essentiels et l’ordre dans lequel les rétablir.Each municipality knows its essential services and the order in which to restore them.
2. Les équipes savent qui appeler et qui décide dès les premiers signes d’une attaque.Teams know whom to call and who decides at the first signs of an attack.
3. Les sauvegardes ont été restaurées avec succès en conditions d’exercice, et non seulement sur papier.Backups were successfully restored under exercise conditions, not just on paper.
4. La MRC dispose d’un cadre régional qui permet de mutualiser l’expertise et les achats de sécurité.The regional county municipality has a regional framework for pooling security expertise and purchases.

Ce que nous retenonsWhat we take away

La préparation aux rançongiciels se joue autant dans la gouvernance que dans la technique. Un exercice réaliste en a appris davantage aux élus et aux équipes que tous les rapports précédents.

Ransomware readiness depends as much on governance as on technology. A realistic exercise taught elected officials and teams more than all the previous reports combined.

Expertises et offresExpertise and offers

Ce projet s’appuie sur les expertises et les offres suivantes.

This project draws on the following expertise and offers.

ExpertisesExpertise

OffresOffers

Tous les projetsAll projects #Confiance