Cybersécurité à la ferme : 7 étapes pour rester opérationnel

1. Commencez par les activités qui ne peuvent pas attendre

Étape 1 : nommez trois à cinq activités qui ne peuvent pas s'arrêter.

Pas dix. Trois à cinq. Celles qui, si elles bloquent pendant 48 heures, coûtent de l'argent, brisent un engagement de livraison ou mettent des animaux ou des récoltes en danger.

Selon les productions : expédier et facturer les commandes, effectuer la paie, joindre le vétérinaire ou l'agronome, consulter les données de production, accéder aux relevés bancaires, maintenir un automate de traite ou de ventilation fonctionnel.

Pour chacune, notez trois choses :

• les données nécessaires : fichiers, historiques, contrats, listes de contacts;
• les personnes capables de la faire : idéalement deux, pas une seule;
• les comptes et logiciels utilisés : courriel, comptabilité, gestion de troupeau ou de champs, banque, portail fournisseur.

Agriculture et Agroalimentaire Canada rappelle que la technologie d'une exploitation touche les courriels, les services bancaires, les données de production et les outils connectés : capteurs sans fil, machines automatisées, systèmes de contrôle du climat. Un incident sur l'un de ces maillons peut perturber les activités, les revenus et la confiance des clients et des fournisseurs (La cybersécurité et votre entreprise agricole, AAC).

2. Cybersécurité d’une ferme agricole : les quatre protections de base

Quatre gestes couvrent la majorité des situations courantes. Simples et répétables, ils valent mieux qu'un grand chantier reporté d’une saison à l’autre.

Étape 2 : activez l'authentification multifacteur (AMF) pour vos accès critiques. L'AMF, c'est un deuxième élément demandé en plus du mot de passe : un code envoyé par SMS, une application d'approbation ou une clé physique. Même volé, le mot de passe ne suffit plus. Le Centre canadien pour la cybersécurité classe l'authentification robuste parmi les premières mesures à mettre en place au sein d'une PME. Commencez par le courriel, les accès bancaires et les accès à distance.

Étape 3 : laissez les mises à jour s’effectuer automatiquement. Ordinateurs, téléphones, routeur, logiciels de gestion. Le Centre recommande de l'activer pour l'ensemble des logiciels et du matériel (Les meilleures mesures pour renforcer la cybersécurité des PME).

Étape 4 : attribuez un compte individuel à chaque personne. Le compte du bureau partagé par cinq personnes, avec le mot de passe collé sous le clavier, rend impossible de savoir qui a fait quoi. Et quand un saisonnier repart, retirer son accès ne devrait pas obliger toute l'équipe à changer de mot de passe.

Étape 5 : sauvegardez les données de vos activités critiques. La section suivante explique comment vérifier que cette sauvegarde tient la route.

Ces quatre protections couvrent vos courriels, vos documents et vos accès, et non seulement vos ordinateurs. Elles ne suppriment pas le risque. Elles réduisent la probabilité de blocage et limitent les dégâts.

Vous n'avez pas à tout protéger au même niveau. Concentrez l'effort sur les accès et les données dont dépendent les activités listées à l'étape précédente. Notre approche de la sécurité informatique en agriculture [lien interne : page pilier Cybersécurité : URL à confirmer] part de cet inventaire.

3. Une sauvegarde utile est une sauvegarde que vous pouvez restaurer

Beaucoup de fermes disposent d'une sauvegarde. Peu savent combien de temps il faudrait pour remettre les données en service. Une copie qui n'a jamais été restaurée reste une hypothèse.

Cinq étapes suffisent pour la transformer en certitude.

1. Déterminez les données essentielles

Reprenez votre liste d'activités critiques. Quelles données doivent absolument exister demain matin? Souvent : la comptabilité et la paie, les contrats et ententes de livraison, les registres de production et de traitements, les listes de clients et de fournisseurs, les documents d'assurance. Le reste peut attendre quelques jours.

2. Conservez une copie séparée

Une copie qui vit sur le même ordinateur, ou sur un disque branché en permanence, disparaît avec lui en cas de vol, d'incendie ou de rançongiciel. Le Centre canadien pour la cybersécurité recommande de copier les informations et les applications essentielles vers au moins un emplacement sécurisé. « Séparée » veut dire : sur un autre support ou un autre service, et non modifiable directement depuis le poste de tous les jours.

3. Attribuez un responsable

Une personne nommée, avec un remplaçant. Son rôle : vérifier chaque mois que la sauvegarde s'est bien exécutée et que les nouveaux dossiers y sont inclus. Beaucoup de sauvegardes s'arrêtent silencieusement après un changement d'ordinateur ou de logiciel, et personne ne s'en aperçoit avant d'en avoir besoin.

4. Testez la restauration

Étape 6. Une fois par année, choisissez un dossier réel, demandez sa restauration et chronométrez. Combien de temps a-t-il fallu? Quelles données manquaient? Qui a su faire la manipulation? Ce test vous indique si vous êtes en mesure de reprendre vos activités.

5. Notez le résultat

Une ligne dans un carnet ou un fichier : la date, ce qui a été restauré, le temps nécessaire, ce qui a manqué. Ce court historique vaut beaucoup au moment d'un renouvellement d'assurance ou lorsque un client vous interroge sur vos pratiques.

Et le nuage, est-ce suffisant?

Un service infonuagique offre de nombreux avantages, mais la synchronisation n'équivaut pas à une sauvegarde. Si un fichier est chiffré, corrompu ou supprimé sur votre poste, la modification peut se propager vers le cloud. Deux questions à poser à votre fournisseur : combien de jours de versions antérieures sont conservés, et comment récupérer un dossier complet tel qu'il était à une date précise. Selon les réponses, une copie indépendante peut être nécessaire. Aucune architecture unique ne convient à toutes les exploitations.

4. Préparer les 30 premières minutes d'un incident

Étape 7 : écrivez une fiche d'une page, imprimée, rangée au bureau et à la maison. Si le réseau tombe, une fiche qui ne vit que par courriel ne sert à rien.

Ce qu'elle contient :

• qui prévenir, dans l'ordre : le responsable interne, votre fournisseur TI, votre assureur, la banque si des accès financiers sont en cause;
• les numéros et les courriels, écrits au long;
• le premier geste technique : déconnecter du réseau l'appareil touché, comme le recommande Agriculture et Agroalimentaire Canada;
• ce qu'on ne fait pas : réinstaller, effacer, réparer à l'aveugle, répondre au message ou payer une rançon;
• quoi noter : l'heure, ce qui s'est affiché, ce qui a été cliqué, qui était devant le poste.

Le Centre canadien pour la cybersécurité place le plan d'intervention en tête des mesures de base d'une PME, avec les sauvegardes et la capacité de restaurer. Une seule page suffit pour commencer. Nos services de cybersécurité gérés [lien interne : page pilier Cybersécurité : URL à confirmer] incluent la rédaction de cette fiche avec vos coordonnées réelles.

Si des renseignements personnels sont touchés, des obligations de déclaration peuvent s'appliquer au Québec. Validez-les avec votre conseiller juridique. Cette fiche ne remplace pas l'intervention d'un technicien en situation réelle.

5. Votre plan de continuité en 30 jours, sans interrompre la saison

Aucune de ces étapes ne demande une journée complète. Voici une séquence réaliste, à raison d'une à deux heures par semaine.

Semaine 1. Choisissez une seule activité critique, la plus coûteuse à interrompre. Listez les comptes, les données et les personnes qui la font fonctionner.

Semaine 2. Activez l'AMF sur ces comptes. Activez les mises à jour automatiques sur les postes concernés. Remplacez les comptes partagés par des comptes individuels.

Semaine 3. Vérifiez qu'une sauvegarde couvre réellement les données de cette activité. Nommez la personne responsable et son remplaçant.

Semaine 4. Testez une restauration, notez le résultat, puis rédigez la fiche des 30 premières minutes.

Au bout d'un mois, un flux complet est protégé, documenté et testé. Vous reprenez la même séquence pour la deuxième activité quand le calendrier de la saison le permet. Il est normal de commencer par un seul flux : un flux vérifié vaut mieux qu'un plan complet qui attend depuis deux ans.

Récapitulatif des sept gestes :

1. Nommer trois à cinq activités qui ne peuvent pas attendre.
2. Activer l'AMF sur les accès critiques.
3. Laisser les mises à jour s'effectuer automatiquement.
4. Donner un compte individuel à chaque personne.
5. Sauvegarder les données des activités critiques.
6. Tester une restauration et noter le résultat.
7. Écrire la fiche des 30 premières minutes.

Certaines fermes font tout ça en interne. D'autres préfèrent déléguer l'inventaire, la sauvegarde, la protection des postes et la documentation, tout en gardant la main sur les décisions. Nos forfaits de services gérés couvrent ce volet technique et organisationnel, à la hauteur de vos moyens et de vos besoins réels : une façon d'aborder la cybersécurité d'une entreprise agricole au Québec sans mobiliser votre équipe en pleine saison.

Une prochaine étape modeste, mais réelle

Une ferme ne devient pas résiliente d'un coup. Elle le devient en protégeant une activité, puis une autre, dans l'ordre de ce qui coûte le plus cher à arrêter.