Évaluation des menaces et des risques (EMR), et le registre sur lequel quelqu'un agit vraiment
Ils nous font confiance
Évaluation des menaces et des risques : trois piliers, une seule équipe aux commandes.
Une seule équipe canadienne délimite les actifs, cote le risque et nomme qui agit. Une EMR sur laquelle personne n'agit n'est qu'un document.
Actifs et menaces crédibles
Chaque actif compris dans la portée, le préjudice qui suit s'il est compromis, et les auteurs de menace qui ont le mobile et les moyens d'essayer. Notre point de départ? Des données probantes sur votre secteur, pas une liste générique d'auteurs.
Des contrôles à jour
Les constats sont arrimés à l'ITSP.10.033, le catalogue du Centre canadien pour la cybersécurité qui a remplacé l'ITSG-33, annexe 3A, le 2026-03-31. Votre dernier rapport était une EMR selon l'ITSG-33? Ses références de contrôles sont périmées.
Un registre, des responsables
Chaque risque est coté, confié à un responsable et daté. Puis traité, ou accepté par écrit. Le livrable, c'est le registre des risques : il indique l'actif, l'écart de contrôle qui explique la cote et la personne qui a accepté d'agir.
Avec qui allez-vous travailler?
Vous travaillez avec la personne derrière la conception. Saeid Khanipour Ghobadi a fondé SMEnode et conçoit encore l'architecture que les clients achètent. Titulaire du CCIE Data Center et fort de plus de 15 ans en réseau d'entreprise, en centre de données, en infonuagique et en IA appliquée, il cadre chaque mandat et y reste jusqu'à la livraison. Engager SMEnode, c'est engager la personne qui conçoit, pas un diaporama de vente.
Évaluation des menaces et des risques : de quoi avez-vous besoin?
Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.
Votre demande
- Service
- Évaluation des menaces et des risques
La suite
- Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
- On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
- Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.
Appelez la ligne 24/7
+1 514-465-1584L'évaluation des menaces et des risques au Canada, concrètement.
La plupart des évaluations échouent après la livraison, pas pendant. Le rapport est correct. Personne ne peut agir en conséquence.
Ce qu'une évaluation des cyberrisques devrait vraiment contenir.
Une bonne évaluation des menaces et des risques est courte et précise. Elle nomme les actifs qui comptent, dit quel préjudice suit si chacun est compromis et désigne les auteurs de menace qui ont à la fois le mobile et les moyens d'essayer. Elle cote le risque qui reste après vos contrôles existants, pas le risque dans l'absolu. Puis elle s'arrête. Un rapport de quatre cents constats, c'est une façon d'éviter de choisir les douze points qui comptent.
Pourquoi nous suivons encore la Méthodologie harmonisée d'EMR.
Nous suivons la structure de la Méthodologie harmonisée d'EMR parce que les examinateurs canadiens savent déjà la lire, et nous la raccourcissons là où elle a vieilli. Le risque se trouve à deux endroits. D'abord, une portée trop large, qui produit un document que personne ne termine. Ensuite, une cotation du risque fondée sur des contrôles décrits dans un document plutôt que vus en fonctionnement : c'est ainsi qu'un registre finit par se tromper en toute confiance.
Le catalogue de contrôles a changé le 2026-03-31.
Le terrain canadien a bougé cette année. Bien des travaux d'évaluation n'ont pas suivi. Le 2026-03-31, l'ITSP.10.033 est entré en vigueur et a remplacé l'ITSG-33, annexe 3A, le catalogue de contrôles que citent les rapports d'évaluation canadiens depuis 2012 (source : Centre canadien pour la cybersécurité, 2026). Le nouveau suit le document NIST SP 800-53 Rev. 5 et ajoute des contrôles de protection de la vie privée. Ça compte, parce que les obligations de la LPRPDE et un niveau Protégé B relèvent désormais du même catalogue. Une EMR selon l'ITSG-33 rédigée l'an dernier renvoie encore à un catalogue qui ne s'applique plus.
Le regard d'un conseiller chevronné sur vos TI?
Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.
Demander une consultationComment se déroule notre travail d'évaluation des cyberrisques et d'analyse des risques de sécurité.
Quatre étapes. L'étape 01 décide si le reste sera utile. C'est à la délimitation de la portée que les évaluations dérapent, parce que la portée honnête est plus étroite que celle que les gens demandent. Nous insistons pour nommer les systèmes dont la compromission changerait réellement votre semaine. Pas question de tout inventorier et de tout coter moyen. Mieux vaut une EMR qui couvre neuf systèmes et que les gens lisent qu'une EMR qui en couvre quatre-vingt-dix et qu'ils ne lisent pas.
Phases du mandat
Phases 01 à 04
Délimiter et évaluer les actifs
Nous nommons les systèmes et les données compris dans la portée, convenons du préjudice qui suit si chacun est compromis et fixons la classification, Protégé B compris là où il s'applique. Tout ce qui suit hérite de la portée. Nous l'arrêtons donc par écrit.
Nommer les menaces crédibles
Les auteurs de menace qui ont le mobile et les moyens de viser votre secteur, plus les menaces accidentelles et environnementales. Nous écartons les auteurs qui font paraître un rapport complet, mais qui ne s'en prendraient jamais à vous.
Coter selon les contrôles observés
Nous vérifions les contrôles que vous déclarez, les arrimons à l'ITSP.10.033 et cotons le risque résiduel en partant de ce que nous avons vu fonctionner, pas de ce que dit une politique. Deux de ces contrôles surprennent habituellement quelqu'un.
Rédiger un registre qui sert
Chaque risque reçoit une cote, un responsable nommé, une date et une décision : le traiter, ou l'accepter par écrit avec une signature. Nous présentons le registre aux personnes qui doivent approuver le système, puis nous revenons voir ce qui a bougé.
Des questions sur l'évaluation des menaces et des risques, des réponses directes.
Les réponses d'abord, y compris celle où nous vous disons qu'une EMR n'est pas ce qu'il vous faut. C'est un spécialiste qui prend l'appel.
Où ce travail se rattache.
Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.
- SecurityGestion des identités et des accèsGestion des identités et des accès au Canada, bâtie sur la plateforme que vous possédez déjà, arrivées et départs pris en charge.
- SecurityGestion des vulnérabilitésUne gestion canadienne des vulnérabilités qui classe selon l'exploitation réelle, puis suit chaque constat jusqu'à sa fermeture.
- SecurityServices de sécurité gérés (MSSP)Un fournisseur canadien de services de sécurité gérés qui convient, avant la mise en service, de ce qu'il peut faire à 3 h du matin.
