Points clés
- Le 1er octobre 2026, Pensez cybersécurité (la campagne nationale dirigée par le CST) a lancé le Mois de la sensibilisation à la cybersécurité 2026 sous le thème « Votre meilleure défense, c’est vous », en désignant explicitement les arnaques alimentées par l’IA comme la menace qui justifie le message.
- Les quatre thèmes hebdomadaires de la campagne (reconnaître les menaces, renforcer ses défenses, protéger ses renseignements, bâtir une communauté) forment un calendrier de sensibilisation interne prêt à l’emploi que les équipes de protection des renseignements personnels et de sécurité peuvent adopter plutôt que d’en inventer un.
- La formation et la sensibilisation comptent comme mesures organisationnelles sous le principe 4.7 de la LPRPDE : les enquêteurs en demandent la preuve, donc un programme d’octobre documenté sert aussi de matériel de conformité, pas seulement de culture.
Le lancement, et pourquoi cette année sonne différemment
Le Mois de la sensibilisation à la cybersécurité 2026 a commencé le 1er octobre avec un thème inhabituellement direct pour une campagne gouvernementale : « Votre meilleure défense, c’est vous ». L’annonce place l’intelligence artificielle dès le premier paragraphe : l’IA change le mode opératoire des cybercriminels et rend certaines arnaques et menaces en ligne « plus convaincantes que jamais ».
Ce cadrage compte. Rajiv Gupta, chef du Centre canadien pour la cybersécurité, a dit tout haut ce que plusieurs pensent tout bas : « L’IA rend certaines menaces et arnaques en ligne plus convaincantes que jamais, mais les fondements de la cybersécurité n’ont pas changé. » Sa liste de ce qui fonctionne encore est volontairement ennuyeuse : vérifier un message suspect avant d’agir, utiliser des mots de passe forts et uniques, activer l’authentification multifacteur.
Je lis cela comme un aveu du gouvernement fédéral : la conversation sur les menaces a changé. Nous avons passé 2026 à voir des agents d’IA sonder des sites gouvernementaux (dont Bibliothèque et Archives Canada), et la réponse de la campagne n’est pas une nouvelle technologie. C’est l’humain qui clique sur la souris.
Les quatre semaines forment un calendrier gratuit
La plupart des organisations traitent le Mois de la cybersécurité comme un exercice de communication : une affiche en octobre, une simulation d’hameçonnage que personne ne retient. Les quatre thèmes hebdomadaires sont pourtant assez bien structurés pour servir de programme interne d’un mois. Voici le plan que j’utiliserais :
| Semaine | Thème de la campagne | Ce que votre équipe fait cette semaine-là |
|---|---|---|
| 1 | Reconnaître les cybermenaces | Simulation d’hameçonnage et d’arnaques par faux contenu, avec une séance « faites une pause avant de cliquer » pour chaque service |
| 2 | Renforcer ses défenses | Campagne d’inscription à l’authentification multifacteur et déploiement d’un gestionnaire de mots de passe pour les retardataires; mesurer les inscriptions chaque semaine |
| 3 | Protéger ses renseignements | Sprint d’hygiène des données : où sont stockés les renseignements personnels, qui y a accès, que retiennent les employés qui partent |
| 4 | Bâtir sa communauté cybersécurité | Publier le canal interne de signalement des arnaques et tenir un exercice sur table sur un incident déclenché par hameçonnage |
Le thème de la troisième semaine est celui que les équipes de protection des renseignements personnels devraient s’approprier entièrement. « Faire des choix plus sûrs pour vos opérations bancaires, vos achats ou vos services gouvernementaux en ligne » est un langage grand public, mais la version interne, c’est un mini-inventaire de données. Vous en avez déjà besoin pour les demandes d’accès et la gestion des atteintes. Octobre vous donne une raison d’affaires de le mettre à jour.
La sensibilisation est une mesure de protection, pas une affiche
Voici l’angle de conformité que la plupart des équipes manquent. Le principe de protection de la LPRPDE exige des mesures adaptées à la sensibilité des renseignements, y compris des mesures organisationnelles. Quand le Commissariat enquête sur une atteinte, l’une des questions habituelles porte sur la formation et la sensibilisation en place. « On a fait le Mois de la cybersécurité une fois » n’est pas la réponse attendue. Un programme documenté de quatre semaines, avec la participation, les résultats des simulations d’hameçonnage et les taux d’inscription à l’authentification multifacteur, c’est une preuve.
Les organisations québécoises retrouvent la même logique dans les obligations de sécurité de la Loi 25. Et la citation du ministre de la Défense nationale McGuinty dans le communiqué de lancement (« La cybersécurité est une responsabilité partagée ») est une phrase utile à glisser dans une note au conseil quand il faut un budget : le gouvernement fédéral vient de dire à vos administrateurs que chacun contribue à la résilience collective.
Quoi faire lundi
- Réserver le calendrier. Envoyer les quatre thèmes aux TI et aux RH avant la fin de la semaine. Un responsable par semaine.
- Prendre la mesure de départ. Taux de clics aux simulations d’hameçonnage et taux d’inscription à l’authentification multifacteur aujourd’hui. Impossible de démontrer un progrès à la semaine 4 sans chiffres à la semaine 1.
- Écrire noir sur blanc le canal de signalement. Le thème de la semaine 4 ne fonctionne que si le personnel sait où signaler une arnaque suspectée. Si ce canal est une adresse courriel que personne ne surveille, corrigez cela maintenant.
- Parler des arnaques IA, pas des arnaques génériques. Le communiqué de lancement nomme l’IA explicitement. Votre séance de la semaine 1 devrait montrer un vrai exemple d’arnaque peaufinée par l’IA, un appel à voix clonée ou un harponnage personnalisé, pour que le personnel calibre son attention sur la menace actuelle.
Mesure concrète : le Mois de la cybersécurité 2026 vous offre un calendrier de sensibilisation validé par le gouvernement, un cadrage IA qui correspond à la menace réelle et une couverture de conformité pour l’effort. Menez les quatre semaines comme un programme avec des mesures, et octobre cesse d’être une affiche pour devenir une preuve.