Cybersécurité / Sécurité de l’IA / Préparation Loi 25, LPRPDE et C-8

OpsSecureHub

Cybersécurité et conformité des entreprises qui utilisent l’IA : menaces, failles, Loi 25, LPRPDE, C-8

Assistants, copilotes de code, agents et serveurs MCP détiennent désormais des accès aux fichiers, aux terminaux, aux courriels et aux clés d’API de l’entreprise, et les antivirus et SIEM en place n’ont jamais été conçus pour les surveiller — pendant que la Loi 25 et la LPRPDE, et la loi C-8 une fois en vigueur pour les secteurs critiques et leurs fournisseurs, attendent de la même entreprise qu’elle démontre qu’elle garde la maîtrise. OpsSecureHub réunit menaces liées à l’IA, vulnérabilités, alertes, réponse aux incidents et preuves de conformité dans une seule plateforme, en autonomie ou en service géré, avec des données hébergées au Canada.

8 services qui partagent les mêmes faits, le même compte et les mêmes preuves
5 outils de tickets ITIL connectés dans les deux sens, un PSA par compte client
12 obligations de référence suivies pour la préparation à la loi C-8 (LPCSC), avec un chronomètre d’incident de 72 h

Statut: En production — accès sur invitation
Modèle: B2B · PME, MSP / MSSP
Marché: Canada
Site: opssecurehub.com

Le problème

Une PME canadienne qui adopte l’IA ouvre des portes que ses outils actuels ne voient pas : un agent avec accès au shell ou à tout le disque, des clés d’API stockées en clair dans la configuration d’un assistant, un serveur de modèles à l’écoute sur le réseau, des outils d’IA installés sans validation qui traitent les données hors de tout contrôle. Pendant ce temps, le flux de failles ne s’arrête jamais, les alertes arrivent sans priorité, et personne ne sait dire qui est de garde, qui approuve une correction ni quelles preuves seront produites si un régulateur, un client d’un secteur critique ou le responsable de la protection des renseignements personnels pose la question. Le projet de loi C-8 a reçu la sanction royale le 15 juin 2026; sa partie 2 crée la Loi sur la protection des cybersystèmes essentiels, avec des obligations pour les exploitants désignés — dont un délai de déclaration d’incident de 72 heures — qui atteignent leurs fournisseurs par contrat, le tout sans équipe SOC pour s’y préparer.

La solution

Une plateforme, huit services, une seule lecture du risque. Un agent léger en lecture seule sur les postes Windows et macOS tient à jour en continu l’inventaire des logiciels et des composants d’IA, et les EDR/XDR déjà en place alimentent la détection; failles, menaces et risques IA sont vérifiés, regroupés en incidents clairs et priorisés selon les priorités ITIL P1–P4 et des SLA. Les corrections sont des mises à jour logicielles en un clic, appliquées par l’agent du poste avec approbation obligatoire; la réponse aux incidents passe par des actions approuvées, tracées au journal d’audit. La préparation à la loi C-8, à la Loi 25 et à la LPRPDE se construit sur les mêmes faits : obligations suivies, registre des responsabilités exportable et dossiers PDF. L’entreprise pilote la console elle-même ou confie l’exploitation à l’équipe de SOFT M POWER CANADA en service géré — elle décide, l’équipe exécute.

Ce que fait la plateforme

Menaces liées à l’IA, reliées à OWASP LLM et MITRE ATLAS Un catalogue des menaces propres aux outils d’IA : injection de prompt, agents trop puissants, secrets exposés dans les configurations IA, chaîne d’approvisionnement IA piégée, shadow AI, serveurs d’IA exposés, modèles piégés et failles des frameworks IA. Pour chacune, la plateforme signale le composant touché — un serveur MCP privilégié, une extension non figée, une clé en clair, un modèle dans un format dangereux — et, le cas échéant, la correction à appliquer.
Failles corrigées en un clic, avec approbation Veille des failles et de l’exploitation active, bibliothèques d’IA comprises, regroupée en un incident par logiciel plutôt qu’une alerte par CVE. La correction est une mise à jour logicielle appliquée par l’agent du poste après approbation obligatoire; double approbation, suppléants et délégations sont possibles, et la correction est vérifiée à partir des preuves reçues du poste. Lors d’un test interne en octobre 2026, 237 failles ont été regroupées en 2 incidents et une seule mise à jour en a corrigé 167.
Détection et réponse approuvée aux incidents Corrélation des journaux des postes et des outils, recherche d’événements et chronologie reliée aux incidents et aux actions auditées. Pour répondre, l’équipe demande des actions approuvées — isoler un poste, révoquer des sessions, désactiver un compte —, chacune passant par une approbation et consignée au journal d’audit, de sorte qu’aucune action de réponse ne s’exécute sans une approbation consignée.
Organisation, garde et escalade Équipes, RACI par domaine, garde avec suppléants, escalade automatique et assignation automatique des incidents. Un assistant en cinq étapes et la vue « Mes responsabilités » rendent les rôles lisibles, et un registre des responsabilités exportable soutient les preuves C-8, Loi 25 et LPRPDE.
Préparation à la loi C-8 (LPCSC) Un questionnaire d’applicabilité, le suivi des 12 obligations de référence, des preuves automatiques tirées de l’inventaire, de l’analyse de risques, des incidents et du journal d’audit, un chronomètre d’incident de 72 h et un dossier de préparation PDF. Au 22 octobre 2026, la loi n’est pas encore en vigueur et aucune catégorie d’exploitants n’est désignée : OpsSecureHub aide l’entreprise à se préparer; ce n’est ni une certification ni un avis juridique.
Renseignements personnels : Loi 25 et LPRPDE Analyse locale, par l’extension navigateur, de ce que les employés envoient aux services d’IA, signaux DLP et CASB de Microsoft Purview et Defender for Cloud Apps, registre d’incidents de confidentialité et rapport PDF « Usage de l’IA, Loi 25 et LPRPDE » — services d’IA observés, données sensibles envoyées ou bloquées et registre — prêt pour la direction et le responsable de la protection des renseignements personnels.
Sécurité et gouvernance de l’IA Un inventaire IA de chaque poste (AI-BOM), sept contrôles sur les composants d’IA — agents trop privilégiés, serveurs MCP mal configurés, outils non approuvés, modèles locaux exposés —, un repérage par le DNS, assuré par l’agent Windows, des services d’IA utilisés par les applications et les scripts même hors navigateur, et une politique d’usage qui classe chaque outil comme approuvé, à revoir ou refusé. Les valeurs sensibles restent sur le poste : seuls des noms et des métadonnées sont transmis.
Alertes, rapports et ticketing ITIL Six familles d’alertes immédiates, un seul courriel par incident regroupé, des plages de silence que les alertes critiques et les échéances C-8 peuvent contourner, et des rapports hebdomadaire et mensuel FR/EN en version dirigeant ou technique. Les incidents deviennent des tickets dans Autotask, ConnectWise PSA, HaloPSA, ServiceNow ou Jira Service Management, avec priorité ITIL (impact × urgence, P1–P4), échéances SLA et groupe d’assignation, et le statut du ticket synchronisé dans les deux sens.

Architecture

Une plateforme infonuagique dont les données sont hébergées au Canada, exploitée en français et en anglais. Côté postes, un agent léger en lecture seule pour Windows et macOS et une extension Chrome et Edge; côté intégrations, la connexion des EDR/XDR déjà en place (Microsoft Defender, Cynet, CrowdStrike, SentinelOne, Sophos), des outils DLP/CASB (Microsoft Purview, Defender for Cloud Apps, Netskope, Zscaler), des services d’identité et infonuagiques (Microsoft Entra ID, Microsoft 365, Google Workspace) et de cinq outils de tickets ITIL. La plateforme s’applique ses propres règles : isolation stricte entre clients, accès sur invitation avec double authentification, journal d’audit chaîné, aucune valeur de secret ni contenu de fichier transmis, et rapports signés par empreinte.

Qui l’utilise

Les PME qui adoptent l’IA et veulent se protéger des menaces liées aux assistants et aux agents sans équipe SOC; les fournisseurs de secteurs critiques qui doivent répondre aux exigences C-8 de leurs clients; et les MSP et MSSP qui pilotent plusieurs clients depuis une seule console, avec des données strictement isolées, un PSA par compte client et des priorités, SLA et rapports par client. Deux façons de travailler : en autonomie, avec un accompagnement au démarrage, ou en service géré par l’équipe de SOFT M POWER CANADA.

Marchés

Le Canada, pour les PME et leurs partenaires. Les services de conformité sont bâtis autour des cadres canadiens — la Loi 25 du Québec, la LPRPDE fédérale et la Loi sur la protection des cybersystèmes essentiels créée par la loi C-8 — et les données restent au Canada. L’accès se fait sur invitation, accordé après validation du périmètre avec le client. OpsSecureHub est une marque de SOFT M POWER CANADA.

Où intervient l’IA — et où elle n’intervient pas

Des faits avant l’IA. Chaque alerte passe d’abord par la base de connaissances de la plateforme — fiches d’événements, playbooks, MITRE ATT&CK, CWE — et par des sources officielles; la détection, le regroupement, la priorisation et les preuves de conformité reposent sur des faits vérifiés et des règles, pas sur un modèle. L’IA n’intervient qu’ensuite, pour expliquer un incident ou un contrôle déclenché en langage clair, sans jamais contredire les faits vérifiés. Elle ne déclenche aucune action : chaque correction et chaque action de réponse exige une approbation humaine consignée au journal d’audit. L’analyse de ce que les employés envoient aux services d’IA se fait sur le poste, dans l’extension navigateur — le texte ne quitte pas l’appareil; seuls le type de données et leur nombre sont transmis.

Mon rôle

Fondateur et architecte : vision produit, architecture de la plateforme, modèle de menaces et direction technique; mon équipe chez SOFT M POWER CANADA l’a bâtie et l’exploite sous ma direction, service géré compris.