Contrats en cybersécurité et en vie privée à Montréal et au Québec

Au Québec, les contrats en cybersécurité et en protection des renseignements personnels dépendent de deux réalités qu'on ne retrouve pas ailleurs au Canada : la Loi 25, qui a modernisé la loi québécoise sur le secteur privé, et l'attente de pouvoir travailler en français. Ajoutez le secteur de l'IA montréalais et une communauté de sécurité offensive très active, et vous obtenez un marché qui récompense les praticiens bilingues qui connaissent la Loi 25 en pratique. Voici comment ce travail se rend aux consultants et aux travailleurs autonomes.

English version: Cybersecurity and privacy contract work in Montreal and Quebec.

La Loi 25 : le principal moteur du travail en vie privée au Québec

La Loi 25 a modernisé la Loi sur la protection des renseignements personnels dans le secteur privé. Ses obligations sont entrées en vigueur par étapes, de septembre 2022 à septembre 2024. La Commission d'accès à l'information (CAI) veille à son application. Elle a créé un flux constant de mandats, parce qu'elle oblige les organisations à mettre en place des choses qu'elles n'avaient pas :

• Une personne responsable de la protection des renseignements personnels. Par défaut, c'est la personne ayant la plus haute autorité dans l'organisation, qui peut déléguer cette fonction par écrit. Beaucoup de PME la confient, en tout ou en partie, à un praticien externe.
• Des évaluations des facteurs relatifs à la vie privée (EFVP). Exigées pour les projets d'acquisition, de développement ou de refonte d'un système d'information ou d'une prestation électronique de services qui touchent des renseignements personnels, et avant de communiquer des renseignements personnels à l'extérieur du Québec.
• Des politiques de gouvernance. Des règles publiées sur la façon dont l'organisation encadre les renseignements personnels.
• La gestion des incidents. Un registre des incidents de confidentialité, et un avis à la CAI et aux personnes concernées lorsqu'il y a un risque qu'un préjudice sérieux soit causé.
• Les décisions automatisées. Informer une personne lorsqu'une décision à son sujet est fondée exclusivement sur un traitement automatisé, et lui donner de l'information sur cette décision à sa demande.
• Le consentement et la transparence. Un consentement plus clair, des avis de confidentialité plus lisibles et la confidentialité par défaut pour les produits technologiques.

Les sanctions peuvent atteindre plusieurs millions de dollars, ce qui a retenu l'attention des conseils d'administration. Résultat : une demande continue pour des EFVP, des programmes de protection des renseignements personnels, des revues de fournisseurs avant les transferts hors Québec et du soutien en cas d'incident. Notre guide sur le travail de consultant indépendant en vie privée sous la LPRPDE et la Loi 25 (en anglais) décrit ce travail plus en détail, et notre article sur le rôle de responsable externe (en anglais) explique ce qu'implique la délégation de cette fonction.

Travailler en français

La Charte de la langue française, renforcée par la Loi 96 en 2022, a relevé les attentes envers le français dans les affaires. Pour un consultant, ça se traduit concrètement : beaucoup de clients québécois s'attendent à des réunions, des politiques, des avis et des rapports en français, et les documents destinés aux employés ou au public doivent souvent être offerts en français. Les avis de confidentialité et les politiques de gouvernance rédigés pour une entreprise québécoise auront généralement besoin d'une version française. Pouvoir travailler aisément dans les deux langues est un véritable avantage dans ce marché, et un praticien unilingue anglophone trouvera une partie du travail hors de sa portée. Savoir si un document précis doit être en français est une question juridique : vérifiez auprès des conseillers juridiques du client quand ça compte.

Le secteur de l'IA à Montréal et la gouvernance de l'IA

Montréal est l'un des principaux pôles de l'IA au Canada. On y trouve Mila, l'Institut québécois d'intelligence artificielle, ainsi que de nombreuses jeunes pousses et laboratoires de recherche en IA. Les entreprises qui développent ou déploient de l'IA ici sont directement visées par les règles de la Loi 25 sur les décisions automatisées, en plus des questions de leurs clients sur les données d'entraînement, l'utilisation de l'IA par leurs fournisseurs et leur gouvernance. Le travail en gouvernance de l'IA, comme les inventaires, les évaluations d'impact, les politiques d'utilisation acceptable et la préparation à ISO/IEC 42001, recoupe largement le travail lié à la Loi 25. Notre guide sur le travail de consultant en gouvernance de l'IA au Canada (en anglais) couvre cette pratique.

Le travail en sécurité à Montréal

Au-delà de la vie privée, Montréal compte une importante base en technologie, en jeux vidéo, en aérospatiale et en services financiers, en plus du gouvernement provincial et des sociétés d'État. Les contrats en sécurité couvrent la préparation à SOC 2 et à ISO 27001 pour des éditeurs de logiciels qui vendent aux États-Unis et au Canada anglais, les tests d'intrusion, la sécurité infonuagique et le travail de programme de sécurité pour les grandes organisations. Le gouvernement du Québec a aussi son propre ministère responsable de la cybersécurité et du numérique, et les organismes publics québécois sont soumis à la loi sur l'accès et la protection des renseignements personnels du secteur public, elle aussi modernisée par la Loi 25.

Comment les contrats se rendent aux praticiens au Québec

Que vous cherchiez des contrats en cybersécurité à Montréal, du travail autonome en cybersécurité ailleurs au Québec ou des mandats de consultant Loi 25, les mêmes canaux reviennent :

• Les firmes-conseils qui ont des pratiques en Loi 25 et en sécurité, et qui confient en sous-traitance des EFVP, des politiques, des analyses d'écarts et des tests.
• Les cabinets d'avocats qui conseillent sur la Loi 25 et ont besoin de praticiens pour le travail opérationnel qui suit l'avis juridique.
• Les agences de placement en TI qui placent des analystes dans des banques, des assureurs, des sociétés d'État et des organismes publics.
• La communauté de sécurité. La scène de sécurité offensive montréalaise est forte, et les testeurs trouvent du travail grâce aux gens qu'ils rencontrent à ses événements.

Pour les canaux à l'échelle canadienne, consultez notre survol des réseaux de travail autonome en GRC au Canada et notre comparaison des plateformes de travail autonome en cybersécurité (en anglais).

Les communautés de sécurité à Montréal

• NorthSec. Un événement annuel de sécurité appliquée à Montréal, organisé par une communauté de bénévoles, qui combine formations, conférences et une grande compétition de type capture du drapeau (CTF).
• BSides Montréal. Une conférence communautaire de sécurité organisée par des bénévoles.
• OWASP Montréal. La section locale consacrée à la sécurité applicative.
• ISACA, section de Montréal. Des activités pour les praticiens en audit, en risque, en gouvernance et en protection des renseignements personnels.

Les parcours pour les seniors et les analystes au Québec

Les praticiens seniors en vie privée peuvent agir comme responsable délégué, ou en soutien au responsable, pour plusieurs entreprises, diriger des EFVP et bâtir des programmes de protection des renseignements personnels. Les praticiens seniors en sécurité réussissent bien en leadership fractionné et en préparation à la conformité pour les éditeurs de logiciels québécois, comme l'explique notre article sur la façon de devenir CISO fractionné au Canada (en anglais). Les analystes qui ont trois ans d'expérience ou plus peuvent prendre du travail révisé : inventaires de données, premières versions d'EFVP, registres d'incidents, revues de consentement et d'avis, évaluations de fournisseurs pour les transferts hors Québec et collecte de preuves SOC 2. Les analystes bilingues sont particulièrement utiles, puisqu'une bonne partie de ce travail doit exister dans les deux langues.

La place du Réseau des associés TrazTech

Nous exploitons le Réseau des associés TrazTech; tenez-en compte en lisant cette section. La protection des renseignements personnels sous la LPRPDE et la Loi 25 est l'une de ses pratiques, aux côtés de la préparation à la conformité, de la gouvernance de l'IA, de la sécurité offensive, de l'infonuagique, du leadership en sécurité et de l'audit interne, en plus de rôles de coordination de mandats et de contrôle qualité des rapports. Il faut au moins trois ans d'expérience pertinente, au moins cinq heures par semaine, et un emploi qui permet le travail à côté. L'évaluation est un mandat client simulé et réaliste d'environ trois heures, avec 72 heures pour le remettre, outils et IA permis. Viennent ensuite un appel de 30 minutes, puis une vérification d'identité et une courte déclaration d'antécédents. Le travail prend la forme de mandats à portée fixe : vous voyez la portée et les honoraires avant d'accepter, et vous pouvez refuser sans pénalité. Le travail suit la demande des clients dans votre pratique.

La page du Réseau des associés en français présente le programme en détail. Le portail et l'évaluation sont en anglais pour l'instant. Si ça vous convient, vous pouvez poser votre candidature ici.

Questions fréquentes sur les contrats à Montréal et au Québec

Faut-il parler français pour faire des contrats en vie privée au Québec?

Pas toujours, mais ça aide énormément. Beaucoup de clients québécois s'attendent à travailler en français, et les politiques et avis ont souvent besoin d'une version française. Les praticiens unilingues anglophones peuvent quand même faire une partie du travail, surtout pour des entreprises dont les activités se déroulent surtout hors Québec.

Qu'est-ce que la Loi 25 exige qui crée des mandats?

Une personne responsable de la protection des renseignements personnels, des EFVP, des politiques de gouvernance, un registre des incidents et un processus d'avis, des changements au consentement et à la transparence, et des règles sur les décisions automatisées. Beaucoup d'organisations font appel à de l'aide externe pour chacun de ces éléments.

Un consultant peut-il être le responsable de la Loi 25 d'une entreprise?

La fonction appartient par défaut à la personne ayant la plus haute autorité, qui peut la déléguer par écrit, y compris à une personne de l'extérieur. Précisez dans votre contrat ce dont vous êtes responsable et ce dont vous ne l'êtes pas.

Y a-t-il de la demande en gouvernance de l'IA à Montréal?

Montréal a un important secteur de l'IA, et les règles de la Loi 25 sur les décisions automatisées s'y appliquent, si bien que la gouvernance de l'IA et la vie privée se recoupent. La demande varie selon le client et le secteur.

Quels événements de sécurité à Montréal valent le déplacement?

NorthSec est le plus connu, avec ses conférences et sa grande compétition CTF. BSides Montréal, OWASP Montréal et la section de Montréal de l'ISACA organisent aussi des activités régulières.

L'évaluation du Réseau des associés est-elle offerte en français?

Pas encore. Le portail et l'évaluation sont en anglais pour l'instant. Les mandats, eux, suivent la langue du client.