Vos appels sont chiffrés. Dans la plupart des installations, ils ne le sont pas.

Partout où nous sommes passés avant, la voix circulait en clair sur le réseau de l'entreprise. Un appareil branché au bon endroit pouvait enregistrer une conversation entière, avec un logiciel gratuit, sans déclencher la moindre alarme.

Chez nos clients, la signalisation et la voix sont chiffrées de l'appareil jusqu'au fournisseur. C'est activé par défaut, pour tout le monde, sans supplément — pas une option réservée aux gros comptes.

Faire vérifier votre installation Ce que la Loi 25 vous demande

Signalisation: SIP over TLS
Voix: SRTP
Activation: Par défaut, sans supplément
Preuve: Vérifiable sur votre réseau

Ce qu'on trouve en arrivant

Une conversation qui traverse le bureau sans enveloppe.

Dans une installation téléphonique ordinaire, l'audio voyage en clair entre le téléphone et le serveur. Ce n'est pas un défaut caché ni une faille : c'est la configuration livrée par défaut, et presque personne ne la change.

Écouter n'exige alors ni talent ni outil spécial. Il suffit d'être sur le réseau : un poste de travail infecté, un portable de fournisseur branché dans la salle de conférence, un vieux commutateur mal configuré, un lien Wi-Fi invité qui n'est pas vraiment séparé. Ce n'est pas du piratage, c'est de l'écoute. Et elle ne laisse aucune trace.

Un numéro de carte de crédit lu à voix haute à la réception.
Une discussion sur un employé, une négociation, le dossier d'un client.
Le mot de passe d'un poste — de quoi passer des appels à vos frais, la nuit, vers l'étranger.
Les messages vocaux, qui empruntent exactement le même chemin.

Ce que nous activons

Chiffré sur tout le trajet que nous contrôlons.

Aucune de ces mesures n'est facturée en extra. Elles font partie de l'installation, pour un poste comme pour deux cents.

Signalisation chiffrée — SIP over TLS: Qui appelle qui, les numéros composés, l'état des postes : tout voyage chiffré. Le serveur refuse les connexions en clair, il ne se contente pas de les décourager.
Voix chiffrée — SRTP: L'audio lui-même. Une capture réseau ne rend plus qu'un flux illisible : il n'y a plus rien à écouter.
Certificats vérifiés: Chaque téléphone vérifie qu'il parle bien à votre serveur, et non à un appareil qui s'est glissé au milieu pour relayer — et enregistrer — la conversation.
Lien chiffré jusqu'au fournisseur: Le segment entre votre système et l'opérateur est chiffré lui aussi, chez les fournisseurs qui le permettent. Nous vous disons lesquels, et ce que ça change.
Un mot de passe par poste: Jamais le mot de passe d'usine, jamais le même partout. Les comptes qui ne servent plus sont retirés, pas désactivés et oubliés.
Blocage automatique des tentatives: Les attaques sur un système téléphonique sont constantes et automatisées. Les sources abusives sont bloquées d'elles-mêmes, et les blocages sont visibles.
Administration restreinte et journalisée: L'accès à la configuration est limité, nominatif et consigné : on sait qui a changé quoi, et quand.
Mises à jour appliquées: Un système téléphonique qui n'a pas été mis à jour depuis trois ans est un système ouvert. Les correctifs font partie du service, pas d'un mandat séparé.

Ce que le chiffrement ne fait pas

Pour être cru sur le reste.

Ce n'est pas du « bout en bout » au sens strict. Votre serveur téléphonique doit déchiffrer l'appel pour l'acheminer — c'est vrai de tous les systèmes d'entreprise, chez nous comme ailleurs. Ce qui est vrai, et vérifiable : aucun segment en clair sur votre réseau local, ni sur Internet. Méfiez-vous d'un fournisseur qui vous promet mieux que ça.

Le chiffrement ne protège pas d'une personne debout à côté du téléphone, ni d'un interlocuteur qui enregistre de son côté. Il ne remplace pas les mots de passe, les mises à jour et la séparation du réseau — il s'y ajoute.

Et un enregistrement d'appel conservé sur un disque est un autre sujet : là, ce qui compte est le chiffrement du stockage, les accès et la durée de conservation. Nous les réglons avec vous, mais ce n'est pas la même mesure.

Ce que dit la loi

La Loi 25 ne nomme pas le chiffrement. Elle exige le résultat.

« Toute personne qui exploite une entreprise doit prendre les mesures de sécurité propres à assurer la protection des renseignements personnels […] et qui sont raisonnables compte tenu, notamment, de leur sensibilité […] et de leur support. »Loi sur la protection des renseignements personnels dans le secteur privé, article 10

Un appel où un client donne son nom, son adresse, sa date de naissance ou son numéro de carte transporte des renseignements personnels. Le laisser circuler en clair sur un réseau auquel des tiers ont accès est difficile à défendre devant la Commission d'accès à l'information — surtout quand la mesure existe, qu'elle est gratuite, et qu'elle ne demande qu'une case à cocher à l'installation.

Ce que la Loi 25 demande à votre entreprise, en clair.

Comment le vérifier

Ne nous croyez pas sur parole.

C'est la démonstration que nous faisons aux équipes informatiques qui la demandent. Elle prend une quinzaine de minutes.

On capture votre réseau pendant un appel d'essai
Sur votre propre installation, devant vous, avec un outil que vous pouvez installer vous-même.
On ouvre la capture
Si le système en place est en clair — c'est le cas le plus fréquent — la conversation s'écoute en deux clics.
On refait la même capture après
Il ne reste qu'un flux chiffré. Même réseau, même outil, même appel : plus rien à écouter.

Un appel ne passe qu'une fois. S'il a été écouté, personne ne le saura jamais.

C'est ce qui distingue une conversation d'un fichier volé : il n'y a ni trace, ni avis, ni rien à restaurer. La seule protection possible est celle qui était en place avant l'appel.

Savoir où vous en êtes.

Dites-nous quel système vous utilisez. Nous vous dirons s'il chiffre vos appels, ce qu'il faudrait changer, et si ça vaut le déplacement — parfois la réponse est non.

Courriel: telecom@opsnode.ca
Téléphone: 514 826-2207
Formulaire: Écrivez-nous