PolySécure Podcast volet PME

Parce que… c’est l’épisode 0x2F1! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Dominic Villeneuve Gino Plourde Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x2ED! Préambule Nous avons rencontré un petit défi d’enregistrement vers la 12e minute. Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin Cédrick Bruyère Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x746! Shameless plug 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode de PME, l’animateur reçoit Cyndie Feltz, Nicholas Milot et Dominique Derrier pour discuter du vibe coding — une tendance qui consiste à générer du code quasi entièrement à l’aide d’outils d’intelligence artificielle, souvent sans posséder de solides bases en développement. Le ton est décontracté, ponctué d’humour, mais le fond du propos est sérieux : si le vibe coding ouvre des portes fascinantes, il comporte aussi des risques bien réels, particulièrement en matière de sécurité et de maintenabilité. L’analogie de la maison : séduisant mais fragile Pour illustrer le concept, Cyndie propose une analogie percutante : imaginez construire une maison en se contentant de décrire vocalement ce qu’on veut — la couleur des murs, l’emplacement des fenêtres — sans aucune connaissance en construction. Le résultat visuel peut être bluffant, mais irait-on habiter cette maison ? Probablement pas, car personne n’a pensé aux normes antisismiques, aux règles du bâtiment, à la plomberie ou à l’électricité. L’analogie tient parfaitement pour le développement logiciel : une application vibe codée peut avoir l’air fonctionnelle et même impressionnante en surface, tout en étant criblée de failles de sécurité, dépourvue de gestion des erreurs, et incapable de passer en production. Le rendu visuel crée une illusion de compétence qui peut être dangereuse si l’on n’a pas les bases pour évaluer ce qu’on a réellement construit. Les cas d’usage légitimes Les participants s’accordent néanmoins à reconnaître la valeur réelle du vibe coding dans certains contextes précis : Les preuves de concept (POC) : pour valider rapidement une idée, démontrer la viabilité d’une fonctionnalité ou présenter un prototype à des parties prenantes, l’outil est fantastique. Il permet d’éviter de gaspiller des cycles de développement coûteux avant même de savoir si l’idée mérite d’être poursuivie. Les outils internes : pour des scripts légers, des automatisations maison ou des utilitaires qui ne seront jamais exposés à des utilisateurs externes, le vibe coding offre une grande souplesse. Les petits sites vitrines : créer une page web simple pour présenter une entreprise est un cas d’usage où les risques restent limités. Nicholas souligne que le scénario change radicalement si c’est un expert qui utilise le vibe coding pour accélérer son travail plutôt qu’un non-initié qui s’y fie aveuglément. Un développeur expérimenté sait quelles questions poser, quelles contraintes intégrer dans ses prompts, et surtout quand le code généré est insuffisant ou dangereux. Les risques concrets La sécurité, grande oubliée Cyndie, qui œuvre dans le domaine de la sécurité, pointe plusieurs vulnérabilités typiques du vibe coding : La gestion des secrets : une personne sans expérience va naturellement coller ses clés API (Stripe, GitHub, OpenAI) directement dans le code, sans comprendre que c’est une pratique catastrophique. Les permissions excessives : si on fournit à l’agent IA un accès complet à une base de données, rien ne l’empêche de générer — et d’exécuter — une commande DROP TABLE. Il faut réfléchir aux moindres privilèges, ce qui requiert une connaissance du domaine. Le contournement des protections : certains LLM, interrogés de la bonne façon, acceptent désormais de fournir des techniques pour bypasser des systèmes de sécurité (comme les EDR), voire d’écrire des preuves de concept malveillantes. L’incident Amazon Un exemple concret frappe les esprits : en février 2026, Amazon aurait subi une interruption de service d’environ 13 heures après qu’un employé a utilisé un outil de type Cursor (l’éditeur interne « Kiro ») pour supprimer et recréer des secrets et des connexions, mettant accidentellement AWS hors ligne. En réaction, Amazon a instauré une règle interne obligeant les développeurs juniors et intermédiaires à faire approuver leurs mises en production par un développeur senior — ce qui revient à admettre officiellement que l’expérience humaine reste indispensable. La dette technique et la maintenabilité Nicholas insiste sur un autre écueil : le code vibe codé est difficile à maintenir. Sans documentation adéquate, sans architecture réfléchie, le code généré par IA ressemble à du Perl écrit en une ligne — on ne comprend plus ce qu’on a fait quelques semaines plus tard. Plus l’application grossit, plus la gestion du contexte entre les différents agents IA devient complexe, et plus il faut investir dans des fichiers de documentation (Markdown, instructions de projet) pour garder le cap. Les hallucinations de dépendances Un autre cas inquiétant est évoqué : un LLM qui invente une dépendance npm inexistante. Des centaines de dépôts GitHub se sont retrouvés à référencer un package qui n’existe pas, parce que l’IA l’avait suggéré avec confiance. Au-delà du dysfonctionnement, le risque de sécurité est évident : si quelqu’un crée un vrai package malveillant portant ce nom, il serait automatiquement adopté par tous ces projets. Le vibe coding comme exosquelette La métaphore finale la plus juste est celle de l’exosquelette : le vibe coding décuple les capacités de ceux qui savent déjà marcher, mais ne remplace pas les jambes. L’humain reste central. L’IA accélère, automatise et débloque des possibilités nouvelles — mais elle ne remplace ni le jugement, ni l’expérience, ni la responsabilité. La course à la vitesse pousse les entreprises à sacrifier la qualité et la sécurité, ce qui mène inévitablement à des échecs retentissants. Le consensus des panélistes : utiliser le vibe coding pour explorer et prototyper, puis confier la production à des processus rigoureux, idéalement guidés par des personnes qui comprennent ce qu’elles construisent. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x739! Shameless plug 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte et ton de l’épisode Cet épisode spécial PME du podcast P-Secure réunit trois invités : Dominique Derrier, Nicolas Milot et Cyndie Fletz. L’ambiance est décontractée, avec quelques taquineries adressées à Dominique, qui avait raté le rendez-vous précédent. L’épisode fait suite à une discussion sur le Shadow IT en général, et se concentre cette fois-ci exclusivement sur le Shadow AI — un sujet qui suscite un intérêt croissant, autant chez les utilisateurs que chez les équipes de sécurité informatique. D’emblée, les trois participants rappellent qu’ils ne se présentent pas comme des experts absolus : le domaine est si récent et évolue si vite que les opinions exprimées reflètent l’expérience du moment. Ce qui est vrai aujourd’hui pourrait être caduc dans un an. Qu’est-ce que le Shadow AI ? Pour rappeler les bases, le Shadow IT désigne l’ensemble des outils et logiciels installés ou utilisés par les employés sans que le département informatique en ait connaissance ou contrôle. Le Shadow AI en est la déclinaison moderne : il s’agit de l’utilisation non encadrée d’outils d’intelligence artificielle — comme ChatGPT, Claude (Anthropic), Microsoft Copilot ou d’autres — dans le cadre professionnel, que ce soit via des abonnements personnels, des accès navigateur ou des outils non approuvés par l’entreprise. Pourquoi c’est inévitable L’un des points centraux de la discussion est que le Shadow AI ne peut pas être simplement interdit. Les participants font une analogie parlante : tenter de bloquer l’usage de l’IA dans une entreprise, c’est comme penser qu’un adolescent va vous obéir dès que vous avez le dos tourné. Les employés qui souhaitent utiliser ces outils trouveront toujours un moyen de le faire — via leur téléphone personnel, leur propre abonnement cloud ou leur ordinateur à domicile. La réalité, c’est que l’IA apporte une réelle valeur ajoutée : productivité accrue, autonomie renforcée, gain de temps sur des tâches répétitives. Nier cela ou l’interdire en bloc, c’est passer à côté d’une opportunité et pousser les employés vers des comportements encore moins contrôlés. Les risques concrets pour les PME Si les bénéfices sont réels, les risques le sont tout autant. Les intervenants en dressent une liste : La fuite de données confidentielles : les employés peuvent, parfois involontairement, copier-coller des informations sensibles dans un outil d’IA public. La frontière entre une utilisation prudente et un transfert non voulu d’informations est mince. Les MCP (Model Context Protocol) : ces connecteurs permettent de lier un modèle d’IA à des outils externes. Si leur usage n’est pas encadré, ils représentent une porte d’entrée potentielle pour des logiciels malveillants, même lorsque l’entreprise a approuvé un fournisseur d’IA spécifique. La mauvaise configuration des outils : contrairement à un logiciel d’entreprise classique, beaucoup d’outils d’IA sont accessibles directement via un navigateur, sans passer par le département IT. Le contrôle est donc structurellement plus difficile. Le faux sentiment de toute-puissance : les LLM peuvent donner aux utilisateurs l’impression d’avoir accès à une connaissance infaillible. Or, les modèles hallucinent, se trompent, et peuvent générer des rapports erronés sur lesquels des décisions d’entreprise seront prises. Un exemple évoqué dans l’épisode : une entreprise qui, pendant des mois, a fondé ses décisions sur des rapports générés par une IA sans jamais les vérifier — et qui s’est retrouvée avec des données complètement fausses. Le rôle de l’équipe IT : des garde-fous, pas des gardiens Une question intéressante est soulevée : qui est responsable du Shadow AI dans une entreprise ? La réponse est claire : ce ne peut pas être uniquement le département IT. Celui-ci peut mettre en place des garde-fous techniques, mais les décisions stratégiques — quels outils autoriser, dans quel cadre, avec quelles politiques — doivent venir d’un niveau hiérarchique plus élevé, impliquant la direction et les ressources humaines. L’IT est un exécutant de mesures de sécurité, pas le seul décideur d’une politique d’usage de l’IA. Recommandations pratiques pour les PME Les trois invités convergent vers plusieurs recommandations concrètes : Dialoguez avec vos employés avant d’écrire des politiques. Comprenez pourquoi ils utilisent ou voudraient utiliser l’IA, ce qu’ils espèrent en tirer, et intégrez-les dans la réflexion. Fournissez les outils vous-mêmes. Comme pour les gestionnaires de mots de passe, si vous souhaitez que les employés utilisent des outils sécurisés, donnez-leur accès à des licences approuvées. Sinon, ils se débrouilleront avec des alternatives gratuites ou personnelles. Ne montez pas votre propre LLM. Pour une PME, construire son propre modèle de langage local serait extrêmement coûteux et peu pertinent. Mieux vaut s’appuyer sur des fournisseurs existants, en choisissant ceux dont les pratiques éthiques et de sécurité sont les plus solides. Adaptez la politique au profil de risque. Une entreprise avec des développeurs techniques aura besoin d’une politique plus stricte qu’une PME de services dont les employés n’utilisent que le volet conversationnel de l’IA. Idem pour les secteurs réglementés comme le droit, où l’IA est utile pour la recherche générale mais ne doit jamais recevoir de données personnelles de clients. Éduquez et sensibilisez. Rappelez aux employés que l’IA n’est pas magique : elle se trompe, elle ne remplace pas l’expertise humaine, et elle doit être supervisée. L’image du stagiaire est utilisée : capable de beaucoup de choses, mais qui a besoin d’être bien briefé, encadré et vérifié. Conclusion L’épisode se termine sur un message d’équilibre : ni interdire, ni laisser faire sans garde-fous. L’IA est là, elle est utile, et les employés l’utiliseront de toute façon. Le rôle des entreprises — et notamment des PME — est d’en faire un usage contrôlé, éduqué et raisonné, en transmettant aux employés les bons réflexes pour minimiser les risques. Un peu comme avec des adolescents : on ne peut pas tout contrôler, mais on peut inculquer des comportements responsables. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x733! Shameless plug 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode spécial enregistré au chalet, Claude reçoit Nicolas pour une conversation approfondie sur l’utilisation de l’intelligence artificielle dans les PME. L’entretien aborde plusieurs thèmes essentiels : la nature réelle des modèles d’IA, leurs risques et avantages pour les petites et moyennes entreprises, le phénomène du vibe coding, les enjeux de droits d’auteur, la confidentialité des données, ainsi que les risques liés aux achats sur des plateformes étrangères. Ce qu’est réellement l’intelligence artificielle Nicolas commence par démystifier le fonctionnement des grands modèles de langage (LLM). Contrairement à une idée répandue, l’IA ne « réfléchit » pas : il s’agit d’un modèle statistique dont le seul rôle est de prédire le prochain mot dans une séquence, en s’appuyant sur les données d’entraînement ingérées. Même les modèles qui prétendent « raisonner » ne font que relancer ce processus statistique sur lui-même. Cette nuance est fondamentale. Se fier aveuglément à une réponse générée par un LLM comporte des risques importants, particulièrement dans des domaines spécialisés comme la médecine ou le droit. Nicolas précise qu’une recherche dans une vraie base de données structurée — comme Google ou une bibliothèque — offre une meilleure garantie d’exactitude qu’une réponse générée par un modèle ayant « lu en diagonale » une quantité massive de contenu. Les avantages de l’IA pour les PME… avec nuances Il existe néanmoins des gains réels pour les PME qui utilisent l’IA de façon éclairée. L’IA générative de type LLM, popularisée depuis le lancement public de ChatGPT, représente la face la plus visible d’une technologie qui existe en réalité depuis plusieurs décennies. Les avancées récentes ont simplement permis de rendre ces outils accessibles au grand public. Cependant, les LLM sont des outils généralistes : ils performent bien dans l’ensemble, mais montrent leurs limites dès qu’on entre dans des domaines très précis. Pour ces cas, il est nécessaire d’entraîner des modèles spécialisés. La prudence reste de mise : ces technologies sont encore nouvelles, les usages mal maîtrisés peuvent créer des problèmes sérieux. Nicolas conseille aux PME d’observer les erreurs des autres avant de se lancer tête baissée. Les hallucinations et l’aide à la décision Un risque majeur des LLM est le phénomène d’hallucination : le modèle génère une réponse fausse, mais formulée avec assurance. La probabilité d’hallucination dépend notamment de la façon dont le modèle a été configuré et enrichi. Un modèle « augmenté » avec du contenu robuste et pertinent offre de meilleures garanties. Toutefois, Nicolas souligne une règle d’or : seul un expert dans son domaine est réellement en mesure de détecter une hallucination. Il ne poserait jamais une question médicale à une IA, faute de pouvoir valider la réponse. En revanche, un professionnel qui connaît son secteur peut utiliser l’IA comme outil d’exploration d’avenues, tout en exerçant son jugement critique. Des guides de bonnes pratiques existent désormais, publiés par les gouvernements du Québec, du Canada, ainsi que par des agences européennes et américaines. Ces documents encouragent unanimement la prudence, la vérification des sources et l’absence de confiance aveugle envers les réponses générées. Le vibe coding : programmer au pif La partie la plus percutante de l’échange porte sur le vibe coding, cette tendance à utiliser l’IA pour générer du code sans posséder les connaissances techniques nécessaires. Nicolas utilise une analogie parlante : c’est comme demander à quelqu’un sans formation en menuiserie de fabriquer un meuble de qualité. Le résultat fonctionnera peut-être, mais il ne sera ni durable, ni élégant, ni robuste. Le problème central est celui de la dette technologique : le code produit par vibe coding devra être revu, corrigé, voire entièrement réécrit beaucoup plus tôt que du code conçu selon les règles de l’art. Un développeur formé en ingénierie de système ne se contente pas d’atteindre un objectif immédiat — il conçoit une architecture cohérente, évolutive et maintenable. L’IA, elle, est orientée vers l’objectif final, sans souci du chemin parcouru. Ce manque de rigueur dans le processus engendre également de sérieux problèmes de sécurité. Des études récentes ont démontré que le code généré par IA présente un niveau de vulnérabilité significatif. Des exemples publics, notamment aux États-Unis, illustrent les conséquences concrètes : des applications mal sécurisées exposant des données personnelles sensibles. Claude Mercier évoque un cas marquant impliquant des informations personnelles de femmes vulnérables rendues publiques en raison de failles dans une application mal codée. Le vibe coding reste acceptable pour de petits projets internes, sans exposition à internet, lorsque les enjeux sont limités. En revanche, pour des systèmes de production, des applications complexes ou tout ce qui constitue le cœur d’une entreprise, il est fortement déconseillé. Droits d’auteur et confidentialité des données Un aspect souvent négligé est la question des droits d’auteur sur le code généré par IA. Un jugement récent aux États-Unis ne reconnaît pas de droits d’auteur sur les contenus générés par l’intelligence artificielle. Ainsi, si 90 % d’un code est produit par une machine, il n’est probablement pas protégé légalement, ce qui signifie qu’en cas de vol, aucun recours juridique n’est possible. Par ailleurs, la protection des données envoyées aux LLM est un enjeu critique. Seules les licences de type entreprise — comme Microsoft 365 Copilot ou Google Workspace — offrent une protection réelle contre la réutilisation des informations transmises. Les versions gratuites ou personnelles de ces outils, tout comme ChatGPT ou Claude en accès grand public, peuvent utiliser les échanges pour réentraîner leurs modèles. Nicolas rappelle qu’il faut activement décocher certaines options pour retirer son consentement à cette réutilisation. Conclusion Cet échange offre une perspective lucide et nuancée sur l’IA dans le contexte des PME. L’intelligence artificielle est un outil puissant, mais mal compris et souvent mal utilisé. La prudence, la formation et le recours à des professionnels qualifiés restent les meilleures garanties pour en tirer des bénéfices réels sans s’exposer à des risques coûteux. Collaborateurs Nicolas-Loïc Fortin Claude Mercier Crédits Montage par Intrasecure inc Locaux réels par Le Chalet de Claude

Parce que… c’est l’épisode 0x730! Shameless plug 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode spécial PME du podcast 0x730, Nicolas reçoit à nouveau Claude Mercier pour une conversation enregistrée au chalet. Claude, qui travaille régulièrement avec des PME, pose une série de questions pratiques sur la cybersécurité en entreprise. L’objectif est simple : traduire des concepts techniques parfois abstraits en conseils concrets et accessibles pour les gestionnaires et propriétaires de petites et moyennes entreprises. Sécuriser les postes de travail La première question porte sur la configuration idéale d’un poste ou d’un portable en PME. Nicolas explique qu’il existe déjà des gabarits de configuration préconçus qui facilitent grandement le travail. Dans un environnement centralisé, leur déploiement est simplifié ; pour les plus petites structures, ils peuvent être appliqués machine par machine. Le principe de base reste le même : garder les systèmes d’exploitation constamment à jour, ce qui constitue la mesure de protection la plus efficace et la plus négligée. Pour illustrer l’importance de protéger un poste, Nicolas recourt à une analogie simple : un ordinateur, c’est comme un édifice physique. On y met des serrures, des verrous, des coffres-forts, non pas pour la forme, mais parce que l’intérieur contient des informations précieuses — liste de clients, données financières, procédés exclusifs. Perdre le contrôle de ces informations peut mettre en péril l’entreprise entière. Chiffrement et mot de passe Le sujet du chiffrement de disque est abordé avec nuance. Des outils comme BitLocker de Microsoft permettent de chiffrer le contenu d’un disque dur, mais cette protection ne vaut que si un mot de passe d’ouverture de session est également configuré. Sans ce mot de passe, le coffre-fort virtuel reste grand ouvert. Nicolas précise que le chiffrement sert principalement à protéger les données en cas de vol physique de l’appareil ou du disque dur : sans la clé associée, le contenu devient illisible pour n’importe qui. Antivirus modernes, EDR et XDR La question des antivirus permet à Nicolas de distinguer les solutions d’ancienne génération des solutions modernes. Le Defender intégré à Windows, par exemple, est considéré comme suffisant pour la grande majorité des PME qui n’évoluent pas dans des secteurs à risques élevés. Il bloque environ 95 % des menaces courantes. Les termes EDR (Endpoint Detection and Response) et XDR (Extended Detection and Response) désignent précisément ces antivirus de nouvelle génération. Leur grande différence par rapport aux anciens outils : ils ne se contentent plus de reconnaître des signatures de fichiers malveillants, ils analysent les comportements anormaux sur la machine. Un processus qui agit de façon suspecte sera détecté, même si aucune signature connue ne lui correspond. Les droits administrateur Sur la question de qui devrait avoir les droits d’administrateur dans une PME, Nicolas est catégorique : le moins de personnes possible. Il compare ces droits à l’accès aux paramètres internes d’un moteur de voiture : personne ne va bricoler les composants d’un véhicule sans être mécanicien qualifié. De même, un utilisateur non formé qui dispose de droits admin peut involontairement causer des dommages considérables, ou pire, offrir aux attaquants le même niveau d’accès que le sien s’il clique sur un lien malveillant. VPN : mythes et réalités Les VPN commerciaux font l’objet d’un marketing souvent trompeur. Nicolas distingue deux types de VPN : les VPN commerciaux (NordVPN, ProtonVPN, etc.), dont l’utilité réelle est très limitée pour une PME, et les VPN d’entreprise, que l’on configure soi-même pour permettre l’accès sécurisé à distance à son propre réseau interne. Le premier est largement superflu dans le contexte actuel, car les communications en ligne sont déjà chiffrées nativement. Le second est utile, mais doit être déployé avec soin : si le poste utilisé est mal sécurisé, le tunnel VPN devient un vecteur d’intrusion vers l’ensemble du réseau d’entreprise. Windows Hello et l’authentification sans mot de passe Nicolas présente Windows Hello comme une solution d’authentification moderne dite passwordless. Plutôt qu’un mot de passe classique — qui peut être volé —, cette approche repose sur une clé cryptographique associée à un scan biométrique. Il n’y a donc rien à dérober. La sécurité est plus robuste et l’expérience utilisateur, plus fluide. Sauvegardes : l’approche 3-2-1 La deuxième grande thématique concerne les sauvegardes. Nicolas présente la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site. L’objectif est de pouvoir récupérer rapidement les informations critiques en cas de panne mécanique, de vol ou d’attaque par rançongiciel. Point crucial : les sauvegardes doivent être hors ligne ou hors réseau (offline). Une copie accessible depuis le réseau de l’entreprise peut être chiffrée ou effacée par un attaquant en même temps que les données originales, la rendant inutile. Elles doivent également être chiffrées, qu’elles soient stockées dans le nuage ou transportées physiquement. Enfin, il est tout à fait possible de sauvegarder les courriels hébergés sur des plateformes comme Microsoft 365 ou Google Workspace grâce à des services tiers dédiés. La « question noire » : les rançongiciels En guise de conclusion, Claude pose une question délicate : si Nicolas était un attaquant, quelle stratégie adopterait-il ? La réponse est sans équivoque : les rançongiciels ciblant les PME. Ces entreprises sont souvent les moins bien protégées, n’ont pas de sauvegardes fiables, et sont prêtes à payer pour récupérer leurs données. Le coût d’une cyberattaque peut rapidement atteindre 100 000 $ par jour en honoraires d’urgence, sans compter les pertes d’exploitation, voire la perte de clients au profit de concurrents. La bonne nouvelle : les PME qui appliquent les mesures de base — sauvegardes hors ligne, MFA, séparation des accès — compliquent suffisamment la tâche des attaquants pour que ceux-ci renoncent plus rapidement. La tendance s’améliore lentement, mais le chemin reste long. Collaborateurs Nicolas-Loïc Fortin Claude Mercier Crédits Montage par Intrasecure inc Locaux réels par Le Chalet de Claude

Parce que… c’est l’épisode 0x726! Shameless plug 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode du podcast, je reçois Cédrick Bruyère, associé chez Vigilia, une entreprise spécialisée en cybersécurité qui se concentre principalement sur la formation et la sensibilisation des PME. Cédrick nous partage les réflexions qui ont guidé la création de leur plateforme, articulées autour de trois piliers fondamentaux pour rendre une solution véritablement accessible en entreprise : la simplicité, l’abordabilité et l’adaptabilité. Ces trois concepts, bien que distincts, s’alimentent mutuellement et forment un cadre cohérent pour penser le développement de solutions qui répondent aux besoins réels des organisations. Premier pilier : la simplicité Le premier pilier, la simplicité, est apparu comme une évidence lors des sondages menés par l’équipe de Vigilia auprès d’entrepreneurs et de décideurs. Le constat était récurrent : lorsque les gens visitent le site d’un fournisseur de solutions en cybersécurité, l’impression dominante est celle d’une complexité rebutante. On a l’impression de s’embarquer dans un labyrinthe de configurations et de problèmes techniques. Résultat : beaucoup renoncent avant même d’avoir commencé. Pour Cédrick, la simplicité ne réside pas dans la solution elle-même, mais avant tout dans la façon de communiquer. Il évoque le concept bien connu de la curse of knowledge — la malédiction du savoir — ce phénomène par lequel un expert, tellement immergé dans son domaine, oublie que son interlocuteur ne partage pas le même bagage. On se retrouve alors à utiliser un jargon technique, à accumuler les termes spécialisés sur une page d’accueil pour afficher son expertise, mais on finit par perdre le lecteur plutôt que de le convaincre. La clé, selon Cédrick, est de privilégier une communication humaine, accessible, qui explique clairement ce qu’on fait et comment on peut aider, sans chercher à impressionner. L’objectif d’une communication efficace n’est pas de paraître intelligent, mais d’être compris. C’est un renversement de posture important pour beaucoup d’entreprises habituées à valoriser leur expertise par la complexité de leur discours. Être simple dans sa communication, c’est paradoxalement l’un des exercices les plus difficiles qui soit — et l’un des plus puissants. Deuxième pilier : l’abordabilité Le deuxième pilier est l’abordabilité. Cédrick reconnaît que le sujet est délicat, car il ne s’agit pas d’accuser les entreprises qui proposent des solutions coûteuses d’être motivées uniquement par le profit. Le prix d’une solution est souvent le reflet direct de sa complexité. Plus on accumule de fonctionnalités, plus on mobilise de ressources humaines pour faire fonctionner et entretenir la solution, et inévitablement, le coût grimpe. C’est là que les deux premiers piliers se rejoignent avec force : en simplifiant l’offre, on réduit les coûts. En se concentrant sur l’essentiel — c’est-à-dire ce qu’on veut réellement accomplir pour le client —, on évite de surcharger la solution de fonctionnalités superflues qui alourdissent la structure sans nécessairement apporter de valeur ajoutée à la majorité des utilisateurs. Cédrick illustre cette idée avec une analogie parlante : comme chez Maxi ou dans un magasin de meubles à bas prix, le décor est fonctionnel mais pas tape-à-l’œil. On vend le produit, point. Pas d’artifices, pas d’employés en surnombre pour entretenir une mise en scène. La marchandise est accessible, le client achète, et tout le monde y trouve son compte. En cybersécurité, la logique est identique. Si l’objectif est de sensibiliser les entreprises, il faut concentrer ses efforts sur cet objectif précis, délivrer la solution la plus directe possible, et éviter de complexifier pour le simple plaisir de l’exhaustivité. Moins il y a de personnes nécessaires pour faire tourner la machine, plus la solution peut être proposée à un prix accessible — et donc atteindre un plus grand nombre d’entreprises. Troisième pilier : l’adaptabilité Le troisième pilier, l’adaptabilité, est celui que Cédrick considère comme le plus important, car c’est lui qui permet de répondre aux besoins spécifiques de chaque client. Une solution, aussi bien conçue soit-elle, ne peut pas être universelle si elle ne peut pas s’ajuster aux particularités de chaque organisation. Cédrick insiste toutefois sur un point crucial : l’adaptabilité découle directement de la simplicité. Si la base d’une solution est simple, la modifier pour répondre à un besoin particulier devient une opération légère et rapide. Par exemple, si un client souhaite diviser son compte en plusieurs équipes, il suffit d’effectuer un ajustement minimal sur une structure épurée. En revanche, si la solution est déjà surchargée de couches de complexité, chaque modification devient un chantier, et l’adaptabilité devient illusoire en pratique — même si elle est promise sur le papier. L’adaptabilité n’est donc pas une fonctionnalité qu’on ajoute par-dessus une solution complexe. C’est une qualité qui émerge naturellement d’une solution bien conçue à la base. Cédrick souligne également l’importance d’avoir une solution qui appartient vraiment à l’entreprise qui la développe — une plateforme qu’on peut moduler soi-même, sans dépendre d’une infrastructure tierce rigide. Conclusion Ces trois piliers — simplicité, abordabilité et adaptabilité — forment un tout cohérent et interdépendant. La simplicité conditionne l’abordabilité, et toutes deux rendent l’adaptabilité possible. Le fil conducteur de la réflexion de Cédrick est une mise en garde contre la tendance naturelle des experts à se perdre dans leur propre expertise au détriment des besoins fondamentaux de leurs clients. La vraie valeur d’une solution ne réside pas dans sa sophistication, mais dans sa capacité à aider le plus grand nombre, le plus efficacement et le plus accessiblement possible. Un message simple à retenir, et pourtant difficile à appliquer. Collaborateurs Nicolas-Loïc Fortin Cédrick Bruyère Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x721! Shameless plug 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction : qu’est-ce que le shadow IT ? Dans cet épisode du podcast, Cyndie Feltz, Nicolas Milot et Dominique Derrier abordent un sujet omniprésent dans les entreprises, mais souvent méconnu : le shadow IT. Le terme désigne l’utilisation d’outils, de logiciels ou de périphériques non approuvés par le département des technologies de l’information (TI), dans un contexte professionnel. Il ne s’agit pas uniquement d’apporter son propre appareil au bureau (bring your own device), mais aussi d’installer des applications sur un poste de travail fourni par l’entreprise sans avoir obtenu l’aval de l’équipe TI. L’exemple classique ? L’employé qui télécharge un convertisseur PDF gratuit trouvé sur Internet parce qu’il avait un problème avec son lecteur PDF habituel. Ce geste, anodin en apparence, illustre bien la nature du phénomène : il n’y a aucune mauvaise intention derrière, seulement un besoin pratique à combler rapidement. Une question de besoin, pas de malveillance L’un des points centraux de la discussion est que le shadow IT naît rarement d’une volonté de nuire. Les employés adoptent des outils non autorisés parce qu’ils veulent simplement faire leur travail efficacement. Ils connaissent un logiciel, ils ont l’habitude de l’utiliser, ou encore ils se retrouvent dans une situation d’urgence — il est 17 h 50, la présentation doit être envoyée dans dix minutes, et l’équipe TI est injoignable. La solution de facilité s’impose alors naturellement, sans que la personne mesure les risques auxquels elle expose son organisation. Comme le soulignent les intervenants, l’être humain a horreur du vide. Lorsqu’un outil manque, il trouve une alternative, qu’on lui ait dit ou non de ne pas le faire. Une politique de refus systématique, sans solution de remplacement proposée, ne résout rien : les employés contournent l’interdiction de toute façon. Les risques concrets pour l’entreprise Le vrai problème avec le shadow IT, c’est qu’il échappe à toutes les mesures de sécurité mises en place par l’entreprise. Ces mesures existent précisément pour réduire les risques ; or, un logiciel installé en dehors des processus officiels ne bénéficie d’aucune de ces protections. Les intervenants soulèvent plusieurs types de risques : Les vulnérabilités logicielles non corrigées. Quand un logiciel est installé par un employé sans passer par les canaux officiels (Intune, GPO, etc.), l’équipe TI n’est souvent même pas au courant de son existence. Elle ne peut donc pas en assurer la maintenance ni les mises à jour. Le cas de VLC est cité en exemple : un employé l’installe pour lire des vidéos, l’oublie pendant trois ans, et entre-temps le logiciel accumule des failles de sécurité (zero-days) jamais corrigées. Pour un testeur d’intrusion comme Nicolas, c’est une aubaine ; pour l’entreprise, c’est une porte ouverte aux attaquants. Les problèmes de licences. Certains logiciels sont soumis à des licences commerciales. Si un employé installe un tel outil sans que l’entreprise l’ait acheté, elle s’expose à des redressements financiers parfois très coûteux, pour un logiciel utilisé une seule fois et oublié. Le shadow AI. Le phénomène s’étend désormais à l’intelligence artificielle. Les intervenants posent la question directement : si une entreprise n’a pas encore officiellement adopté un outil d’IA ni établi de directives à ce sujet, croit-elle vraiment que ses employés n’utilisent pas l’IA ? La réponse est non. Pire encore : même sans utiliser directement un outil d’IA, les employés se servent souvent de logiciels qui intègrent de l’IA en arrière-plan. La question n’est donc plus de savoir si l’IA est utilisée dans l’entreprise, mais comment l’encadrer. Comment s’en prémunir ? Les intervenants s’accordent sur plusieurs pistes concrètes pour limiter le phénomène. Anticiper les besoins. La meilleure façon d’éviter que les employés cherchent leurs propres solutions, c’est de leur fournir les bons outils avant qu’ils en ressentent le besoin. Le département TI doit adopter une posture proactive et proposer des alternatives officielles aux logiciels populaires. Limiter les droits d’administration. S’assurer que les employés ne sont pas administrateurs locaux sur leur poste de travail est une première étape importante. Cela ne résout pas tout, mais complique considérablement l’installation sauvage de logiciels. Favoriser la communication. Il est crucial de créer un environnement où les employés se sentent à l’aise de signaler leurs besoins en matière d’outils, sans craindre un refus automatique ou une réaction négative. Quand un employé demande à son équipe TI s’il peut utiliser tel logiciel, c’est déjà un pas dans la bonne direction : il faut encourager et cultiver ce réflexe. Inclure les TI dans l’adoption de nouveaux outils. Chaque fois qu’un département envisage d’adopter un nouveau logiciel — qu’il soit destiné à la facturation, à l’ingénierie ou à la gestion de projets — l’équipe TI doit être impliquée dès le départ, pas après coup. Faire un inventaire des applications installées. Pour les entreprises qui font appel à un fournisseur de services managés (MSP), il est recommandé de lui demander un inventaire complet des applications présentes sur les postes de travail. Cet exercice réserve souvent de mauvaises surprises, mais il constitue un point de départ indispensable pour reprendre le contrôle. Conclusion : un problème humain avant tout Le shadow IT est un problème complexe, et il l’est d’autant plus que l’entreprise grandit. En PME, la pression de la rapidité et l’absence de processus formels amplifient le phénomène. Mais au fond, c’est avant tout un enjeu humain et communicationnel. Sensibiliser les employés aux risques, leur offrir des alternatives adaptées à leurs besoins et instaurer une culture de dialogue ouverte entre les équipes métier et l’équipe TI : voilà les piliers d’une approche réaliste et efficace face au shadow IT — et à tous ses avatars, du shadow hardware au shadow AI. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Jordan Theodore Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x718! Shameless plug 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec Code rabais de 15%: Seqcure15 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode de Polécure consacré aux PME, Cyndie Fletz, Nicholas Milot et Dominique Derrier poursuivent leur discussion sur la santé financière des fournisseurs de services gérés (MSP). Après avoir abordé les contrats et les flux d’argent dans l’épisode précédent, les trois experts s’attaquent cette fois à une question fondamentale : combien devrait-on payer pour un MSP, et qu’est-ce qu’on est en droit d’attendre en retour ? L’anecdote des 2 dollars de l’heure Cyndie ouvre le bal avec une histoire savoureuse : elle a reçu un message vocal d’une compagnie se présentant comme le MSP le moins cher au Québec, lui proposant des services à… 2 dollars de l’heure. La réaction instinctive est de sauter sur l’occasion, mais les trois invités s’empressent de remettre les choses en perspective. Le modèle MSP repose sur la duplication des mêmes processus pour optimiser l’efficacité. Cela demande du temps, des investissements et des compétences. Un MSP doit être financièrement viable pour offrir un service fiable sur le long terme. Choisir un fournisseur uniquement sur la base du prix le plus bas, c’est prendre le risque d’obtenir exactement ce pour quoi on a payé : très peu. Dominique illustre bien le danger : à 2 dollars, le contrat pourrait simplement autoriser le client à appeler le fournisseur, sans que ce dernier ait l’obligation d’intervenir. Tout est une question de ce qui est écrit dans le contrat. Le seuil des 100 dollars par endpoint par mois Nicholas propose une métrique concrète pour avoir une base de comparaison : 100 dollars par endpoint par mois pour de la gestion d’équipement de base. Ce chiffre n’est pas arbitraire. Il correspond grosso modo au coût de remplacement d’une ressource IT interne qui accomplirait les mêmes tâches. Externaliser son IT à un MSP, c’est donc un transfert de responsabilité, pas nécessairement une économie radicale. En dessous de ce seuil, les experts s’entendent : les garanties de service s’effritent, les processus internes du fournisseur sont probablement sous-financés, et la qualité du service devient imprévisible. Qu’est-ce qu’un contrat MSP devrait inclure ? La discussion s’oriente naturellement vers le contenu attendu d’un bon contrat MSP. Dominique dresse une liste des services typiques : Support de niveau 1 pour les incidents courants Gestion des vulnérabilités et des correctifs (patching) Gestion de l’obsolescence du parc informatique Gestion des serveurs, du cloud et des environnements hybrides Plus on ajoute de services dans le contrat, plus le prix augmente — logiquement. Et c’est là qu’intervient la notion de niveaux de service. Un site transactionnel qui doit fonctionner 24h/24, 7j/7, avec une intervention garantie en moins de deux heures même en pleine nuit, coûtera bien plus cher qu’un service de base. Mais en contrepartie, en cas de panne à 2h du matin, c’est le MSP qui se lève — pas le client. Comment savoir ce dont on a réellement besoin ? Cyndie pose la question que beaucoup d’entreprises se posent sans oser l’avouer : comment identifier ses propres besoins quand on n’est pas soi-même expert en IT ? Nicholas et Dominique suggèrent deux approches. Si l’entreprise dispose d’un responsable IT interne, celui-ci peut dresser la liste des tâches récurrentes ou maîtrisées à externaliser, tout en conservant en interne les décisions stratégiques. Si ce n’est pas le cas, il est fortement recommandé de se faire accompagner par un expert indépendant capable de faire le pont entre les besoins réels de l’entreprise et l’offre des MSP sur le marché. La notion de risque d’affaires est centrale dans cette démarche. Si un système doit absolument fonctionner en tout temps, il faut choisir un partenaire capable de garantir cette disponibilité. Si une panne le week-end est tolérable, un service moins coûteux peut suffire. L’analogie de l’assurance automobile est parlante : on coche d’abord tout ce qu’on veut, puis on regarde le prix et on réévalue ses priorités. Les SLA et les pénalités : une arme pour le client Dominique rappelle qu’un outil souvent sous-utilisé par les clients existe dans les contrats MSP : le service level agreement (SLA) assorti de pénalités. En définissant des taux de disponibilité (98 %, 99 %) et des délais de réponse contractuels, et en prévoyant des pénalités en cas de non-respect, le client dispose d’un levier concret pour s’assurer que le partenaire reste performant mois après mois. Comme le dit Dominique avec humour : « C’est comme dans le mariage, il faut être bon tous les jours. » La question de l’offshore La discussion se conclut sur le sujet de l’offshoring. Le modèle à 2 dollars de l’heure impliquait manifestement une main-d’œuvre délocalisée dans des pays à faibles coûts de main-d’œuvre. Les experts nuancent : l’offshore n’est pas mauvais en soi. Des compétences existent partout dans le monde, et de nombreuses entreprises utilisent déjà des services offshore sans le savoir. Le vrai risque est ailleurs : un partenaire qui réduit trop ses coûts ne pourra pas investir dans la formation de ses équipes. Or, un technicien offshore mal formé au contexte québécois pourrait redémarrer un serveur critique en pleine période de production fiscale, faute de sensibilisation aux réalités locales. La chaîne de confiance — et les certifications comme le SOC 2 ou l’ISO — doit s’étendre à l’ensemble des sous-traitants. Conclusion Choisir un MSP, ce n’est pas choisir le moins cher. C’est choisir un partenaire dont la santé financière garantit la pérennité du service, dont le contrat est clair et mesurable, et dont le niveau de service correspond réellement aux risques d’affaires de l’entreprise. Le prix est un indicateur, pas une finalité. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x714! Shameless plug 25 et 26 février 2026 - SéQCure 2026 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 20 au 22 avril 2026 - ITSec 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Introduction Dans cet épisode spécial dédié aux PME, l’animateur reçoit Casimir, spécialiste en cyberassurance, pour approfondir un sujet abordé lors d’une chronique précédente : le rôle fondamental du courtier dans la sélection et le suivi d’une police de cyberassurance. Si la dernière discussion portait sur les couvertures et les fondamentaux du produit, cet épisode se concentre sur l’humain qui guide l’entrepreneur dans un univers complexe, celui des cyberrisques et de leur transfert vers le marché de l’assurance. Le courtier : bien plus qu’un vendeur de polices La mission première du courtier en assurance est d’accompagner son client dans la compréhension de ses risques d’entreprise. L’entrepreneur, dont le rôle est de développer ses marchés, d’assurer sa croissance et de gérer sa gouvernance, n’a pas nécessairement les outils pour identifier ce qui pourrait mettre son entreprise à l’arrêt. C’est précisément là qu’intervient le courtier : il aide à cartographier ces risques et à déterminer lesquels peuvent être transférés vers une compagnie d’assurance. Casimir insiste sur un point souvent négligé : le client doit comprendre pourquoi il souscrit une police. Si la cyberassurance est perçue comme une simple dépense, elle sera la première à être coupée lorsque les activités ralentissent. Contrairement à d’autres assurances, elle n’est pas obligatoire. La valeur du courtier réside donc aussi dans sa capacité à rendre concret et tangible ce que couvre la police, afin que le client réalise l’importance de cette protection. Comprendre la réalité du client avant tout Pour illustrer sa démarche, Casimir prend l’exemple d’un fabricant de hottes de van — une PME industrielle sans expertise en cybersécurité, mais dont les opérations dépendent d’un site web de vente et d’une machinerie connectée. Face à ce type de client, le courtier commence par poser des questions simples et stratégiques : quels sont les revenus annuels ? Combien coûte une semaine d’arrêt ? Ce réflexe de calcul de la perte d’exploitation est fondamental. Pour une entreprise générant 52 millions de dollars par année, une semaine d’interruption représente 1 million de dollars en ventes perdues — sans compter les coûts supplémentaires liés à la remise en marche. Cette approche permet de concrétiser le risque pour l’entrepreneur et de justifier l’investissement dans une police adaptée. Le formulaire de soumission et les contrôles importants Une fois les risques identifiés, le courtier aide le client à remplir un formulaire de proposition d’assurance, qui sera soumis aux assureurs pour négociation. La complexité de ce formulaire varie selon la taille de l’entreprise : les PME de moins de 100 millions de dollars en revenus bénéficient d’un questionnaire allégé, tandis que les entreprises plus importantes font face à un processus plus détaillé. Parmi les éléments qui font une grande différence auprès des assureurs, Casimir mentionne notamment le MDR (Managed Detection and Response). Bien que non obligatoire pour les PME, ce type de solution de cybersécurité peut faire passer une prime de 15 000 $ à 7 000 $ pour une couverture de 2 à 3 millions de dollars. Le MDR permet une détection et une réponse rapides aux incidents, ce qui réduit la probabilité d’un sinistre futur — et les assureurs valorisent fortement cette capacité. Lorsque des réponses négatives apparaissent dans le formulaire, le courtier ne les ignore pas : il les aborde avec le client pour identifier des pistes d’amélioration. Ces lacunes influencent directement les primes et les termes de la police. L’analyse comparative des soumissions Une fois les soumissions reçues des assureurs — généralement en une semaine pour les dossiers courants —, le courtier effectue un travail d’analyse rigoureux. Les couvertures ne portent pas les mêmes noms d’un assureur à l’autre, mais peuvent couvrir les mêmes réalités. Son rôle est de normaliser ces offres dans un tableau comparatif clair, permettant au client de choisir non seulement la meilleure prime, mais aussi les couvertures les plus complètes et adaptées à son secteur d’activité. Par exemple, certains assureurs offrent désormais des couvertures liées aux interruptions chez les clients ou les fournisseurs. Si un client important comme un grand donneur d’ordre est victime d’une cyberattaque et ne peut plus passer de commandes pendant deux mois, certaines polices peuvent indemniser le fournisseur touché. De même, si un fournisseur critique — peinture, composants spécialisés — est mis hors ligne, des couvertures de chaîne d’approvisionnement permettent de limiter les pertes. Un marché en constante évolution La cyberassurance évolue à une vitesse remarquable. Casimir souligne que c’est encore le « far west » : les assureurs cherchent à se démarquer, les couvertures sont mises à jour régulièrement, et de nouveaux produits apparaissent fréquemment. Il cite l’exemple de Coalition, un assureur qui, grâce à sa base de 90 000 assurés, est capable de détecter des tendances dans les pertes et d’alerter proactivement ses clients lorsqu’une technologie vulnérable est identifiée dans leur infrastructure. Le suivi après la signature : un rôle continu La relation entre le courtier et son client ne se termine pas à la signature. Rester à l’affût des nouvelles couvertures, des nouvelles menaces et des technologies vulnérables fait partie intégrante du rôle du courtier. Il doit aussi sensibiliser ses clients à des pratiques comme les exercices de simulation d’incident (tabletop exercises), réalisés avec des breach coaches, qui permettent de tester concrètement leur niveau de préparation. Ces simulations révèlent souvent des lacunes importantes — même chez des entreprises qui croyaient avoir un plan de réponse aux incidents en place. Conclusion En résumé, le courtier en cyberassurance est un guide indispensable pour les PME qui naviguent dans un univers technique et en perpétuelle mutation. Son apport va bien au-delà de la simple soumission d’une police : il comprend la réalité opérationnelle du client, identifie les risques, négocie les meilleures conditions et assure un suivi proactif tout au long de la vie du contrat. Collaborateurs Nicolas-Loïc Fortin Casimir Le Grand Crédits Montage par Intrasecure inc Locaux réels par Bagel Maguire Café

Parce que… c’est l’épisode 0x709! Shameless plug 25 et 26 février 2026 - SéQCure 2026 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Les trois raisons de faire appel à un MSP Nicolas ouvre la discussion en proposant un cadre simple et efficace : trois questions auxquelles il suffit de répondre « oui » pour savoir qu’il est temps de chercher un MSP. 1. On ne sait pas faire. La technologie évolue à une vitesse fulgurante. Maintenir des systèmes TI à jour, connaître les nouvelles techniques, les nouvelles failles de sécurité, les mises à jour critiques — tout cela demande une expertise pointue et en constante évolution. Pour la majorité des PME, cette compétence n’est tout simplement pas disponible à l’interne, et il serait illusoire de vouloir la développer soi-même. Nicolas rappelle d’ailleurs que dans ses mandats de test d’intrusion (pen test), il exploite précisément ces nouvelles failles qui apparaissent continuellement. Il est donc très difficile pour une entreprise non spécialisée de suivre ce rythme. 2. On ne peut pas. Même si la volonté est là, le temps et les ressources manquent. Les dirigeants et employés d’une PME sont focalisés sur la mission principale de l’entreprise : vendre des services, livrer des produits, servir les clients. Gérer l’infrastructure TI en parallèle représente une charge supplémentaire qui finit par tout ralentir. 3. On ne veut pas. Certaines tâches TI — comme la gestion des mises à jour (patching), la surveillance réseau ou le support de niveau 1 — ne font tout simplement pas vibrer les équipes internes. Et c’est parfaitement normal. Vouloir déléguer ce qui n’est pas dans son cœur de métier est une décision stratégique saine, pas un aveu de faiblesse. Une logique qui dépasse le TI L’équipe prend soin de replacer cette réflexion dans un contexte plus large. La question « est-ce que je garde cette compétence à l’interne ou est-ce que je la délègue ? » se pose en réalité dans tous les secteurs d’activité. Marketing, réseaux sociaux, comptabilité, entretien des locaux… De nombreuses entreprises font appel à des partenaires externes pour des fonctions qui ne constituent pas leur cœur de business. Le TI n’est qu’un exemple parmi d’autres d’une externalisation stratégique. Comme le résume Dominique : personne n’achète ses propres locaux commerciaux s’il peut simplement les louer. Le duo gagnant : l’administrateur système et le MSP Un des points les plus intéressants de l’épisode concerne la complémentarité entre un administrateur système interne (sysadmin) et un MSP. Nicolas souligne que ce jumelage constitue souvent un cas de succès très convaincant. L’administrateur connaît l’environnement interne, les serveurs, la chaîne de production. Le MSP, lui, prend en charge les tâches répétitives ou moins stimulantes — patching des postes, gestion du Wi-Fi, support utilisateurs — et apporte en plus une disponibilité 24/7 que le sysadmin ne peut ou ne veut pas offrir. Ce partenariat présente un autre avantage non négligeable : il permet à l’administrateur de se concentrer sur des tâches à plus haute valeur ajoutée, celles qui lui apportent de la satisfaction professionnelle. Les deux parties peuvent ainsi « briller » dans leur zone d’excellence respective. Les bénéfices concrets d’un MSP pour une PME L’équipe identifie plusieurs avantages pratiques à faire appel à un MSP : L’expérience mutualisée. Un MSP travaille avec de nombreux clients. Il apporte des solutions déjà éprouvées ailleurs, ce qui évite à la PME de faire office de cobaye. Elle bénéficie de recettes qui ont fonctionné pour d’autres, sans en payer le coût d’apprentissage. L’accès privilégié aux éditeurs. Un MSP dispose souvent de contrats spéciaux avec de grands fournisseurs comme Microsoft ou Oracle. Pour une PME seule, il serait pratiquement impossible d’obtenir un interlocuteur dédié chez ces géants. Le MSP devient donc un canal d’accès précieux. La normalisation des relations internes. Quand c’est un collègue qui règle tous les problèmes informatiques des autres, cela peut créer des tensions. Passer par un fournisseur externe clarifie les rôles et normalise la relation. Le sysadmin n’est plus soumis à des pressions informelles ou des passe-droits. Tout est encadré par des contrats avec des délais de réponse définis (service level agreements). La question des forfaits En fin d’épisode, Dominique aborde brièvement le modèle de facturation. Il conseille fortement de privilégier les forfaits par rapport à la facturation à l’acte. Pourquoi ? Parce qu’un employé qui sait que chaque appel au support coûte de l’argent à l’entreprise va hésiter à signaler ses problèmes. Cette retenue peut nuire à la sécurité et à la productivité. Un forfait encourage au contraire la transparence et l’utilisation normale du support, sans que chaque incident devienne une source de stress financier. Ce volet monétaire — les coûts, les modèles tarifaires, les pièges à éviter — fera l’objet d’un épisode entièrement dédié. En conclusion Cet épisode pose les bases d’une réflexion structurée sur le recours aux MSP pour les PME. Le message central est clair : externaliser son TI n’est pas un signe de faiblesse, c’est une décision stratégique qui permet de mieux se concentrer sur sa mission d’entreprise. Que ce soit parce qu’on ne sait pas, qu’on ne peut pas ou qu’on ne veut pas gérer cette dimension, le MSP représente une solution mature, flexible et accessible — à condition de bien choisir son partenaire et de formaliser la relation contractuellement. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x707! Shameless plug 25 et 26 février 2026 - SéQCure 2026 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Dans cet épisode de podcast, Casimir Le Grand, fondateur de FairPoint Assurance, un cabinet spécialisé en assurance pour entreprises technologiques, présente les fondamentaux de la cyberassurance et son importance cruciale pour les PME. La discussion met en lumière les aspects souvent méconnus de cette protection devenue essentielle à l’ère numérique. La nature spécifique de la cyberassurance La cyberassurance se divise en deux volets principaux : la responsabilité civile et les dommages directs. Le volet responsabilité couvre les poursuites découlant de fautes cybernétiques commises par l’entreprise, mais représente une portion moins importante des pertes. L’accent de la discussion porte sur les dommages directs, qui constituent les coûts réels de remise en état suite à un incident cybernétique. Un élément fondamental à comprendre est que la cyberassurance est une police monoligne distincte. Elle n’est pas couverte par les polices d’assurance générale combinée commerciale. Bien que certaines polices générales offrent de petites extensions de garantie de 25 000 $ à 100 000 $, ces montants sont largement insuffisants et les couvertures souvent inadéquates. Casimir insiste sur le fait qu’avoir ces petites extensions équivaut pratiquement à n’avoir aucune assurance. Les entreprises doivent donc se procurer une police spécifique pour être réellement protégées contre les risques cybernétiques. Les coûts de réponse à l’incident À chaque incident cybernétique, peu importe sa nature, les coûts de réponse sont systématiquement déclenchés. Ces coûts incluent tous les professionnels qui interviendront pour aider l’entreprise à se remettre en état. Cela comprend les experts en gestion de crise, les spécialistes en investigation forensique qui détermineront le point d’entrée des hackers et les données compromises, ainsi que d’autres professionnels spécialisés. La valeur de l’assurance se manifeste particulièrement ici, car la plupart des PME ne disposent pas d’équipes internes capables de répondre adéquatement à un incident. L’assureur coordonne l’intervention des professionnels et assume les coûts, qui peuvent varier considérablement selon l’urgence. Une intervention d’urgence un samedi matin coûtera significativement plus cher qu’une intervention planifiée le lundi après-midi. Les obligations juridiques et le rôle du breach coach Les avocats spécialisés en protection des renseignements personnels, appelés « breach coaches », jouent un rôle crucial dans la gestion d’un incident. Avec l’entrée en vigueur de la loi 25 au Québec, les entreprises ont des obligations juridiques précises lorsque des informations sont volées ou accédées illégalement. Les breach coaches aident à déterminer ces obligations, notamment : L’obligation d’avertir les personnes concernées Les exigences de notification aux autorités Les obligations contractuelles envers les tiers dont les informations confidentielles ont été compromises Une gestion appropriée de l’incident, guidée par ces professionnels, protège l’entreprise contre d’éventuelles poursuites. À l’inverse, la négligence peut être catastrophique. Certaines entreprises qui ont choisi de ne pas notifier les victimes ou de ne pas offrir de surveillance de crédit se sont exposées à des poursuites qui les ont forcées à fermer leurs portes. L’assureur, qui ne veut pas payer pour ces poursuites, s’assure donc que le breach coach intervienne pour minimiser les risques juridiques. La perte d’exploitation : un coût majeur Au-delà des coûts directs de réponse, les pertes d’exploitation constituent souvent le volet le plus coûteux d’un incident cybernétique. Casimir utilise l’exemple parlant d’une entreprise dont tous les ordinateurs deviennent noirs suite à une attaque de rançongiciel. Les employés ne peuvent plus travailler, les commerces de détail ne peuvent plus scanner les codes-barres, l’accès aux inventaires est bloqué. Pour une entreprise de commerce de détail vendant des produits non uniques, les clients se tourneront rapidement vers la concurrence, entraînant des ventes perdues irrémédiablement. La couverture de perte d’exploitation devient alors vitale. Pourtant, Casimir constate avec préoccupation que cette couverture est souvent sous-limitée. Il voit régulièrement des entreprises qui achètent une limite globale de 5 millions de dollars, mais dont la perte d’exploitation est limitée à seulement 500 000 $ ou 1 million de dollars. L’importance des limites de couverture adéquates Certains assureurs, comme Chubb et Coalition, offrent une limite séparée pour les coûts de réponse aux incidents. Cette structure est avantageuse : si la réponse à l’incident coûte 800 000 $, l’entreprise conserve l’intégralité de sa limite d’un million de dollars pour couvrir la perte d’exploitation et le paiement d’une éventuelle rançon. Cette structure évite que l’entreprise soit forcée de « tourner les coins ronds » sur la réponse à l’incident pour préserver des fonds pour d’autres besoins. Négliger une réponse complète à l’incident est dangereux. Les entreprises qui ne corrigent pas adéquatement les problèmes fondamentaux subissent souvent un deuxième incident dans les six mois suivants, ce qui devient généralement le coup fatal. Les fraudes non sophistiquées : une menace réelle Un aspect moins discuté mais très fréquent concerne les fraudes de transfert de fonds par ingénierie sociale. Contrairement aux attaques sophistiquées nécessitant une expertise technique pour contourner les systèmes de sécurité, ces fraudes de type « grab and go » sont relativement simples à orchestrer. Le scénario typique commence par une compromission de boîte de courriel d’entreprise (Business Email Compromise). Les hackers accèdent à des boîtes courriel mal sécurisées, installent des filtres pour rediriger certains courriels légitimes et surveillent silencieusement les communications. Lorsqu’une transaction importante se profile, ils envoient de fausses instructions de paiement, souvent en prétendant qu’un changement de coordonnées bancaires a eu lieu. Ces fraudes peuvent facilement atteindre des centaines de milliers de dollars. Casimir mentionne le cas remarquable d’une récupération de 9,5 millions de dollars orchestrée par Coalition, grâce à leur équipe spécialisée qui intervient rapidement pour tenter de récupérer les fonds transférés frauduleusement. Sans cette intervention professionnelle rapide, cet argent aurait été définitivement perdu. Conclusion La cyberassurance n’est plus un luxe, mais une nécessité pour toute entreprise moderne utilisant des équipements technologiques. Les coûts d’un incident cybernétique dépassent largement les capacités financières de la plupart des PME. Une couverture adéquate, avec des limites appropriées et l’accès à des professionnels spécialisés, peut faire la différence entre la survie et la fermeture d’une entreprise. L’essentiel est de ne pas sous-estimer les risques et de ne pas se contenter de couvertures inadéquates qui donnent une fausse impression de sécurité. Collaborateurs Nicolas-Loïc Fortin Casimir Le Grand Crédits Montage par Intrasecure inc Locaux réels par Bagel Maguire Café

Parce que… c’est l’épisode 0x703! Shameless plug 25 et 26 février 2026 - SéQCure 2026 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Ce podcast réunit Nicolas Milot, Cyndie Fletz et Dominique Derrier pour discuter d’un sujet pour les PME : la différence entre les fournisseurs de services gérés traditionnels (MSP) et les fournisseurs de services de sécurité gérés (MSSP). Cette distinction, souvent mal comprise, a des implications importantes pour la stratégie technologique et la cybersécurité des entreprises. Définitions et différences fondamentales Le MSP (Managed Service Provider) et le MSSP (Managed Security Service Provider) ne sont pas interchangeables, malgré la tentation de certains fournisseurs de vouloir tout couvrir. La différence se résume ainsi : le MSP s’occupe principalement de la disponibilité des systèmes informatiques, tandis que le MSSP se concentre sur la sécurité contre les cybermenaces. Le rôle du MSP est de s’assurer que tout fonctionne sans interruption : les pages web s’affichent, les commandes sont traitées, les bons de commande s’impriment et les clients reçoivent des réponses. C’est une question d’opérations quotidiennes et de continuité des affaires. Le MSSP, quant à lui, se préoccupe de l’intégrité et de la confidentialité des données. Il surveille et protège contre les acteurs malveillants et les cyberattaques. Au Québec, pratiquement toutes les entreprises offrant des services de cybersécurité sont des MSSP, même si elles ne l’affichent pas toujours explicitement dans leur nom. Approches opérationnelles distinctes Une différence majeure réside dans la nature du travail. Le MSP a “les mains dans la technologie” : il intervient directement sur les systèmes, gère les serveurs, connaît les processus de redémarrage et l’ordre dans lequel les services doivent être relancés. Il sait si la base de données doit redémarrer avant le service web, ou si l’ERP doit être prioritaire sur les robots. Le MSSP, en revanche, travaille davantage dans l’analyse que dans l’intervention directe. Il collecte des informations via des technologies comme les EDR (Endpoint Detection and Response) et les SIEM (Security Information and Event Management). Ces outils de défense requièrent une spécialisation particulière pour être exploités à leur pleine valeur. Avoir la capacité technique de déployer ces outils ne signifie pas nécessairement pouvoir en extraire toute la valeur pour le client. Comme l’explique l’équipe, “rouler un outil et l’analyser sont deux choses vraiment différentes”. Un MSP peut savoir utiliser un outil de sécurité, mais sera-t-il capable d’en tirer la valeur analytique maximale? Ce sont des questions essentielles à poser lors du choix d’un fournisseur. L’importance de choisir le bon partenaire Les MSP et MSSP deviennent des partenaires à long terme, voire des extensions de l’équipe TI interne. Il est crucial de ne pas “mélanger les genres”. Demander à un MSSP de gérer le patching ou les opérations quotidiennes, c’est comme “enfoncer une vis avec un marteau ou un clou avec un tournevis” : ce n’est pas le bon outil pour le travail. Inversement, si vous payez un MSSP pour faire du travail de MSP, vous risquez soit de payer trop cher, soit de recevoir un service inadéquat. Les contrats étant généralement conclus sur le long terme, choisir le mauvais type de service peut sérieusement nuire aux objectifs de l’entreprise. La coexistence MSP-MSSP : défis et collaboration Un aspect délicat est la coexistence de ces deux types de fournisseurs. Le MSP se concentre sur le “run” quotidien, tandis que le MSSP doit collaborer avec celui qui opère ce “run”, particulièrement en cas d’incident de sécurité. Cette dynamique peut créer des tensions. La mission du MSP est que tout fonctionne et roule sans interruption, tandis que la mission du MSSP est que tout soit sécuritaire, ce qui peut impliquer des processus plus longs. En cas d’incident de sécurité majeur, ce conflit devient aigu : le client veut remettre sa chaîne de production en marche rapidement, mais le MSSP insiste pour mener une enquête forensique et récupérer des informations critiques. Il peut même y avoir un conflit d’intérêts si la même entreprise offre ces deux volets. C’est au client d’arbitrer entre ces positions, avec toutes les informations fournies par ses partenaires. Le client reste “accountable” devant son propre client et doit pouvoir faire des choix éclairés en fonction de ses priorités d’affaires et de ses obligations légales. L’ordre logique pour les PME Un conseil crucial pour les PME : ne prenez pas de MSSP si vous n’avez pas d’abord une gestion solide de votre IT. Il faut d’abord établir une hygiène de base avant d’investir dans la sécurité avancée. Si un fournisseur de sécurité découvre que vous n’avez même pas d’EDR déployé, vous paierez pour qu’il fasse votre travail TI de base en plus de la sécurité. Cela rendra la sécurité prohibitivement chère et risque de vous “dégoûter” du domaine. Comme le souligne l’équipe, avec 97,1% des entreprises québécoises comptant moins de 100 employés, beaucoup n’ont même pas d’équipe TI interne. Les équipes de sécurité dédiées sont encore plus rares. Ces entreprises devront inévitablement se tourner vers des MSSP à un moment donné, mais seulement après avoir établi des bases solides avec un MSP. Le facteur cyberassurance Les cyberassurances ajoutent une couche de complexité. Elles exigent généralement la présence d’un SOC (Security Operations Center), donc d’un MSSP. Mais elles requièrent aussi que des mesures de base soient en place : l’authentification multifacteur (MFA), la gestion des comptes, le DKIM, etc. Ces éléments, qui relèvent du MSP, doivent être implémentés avant même de pouvoir contracter sérieusement une cyberassurance. Conclusion Le message final est clair : cherchez un partenaire, pas un simple fournisseur. Soyez curieux, posez des questions, mais ne cherchez pas à “coincer” vos fournisseurs avec des questions pièges. La relation doit être collaborative. Et rappelez-vous : ni le MSP ni le MSSP n’est responsable de votre maturité technologique ou sécuritaire. Ils vous aident dans la mesure où vous le voulez, moyennant des frais supplémentaires pour augmenter cette maturité. Enfin, un dernier conseil important : les audits ne doivent jamais être réalisés par votre MSP, car il ne peut pas se vérifier lui-même. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x697! Shameless plug 29 janvier 2026 - The Coming AI Hackers 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction : Le contrat comme socle de démarrage Dans cet épisode spécial PME consacré aux fournisseurs de services gérés (MSP), les experts Cyndie Feltz, Nicolas Milot et Dominique Derrier abordent un sujet crucial : le contrat MSP. Après avoir défini ce qu’est un MSP dans un épisode précédent, ils se concentrent maintenant sur l’importance de bien formaliser la relation contractuelle, qui constitue le socle de démarrage de tout partenariat MSP. Le contrat définit la portée du travail, la valeur apportée et les modalités du partenariat entre l’entreprise et son fournisseur de services. L’importance de la formalisation Lorsqu’une entreprise décide de confier une partie de ses activités TI à un MSP, elle lui confie ce qu’elle a de plus précieux : ses systèmes d’information. Cette démarche ne peut se faire à la légère ou sur une simple entente verbale. Il est essentiel de formaliser les règles et les attentes dès le départ. Comme le soulignent les intervenants, quand tout va bien, personne ne se pose de questions, mais lorsque des problèmes surviennent, il devient crucial d’avoir un contrat clair pour apporter les éclaircissements nécessaires. La clarification des rôles et responsabilités Un des éléments fondamentaux à définir avant de signer un contrat est de déterminer précisément qui sera en charge de quoi. Selon le niveau de service choisi, le MSP peut effectuer des tâches très basiques, comme la simple revente de licences avec un service minimal, ou prendre en charge l’ensemble des opérations TI de l’entreprise. Il existe une multitude d’options sur le marché, et il est impératif de choisir celle qui convient le mieux aux besoins spécifiques de l’entreprise. L’erreur à éviter est de présumer que le MSP répondra automatiquement à tous les besoins sans vérifier ce qui est réellement inclus dans le contrat. Par exemple, si un MSP vend des licences Microsoft, cela ne signifie pas nécessairement qu’il assurera la configuration et la gestion de la console. De même, la vente d’une solution de sauvegarde comme Veeam ne garantit pas que le MSP gérera les backups au quotidien. Les trois niveaux de service : buy, build, run Dominique Derrier introduit une distinction importante entre trois niveaux de service : Buy (achat/revente) : L’achat et la revente de licences, permettant de profiter des effets de volume du MSP pour réaliser des économies ou accéder à des produits normalement réservés aux grandes entreprises. Build (mise en place) : La configuration initiale et le déploiement des solutions, incluant la première mise en marche et l’initialisation des systèmes. Run (opérationnel) : La gestion quotidienne et l’opérationnalisation des services TI. Il est crucial de bien comprendre ces trois volets lors de l’achat de services MSP. Posséder un produit sans l’avoir installé ni opérationnalisé, ou inversement, avoir la mise en place sans l’opération quotidienne, crée des lacunes problématiques dans la couverture des besoins TI. Le partenariat d’affaires et la vision à long terme Les experts insistent sur la notion de partenariat d’affaires. Le MSP doit être perçu comme un véritable partenaire, car en cas d’incident, c’est lui qui sera là pour remonter les systèmes et assurer la continuité des opérations. Cette relation de confiance est essentielle, particulièrement dans l’adversité. Il faut éviter à tout prix de se retrouver dans une situation où, lors d’un incident, personne ne sait qui est responsable de quoi, ajoutant une complexité et une tension inutiles à un moment critique. Lors du choix d’un MSP, il est important de ne pas penser uniquement au présent, mais aussi de se projeter dans l’avenir. Il faut évaluer la capacité du fournisseur à accompagner l’entreprise sur une durée de cinq ans ou plus. Les limites et l’importance de la transparence Un bon MSP doit être transparent sur ce qui n’est pas inclus dans le contrat. Les intervenants mettent en garde contre les vendeurs évasifs qui évitent de parler des exclusions par peur de perdre la vente. Un vendeur de confiance présentera de manière très concrète ce qui est inclus et ce qui ne l’est pas. Cette transparence est un indicateur de fiabilité. L’entreprise cliente doit se sentir écoutée et comprendre que le MSP cherche réellement à répondre à ses besoins spécifiques, plutôt que de simplement vendre le service le plus cher. Dans certains cas complexes, il peut être judicieux d’engager un consultant ou un RSSI virtuel pour accompagner le choix du MSP. Les clauses contractuelles essentielles Plusieurs clauses importantes doivent figurer dans un contrat MSP : Clause d’auditabilité : Elle permet à l’entreprise de se réserver le droit de demander un audit du MSP. Même si cet audit n’est jamais réalisé, cette clause garde une porte ouverte et maintient une certaine vigilance. Service Level Agreements (SLA) avec pénalités : Les SLA doivent inclure des pénalités en cas de non-respect des engagements. Cependant, ces SLA doivent être bilatéraux. Le client doit aussi s’engager, par exemple à répondre dans un délai raisonnable aux demandes du MSP concernant les mises à jour de sécurité. Clause de réversibilité : Cette clause définit les modalités de séparation au cas où l’entreprise souhaiterait changer de MSP. Paradoxalement, l’existence de cette clause tend à prolonger la durée des contrats, car elle crée de la transparence et évite le sentiment d’être piégé. La responsabilisation mutuelle Comme le souligne Cyndie, les attentes envers un MSP sont similaires à celles envers des employés internes. On attend du personnel TI interne qu’il assure le service convenu, qu’il lève la main lorsqu’il est débordé, et qu’il respecte les rôles et responsabilités établis. Il en va de même pour un MSP. Conclusion Le contrat MSP n’est pas un document à prendre à la légère. Il constitue la fondation d’un partenariat qui peut durer plusieurs années. Comme dans un mariage, selon l’analogie de Dominique, il vaut mieux avoir un bon contrat sur lequel se replier quand les choses vont mal, même si l’espoir est de ne jamais en arriver là. L’objectif n’est pas de discréditer les MSP, mais de s’assurer que le contrat protège à la fois le client et le fournisseur, permettant ainsi une collaboration fructueuse et durable. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x694! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Dans cet épisode spécial consacré aux PME, l’équipe composée de Cyndie Fletz, Nicolas Milot et Dominique Derrier explore un sujet crucial pour les entreprises modernes : le rôle des MSP (Managed Service Providers) et leur contribution à la gestion des technologies de l’information. Cette discussion vise à démystifier ce qu’est un MSP, à clarifier son utilité et à mettre en lumière les bonnes pratiques d’engagement avec ces partenaires technologiques. Qu’est-ce qu’un MSP ? Un MSP, ou Managed Service Provider, est une entreprise spécialisée en technologies de l’information qui permet aux organisations d’externaliser la gestion de leur infrastructure TI plutôt que d’embaucher du personnel technique en interne. Il s’agit essentiellement d’impartition de services TI, où une compagnie confie la responsabilité de ses systèmes informatiques à un fournisseur externe spécialisé. Contrairement à ce que l’on pourrait penser, ce concept n’est pas nouveau. L’impartition de services TI existe depuis les années 1980, soit depuis plus de quarante ans. Cette longévité s’explique par le fait que les entreprises ont rapidement compris que leur mission principale n’était généralement pas de gérer une infrastructure technologique complexe, mais plutôt de se concentrer sur leur cœur de métier. Les raisons d’engager un MSP L’expertise spécialisée La première raison justifiant le recours à un MSP est l’accès à une expertise technique appropriée. Gérer correctement une infrastructure TI ne s’improvise pas et ne peut être fait “à la fin de semaine”. Lorsqu’une entreprise commence à croître et que les risques liés aux technologies augmentent, il devient essentiel de faire appel à des professionnels capables d’effectuer les maintenances, les mises à jour et d’assurer le bon fonctionnement continu des systèmes. La gestion du risque Le choix d’un MSP relève principalement d’un calcul de risque. Les entreprises doivent se poser la question fondamentale : combien coûterait une panne de nos systèmes ? Est-il préférable d’investir dans la prévention ou de risquer des réparations coûteuses en cas de défaillance majeure ? Cette réflexion s’applique à toutes les tailles d’entreprise, même celles de 15 à 20 employés utilisant uniquement des services cloud comme Google Drive. L’analogie du garagiste L’entretien informatique peut être comparé à l’entretien automobile. Tout comme une voiture nécessite des changements d’huile réguliers, des rotations de pneus et diverses vérifications périodiques, les systèmes TI requièrent une maintenance constante. Ignorer ces besoins d’entretien peut conduire à des défaillances catastrophiques, similaires à un moteur qui cesse de fonctionner par manque d’huile. Le coût de remplacement d’une infrastructure TI complètement défaillante, comme celui d’un moteur automobile, peut s’avérer prohibitif et souvent supérieur au coût d’un entretien préventif régulier. Le MSP agit donc comme un garagiste spécialisé qui possède les outils, les connaissances et l’expérience nécessaires pour maintenir les systèmes en bon état de fonctionnement. La plupart des dirigeants d’entreprise, bien qu’ils puissent “mettre de l’essence” (effectuer des tâches basiques), ne possèdent pas les compétences pour “changer les roulements de roue” (effectuer des opérations techniques complexes). La disponibilité et l’hygiène informatique Les MSP jouent un rôle crucial dans l’un des trois piliers de la cybersécurité : la disponibilité (aux côtés de l’intégrité et de la confidentialité). Ils assurent que les actifs informatiques restent opérationnels, permettant aux entreprises d’émettre des factures, de traiter des commandes et de servir leurs clients sans interruption. L’hygiène informatique, concept développé par les professionnels de la sécurité pour rendre la maintenance accessible au grand public, implique des actions régulières comme l’application de correctifs, la mise à jour des logiciels et la protection antivirus. Cette responsabilité incombe au propriétaire de l’entreprise, qui doit décider s’il possède les compétences nécessaires pour l’assumer en interne ou s’il est préférable de la confier à un MSP dont c’est la mission première. Ce qu’un MSP n’est pas Il est essentiel de comprendre qu’engager un MSP ne délègue pas la responsabilité ultime des données et de la sécurité de l’entreprise. En cas de fuite de données ou d’incident de sécurité, c’est l’entreprise cliente qui demeure légalement responsable, pas le MSP. Cette réalité souligne l’importance de choisir soigneusement son partenaire MSP et de maintenir une relation de collaboration active. L’analogie de la garderie Une métaphore particulièrement éloquente compare le MSP à une garderie. Tout comme les parents confient ce qu’ils ont de plus précieux – leurs enfants – à une garderie pendant qu’ils travaillent, les entreprises confient leurs systèmes informatiques à un MSP. Dans les deux cas, on s’attend à : Des soins quotidiens appropriés Une intervention rapide en cas de problème mineur Une communication immédiate pour les situations graves Un rapport régulier sur l’état général Une optimisation et un développement continus Cependant, tout comme les parents ne délèguent pas l’éducation complète de leurs enfants à la garderie, les entreprises ne peuvent pas déléguer entièrement toutes leurs responsabilités TI au MSP. Il existe des paramètres clairs définis dans le contrat qui établissent les responsabilités de chaque partie. L’importance du partenariat et de la vérification La relation avec un MSP doit être vue comme un véritable partenariat plutôt qu’une simple relation client-fournisseur. Il est crucial de bien définir les termes de l’engagement dès le début : quels services sont couverts, quels sont les horaires d’intervention, quelles sont les limites de responsabilité ? De plus, tout comme des parents vérifient avec leurs enfants comment s’est passée leur journée à la garderie, les entreprises doivent auditer régulièrement le travail de leur MSP. Cette approche de “confiance zéro” (zero trust) garantit que les rapports fournis correspondent à la réalité et que les maintenances promises sont effectivement réalisées. Conclusion Le choix d’un MSP représente une décision stratégique importante pour toute PME. Ces partenaires permettent d’accéder à une expertise technique de haut niveau, assurent la résilience des systèmes, maintiennent l’hygiène informatique et contribuent à la disponibilité continue des actifs technologiques. Cependant, cette relation nécessite une définition claire des responsabilités, une communication régulière et une vérification périodique pour garantir que le partenariat fonctionne de manière optimale. En fin de compte, pour les entreprises modernes où la technologie est essentielle au fonctionnement quotidien, le MSP devient un allié indispensable dans la réussite et la croissance de l’organisation. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x688! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Dans cet épisode du podcast PME, l’équipe composée de Julien Teste-Harnois, Cyndie Feltz, Nicolas Milot et Dominique Derrier explore une problématique contemporaine majeure : le partage excessif d’informations sur les réseaux sociaux et ses implications pour les individus et les entreprises. La discussion met en lumière comment le mélange entre vie personnelle et professionnelle sur les plateformes sociales peut créer des vulnérabilités significatives en matière de sécurité. Le piège du partage excessif d’informations personnelles Les intervenants soulignent d’abord que les plateformes comme Facebook encouragent activement les utilisateurs à partager une quantité considérable d’informations personnelles. Bien que ces plateformes proposent de renseigner la ville de résidence, l’école secondaire fréquentée, l’école primaire, les liens familiaux et bien d’autres détails, il ne s’agit que de suggestions. Les utilisateurs ne sont nullement obligés de compléter ces champs, surtout s’ils configurent leur profil en mode public. La recommandation est claire : se limiter au strict minimum, soit nom, prénom et éventuellement la ville. Tout le reste n’apporte que peu de valeur réelle tout en augmentant considérablement l’exposition aux risques. Les dangers du partage d’informations corporatives La logique s’applique également au niveau corporatif. Sur LinkedIn, par exemple, il existe une pression implicite à tout partager. L’équipe illustre ce point avec un exemple parlant : annoncer que toute l’équipe part au chalet pour un team building peut sembler anodin et même positif pour l’image de l’entreprise. Cependant, cette annonce révèle publiquement que les bureaux sont inoccupés pendant plusieurs jours. Si l’entreprise possède un bureau physique où des documents confidentiels pourraient traîner, cette information devient une invitation ouverte aux personnes mal intentionnées. Le conseil des experts est pragmatique : partagez ces moments après coup, pas en temps réel. Publiez vos belles photos et vos témoignages d’événement réussi une fois que tout le monde est de retour au bureau. L’attention aux détails visuels Un point crucial soulevé concerne l’environnement capturé dans les photos et vidéos. Les participants rappellent qu’il faut faire attention à ce qui apparaît en arrière-plan : éviter de publier des photos où le bilan financier de l’entreprise est visible, ou encore ces fameux post-it avec des mots de passe collés sur les écrans. Ces détails apparemment anodins peuvent fournir des informations précieuses à des acteurs malveillants. L’impact des comptes personnels sur la réputation d’entreprise Le podcast aborde également un phénomène fréquent : les employés qui affichent leur employeur sur Facebook puis commentent publiquement sur des sujets controversés, qu’ils soient politiques ou autres. Cette association directe entre opinions personnelles et entreprise peut nuire significativement à la réputation de celle-ci. Le problème s’amplifie lorsqu’il s’agit du propriétaire de l’entreprise lui-même. L’exemple frappant du billet d’avion Julien partage une anecdote marquante survenue récemment : une influenceuse australienne a montré son billet d’avion en direct sur TikTok devant ses centaines de milliers d’abonnés. Un spectateur a capturé l’écran, récupéré le numéro de réservation et annulé son vol. L’influenceuse s’est retrouvée bloquée à l’aéroport, contrainte de racheter un billet et de décaler son voyage. Cet incident illustre parfaitement comment un partage innocent peut avoir des conséquences immédiates et coûteuses. La reconnaissance comme outil d’attaque Nicolas, dans son expertise en tests de pénétration, explique que la phase de reconnaissance représente une part importante du travail. Les réseaux sociaux constituent une mine d’or pour les attaquants qui cherchent la meilleure porte d’entrée. Les informations partagées publiquement facilitent considérablement le social engineering et permettent de construire des prétextes crédibles pour tromper les employés et accéder aux systèmes ou locaux d’une entreprise. Les questions de sécurité et les mots de passe Un conseil particulièrement astucieux concerne les questions de sécurité. Les participants révèlent que personne ne vérifie réellement si vos réponses sont exactes. Plutôt que d’utiliser le véritable nom de votre chien ou votre école primaire – informations souvent publiques sur Facebook – il est préférable de créer des réponses complètement aléatoires et de les stocker dans un gestionnaire de mots de passe. Cette approche rend inutile toute tentative de récupération d’informations via les réseaux sociaux. Les guidelines pour un partage responsable L’équipe recommande aux directions d’établir des lignes directrices claires pour les employés souhaitant partager des contenus liés à l’entreprise. Il vaut mieux être proactif et définir ce qui est acceptable plutôt que de réagir après coup. De même, les employés devraient systématiquement demander l’autorisation avant de publier du contenu corporatif. Attention aux offres d’emploi et CV Un point souvent négligé concerne les offres d’emploi : il n’est pas nécessaire de détailler toutes les versions de logiciels et de faire l’inventaire complet des systèmes de l’entreprise. De même, ceux qui partagent leur CV en ligne devraient retirer leurs coordonnées personnelles complètes pour éviter de faciliter le travail des escrocs. La section coordonnées de LinkedIn Beaucoup d’utilisateurs ignorent que LinkedIn possède une section “coordonnées” souvent accessible par leur réseau. Certains y inscrivent leur adresse personnelle, leur courriel personnel et leur numéro de téléphone sans réaliser que ces informations sont visibles par des centaines, voire des milliers de connexions, dont ils ne connaissent même pas l’identité réelle. L’importance de la conscience situationnelle L’équipe conclut en soulignant l’importance d’être conscient de son environnement, particulièrement en visioconférence. Les exemples cocasses du confinement, avec des personnes se promenant nues en arrière-plan ou se levant en sous-vêtements, démontrent ce manque de conscience. La solution simple : s’installer dos à un mur et s’habiller correctement. Conclusion Le message principal de ce podcast est un appel à la réflexion avant la publication. Dans un monde où les algorithmes nous poussent à partager en temps réel pour maximiser l’engagement, il faut prendre deux secondes pour se demander : est-ce vraiment urgent de diffuser cette information ? Qui pourrait l’utiliser à mauvais escient ? Cette pause réflexive peut prévenir de nombreux problèmes de sécurité tant personnels que professionnels. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Julien Teste-Harnois Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x685! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Dans cet épisode spécial PME du podcast PoSécure, l’équipe composée de Dominique Derrier, Nicolas Milot, Cyndie Feltz et Julien Teste-Harnois aborde un sujet crucial mais souvent négligé dans les petites et moyennes entreprises : la gestion du cycle de vie des identités sur les réseaux sociaux. Cette discussion met en lumière les enjeux du onboarding (intégration) et de l’offboarding (départ) des employés, particulièrement en ce qui concerne leurs accès aux plateformes sociales de l’entreprise. Le problème de l’offboarding sur les réseaux sociaux L’un des constats les plus frappants soulevés durant la discussion est que les réseaux sociaux sont systématiquement oubliés lors du départ d’un employé. Contrairement aux équipements physiques comme les ordinateurs portables ou les souris que l’on pense à récupérer, les accès aux comptes sociaux de l’entreprise ne font généralement pas partie des listes de vérification de départ. Cette négligence peut avoir des conséquences graves pour l’organisation. Le panel souligne qu’il est essentiel d’intégrer les réseaux sociaux dans les processus d’offboarding existants. Lorsqu’un employé du marketing qui avait accès à la page Facebook de l’entreprise quitte son poste, il faut impérativement lui retirer ces accès. Plus problématique encore, si cette personne était la seule à détenir les droits d’administrateur et qu’elle part en mauvais termes, l’entreprise peut se retrouver complètement verrouillée hors de ses propres comptes. Les risques de la perte de contrôle Les intervenants partagent plusieurs scénarios catastrophiques qui surviennent régulièrement. Une entreprise peut réaliser six mois après le départ d’un employé que celui-ci était le seul administrateur d’un compte social important. Si les relations sont cordiales, il est parfois possible de le recontacter pour qu’il transfère les accès. Cependant, en cas de départ conflictuel, l’entreprise peut perdre définitivement l’accès à ses propres pages et communautés. Cyndie Feltz mentionne notamment l’exemple de LinkedIn où, si l’administrateur refuse de coopérer, la page est perdue à jamais. Cette situation est d’autant plus préoccupante que les actifs numériques, incluant les communautés bâties sur les réseaux sociaux, représentent aujourd’hui une valeur considérable pour les entreprises, particulièrement lors d’acquisitions. Le coût caché des licences oubliées Au-delà de l’aspect sécuritaire, Nicolas Milot attire l’attention sur l’impact financier de ces négligences. Combien d’entreprises continuent de payer des licences pour d’anciens employés dont les accès n’ont jamais été révoqués ? Ces coûts récurrents s’accumulent mois après mois sans que personne ne s’en rende compte, représentant une perte financière évitable avec de simples processus de revue. Les défis particuliers des PME La discussion met en évidence les défis spécifiques auxquels font face les petites et moyennes entreprises. Dans ces structures, tout le monde met la main à la pâte, et il y a une volonté naturelle de donner rapidement accès aux nouveaux employés pour qu’ils puissent être productifs. Cette urgence opérationnelle conduit souvent à ouvrir trop de portes sans documentation adéquate. Le problème est aggravé dans les PME par les acquisitions fréquentes et les changements organisationnels rapides. Sans inventaire rigoureux, on perd la trace des comptes de médias sociaux, surtout lors de fusions ou d’acquisitions. La connaissance institutionnelle disparaît avec les employés, et sans documentation claire du onboarding, il devient impossible de savoir qui a accès à quoi. Les aspects techniques et l’hygiène informatique Dominique Derrier apporte une perspective plus technique en abordant les problématiques liées à Active Directory et Azure. Il explique le concept de “ghost users” - des comptes utilisateurs qui restent actifs dans le système même s’ils ne sont plus utilisés. Ces comptes dormants représentent un risque de sécurité important car un attaquant pourrait les réactiver pour passer inaperçu plutôt que de créer de nouveaux comptes suspects. Il recommande d’implémenter des politiques claires : désactiver les comptes après trois mois d’inactivité, puis les supprimer définitivement. Il est également crucial de supprimer les ordinateurs de l’Active Directory lorsqu’ils sont retirés du parc informatique. De plus, il suggère fortement d’avoir un utilisateur dédié au onboarding plutôt que d’utiliser des comptes administrateurs de domaine pour joindre des machines, car cela crée des relations de confiance problématiques dans Active Directory. Les consultants et partenaires externes Le panel souligne qu’il ne faut pas oublier les consultants et les agences de marketing dans la gestion des accès. Lorsqu’une agence gère les réseaux sociaux d’une entreprise, elle a légitimement besoin d’accès. Cependant, à la fin du mandat, ces accès doivent être révoqués. Julien observe fréquemment des agences qui conservent encore des accès à des comptes de clients datant de plusieurs années, créant un vecteur d’attaque potentiel si le compte d’un employé de l’agence est compromis. Solutions et recommandations Pour résoudre ces problèmes, les intervenants proposent plusieurs solutions concrètes : Créer des processus documentés : Établir des listes de vérification claires pour le onboarding et l’offboarding qui incluent spécifiquement les réseaux sociaux et tous les outils SaaS utilisés par l’entreprise. Maintenir un inventaire : Tenir à jour une liste de tous les comptes, plateformes et accès, en précisant qui y a accès et pourquoi. Cet inventaire est crucial pour les changements de poste internes également. Penser aux changements de rôle : Ne pas se concentrer uniquement sur les départs, mais aussi sur les mobilités internes. Un employé qui change de département doit perdre les accès de son ancien poste. Conserver les droits administrateurs : S’assurer que l’entreprise garde toujours au moins un accès administrateur aux comptes sociaux, même si une seule personne les gère au quotidien. Instituer une “journée de revue des accès” : Cyndie suggère de créer un événement annuel dédié à la revue de tous les accès aux réseaux sociaux, similaire à la journée mondiale du mot de passe ou des sauvegardes. Conclusion Le message central de ce podcast est clair : les réseaux sociaux doivent être traités avec le même sérieux que les autres actifs de l’entreprise. Ils ne sont pas simplement des outils de communication périphériques, mais font partie intégrante de la vitrine numérique et de la valeur de l’entreprise. L’équipe insiste sur l’importance de mettre en place des processus dès maintenant, car plus on attend, plus le ménage devient complexe et risqué. La gestion proactive du cycle de vie des identités sur les réseaux sociaux n’est pas seulement une question de sécurité, mais aussi de protection de la valeur et de la réputation de l’entreprise. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Julien Teste-Harnois Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x680! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Ce podcast spécial PME aborde la question cruciale de la configuration initiale des médias sociaux pour les entreprises. Les intervenants partagent leurs expertises sur la manière de démarrer correctement sa présence numérique, en évitant les erreurs courantes qui peuvent coûter cher aux entreprises. L’objectif est de partir sur de bonnes bases qui garantiront la pérennité et la sécurité des actifs numériques de l’entreprise. Les fondamentaux : pages professionnelles vs comptes personnels La première règle fondamentale concerne la distinction entre comptes personnels et pages professionnelles. Pour des plateformes comme Facebook et LinkedIn, il est impératif de créer une page professionnelle plutôt qu’un compte générique au nom de l’entreprise. Cette règle découle directement des conditions d’utilisation de ces plateformes, qui exigent que les comptes personnels soient associés à de vraies personnes avec un prénom et un nom de famille réels. Créer un compte générique avec le nom de l’entreprise constitue une violation de ces règles et expose l’entreprise à un risque de suspension. Si l’algorithme de la plateforme détecte cette anomalie et demande une validation d’identité, il sera impossible de fournir les documents requis, entraînant la perte définitive du compte et de tout le contenu associé. Le portefeuille Business de Meta Meta propose un outil gratuit appelé portefeuille Business (ou Business Manager) qui fonctionne comme une boîte à chaussures numérique permettant de centraliser toutes les ressources importantes de l’entreprise. Ce portefeuille permet d’associer la page Facebook professionnelle à l’entité de l’entreprise plutôt qu’au compte personnel d’un individu. Cette distinction est cruciale car elle change la manière dont Meta perçoit l’entreprise : au lieu d’être considérée comme un particulier avec une page personnelle, l’entreprise est reconnue comme une véritable entité commerciale. Cette reconnaissance ouvre droit à un meilleur support en cas de problème et permet de créer un compte publicitaire distinct et professionnel. L’avantage majeur du portefeuille Business réside dans sa capacité à séparer les actifs publicitaires personnels des actifs professionnels. Chaque compte Facebook possède par défaut un compte publicitaire personnel, mais les entreprises peuvent créer un compte publicitaire distinct, associé directement à l’entité de l’entreprise. Cette séparation est essentielle pour effectuer de la publicité de manière efficace et sécuritaire, tout en conservant un contrôle total sur les ressources. La sécurité et les bonnes pratiques La sécurité des comptes de médias sociaux repose sur plusieurs principes fondamentaux. Premièrement, il est crucial d’utiliser des coordonnées professionnelles plutôt que personnelles. Les comptes doivent être associés à une adresse courriel d’entreprise liée au domaine de la compagnie, et non au Gmail personnel d’un employé. Cette pratique évite la perte d’accès en cas de départ d’un employé. Si un compte Instagram est lié au courriel personnel d’un stagiaire qui quitte l’entreprise, toute tentative de réinitialisation de mot de passe enverra le code à cette personne qui pourrait ne plus être joignable, entraînant la perte irrémédiable du compte. Les experts recommandent également de conserver précieusement certaines informations cruciales dès la création des comptes. Pour TikTok par exemple, il est essentiel de noter la date de création du compte (mois et année), la ville de création, et le courriel utilisé. Ces informations seront demandées en cas de récupération de compte. Pour Meta, chaque portefeuille Business possède un identifiant unique (ID) qui doit être conservé soigneusement. Sans cet identifiant, même avec toutes les autres preuves, il peut être impossible de récupérer l’accès à un compte compromis. Ces informations sont facilement accessibles dans les paramètres des plateformes et devraient être documentées immédiatement après la création des comptes. La gestion des agences marketing Un des points les plus importants soulevés dans le podcast concerne la collaboration avec les agences marketing. Bien qu’il soit pertinent de faire appel à ces professionnels pour animer les réseaux sociaux et gérer les campagnes publicitaires, il est impératif de garder le contrôle et la propriété des actifs numériques. Une erreur courante consiste à laisser l’agence créer le compte publicitaire, ce qui rend l’entreprise dépendante de cette agence à vie. Si l’entreprise souhaite changer de partenaire, elle devra repartir de zéro, perdant tout l’historique et les données accumulées. Les plateformes comme Meta et LinkedIn ont prévu des solutions pour ce type de collaboration : les accès partenaires. Ces systèmes permettent de déléguer des accès à des agences tout en conservant un contrôle total. Dans le cas de Meta, même si une agence compte dix personnes travaillant sur le compte d’une entreprise, celle-ci ne gère qu’un seul lien entre son portefeuille et celui de l’agence. En coupant ce lien unique, tous les accès sont révoqués simultanément, simplifiant grandement la gestion des permissions. Cette approche évite également d’avoir à gérer individuellement des dizaines de comptes et réduit les risques de sécurité liés à des accès oubliés ou non révoqués. La gestion des accès et des permissions Un principe de sécurité essentiel est de ne pas accorder des droits d’administrateur à tous les utilisateurs. La règle du moindre privilège doit s’appliquer : chaque personne ne devrait avoir que les accès nécessaires à l’accomplissement de ses tâches. Par exemple, une personne en charge uniquement de la publication de contenu n’a pas besoin de droits administratifs complets. En limitant les accès, l’entreprise réduit considérablement les risques en cas de compromission d’un compte. Si une personne avec des droits limités se fait pirater, l’attaquant n’aura qu’un accès partiel, permettant de réagir rapidement et de limiter les dégâts. À l’inverse, si tous les utilisateurs sont administrateurs, n’importe quelle compromission donne un accès total au pirate. Cette approche nécessite également d’imposer des bonnes pratiques de cybersécurité aux employés dont les comptes personnels sont liés aux pages professionnelles. Bien que ces comptes soient personnels, leur compromission peut affecter les actifs de l’entreprise. Les entreprises doivent donc exiger l’utilisation de mots de passe robustes et l’activation de l’authentification multifacteur (MFA) comme condition d’accès aux ressources professionnelles. Conclusion La configuration initiale des médias sociaux pour une entreprise requiert une approche méthodique et réfléchie. Les décisions prises au départ auront des répercussions à long terme sur la sécurité, la flexibilité et la pérennité de la présence numérique de l’entreprise. En suivant les recommandations partagées dans ce podcast - utilisation de pages professionnelles, mise en place d’un portefeuille Business, conservation des informations cruciales, gestion appropriée des accès partenaires et application du principe du moindre privilège - les entreprises peuvent établir des fondations solides qui les protégeront contre les pertes d’accès, les compromissions de sécurité et la dépendance excessive envers des tiers. Ces actifs numériques représentent souvent des années d’effort pour bâtir une communauté, et leur protection devrait être une priorité dès le premier jour. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Julien Teste-Harnois Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm Locaux réels par Intrasecure inc Locaux réels par Moxy Montreal Downtown

Parce que… c’est l’épisode 0x676! Préambule Le son n’est pas à son meilleur. Nous avons improvisé une session avec deux personnes en présence et le reste à distance. Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description L’importance stratégique des réseaux sociaux Les réseaux sociaux occupent aujourd’hui une place primordiale dans l’écosystème des PME et des solopreneurs. Pour certaines entreprises, ils représentent même la source de revenus la plus importante. Contrairement aux sites web traditionnels, les plateformes comme Facebook, Instagram, LinkedIn et TikTok offrent une accessibilité et une facilité de déploiement qui les rendent particulièrement attractives. Comme le souligne l’équipe du podcast, même sans connaissances techniques approfondies, n’importe qui peut créer et gérer une page professionnelle, ce qui explique leur adoption massive. Cependant, cette omniprésence s’accompagne d’une problématique majeure la sécurité de ces comptes est souvent la dernière préoccupation des entreprises. Alors que les organisations commencent à comprendre l’importance de sécuriser leurs comptes bancaires et leurs courriels, les réseaux sociaux sont encore perçus comme des outils de marketing et de communication qui ne nécessiteraient pas le même niveau de protection. Cette perception erronée expose les entreprises à des risques considérables. Le mythe du support client efficace Un des points les plus révélateurs du podcast concerne la réalité du support technique offert par les géants des médias sociaux, notamment Meta (Facebook et Instagram). Contrairement à ce que beaucoup d’utilisateurs pensent, il n’existe pas vraiment de garantie de service professionnel. Julien explique que le support de Meta est en réalité assuré par des firmes sous-traitantes qui n’ont même pas accès au système interne de la plateforme. Ces équipes de support agissent plutôt comme des messagers : ils peuvent observer ce qui se passe sur les comptes, mais ne peuvent poser aucune action directe. Ils doivent eux-mêmes soumettre des demandes aux équipes internes de Meta, qui détiennent les véritables accès. Si ces équipes internes refusent d’intervenir, le support ne peut rien faire. Cette réalité contraste fortement avec l’image que les utilisateurs se font d’un service client réactif et efficace capable de résoudre rapidement les problèmes. Les conséquences dévastatrices d’un piratage Le podcast illustre les conséquences dramatiques d’un compte compromis à travers plusieurs exemples concrets. Lorsqu’un pirate prend le contrôle d’une page et publie du contenu qui enfreint les règles de la plateforme, c’est la page elle-même qui est sanctionnée et bloquée, même si ce n’est pas la faute du propriétaire légitime. Meta ne cherche pas à comprendre qui a effectué les actions problématiques ; elle applique simplement ses règles, laissant l’entreprise victime sans recours. L’exemple du Parc Safari est particulièrement éloquent. En 2023, leur page Facebook comptant 110 000 abonnés a été piratée et fermée. Trois ans plus tard, ils ne sont parvenus à reconstruire qu’une communauté de 5 000 abonnés, perdant ainsi 95 % de leur audience. Cette perte s’est traduite par une chute drastique des demandes de renseignements, passant d’une vingtaine par jour à seulement deux ou trois par mois. Un autre cas mentionné concerne une nutritionniste indépendante qui a perdu sa page de 10 000 abonnés créée en 2016, représentant l’essentiel de sa valeur commerciale, car son activité reposait principalement sur sa présence sur les réseaux sociaux. La responsabilité des utilisateurs Un point important soulevé dans la discussion est que les plateformes comme Meta offrent effectivement tous les outils nécessaires pour se protéger. Leur infrastructure de sécurité interne est solide, et les piratages ne proviennent généralement pas de failles dans leurs systèmes, mais plutôt de la négligence des utilisateurs eux-mêmes. Les entreprises qui ne mettent pas en place les bonnes pratiques de sécurité sont donc responsables de la compromission de leurs comptes. Cependant, cette réalité soulève des questions sur la responsabilité des plateformes. Bien que les outils de protection existent, si les utilisateurs ne les utilisent pas, les entreprises comme Meta ne considèrent pas nécessaire d’offrir un support efficace. Cette approche peut sembler discutable, mais elle reflète la position de ces géants technologiques : si c’est la faute de l’utilisateur, pourquoi investir dans un support coûteux ? Les bonnes pratiques essentielles Le podcast met l’accent sur plusieurs mesures de sécurité fondamentales. La première et la plus importante est l’activation du double facteur d’authentification (MFA) sur tous les comptes de réseaux sociaux, ainsi que sur les adresses courriel qui leur sont associées. Cette couche de sécurité supplémentaire constitue la défense la plus efficace contre les tentatives de piratage. La gestion des accès représente un autre aspect crucial souvent négligé. Les entreprises doivent régulièrement effectuer des revues d’accès pour s’assurer que seules les personnes autorisées peuvent accéder à leurs pages professionnelles. Lorsqu’un employé quitte l’entreprise ou qu’un mandat avec une agence de marketing se termine, il est impératif de retirer immédiatement leurs accès. Le podcast révèle que de nombreuses entreprises n’ont aucun processus interne pour gérer les accès aux réseaux sociaux lors du départ d’un employé, alors qu’elles ont des protocoles bien établis pour récupérer les ordinateurs portables et fermer les comptes Microsoft. Un autre principe fondamental est la gestion appropriée des rôles et permissions. Trop souvent, toutes les personnes qui travaillent sur les réseaux sociaux d’une entreprise reçoivent le statut d’administrateur, alors que ce niveau d’accès devrait être réservé uniquement à ceux qui en ont réellement besoin. Un stagiaire qui publie du contenu et gère les commentaires n’a pas besoin d’être administrateur de la page. Cette attribution excessive de privilèges augmente considérablement la surface d’attaque en cas de compromission d’un compte. Conclusion Ce podcast met en lumière un paradoxe troublant : alors que les réseaux sociaux sont devenus essentiels pour la survie et la croissance de nombreuses PME, leur sécurité reste largement sous-estimée. La perte d’un compte peut avoir des conséquences dévastatrices, tant sur le plan financier que réputationnel, avec des communautés bâties au fil des années qui disparaissent en un instant. La solution ne réside pas dans l’espoir d’un support client providentiel, mais dans l’adoption proactive de bonnes pratiques de sécurité : activation du MFA, gestion rigoureuse des accès, attribution appropriée des rôles, et sauvegarde des codes de secours. Comme le souligne l’équipe, se protéger avant qu’un incident ne survienne est infiniment plus simple, moins coûteux et moins stressant que tenter de récupérer un compte compromis. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Julien Teste-Harnois Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm Locaux réels par Moxy Montreal Downtown

Parce que… c’est l’épisode 0x674! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Dans cet épisode spécial PME du podcast Pause Sécure, les animateurs Cyndie Feltz, Nicholas Milot et Dominique Derrier abordent en profondeur le sujet crucial de la sensibilisation à la cybersécurité. Leur message est clair dès le départ : la sensibilisation va bien au-delà du simple fait de cocher une case dans un rapport de conformité. Il s’agit d’un véritable enjeu stratégique pour la protection des entreprises et de leurs employés. La sensibilisation : un enjeu vital pour les entreprises Les experts rappellent une réalité incontournable : la majorité des brèches de sécurité commencent par l’humain. Dans un contexte où les courriels d’hameçonnage sont de plus en plus sophistiqués, notamment grâce à l’intelligence artificielle, personne n’est à l’abri. Même les professionnels de la cybersécurité admettent avoir déjà été victimes de ces attaques. Le quotidien professionnel, avec sa charge de travail intense, ses multiples sollicitations et la nécessité de cliquer constamment sur des liens, rend la vigilance d’autant plus difficile. Tests d’hameçonnage versus sensibilisation : deux concepts distincts Un point important soulevé durant la discussion concerne la distinction entre les tests d’hameçonnage et la sensibilisation proprement dite. Les tests servent principalement à mesurer la progression des employés dans leur capacité à détecter les courriels malveillants et à obtenir des statistiques sur l’efficacité de la sensibilisation. Cependant, la sensibilisation elle-même constitue un processus beaucoup plus large visant à instiguer un véritable changement de comportement. Transformer les utilisateurs en maillons forts L’un des messages clés du podcast est la nécessité de considérer les employés comme des maillons forts plutôt que des maillons faibles. Les participants en ont assez de cette étiquette négative. Bien formés et sensibilisés, les employés peuvent devenir la dernière ligne de défense capable de détecter ce que les outils techniques n’auraient pas pu attraper. Au-delà de la simple détection, l’objectif est que les employés développent des réflexes de communication : signaler les menaces au service informatique, alerter leurs collègues et contribuer activement à la sécurité collective de l’entreprise. Les indicateurs d’alerte : le sentiment d’urgence Les experts insistent sur un indicateur particulièrement révélateur : le sentiment d’urgence. Qu’il s’agisse d’une fraude du président demandant un virement urgent ou d’un courriel promettant de gagner un voyage à Cancún en cliquant dans les quatre prochaines minutes, ce sentiment d’urgence artificielle devrait immédiatement éveiller les soupçons. Dans un monde où tout va trop vite, il est essentiel d’apprendre à prendre le temps de la réflexion avant d’agir. Éliminer la honte et encourager la communication Un aspect fondamental de la sensibilisation efficace réside dans l’élimination de toute forme de jugement ou de honte. Tout le monde peut tomber dans un piège d’hameçonnage, même les experts. L’important n’est pas de ne jamais se faire avoir, mais plutôt de le reconnaître rapidement et d’en informer immédiatement le service informatique, même si c’est un vendredi après-midi ou qu’il s’avère finalement qu’il n’y avait pas de menace. Les participants racontent l’histoire d’une entreprise où un employé a attendu le lundi pour signaler une attaque survenue le vendredi, permettant ainsi aux pirates d’agir pendant tout le week-end. Les dirigeants et les équipes informatiques doivent créer une culture d’entreprise où les bons comportements sont récompensés et où il n’y a aucune place pour la honte. L’importance de l’adaptation et de la contextualisation La sensibilisation ne peut pas être une approche universelle. Les experts soulignent l’importance de contextualiser la formation en fonction des différents profils d’employés et de leur réalité quotidienne. Par exemple, former des ouvriers d’usine à la fraude du président n’a pas de sens s’ils n’ont pas accès aux systèmes de paiement. En revanche, les sensibiliser aux clés USB trouvées dans le stationnement ou à la sécurité physique est beaucoup plus pertinent. Cette adaptation nécessite une compréhension fine de l’organisation et des rôles de chacun. Le rôle du marketing et des ressources humaines Nicolas Milot fait une proposition audacieuse : la sensibilisation devrait être gérée par les équipes de marketing et de ressources humaines plutôt que uniquement par l’informatique. La raison est simple : créer un test d’hameçonnage efficace ressemble davantage à la création d’une infolettre marketing engageante qu’à un projet technique. Il s’agit de capturer l’attention, de créer de l’engagement et de faire passer un message. Le service informatique reste essentiel pour les aspects techniques, mais le projet dans son ensemble bénéficierait d’une approche plus orientée communication. La dimension personnelle de la sécurité Depuis la pandémie de COVID-19, la frontière entre vie personnelle et professionnelle est devenue floue. Les experts encouragent à profiter de cette réalité en abordant aussi la sécurité personnelle lors des formations. Si les employés apprennent à se protéger contre les fraudes sur les sites de vente en ligne, les QR codes malveillants ou autres menaces de leur vie quotidienne, ils appliqueront naturellement ces réflexes dans leur contexte professionnel. Les êtres humains sont fondamentalement égoïstes, et en leur montrant comment se protéger personnellement, on les rend plus réceptifs au message global de sécurité. Une approche positive et même humoristique Enfin, les participants insistent sur l’importance de rendre la sensibilisation engageante, voire amusante. La cybersécurité ne doit pas être perçue comme une contrainte pénible, mais comme une partie intégrante de la vie professionnelle abordée avec énergie positive. Utiliser l’humour, célébrer les bons comportements et créer des moments d’apprentissage plaisants permet une meilleure rétention de l’information et une adoption plus naturelle des bonnes pratiques. Conclusion La sensibilisation à la cybersécurité représente un investissement rentable qui ne coûte pas nécessairement très cher, mais qui peut considérablement améliorer la posture de sécurité d’une organisation. En donnant aux employés les outils, le temps et surtout la confiance nécessaires pour devenir des acteurs actifs de la sécurité, les entreprises se dotent d’une défense humaine efficace, capable de compléter leurs solutions techniques. Le message est clair : transformons nos employés en superstars de la sécurité plutôt qu’en suspects potentiels. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x669! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Le dark web fascine et inquiète en même temps. Pourtant, ce concept n’est pas aussi mystérieux qu’on pourrait le croire, bien qu’il joue un rôle crucial dans le paysage de la cybersécurité actuelle. Cyndie Feltz, Nicholas Milot et Dominique Derrier nous aident à mieux comprendre cet écosystème et son importance pour les petites et moyennes entreprises. Qu’est-ce que le dark web? Pour bien comprendre le dark web, il faut d’abord parler du deep web. Le deep web représente toute la partie non indexée d’internet. Lorsqu’on effectue une recherche sur Google, on ne consulte que la portion indexée du web. Mais internet contient beaucoup plus : les canaux Telegram, par exemple, font partie du deep web car ils ne sont pas indexés par les moteurs de recherche traditionnels. Le dark web constitue la partie la plus profonde du deep web, celle où se déroulent la plupart des activités criminelles en ligne. L’image de l’iceberg illustre bien cette structure : au-dessus de l’eau se trouve la partie indexée d’internet, tandis que tout ce qui est submergé représente le deep web. Au fond, là où se trouvent les créatures marines les plus imposantes, on retrouve le dark web. Il est important de noter qu’on n’accède pas au dark web par hasard. Il faut utiliser un navigateur spécialisé comme Tor pour y naviguer. De plus, contrairement au web traditionnel, il n’existe pas de Google du deep web. Il faut savoir où chercher pour trouver ce qu’on recherche. Des usages légitimes existent Bien que le dark web soit souvent associé aux activités criminelles, il possède également des usages légitimes. Les journalistes l’utilisent pour protéger leurs sources, et de nombreux gouvernements y ont recours pour des communications sécurisées. Cet espace permet des transactions sur internet qui ne sont pas indexées par Google, offrant ainsi un niveau de confidentialité supérieur. Pourquoi les PME doivent-elles s’y intéresser? Pour une PME, le dark web devient pertinent dans deux cas principaux. Le premier survient lors d’un incident de sécurité. Lorsqu’une entreprise subit une violation de données, l’assurance ou l’équipe de réponse à incident recommandera souvent d’investiguer le dark web pour tenter de récupérer les informations volées. Le deuxième cas relève de la prévention. Certaines organisations choisissent de surveiller le dark web pour anticiper les menaces. Cette surveillance permet de découvrir si des acteurs malveillants planifient une attaque ou s’ils possèdent déjà des informations compromettantes sur l’entreprise. Une véritable industrie criminelle Lorsqu’une entreprise se fait voler des données, celles-ci ont de la valeur. Les cybercriminels ne gardent pas ces informations pour eux : ils cherchent à les vendre sur des canaux Telegram ou des sites non indexés. Le dark web fonctionne comme une véritable chaîne d’approvisionnement. Des spécialistes collectent des identifiants de connexion fonctionnels, souvent par hameçonnage. Ces credentials sont ensuite vendus en lot à d’autres criminels qui les utiliseront pour déployer des rançongiciels ou des voleurs d’information. Cette division du travail crée un écosystème criminel professionnalisé, comparable à un modèle d’affaires SaaS (software as a service). Les limites de la surveillance du dark web Malgré son utilité, la surveillance du dark web comporte des limitations importantes. Par nature, cet espace n’est pas indexable comme Google. Il n’existe donc aucune garantie de retrouver toutes les informations recherchées. On peut passer des années à chercher quelque chose qui pourrait ne jamais être trouvé. Le dark web fonctionne comme un marché aux puces : les lieux où se commercent des biens illégaux apparaissent et disparaissent rapidement. Les données volées ont une durée de vie limitée. Comme on vérifie la fraîcheur des fruits à l’épicerie, les acheteurs vérifient la fraîcheur des credentials. Une fois le produit périmé, il disparaît du marché. Au-delà des mots de passe Le dark web ne contient pas que des mots de passe. Suite à une violation de données, des informations sur des centaines ou milliers de clients peuvent s’y retrouver. Ces données permettent aux attaquants de mener des campagnes d’harponnage hautement ciblées. Avec le bon contexte, leurs courriels frauduleux deviennent beaucoup plus crédibles et efficaces. Le piège des jetons de session Même avec l’authentification à deux facteurs activée, les entreprises ne sont pas totalement protégées. Les voleurs d’information peuvent extraire des jetons de session du navigateur. Ces jetons sont octroyés après qu’un utilisateur a complété son authentification complète, incluant le deuxième facteur. Si un attaquant met la main sur ce jeton et l’insère dans son propre navigateur, il peut se faire passer pour l’utilisateur légitime sans avoir besoin du deuxième facteur. Ce scénario devient particulièrement problématique lorsque les employés utilisent leur ordinateur personnel pour accéder aux ressources professionnelles. Un simple téléchargement malveillant peut compromettre une session d’entreprise et ouvrir la porte à une attaque par rançongiciel. L’hygiène de base avant tout La surveillance du dark web ne remplace pas les bonnes pratiques de sécurité. Les entreprises doivent d’abord mettre en place leur hygiène de base : authentification à deux facteurs, gestion rigoureuse des mots de passe, et autres mesures de protection accessibles aux PME. Ces éléments ne sont ni extrêmement coûteux ni particulièrement complexes à implémenter. La surveillance du dark web devrait être considérée comme une couche de protection supplémentaire, pas comme la solution principale. Elle ne fonctionne efficacement que lorsque les fondations de sécurité sont solides. Un investissement pour ne rien trouver Paradoxalement, la meilleure utilisation d’un service de surveillance du dark web est de ne jamais recevoir de notification. Si une entreprise paie pour ce service et n’est jamais alertée, cela signifie que son équipe fait du bon travail et que les mesures de sécurité fonctionnent. C’est un investissement qu’on espère ne jamais devoir utiliser, mais qui offre une tranquillité d’esprit précieuse. La nouvelle surveillance de crédit Le dark web devient le nouveau terrain de surveillance pour la protection des données personnelles. Autrefois, on surveillait son crédit pour détecter les fraudes. Aujourd’hui, avec la multiplication des violations de données, il devient plus pertinent de surveiller si nos informations se retrouvent sur le dark web. Cette évolution reflète les nouvelles réalités de la cybersécurité. Le dark web n’est finalement qu’un outil parmi d’autres dans l’arsenal de cybersécurité d’une PME. Comprendre son fonctionnement et ses limites permet de l’utiliser judicieusement, sans y investir des ressources démesurées ni négliger les fondamentaux qui demeurent la meilleure protection. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x665! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Dans cet épisode, l’équipe composée de Nicolas, Dominique et Cindy explore les mesures d’hygiène de base en cybersécurité que les petites et moyennes entreprises devraient mettre en place. L’objectif est d’identifier les solutions peu coûteuses qui offrent un gain important en sécurité et qui aident les organisations à répondre aux exigences de certifications et de conformité. L’authentification et la gestion des mots de passe Le premier pilier essentiel abordé concerne l’authentification et la gestion des mots de passe. Contrairement à ce que certains pourraient penser, les mots de passe demeurent un enjeu critique et représentent la faiblesse numéro un dans la majorité des tests d’intrusion. Cette problématique touche autant les mots de passe utilisés pour se connecter aux services externes que ceux utilisés à l’interne, incluant les comptes de service. L’équipe recommande fortement l’adoption de l’authentification unique (SSO) dès que possible, malgré l’existence d’une liste de la honte recensant les entreprises qui forcent leurs clients à prendre des forfaits coûteux pour accéder au SSO. Le principe est simple : moins il y a de mots de passe, mieux c’est. L’utilisation d’un gestionnaire de mots de passe s’avère non négociable. Il ne suffit pas de demander aux employés d’utiliser des mots de passe différents et complexes pour chaque site sans leur fournir les outils appropriés. Les experts mettent en garde contre l’utilisation des gestionnaires intégrés aux navigateurs web comme Chrome ou Edge, qui ne sont pas de qualité égale aux véritables gestionnaires de mots de passe autonomes disponibles sur le marché. Un point crucial soulevé est que si quelqu’un compromet une machine en tant qu’administrateur, il peut accéder à tous les mots de passe stockés dans le navigateur, alors qu’un gestionnaire de mots de passe dédié nécessite le mot de passe maître pour y accéder, offrant ainsi une protection supplémentaire même en cas de compromission de la machine. La protection des postes de travail Le deuxième élément fondamental concerne ce qu’on appelait autrefois les antivirus, maintenant connus sous le nom d’EDR (Endpoint Detection and Response). Cette protection minimale devrait être mise en place sur tous les environnements, même sur les ordinateurs Mac. Bien que les EDR ne soient pas infaillibles et puissent être contournés, ils représentent un premier niveau de protection accessible financièrement. L’équipe souligne l’importance de choisir un EDR adapté aux besoins spécifiques de l’entreprise en considérant plusieurs facteurs : le prix, la quantité de postes à protéger, le support offert, l’interface utilisateur, et la présence ou non de ressources techniques internes capables de gérer la solution. Certains EDR sont plus faciles à administrer tandis que d’autres offrent plus d’options mais nécessitent des formations et du personnel qualifié. Ces solutions deviennent de plus en plus accessibles pour les PME et constituent une brique essentielle de la sécurité. Les mises à jour automatiques Le troisième pilier aborde la question du patching, ces fameuses mises à jour souvent perçues comme un mal nécessaire. Pour les PME, la recommandation est claire : activer le patching automatique plutôt que de compter sur une vérification manuelle quotidienne. Cette approche s’applique non seulement aux systèmes internes mais aussi aux applications web comme WordPress. Un point important soulevé est que l’activation du patching automatique implique probablement d’avoir une bonne gestion des sauvegardes. Par exemple, si WordPress se met à jour automatiquement le mercredi, il est prudent de faire une sauvegarde le mardi pour pouvoir restaurer rapidement en cas de problème. Cette règle s’applique également aux serveurs internes, même si certains secteurs comme le manufacturier ou l’industriel peuvent nécessiter une approche plus nuancée. Il est rappelé que dans le cadre de Sécuritaire Canada, une des questions d’évaluation porte justement sur l’activation du patching automatique pour les postes de travail, ce qui devrait être une pratique standard. La gestion des sauvegardes Le quatrième élément essentiel concerne les sauvegardes. Une recommandation cruciale est de ne jamais joindre les sauvegardes au domaine. L’équipe partage plusieurs anecdotes illustrant les conséquences d’une mauvaise gestion des sauvegardes, comme la perte de dix ans de photos personnelles ou l’impossibilité d’accéder à une sauvegarde chiffrée dont le mot de passe était uniquement stocké sur la machine principale défaillante. La qualité d’une sauvegarde est égale à la dernière fois qu’elle a été testée. Les experts ont vu des situations catastrophiques où des organisations pensaient avoir des sauvegardes fonctionnelles mais ne les avaient jamais testées, pour découvrir leur inefficacité au moment d’un incident. Les sauvegardes ne servent pas uniquement en cas d’incident de sécurité, mais aussi lors de bris matériels, d’incendies ou d’autres catastrophes. Un conseil important : bien que le chiffrement des sauvegardes soit essentiel, il faut s’assurer que la clé principale n’est pas uniquement stockée sur le système sauvegardé. Il en va de même pour le mot de passe maître d’un gestionnaire de mots de passe, qui devrait être conservé sur papier quelque part en lieu sûr. Mesures complémentaires Au-delà de ces quatre piliers fondamentaux, l’équipe propose quelques mesures additionnelles. Pour les entreprises ayant un site web, l’utilisation d’un service de proxy comme Cloudflare permet d’ajouter une couche de protection accessible, voire quasi gratuite pour les PME. Bien que non infaillible, cette solution offre de la détection et une protection contre les exploits potentiels, tout en améliorant la performance et la rapidité du site. Pour les organisations utilisant Active Directory, deux outils gratuits sont recommandés : Purple Knight de Semperis et Pink Castle (récemment acquis par Tenable). Ces outils permettent de réaliser des audits de configuration et fournissent un score de sécurité sans avoir à engager immédiatement un auditeur externe coûteux. Ils génèrent des rapports en HTML, PDF ou Excel permettant d’identifier et de corriger les problèmes de configuration les plus évidents. L’importance de la base L’équipe insiste sur le fait qu’avant d’investir dans des outils complexes et coûteux comme la surveillance du dark web, il est primordial d’avoir une base solide. Comme pour une maison, si les fondations sont bancales, la plus belle construction s’effondrera. La bonne nouvelle est que cette base n’est pas nécessairement coûteuse et que de nombreux outils gratuits ou peu dispendieux existent pour établir un diagnostic et améliorer sa posture de sécurité. Un dernier point crucial, qui fera l’objet d’un épisode ultérieur, concerne la sensibilisation des employés. Ceux-ci peuvent être le meilleur allié ou la pire faiblesse d’une organisation. Il ne s’agit pas d’une formation ponctuelle mais d’un effort continu. En conclusion, les experts rappellent que ces éléments de base sont précisément ceux qui sont vérifiés dans les formulaires d’assurance et les certifications. Prendre ces mesures préventives est comparable à une visite médicale préventive : c’est beaucoup moins coûteux et traumatisant qu’une opération d’urgence suite à un incident majeur. Consulter un expert pour mettre en place ces mesures de base coûte généralement moins cher que de gérer les conséquences d’une cyberattaque. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x661! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Dans cet épisode spécial PME, Cyndie Feltz, Nicholas Milot et Dominique Derrier abordent l’un des sujets les plus redoutés par les entrepreneurs : les formulaires de sécurité informatique exigés par les grandes entreprises et les assureurs pour établir des relations commerciales. Un cauchemar universel Même pour des experts en sécurité, ces formulaires donnent envie de changer de métier. Les participants rassurent les entrepreneurs : il est normal de trouver ces documents épuisants. Le principal défi réside dans leur manque de standardisation. Chaque client ou assureur développe son propre questionnaire, obligeant les PME à tout recommencer à zéro à chaque fois. Deux catégories problématiques Les experts identifient deux grandes familles de formulaires. D’abord, les questionnaires orientés vente, où la pression commerciale rend tentant de répondre favorablement pour ne pas perdre un contrat. Ensuite, les formulaires d’assurance cyber, beaucoup plus critiques, car les réponses peuvent avoir des conséquences directes sur la couverture en cas d’incident. Des critères parfois absurdes Certains critères sont irréalistes ou dénués de sens. L’exemple mémorable d’un appel d’offres gouvernemental exigeant un outil capable de détecter les vulnérabilités futures démontre que les rédacteurs ne sont pas toujours des experts techniques. Autre problème : le manque d’adaptation aux différentes tailles d’entreprise. Les mêmes formulaires demandent à des PME de cinq personnes si elles possèdent un centre d’opérations de sécurité, une exigence totalement disproportionnée. La tentation et ses dangers Face à ces formulaires complexes, la tentation d’embellir la réalité est forte. Les invités admettent honnêtement que personne dans l’industrie n’a jamais rempli ces documents sans répondre “oui, mais…” à certaines exigences. Toutefois, ils insistent sur une distinction cruciale : pour les formulaires de vente, on peut s’engager à mettre les mesures en place après avoir signé. En revanche, mentir sur un formulaire d’assurance est extrêmement dangereux. L’exemple d’une ville en Ontario dont l’assureur a refusé de payer suite à un incident parce que l’authentification multifacteur n’était pas déployée comme déclaré illustre les conséquences désastreuses. Un incident peut coûter cent mille dollars par jour, et sans couverture d’assurance, cela peut mener une PME à la fermeture. Les experts rappellent qu’une assurance ne sert à rien si l’assureur peut prouver que les déclarations étaient fausses. Solutions pratiques Les experts proposent plusieurs pistes. D’abord, poser des questions au client lorsque c’est possible pour comprendre le besoin réel derrière chaque exigence. Ensuite, se faire accompagner par un expert qui peut vulgariser le jargon technique et identifier si l’entreprise possède déjà des mesures équivalentes. Par exemple, une question sur des protocoles spécifiques peut en réalité chercher à vérifier si l’entreprise a une protection contre l’hameçonnage, réalisable par d’autres moyens. Pour les entreprises confrontées régulièrement à ces questionnaires, obtenir une certification de sécurité peut s’avérer rentable. Bien que coûteuse, elle permet souvent d’éviter ou de simplifier les formulaires. En calculant le temps nécessaire pour répondre à de multiples questionnaires détaillés, l’investissement peut se justifier. Les participants encouragent aussi à consulter son réseau professionnel, car d’autres PME ont sûrement affronté les mêmes défis et peuvent partager leur expérience. Un appel à l’amélioration En conclusion, malgré tous les problèmes identifiés, ces formulaires partent d’une bonne intention : les grandes entreprises cherchent légitimement à se protéger. Le problème réside dans l’exécution et le manque de standardisation. L’appel final est à la compréhension mutuelle de l’intention derrière les questions, pour avancer ensemble vers un écosystème numérique plus sécuritaire. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x653! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction et contexte Dans cet épisode du podcast, l’équipe composée de Nicolas, Cyndie et Dominique explore l’histoire de NotPetya, une cyberattaque majeure qui, bien qu’elle ait principalement visé de grandes entreprises, offre des enseignements cruciaux pour les petites et moyennes entreprises. L’objectif est de démontrer que même les incidents qui semblent éloignés des PME peuvent les affecter directement ou indirectement, et qu’il existe des mesures préventives essentielles à mettre en place. Le témoignage de l’intérieur Dominique partage son expérience vécue du jour de l’attaque NotPetya. Travaillant pour un fournisseur de services gérés (MSP), il se trouvait en séminaire avec son équipe lorsque l’incident s’est produit. L’équipe de surveillance a commencé à remarquer des anomalies : des machines s’arrêtaient progressivement, puis des dizaines, puis des centaines de serveurs cessaient de fonctionner. Lorsque 200 à 300 machines sont tombées, il est devenu évident qu’il s’agissait d’un problème majeur nécessitant une intervention immédiate, malgré le contexte festif du séminaire. Le fonctionnement de NotPetya NotPetya est un malware qui s’est initialement propagé via un logiciel de comptabilité ukrainien compromis. Un client disposant de bureaux en Ukraine a effectué une mise à jour routinière et a involontairement téléchargé le virus. Le malware s’est ensuite comporté comme un ver informatique, se propageant à travers les réseaux de manière particulièrement vicieuse. Nicolas explique que NotPetya exploitait EternalBlue, une vulnérabilité découverte par la NSA et divulguée par le groupe Shadow Brokers. Cette faille affectait le protocole SMB, permettant une exécution de code à distance sans authentification, nécessitant simplement d’être sur le même réseau. La technique de propagation était sophistiquée : le virus se diffusait pendant environ vingt minutes, infectant d’autres machines, avant de redémarrer le serveur sur un écran de demande de rançon. Cette temporisation permettait une propagation massive avant que les dommages ne deviennent visibles. Le malware était capable de détecter les contrôleurs de domaine et d’abuser de leurs privilèges pour maximiser la destruction. Bien qu’une rançon de 300 dollars soit demandée, le paiement ne permettait pas de récupérer les données, révélant que l’objectif principal était la destruction pure et simple. Les failles de sécurité révélées L’incident a mis en lumière plusieurs problèmes de sécurité fondamentaux. Premièrement, malgré la taille et les ressources de l’entreprise touchée, la segmentation réseau était insuffisante. Le responsable de la sécurité (CISO) était convaincu que tout était correctement segmenté et que la propagation était impossible. La réalité a prouvé le contraire : environ 50 000 serveurs ont été affectés en raison de partages réseau non sécurisés et d’interconnexions excessives. Deuxièmement, le laxisme concernant les mises à jour de sécurité a joué un rôle crucial. EternalBlue était déjà connu au moment de l’attaque NotPetya, mais de nombreux serveurs n’avaient pas été corrigés. Troisièmement, une pratique dangereuse a été identifiée : certains clients avaient joint leurs systèmes de sauvegarde au domaine Active Directory. Nicolas insiste fortement sur ce point : il ne faut jamais joindre les serveurs de backup au domaine, un conseil tellement important que l’équipe envisage d’en faire des t-shirts promotionnels. Les conséquences économiques Les chiffres sont éloquents : NotPetya a causé environ 10 milliards de dollars de dommages économiques mondiaux. Des entreprises majeures ont été lourdement touchées, notamment Maersk, l’un des plus grands transporteurs maritimes au monde, avec 870 millions de dollars de coûts en 2017, et FedEx avec 300 millions de dollars. Ces entreprises n’ont pas été directement piratées mais ont été victimes collatérales via leur chaîne d’approvisionnement. L’arrêt de production s’est étendu sur plusieurs semaines, période pendant laquelle les employés ne pouvaient rien faire. Les leçons pour les PME Le podcast souligne plusieurs points essentiels pour les petites et moyennes entreprises. Premièrement, aucune organisation n’est à l’abri, quelle que soit sa taille. Des incidents récents comme les packages NPM compromis ou l’incident CrowdStrike démontrent que ces menaces persistent. Les PME peuvent devenir des points d’entrée pour attaquer de plus grandes entreprises, ce qui explique pourquoi les grandes organisations exigent de plus en plus de certifications de sécurité de leurs partenaires, même petits. L’exemple récent de Salesforce, attaqué via un petit fournisseur, illustre parfaitement ce risque. Les attaquants privilégient le maillon le plus faible, et un petit fournisseur ayant accès au réseau d’une grande entreprise devient une cible attractive. Les mesures de protection essentielles L’équipe recommande plusieurs mesures concrètes et accessibles. Il faut segmenter correctement les réseaux, s’assurer que les sauvegardes sont fonctionnelles et isolées du domaine, et maintenir les systèmes à jour. Les scans de vulnérabilité permettent d’identifier les problèmes invisibles. Des outils comme Shodan révèlent souvent des éléments inquiétants : caméras de surveillance, systèmes HVAC et autres équipements accessibles depuis Internet. Concernant les accès des fournisseurs, il faut se demander s’ils ont réellement besoin d’un accès administrateur permanent ou si un accès temporaire, limité au moment de l’intervention, suffirait. Le principe directeur doit être le besoin réel plutôt que la facilité. Fermer les accès extérieurs non essentiels et se protéger derrière un pare-feu constituent des bases fondamentales. Conclusion Les PME disposent d’un avantage par rapport aux grandes entreprises : leur périmètre est plus restreint et donc plus facile à sécuriser. Elles doivent éviter toute entreprise promettant une sécurité à 100%, car celle-ci n’existe pas. L’important est d’implémenter les mesures de base correctement. Les PME peuvent devenir des dommages collatéraux d’incidents qui ne les visent pas directement, mais elles devront néanmoins en assumer les coûts de nettoyage. NotPetya et d’autres incidents récents rappellent l’importance d’une vigilance constante et de pratiques de sécurité solides, accessibles à toutes les organisations. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x649! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP Description Comprendre les différences et faire les bons choix Dans cet épisode du podcast Polysécure, l’animateur reçoit Cyndie Feltz, Nicolas Milot et Dominique Derrier pour démystifier deux concepts souvent confondus dans le domaine de la cybersécurité : les balayages de vulnérabilités et les tests d’intrusion. Cette discussion s’avère particulièrement pertinente pour les petites et moyennes entreprises qui doivent naviguer dans un environnement où les exigences de sécurité se multiplient, que ce soit pour obtenir une cyberassurance, répondre à des normes réglementaires ou rassurer des clients. La confusion sur le marché Le podcast débute en soulignant un problème majeur : les entreprises se font souvent imposer des tests de sécurité sans nécessairement comprendre ce qu’elles achètent réellement. Cette pression peut provenir d’une cyberassurance, d’un cadre normatif ou d’un client exigeant. Lorsque ces tests ne sont pas budgétés, les entreprises cherchent naturellement à minimiser les coûts, mais le marché offre toutes les saveurs possibles, et les écarts de prix peuvent atteindre un facteur de dix entre différentes offres. Cette variation crée naturellement de la confusion et des inquiétudes chez les clients. Deux outils complémentaires, mais distincts Les experts s’entendent d’abord sur un point fondamental : ni le balayage de vulnérabilités ni le test d’intrusion ne sont intrinsèquement mauvais. Ce sont simplement deux outils différents qui répondent à des besoins distincts. Le problème survient lorsqu’un vendeur présente l’un comme l’autre, ou inversement, créant ainsi des attentes qui ne seront pas comblées. Un balayage de vulnérabilités est essentiellement un processus automatique. Un outil informatique analyse une application web, un serveur interne ou une adresse IP pour identifier des failles potentielles. Sa mission consiste à générer le maximum de données possibles. L’entreprise paie littéralement pour obtenir une quantité importante d’informations, qu’elle devra ensuite filtrer et prioriser elle-même. Ces scans permettent de détecter des vulnérabilités connues, des CVE et des exploits déjà répertoriés. Le test d’intrusion, quant à lui, implique une intervention humaine. Un expert en sécurité effectue manuellement des tests sur les actifs de l’entreprise en utilisant son expertise et son cerveau pour comprendre le contexte spécifique de l’organisation. Contrairement au scanner automatique, le testeur d’intrusion peut évaluer la logique métier, comprendre où appuyer pour faire mal et exploiter réellement les vulnérabilités découvertes. L’analogie du gardiennage et du cambrioleur Dominique propose une excellente analogie pour illustrer cette différence : un balayage de vulnérabilités ressemble à quelqu’un qui fait le tour d’un bâtiment pour vérifier si les portes sont verrouillées et noter où se trouvent les caméras. Un test d’intrusion, en revanche, correspond à une personne qui tente activement de pénétrer dans le bâtiment en crochetant les serrures, en contournant les systèmes d’alarme et en testant toutes les entrées possibles. Cette dernière approche requiert des compétences beaucoup plus pointues et justifie naturellement des coûts plus élevés, tout en offrant un bénéfice supérieur puisqu’elle vérifie l’efficacité réelle des mesures de sécurité. Quand utiliser chaque approche La première question à se poser n’est pas de savoir s’il faut un scan ou un test d’intrusion, mais plutôt : quel est le besoin réel ? S’agit-il d’une exigence normative qui impose spécifiquement un test d’intrusion ? L’entreprise souhaite-t-elle simplement valider la sécurité de son application ou de son infrastructure ? Pour un produit SaaS exposé sur Internet, les balayages de vulnérabilités sont particulièrement appropriés et peuvent être effectués régulièrement, voire de manière automatisée. Ils permettent de détecter rapidement l’apparition de nouvelles vulnérabilités connues. Pour les entreprises de taille moyenne avec plus de 150 à 200 employés disposant d’une infrastructure interne complexe, incluant par exemple un Active Directory, les scans servent à détecter les CVE et les exploits connus. Cependant, un scan de vulnérabilités ne tentera jamais de compromettre un Active Directory pour devenir administrateur de domaine, contrairement à ce que devrait faire un véritable test d’intrusion interne. La question de la récurrence et de la valeur Les balayages de vulnérabilités présentent l’avantage de pouvoir être effectués fréquemment, mensuellement ou même hebdomadairement. Les entreprises peuvent acheter leur propre licence et administrer ces scans en interne. Si elles font appel à une firme externe, la vraie valeur ajoutée ne réside pas dans le rapport brut, mais dans l’aide apportée pour filtrer et prioriser les résultats. Un fournisseur de services de sécurité managés (MSSP) devrait intégrer ces analyses automatiques dans son offre globale et les mettre en adéquation avec les autres outils de sécurité déjà en place. Recommandations pour les PME Les experts insistent sur plusieurs points essentiels. Premièrement, toutes les entreprises n’ont pas besoin d’un test d’intrusion. Une société de quinze à vingt personnes utilisant Google Workspace et WordPress bénéficierait davantage d’investir dans des révisions de configuration que dans un coûteux test d’intrusion, qui avoisine souvent les cinq chiffres. Deuxièmement, il est crucial de maintenir une bonne gouvernance en s’assurant que l’entité qui gère la sécurité quotidienne ne soit pas celle qui effectue les tests d’intrusion. Cette séparation garantit l’objectivité de l’évaluation, tout comme on ne demanderait pas à son agence comptable de réaliser son propre audit financier. Troisièmement, réduire l’empreinte numérique résout souvent davantage de problèmes qu’un simple test de sécurité. Limiter le nombre d’outils et de services utilisés, bien configurer ceux qui restent, et former adéquatement les équipes constituent des mesures préventives plus rentables qu’un test d’intrusion coûteux qui viendrait simplement confirmer des failles évidentes. Enfin, les experts encouragent les entreprises à considérer leurs mesures de cybersécurité non pas uniquement comme une dépense, mais comme un investissement qui peut devenir un argument de vente. Former les équipes commerciales sur les pratiques de sécurité mises en place permet de transformer cette démarche en avantage concurrentiel, même en l’absence de certification formelle. Conclusion Ce podcast clarifie efficacement un sujet souvent source de confusion pour les PME. La distinction entre balayages de vulnérabilités et tests d’intrusion repose essentiellement sur l’automatisation versus l’intervention humaine, la quantité versus la qualité contextuelle, et la détection versus l’exploitation réelle. Le choix entre ces deux approches doit toujours découler d’une analyse rigoureuse des besoins spécifiques de l’entreprise, de son budget et de ses obligations réglementaires, tout en gardant à l’esprit que la meilleure sécurité commence par des pratiques de base solides et une empreinte numérique maîtrisée. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x644! Préambule Ce n’est pas CMMI… mais CMMC!?! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP Description Introduction Ce podcast de la série PME réunit Nicholas, Cyndie et Dominique pour aborder un enjeu crucial auquel font face les petites et moyennes entreprises : les certifications de sécurité. La discussion explore comment les PME doivent réagir lorsqu’un client majeur leur demande si elles possèdent une certification spécifique, une situation qui peut rapidement devenir problématique si l’entreprise n’y est pas préparée. L’évolution des certifications : d’un avantage à une obligation Les certifications de sécurité les plus courantes incluent l’ISO 27001, le SOC de type 2, et pour le secteur de la santé au Québec, la certification TGV. Historiquement, ces certifications étaient réservées aux grandes entreprises et représentaient un avantage concurrentiel permettant de se distinguer et de garantir un certain niveau de sécurité aux clients. Cependant, la réalité a considérablement changé. Aujourd’hui, ces certifications ne sont plus un simple atout commercial, mais bien une obligation pour maintenir des relations d’affaires avec les grandes compagnies. Les entreprises qui ne possèdent pas la certification requise risquent de perdre des clients existants, une situation nettement plus dommageable que de ne pas en acquérir de nouveaux. Le rôle des certifications et l’alternative des questionnaires Les certifications font appel à un tiers de confiance qui garantit que l’entreprise respecte certaines normes de sécurité. Comme l’explique Dominique, il s’agit de déléguer à un organisme externe la vérification de la sécurité, généralement des comptables, bien qu’il existe également un processus d’audit interne à l’entreprise. Le choix du cadre normatif doit être stratégique : l’ISO convient mieux au marché européen, tandis que le SOC 2 est privilégié pour les affaires aux États-Unis. L’une des principales raisons pour lesquelles les entreprises recherchent ces certifications est d’éviter de répondre à d’innombrables questionnaires de sécurité. Bien que le Cloud Security Alliance ait développé le Consensus Assessment Initiative Questionary pour standardiser ces évaluations, cette initiative demeure peu connue. En l’absence de certification, les entreprises doivent répondre à des questionnaires exhaustifs de 100 à 150 questions, une expérience que les participants qualifient de « violente ». Face à ces questionnaires, les répondants se divisent en deux catégories : ceux qui embellissent la vérité et ceux qui mentent. Cette situation découle du fait qu’avouer ne pas avoir certaines mesures en place pourrait entraîner la rupture d’un contrat, transformant ainsi un enjeu de sécurité en enjeu purement commercial. Le problème s’aggrave lorsque le même questionnaire est envoyé à toutes les entreprises, qu’elles comptent trois ou deux mille employés. De plus, les personnes qui envoient et évaluent ces questionnaires ne sont pas toujours des experts en sécurité, ce qui signifie qu’une réponse négative sera simplement enregistrée comme telle, même si l’entreprise a mis en place des mesures alternatives tout aussi efficaces. L’importance cruciale du périmètre Un aspect fondamental abordé dans le podcast concerne la définition du périmètre de certification. Contrairement à ce que l’on pourrait croire, même les grandes organisations ne certifient pas l’ensemble de leur structure. Elles fragmentent leurs environnements et ne certifient que les lignes d’affaires qui en ont réellement besoin. Pour les PME, la stratégie recommandée consiste à choisir le plus petit périmètre conforme qui répond aux exigences du client final. Il faut absolument éviter la mentalité du « tant qu’à y être » qui augmente inutilement le périmètre et les coûts associés. Les certifications touchent l’ensemble de l’organisation : les personnes, les lieux physiques, la technologie, la sécurité physique, la sécurité humaine et la conformité légale. Il ne s’agit pas simplement d’une question informatique. L’ISO 27001, par exemple, repose sur le pilotage de la sécurité par la gestion des risques business, tandis que le SOC 2 garantit que l’entreprise respectera ce qui est marqué dans les contrats clients grâce aux contrôles mis en place. Conformité versus sécurité : une distinction essentielle Un point crucial soulevé par les experts est que conformité et sécurité ne sont pas synonymes. Une entreprise peut être conforme sans être véritablement sécurisée. Par exemple, avoir réalisé un test d’intrusion sans corriger aucune vulnérabilité identifiée ne rend pas l’entreprise conforme, mais ne l’a pas rendue plus sécuritaire non plus. Cette distinction frustre souvent les professionnels de la cybersécurité, car des mesures de sécurité efficaces peuvent ne pas être reconnues du point de vue de la conformité, tandis que certaines exigences de conformité peuvent être inefficaces d’un point de vue sécuritaire. L’exemple de PCI illustre bien cette problématique, avec des exigences qui sont restées longtemps inefficaces avant d’évoluer. L’amélioration continue comme philosophie Les cadres de certification reposent sur le principe d’amélioration continue plutôt que sur la perfection immédiate. Ils n’exigent pas que l’entreprise soit parfaite le jour de la certification, mais qu’elle ait mis en place un système de contrôle permettant l’amélioration continue. Ces certifications engagent le management et la direction à maintenir cette démarche d’amélioration, ce qui constitue un principe philosophique bénéfique à long terme. Cependant, l’entreprise doit être réellement prête à s’engager dans cette démarche, car il ne s’agit pas simplement d’un argument commercial ou d’un logo attrayant à afficher. Conseils pratiques pour les PME Pour les PME qui démarrent ce processus, il est recommandé d’adopter ou de s’inspirer d’un cadre normatif pour faire les premiers essais à leur propre rythme, avant qu’un client ne les pousse à le faire dans l’urgence. Cela permet de mettre en place les revues et contrôles nécessaires sans dépenser des sommes faramineuses. Les participants encouragent les entrepreneurs à poser des questions à leur réseau professionnel, car ceux qui ont vécu l’expérience de la certification, bien que souvent « traumatisante », seront heureux de partager leurs apprentissages. L’important n’est pas d’être parfait, mais de démontrer un engagement sincère envers la sécurité, d’être proactif, de poser les bonnes questions et d’établir des échéanciers réalistes. Être en mouvement et éviter la fossilisation constituent la clé du succès dans cette démarche. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x641! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP Description Dans cet épisode, trois experts en cybersécurité partagent leur expérience pour démystifier l’idée reçue selon laquelle la sécurité informatique serait financièrement hors de portée pour les petites et moyennes entreprises. Nicholas Milot, cofondateur de Yack et spécialiste des tests d’intrusion, Cyndie Feltz, également cofondatrice de Yack avec une expertise en gestion exécutive, et Dominique Derrier, RSSI chez Neotrust, apportent un éclairage pragmatique sur cette question cruciale. Le mythe du coût prohibitif L’un des principaux obstacles psychologiques pour les PME est la perception que la cybersécurité nécessite des budgets comparables à ceux des grandes entreprises comme Desjardins. Cette croyance est renforcée par l’abondance de solutions coûteuses sur le marché, souvent assorties de minimums d’utilisateurs qui peuvent rapidement faire grimper la facture à des centaines de milliers de dollars. Face à ces chiffres, de nombreuses PME concluent que la sécurité n’est tout simplement pas à leur portée et abandonnent l’idée d’investir dans ce domaine. Pourtant, cette vision est fondamentalement erronée. Comme le souligne Cyndie Feltz à travers une analogie pertinente avec la santé, la cybersécurité s’apparente davantage à une bonne hygiène de vie qu’à un traitement de luxe. Certes, on peut dépenser des sommes importantes pour des coachs sportifs personnalisés et des programmes d’entraînement sophistiqués, mais les bases d’une bonne santé reposent simplement sur une alimentation équilibrée, une paire de chaussures de course et de la régularité. La cybersécurité fonctionne selon le même principe : il s’agit d’adopter de bonnes pratiques quotidiennes plutôt que d’accumuler des solutions technologiques onéreuses. Le piège du “buffet de cybersécurité” Le marché propose environ 300 types de produits différents en matière de sécurité informatique. Face à ce buffet gargantuesque où tout semble briller et attirer l’attention, il est facile pour une PME de se sentir dépassée et de faire des choix inadaptés à ses besoins réels. Le problème ne réside pas uniquement dans le coût d’acquisition de ces solutions, mais aussi dans les ressources nécessaires pour les administrer correctement. Les experts constatent régulièrement que les PME acquièrent des outils sophistiqués qu’elles n’ont ni le temps ni les compétences d’utiliser efficacement. Une solution non configurée ou mal administrée n’apporte aucune valeur, quelle que soit sa qualité intrinsèque. De plus, les vendeurs, naturellement motivés par leurs objectifs commerciaux, peuvent convaincre les entreprises d’acheter des produits performants mais inadaptés à leur contexte spécifique. Nicolas Milot observe dans ses tests d’intrusion que les entreprises compromises disposent souvent de solutions de sécurité en place, mais que celles-ci ne sont pas correctement exploitées. Le manque de temps pour se “mettre les mains dedans” et maintenir ces outils à jour rend les investissements initiaux largement inefficaces. Les fondamentaux accessibles Avant même de considérer l’achat de nouvelles solutions, les PME peuvent mettre en place des mesures de base à faible coût. Dominique Derrier suggère de commencer simplement par des politiques internes et des mémos, même si leur efficacité reste limitée. L’important est de ne pas se cacher derrière l’excuse du coût pour ne rien faire du tout. Une approche progressive, étape par étape, permet d’avancer sans dépenses excessives. Les experts s’accordent sur quatre piliers fondamentaux que toute PME devrait prioriser : L’authentification multifacteur (MFA) : Protéger l’identification des utilisateurs avec des mots de passe robustes et le MFA représente un investissement minimal avec un impact sécuritaire maximal. Ces outils sont souvent déjà disponibles dans les licences Microsoft ou Google que les entreprises possèdent. Les mises à jour régulières : Nicolas souligne avec humour qu’il profite justement des entreprises négligentes en matière de mises à jour pour démontrer la facilité avec laquelle on peut compromettre leurs systèmes. Maintenir ses logiciels à jour ne coûte rien, mais sauve beaucoup de problèmes. Les antivirus et solutions de détection (EDR/XDR) : Même Windows Defender, bien que pas optimal, vaut mieux que rien et est souvent déjà inclus dans les licences existantes. L’essentiel est de le configurer correctement et de surveiller les alertes. Les sauvegardes (backups) : Point crucial soulevé par tous les intervenants, les backups devraient relever de l’opérationnel TI plutôt que de la sécurité. Ils doivent être correctement configurés, testés régulièrement, et surtout ne jamais être joints au domaine Active Directory, une erreur courante aux conséquences désastreuses. Les pièges à éviter Les experts mettent en garde contre plusieurs écueils. L’utilisation de l’intelligence artificielle comme argument de vente pour les PME constitue un signal d’alarme : ces entreprises n’ont pas besoin de ce type de fonctionnalités sophistiquées, même si certaines formes d’analyse comportementale existent depuis longtemps dans les outils de sécurité sous d’autres appellations. Un bon conseiller ne cherchera pas à vendre de nouvelles solutions, mais plutôt à optimiser l’existant. La configuration correcte de Microsoft ou Google, dont les paramètres par défaut laissent souvent à désirer, peut transformer radicalement la posture de sécurité sans investissement supplémentaire. Conclusion Le message est clair : mieux vaut faire peu de choses mais les faire bien, plutôt que de multiplier les outils partiellement déployés. La question fondamentale pour chaque PME devrait être : “Que se passerait-il si nous perdions toutes nos données ?” Cette réflexion sur ce qui est véritablement précieux permet d’orienter les investissements de manière pragmatique. La cybersécurité n’est pas une question de budget illimité, mais de choix judicieux et d’utilisation optimale des ressources disponibles. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x637! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Ce troisième épisode d’une série consacrée aux PME prend la forme d’un quiz interactif entre Nicolas-Loïc Fortin et son invité Claude. L’objectif est d’aborder des questions fréquemment posées sur la cybersécurité et la protection des données, couvrant ainsi les angles qui n’ont peut-être pas été suffisamment explorés dans les épisodes précédents. Le retour sur investissement en cybersécurité La question du retour sur investissement en cybersécurité pour les PME n’appelle pas de réponse simple par oui ou non. La difficulté réside dans la mesure de ce retour, qui doit être proportionnel aux actifs à protéger. Les PME font face à des contraintes budgétaires importantes et doivent évaluer la menace réelle qui pèse sur elles. L’intervenant illustre cette problématique par une anecdote d’une compagnie de transport qui devait protéger ses remorques contre les vols utilisant de l’azote liquide pour briser les cadenas. De la même façon, en informatique, les attaquants cherchent à « faire éclater le cadenas » pour voler le contenu. Actuellement, la plus grande menace pour les PME provient des rançongiciels, qui visent toutes les organisations, du cabinet dentaire aux entreprises de toutes tailles. La stratégie de protection doit s’adapter au niveau d’information sensible détenue. Pour les entreprises sans données sensibles, de bonnes sauvegardes suffisent pour redémarrer après une attaque. Pour celles qui manipulent des informations personnelles, des mesures plus sophistiquées s’imposent. Heureusement, des solutions peu coûteuses existent, fournies par des spécialistes en PME. L’important est d’éviter les consultants de grande entreprise qui proposent des solutions disproportionnées et effrayantes, décourageant ainsi l’investissement en cybersécurité. Solutions à petit budget Contrairement aux idées reçues, la cybersécurité à petit budget est non seulement possible, mais peut être très efficace si elle est bien choisie. L’open source offre des solutions simples et accessibles. Avec l’accompagnement d’un expert, les PME peuvent trouver des solutions gratuites ou peu coûteuses adaptées à leurs besoins réels. La clé consiste à définir ce qui est précieux pour l’entreprise, que cette valeur soit intrinsèque ou imposée par la loi. Les informations personnelles doivent être protégées par obligation légale, tout comme les numéros de cartes de crédit pour les commerçants, en vertu d’obligations contractuelles. De nombreuses solutions de qualité professionnelle peuvent être déployées par des passionnés de cybersécurité qui connaissent bien les besoins des PME. Loi 25 versus cybersécurité La question de la priorité entre la conformité à la Loi 25 et la cybersécurité suscite des débats. L’intervenant privilégie la conformité légale, car les obligations contractuelles et réglementaires ont préséance dans tous les cas. Cependant, se conformer à la Loi 25 apporte des bénéfices directs pour la cybersécurité, notamment l’obligation de créer un inventaire des données, qui constitue un avantage considérable pour la protection des informations. L’ingénierie sociale : le maillon faible Concernant les attaques par ingénierie sociale, le contexte représente un facteur plus déterminant que l’humain lui-même. Tous les humains peuvent être victimes d’hameçonnage, indépendamment de leur niveau de compétence. Lorsque le contexte nous prédispose à répondre automatiquement, nos défenses naturelles s’abaissent et nous agissons comme des « zombies », suivant le processus attendu sans questionnement. L’intervenant partage son expérience personnelle d’avoir cliqué sur un lien d’hameçonnage de son propre employeur, soulignant l’importance du timing et du contexte. Des recherches montrent que les gens sont plus susceptibles de cliquer sur des liens malveillants en fin de journée. La vigilance doit être maintenue même dans des situations apparemment normales, bien que la fragilité humaine face au contexte rende cette tâche difficile. L’authentification multifacteur : un minimum évolutif L’authentification multifacteur (MFA) constitue désormais un standard minimum, popularisé par le télétravail pendant le confinement. Cependant, cette barrière de sécurité est déjà en train d’être dépassée par des attaquants créatifs. Le MFA par SMS, qui représentait un minimum viable pendant le confinement, n’est plus suffisant aujourd’hui. Le MFA par application ou par clé physique représente maintenant le minimum requis pour tous les services, particulièrement ceux liés à l’argent. L’intervenant raconte comment, pendant son jogging matinal, il a reçu une alerte de sa banque concernant une tentative d’accès. Bien que le SMS ne soit pas la meilleure forme de MFA, cette deuxième barrière l’a alerté que son mot de passe avait été compromis. Il a immédiatement changé ses identifiants et activé une clé physique pour renforcer la sécurité. Cette expérience souligne l’importance d’activer le MFA sur tous les services critiques : courriel, systèmes comptables comme Quickbooks, et tous les systèmes au cœur du fonctionnement de l’entreprise. Gestionnaires de mots de passe La question des voûtes de mots de passe suscite beaucoup d’émotions dans la communauté cybersécurité. Les puristes recommandent les gestionnaires de mots de passe, mais une analyse pragmatique s’impose. Un carnet de mots de passe dans le tiroir du bureau vaut mieux qu’une absence de protection ou qu’une voûte mal configurée que personne n’utilisera. L’important reste d’avoir des mots de passe différents partout et d’activer le MFA, car le mot de passe seul ne constitue plus une barrière suffisante. Les voûtes modernes facilitent grandement la gestion des mots de passe et intègrent les nouvelles tendances comme l’authentification sans mot de passe. Le modèle de menace doit être considéré : si les attaquants sont en Chine ou en Russie, le carnet dans le tiroir est relativement sûr. Si la menace provient d’employés internes, d’autres solutions s’imposent. Un mot de passe simple comme « soleil123 », même avec MFA, reste problématique car la première barrière est trop facilement franchissable. Antivirus et protection moderne Les antivirus classiques ne suffisent plus à protéger adéquatement contre les cyberattaques. Les solutions modernes, appelées antivirus de nouvelle génération ou EDR (détection et réponse sur les points terminaux), offrent des protections supplémentaires en détectant les comportements suspects plutôt que simplement les signatures de fichiers. Pour les PME, des solutions intégrées comme Microsoft Defender for Endpoint constituent un bon compromis. Il faut éviter les antivirus gratuits, mais utiliser plutôt les outils de sécurité inclus dans les licences existantes de Microsoft 365 ou Google Workspace. WiFi public : l’évolution de la sécurité La sécurité des réseaux WiFi publics a considérablement évolué. Contrairement aux anciennes pratiques, utiliser un WiFi public n’est plus dangereux pour la majorité des utilisateurs. Depuis environ cinq ans, Google n’indexe plus les sites sans chiffrement de base, forçant les entreprises à améliorer leur sécurité. Les services modernes comme Microsoft 365, Outlook et les banques chiffrent toutes les communications. Tant que l’appareil est à jour et qu’aucun message d’avertissement de certificat invalide n’apparaît, il n’y a aucun danger à utiliser un WiFi public pour des usages standard avec des services légitimes de grandes compagnies. Infections par simple visite de site Il est possible de s’infecter en visitant un site web sans cliquer sur quoi que ce soit. Les attaquants, qui travaillent sur ces méthodes à temps plein, sont très imaginatifs. La meilleure protection consiste à maintenir son navigateur constamment à jour. Les navigateurs comme Chrome, Edge et Brave se mettent à jour automatiquement à chaque redémarrage. Les attaquants ont évolué au-delà des sites louches en infectant des publicités sur des sites légitimes. Les antivirus de nouvelle génération peuvent bloquer certaines de ces menaces, mais la mise à jour régulière du navigateur reste la meilleure défense. Le rôle des dirigeants Les dirigeants de PME portent la responsabilité ultime de la protection des renseignements personnels selon la loi. Dans toute organisation, les décisions de cybersécurité doivent venir du sommet. Sans l’engagement du plus haut dirigeant, aucune énergie réelle ne sera investie dans la cybersécurité. Les dirigeants doivent porter le message de cybersécurité, allouer les ressources financières et humaines nécessaires, et favoriser une culture de protection des informations. Ils sont les seuls capables d’identifier ce qui est précieux dans l’entreprise : liste de clients, procédés de fabrication, propriété intellectuelle, ou tout autre avantage concurrentiel. Cette responsabilité s’étend au-delà des obligations légales pour protéger ce qui fait vraiment la différence de l’entreprise. Conclusion Ce podcast souligne l’importance de sensibiliser les PME à la cybersécurité, car elles constituent le tissu économique du Québec, du Canada et du monde entier. Chaque PME qui tombe sous une cyberattaque affecte l’ensemble de l’écosystème économique et social. La cybersécurité pour les PME doit être accessible, pragmatique et adaptée aux réalités budgétaires de ces organisations. Collaborateurs Nicolas-Loïc Fortin Claude Mercier Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x633! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Introduction Ce podcast explore les enjeux de la protection des renseignements personnels (PRP) pour les petites et moyennes entreprises québécoises, particulièrement dans le contexte de l’entrée en vigueur de la Loi 25. Cette nouvelle législation a bouleversé le paysage réglementaire et créé beaucoup d’incompréhension et d’inquiétude chez les entrepreneurs. Qu’est-ce qu’une information personnelle ? La définition d’une information personnelle varie selon les lois et les juridictions, mais de façon générale, il s’agit de toute information capable d’identifier une personne de façon unique ou relativement unique. Le numéro d’assurance sociale (NAS) en est l’exemple parfait, identifiant de façon unique chaque personne. Une adresse peut également être considérée comme une information personnelle selon le contexte, tout comme un numéro de téléphone ou des numéros uniques attribués en entreprise. Il est important de noter qu’une information sur une entreprise en tant qu’entité n’est pas un renseignement personnel. Toutefois, si l’information concerne une personne précise au sein de cette entreprise, elle peut le devenir. Par exemple, l’adresse d’une entreprise avec un numéro d’extension n’est pas une information personnelle, mais des photocopies de passeport ou des NAS d’employés le sont, même s’il s’agit de clients ou de travailleurs étrangers. Les enjeux pour les PME Le premier défi majeur pour les PME est de savoir où existe cette information. Les entreprises ont souvent très peu d’outils et peu de familiarité avec ce genre de préoccupations. Il faut identifier dans quels fichiers, ordinateurs, téléphones intelligents ou autres supports se trouvent ces données. Cette étape de répertoriage représente un énorme défi en soi. Une fois l’information répertoriée, il faut mettre en place des mesures de protection adéquates pour traiter cette information de façon sécuritaire et éviter qu’elle se retrouve dans une fuite de données, dans des dossiers jetés à la poubelle ou sur des disques durs vendus sans avoir été effacés. Qui est concerné ? Au sens de la loi, le plus haut dirigeant ou propriétaire de l’entreprise détient la responsabilité légale de cette information, bien qu’il puisse la déléguer à quelqu’un d’autre. Il est essentiel d’établir une culture d’entreprise pour que tous les employés reconnaissent l’information personnelle et agissent en conséquence. L’expérience de Nicolas-Loïc Fortin avec les normes PCI-DSS dans le domaine de la gestion des cartes de crédit l’a amené à recommander de cloisonner cette information au plus petit nombre de personnes possible. En limitant les contacts et les systèmes ayant accès à ces données, on résout une grande partie des problèmes de conformité et de protection, permettant de concentrer les énergies sur un nombre réduit de systèmes et de personnes. Les obligations de la Loi 25 Le changement majeur qu’apporte la Loi 25 concerne l’introduction de pénalités financières en cas de fuite de données. C’est ce qui explique l’attention accrue portée à cette question. La loi impose également de surveiller la localisation des données et de s’assurer que les fournisseurs accordent la même attention à ces informations. La situation est d’autant plus préoccupante que les fuites de données sont en croissance au Québec, au Canada, en Europe et ailleurs. Les attaquants n’hésitent plus et utilisent même ces lois contre les entreprises, menaçant de déposer une plainte à la Commission d’accès à l’information si la victime refuse de payer une rançon, créant ainsi une double pression financière. Le registre des incidents Un aspect particulier et contre-intuitif de la loi concerne le registre des incidents. Un incident d’information personnelle n’est pas nécessairement informatique : envoyer une lettre ou un relevé de compte à la mauvaise adresse constitue un incident de confidentialité qui doit être consigné dans un registre, avec mention des mesures correctives prises. Le champ d’application de la loi dépasse donc largement l’informatique. Le responsable désigné La loi exige qu’un responsable soit identifié et que ses coordonnées soient publiées sur le site web de l’entreprise. Par défaut, il s’agit du plus haut dirigeant ou propriétaire, mais cette responsabilité peut être déléguée. Il existe même la possibilité de déléguer ce rôle à un tiers externe, une pratique courante en Europe où des entreprises se spécialisent dans ce domaine pour guider les organisations sans nécessairement déployer les solutions elles-mêmes. Ce n’est pas un titre honorifique, mais bien une démarche s’inscrivant dans la maturité organisationnelle de l’entreprise, bien que cette maturité soit en quelque sorte forcée par la loi. Les sanctions Les pénalités prévues peuvent atteindre jusqu’à 4 % du chiffre d’affaires de l’entreprise, ce qui peut représenter un montant considérable. Toutefois, la Commission d’accès à l’information dispose d’un pouvoir discrétionnaire. Si une entreprise démontre avoir fait des efforts réels et visibles, la pénalité sera moindre, voire inexistante. À l’inverse, une entreprise négligente s’expose au maximum des pénalités possibles. L’évaluation des facteurs relatifs à la vie privée (EFVP) Pour les PME, cet exercice peut s’avérer très lourd et parfois futile, sauf pour celles qui manipulent exclusivement de l’information personnelle. L’approche recommandée consiste à limiter autant que possible l’information conservée et à ne garder que ce qui est nécessaire. Cette stratégie permet d’éviter un exercice fastidieux dont l’efficacité n’a pas encore été testée par la Commission d’accès. L’accompagnement et les ressources Bien que l’avocat ait le dernier mot en matière d’interprétation de la loi, plusieurs professionnels en technologies de l’information ou en cybersécurité possèdent des compétences dans ce domaine et peuvent guider les PME dans la sélection d’outils appropriés. Cependant, dès qu’un incident impliquant de l’information personnelle survient, ce sont des avocats spécialisés qui interviennent pour évaluer la portée des dommages et déterminer les mesures correctives. Il est donc préférable de consulter un avocat avant qu’un incident ne survienne plutôt que de devoir gérer une situation complexe avec un “breach coach” dans l’urgence. La cyberassurance La souscription à une cyberassurance est fortement recommandée. Au-delà de la couverture financière, ces assurances fournissent généralement l’accès à un avocat et à une firme spécialisée en cybersécurité pour accompagner l’entreprise. Les assureurs exigent de plus en plus de prérequis, ce qui force les entreprises à améliorer leurs pratiques. Leurs formulaires sont de plus en plus complexes et obligent à mettre en place des mesures concrètes comme le chiffrement des données et des sauvegardes adéquates. Conclusion Malgré la volonté du législateur de sensibiliser les PME à la protection des renseignements personnels, l’accompagnement gouvernemental demeure insuffisant comparativement à d’autres pays. Beaucoup de PME se sentent laissées à elles-mêmes, et cette obligation s’ajoute à leurs contraintes existantes. Il faudra probablement attendre quelques cas médiatisés de pénalités importantes pour que les propriétaires de PME prennent pleinement conscience de l’importance de cette protection. Cette loi vise ultimement à protéger les citoyens dont les informations personnelles pourraient être manipulées de façon négligente et qui en subiraient les conséquences réelles. Collaborateurs Nicolas-Loïc Fortin Claude Mercier Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x628! Shameless plug 10 et 11 septembre 2025 - GoSec 2025 Code rabais de 15% - GSPOL25 13 septembre 2025 - BSides Montreal 2025 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Qu’est-ce que l’intelligence artificielle ? L’intelligence artificielle, popularisée par ChatGPT, donne l’impression de faire de la magie, mais demeure fondamentalement un programme informatique standard. Elle prend des données en entrée, les transforme et produit des résultats. Malgré l’illusion d’intelligence qu’elle procure, il n’y a aucune véritable intelligence derrière : c’est un programme qui fonctionne différemment des logiciels traditionnels, mais sans conscience ni compréhension réelle. IA générative versus IA classique L’IA générative, popularisée par ChatGPT, représente un sous-ensemble de l’intelligence artificielle. L’IA classique utilise des algorithmes statistiques pour fournir des probabilités sur des événements spécifiques. L’IA générative s’appuie sur des grands modèles de langage entraînés sur d’énormes quantités de textes produits par des humains, ce qui lui permet d’imiter le langage humain. La distinction fondamentale : l’IA générative est un généraliste qui connaît un peu de tout sans grande profondeur, tandis que l’IA classique est un spécialiste capable d’adresser des problèmes très spécifiques propres à chaque entreprise. L’exemple donné est celui de la commission scolaire du Val-des-Cerfs qui a développé un modèle non génératif pour détecter les risques de décrochage scolaire. L’absence de réflexion réelle L’IA ne pense pas par elle-même : elle fonctionne uniquement par probabilités. Il n’y a aucune réflexion, aucune émotion, aucune volonté derrière ses réponses. L’interaction donne l’illusion d’une conversation avec un être intelligent, mais il s’agit d’une machine froide qui ne produit rien si on ne lui donne rien. Même les modèles “réflectifs” qui montrent leur cheminement de pensée ne font que se parler à eux-mêmes sans véritable raisonnement. Place de l’IA dans l’écosystème des PME L’utilité de l’IA générative dépend du secteur et des fonctions de la PME. Elle excelle comme outil de communication et peut servir en première ligne pour interagir avec d’autres humains avant de diriger vers une personne. Cependant, les PME devraient privilégier des algorithmes d’IA spécialisés, développés par des firmes spécialisées, pour répondre à leurs besoins spécifiques d’analyse ou d’amélioration de leurs moyens de production. Sécurité et confidentialité : un enjeu majeur La question n’est pas tant de sécurité que de confidentialité. Utiliser une IA gratuite équivaut à déposer du texte sur Facebook : le niveau de confidentialité est pratiquement nul. Les données transmises aux IA gratuites peuvent être conservées et utilisées pour entraîner les modèles. La localisation géographique des entreprises d’IA est cruciale : les IA chinoises comme DeepSeek sont sous surveillance gouvernementale, Mistral en France bénéficie de règles européennes plus strictes, tandis que les IA américaines sont soumises aux lois américaines. Un fait récent illustre cette problématique : une cour américaine oblige OpenAI à conserver toutes les communications, même celles qui sont effacées, rendant impossible l’effacement légal des conversations. Versions payantes : une protection partielle Les versions payantes offrent une meilleure protection dans leurs clauses contractuelles, confirmant que les données ne seront pas réutilisées pour d’autres fins que répondre aux questions posées. Cependant, la localisation de l’entreprise reste déterminante, et les limitations juridiques s’appliquent toujours. Les versions payantes n’utilisent pas un moteur différent ou diminué ; elles lèvent simplement les limitations sur le nombre et la longueur des questions, tout en garantissant que les données confidentielles ne serviront pas à entraîner le modèle. Hallucinations et erreurs : un danger persistant Les hallucinations – quand l’IA invente des réponses – restent un problème majeur. Bien que les modèles s’améliorent, les erreurs sont devenues plus subtiles et ne peuvent être détectées que par des experts du domaine concerné. C’est particulièrement dangereux dans les domaines où l’utilisateur n’a aucune connaissance, comme la médecine. Des outils comme Perplexity, qui effectuent des recherches web et fournissent des sources, offrent une alternative plus sûre, mais il faut toujours vérifier que les sources citées corroborent réellement les informations données. L’impérative vérification humaine La vérification humaine est absolument essentielle dans l’usage de l’IA générative. De nombreux cas médiatisés montrent les conséquences d’une absence de vérification, comme le festival d’été de Québec dont les images générées par IA présentaient des mains avec un doigt manquant. L’IA accélère le travail et améliore la qualité, mais un humain doit toujours intercepter les erreurs potentielles, qui peuvent survenir à tout moment de façon très subtile et convaincante. Les images générées par IA présentent encore des défis, notamment avec les mains, les visages et les petits détails. Bien que la situation s’améliore, une attention particulière reste nécessaire pour atteindre le niveau de perfection souhaité. Cadre légal : un Far West réglementaire En juillet 2025, ni le Québec ni le Canada n’ont de loi encadrant spécifiquement l’intelligence artificielle. Le projet de loi C-27 est mort au feuilleton avec la dissolution du Parlement. Le Canada a toutefois nommé un ministre de l’intelligence artificielle, laissant présager une future réglementation. L’Europe dispose de lois que certains jugent trop restrictives, tandis que les États-Unis ont levé la plupart des barrières à l’usage de l’IA. Conclusion : tester avec prudence Les PME doivent maîtriser l’outil avant de l’adopter, tester ses limites et comprendre ce qu’il peut réellement apporter. L’IA générative n’est pas nécessaire pour toutes les entreprises et peut n’être qu’un gadget sans valeur ajoutée réelle. Il est essentiel de ne pas se laisser aveugler par l’illusion et de mesurer le rapport coût-bénéfice, comme pour tout moyen de production. Remplacer des professionnels comme des graphistes par l’IA reste virtuellement impossible pour obtenir des résultats de qualité professionnelle, bien que l’outil puisse servir pour des itérations et des expérimentations créatives. Collaborateurs Nicolas-Loïc Fortin Claude Mercier Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x625! Shameless plug 10 et 11 septembre 2025 - GoSec 2025 Code rabais de 15% - GSPOL25 13 septembre 2025 - BSides Montreal 2025 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Introduction et contexte Ce podcast met en lumière une initiative novatrice de l’Université du Québec à Trois-Rivières (UQTR) visant à combler un manque criant dans le domaine de la cybersécurité au Québec. L’épisode réunit Gino Plourde, conseiller à la formation continue à l’UQTR, et Dominic Villeneuve, expert en cybersécurité avec plus de 25 ans d’expérience et directeur principal pour une compagnie d’assurance, également créateur du contenu de cette nouvelle formation. Les intervenants et leur expertise Gino Plourde occupe un rôle stratégique à l’UQTR, où il est responsable du créneau cybersécurité et intelligence artificielle. Son implication dans ce projet découle directement de sa mission de développer des programmes de formation adaptés aux besoins réels du marché québécois. Dominic Villeneuve apporte une double perspective technique et managériale, ayant œuvré dans le domaine de la cybersécurité pendant plus d’un quart de siècle. Son expérience pratique et sa connaissance approfondie des défis quotidiens des entreprises ont été essentielles dans la conception du programme. Un besoin identifié sur le marché L’équipe de l’UQTR a mené une étude de marché révélant une problématique majeure : les PME québécoises sont largement mal desservies en matière de formation en cybersécurité. Ces entreprises adoptent principalement une posture réactive plutôt que proactive face aux menaces informatiques, ce qui les rend particulièrement vulnérables. Le constat est d’autant plus alarmant que les formations existantes présentent deux lacunes importantes. D’une part, certains programmes sont désuets et enseignent encore des concepts obsolètes comme les antivirus à signatures, sans aborder les technologies modernes telles que l’EDR, le MDR ou le XDR. D’autre part, d’autres formations sont trop théoriques, se concentrant excessivement sur des cadres comme le NIST, sans offrir d’applications pratiques immédiates pour les PME. Une approche distinctive et ciblée L’UQTR a délibérément choisi de ne pas reproduire ce qui existe déjà sur le marché. Le programme FORCE évite la concurrence avec les offres des cégeps, des universités et des cours crédités existants (baccalauréats, maîtrises). L’institution a opté pour une formation qualifiante de courte durée, de niveau universitaire mais non créditée, développée spécifiquement par le service de la formation continue. Le public cible est clairement défini : les professionnels de l’informatique de première ligne dans les PME, souvent décrits comme des “Jack of all trades” qui cumulent de multiples responsabilités. Ces techniciens et administrateurs système doivent maintenant ajouter la cybersécurité à leur panoplie de compétences, d’où la nécessité d’une formation pratique et immédiatement applicable. Un contenu exhaustif et pratique Le programme couvre un spectre complet de sujets essentiels pour la protection des entreprises. Il aborde la gestion des risques, le calcul et l’évaluation des risques, la gestion des vulnérabilités, mais également des aspects très concrets comme le positionnement des caméras de sécurité ou le choix des serrures appropriées. Les modules touchent tous les aspects critiques de la cybersécurité : les applications, les systèmes d’exploitation, les réseaux, et l’Internet des objets (IoT), particulièrement important dans le secteur manufacturier. Le code applicatif est également étudié, permettant aux participants de comprendre les vulnérabilités dès la conception. La philosophie centrale du programme est que chaque module doit permettre une mise en pratique immédiate. Les participants peuvent appliquer leurs nouvelles connaissances dès le lendemain dans leur entreprise, comblant ainsi le fossé entre la théorie académique et les besoins opérationnels quotidiens. Structure et modalités de formation Le programme représente 140 heures de formation réparties sur 12 semaines, organisées en six modules. Cinq modules couvrent le contenu théorique et pratique, tandis qu’un sixième est entièrement dédié aux simulations, laboratoires et exercices pratiques. La formation se déroule entièrement en ligne, avec environ trois heures par semaine en direct obligatoire. Le reste du contenu est en autoapprentissage, permettant aux professionnels en activité de progresser à leur rythme. L’UQTR a investi dans une conseillère en andragogie numérique dédiée au projet pour garantir un contenu dynamique et engageant. L’approche pédagogique vise à maintenir l’attention des apprenants en variant les activités toutes les sept à huit minutes. Un engagement envers la pertinence continue L’un des éléments les plus innovants du programme est son mécanisme de mise à jour intégré. Un comité d’experts, dirigé par Dominic Villeneuve, révisera l’intégralité du contenu au minimum une fois par année, avec un objectif de deux révisions annuelles. Cette démarche est budgétisée et fait partie intégrante de la stratégie de l’UQTR. Les participants des cohortes précédentes recevront les mises à jour des modules, créant ainsi un modèle d’amélioration continue. Cette approche garantit que les diplômés de 2025 et ceux de 2028 auront accès à un contenu actualisé, reflétant l’évolution rapide du domaine. De plus, l’UQTR prévoit établir une communauté de pratique réunissant les participants actuels et anciens. Cette initiative favorisera les échanges sur les menaces émergentes, les meilleures pratiques et l’évolution constante de la cybersécurité. Détails pratiques de la première cohorte La première cohorte débute le 3 novembre, avec une structure en deux segments. Le premier bloc s’étend sur sept semaines jusqu’au 19 décembre, suivi d’une pause de trois semaines. Les activités reprennent le 12 janvier pour se terminer le 27 février. Les inscriptions sont acceptées jusqu’à 24 heures avant le début, dans la limite de 15 participants pour cette première édition. Cette limitation volontaire permet à Dominic Villeneuve d’offrir un soutien optimal aux apprenants, incluant l’animation d’un forum de discussion et une disponibilité d’une demi-heure par semaine pour des consultations individuelles. Conclusion Le programme FORCE de l’UQTR représente une réponse concrète et bien pensée à un besoin critique du marché québécois. En ciblant spécifiquement les PME et leurs professionnels polyvalents en TI, en offrant un contenu pratique et à jour, et en s’engageant dans une amélioration continue, l’UQTR se positionne comme un acteur clé dans le renforcement de la résilience cybersécuritaire des entreprises québécoises. Cette initiative démontre qu’il est possible de créer des programmes de formation agiles, pertinents et immédiatement applicables, essentiels dans un domaine en constante évolution. Notes Tarif préférentiel Tarif subventionné grâce à un partenariat avec UV Assurance de 2345$ + tx ( Tarif régulier de 2995$ + tx ). Pour plus de détails sur les tarifs, veuillez consulter la section Détails des tarifs. Tarif régulier Canada Le tarif régulier pour toute personne résidente au Canada : 2 995$ plus taxes applicables Important de noter que le tarif subventionné est non applicable pour le secteur public et parapublic. Ces secteurs sont sujets au tarif régulier pour résidents et résidentes au Canada. Tarif régulier hors Canada Le tarif régulier pour toute personne résidente hors Canada : 3 995$ plus taxes applicables Tarif subventionné PME et OBLN au Québec Le tarif subventionné en partenariat avec UV Assurance est offert à toute personne travaillant dans une PME québécoises (PME : entreprise de moins de 500 employés) ou les OBNL québécois : 2 345$ plus taxes applicables. Une preuve de NEQ (numéro d’entreprise du Québec) pourrait être demandée. **Important de noter que le tarif subventionné est non applicable pour le secteur public et parapublic. Ces secteurs sont sujets au tarif régulier pour résidents et résidentes au Canada. Programme de subvention Visées : Propulsez les compétences de vos équipes avec cette formation, et recevez jusqu’à 8 000$ de subvention! Formez vos employés et employées aux bénéfices de cette formation et bénéficiez d’un soutien financier pouvant aller jusqu’à 8000$ grâce au programme Visées. Une initiative de la Chambre de commerce du Montréal métropolitain et de la Fédération des chambres de commerce du Québec, financé par Upskill Canada (propulsé par Palette Skills) et le gouvernement du Canada. Conditions d’éligibilité: Votre entreprise doit posséder un NEQ, doit employer au minimum une personne salariée équivalent temps plein et ne pas être un organisme gouvernemental, public, municipal, ou scolaire ni être assujetties à la Loi M-30 ; La personne formée doit être légalement autorisée à travailler au Canada, détenir un permis de travail valide, et avoir 3 ans d’expérience professionnelle. FORCE-UQTR Aide financière Collaborateurs Nicolas-Loïc Fortin Gino Plourde Dominic Villeneuve Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 573! Shameless plug 8 et 9 avril 2025 - Cybereco 10 au 18 mai 2025 - NorthSec 03 au 05 juin 2025 - Infosecurity Europe 27 et 29 juin 2025 - LeHACK 12 au 17 octobre 2025 - Objective by the sea v8 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Dans cet épisode, l’animateur s’entretient avec René-Sylvain Bédard sur l’approche “tout Microsoft” en cybersécurité, un sujet qui peut être controversé dans le milieu. René-Sylvain défend une vision où “moins c’est mieux” en termes de fournisseurs et de complexité pour une meilleure efficacité en cybersécurité. L’avantage de l’écosystème Microsoft en cybersécurité René-Sylvain explique que l’écosystème Microsoft permet aujourd’hui de couvrir l’intégralité des besoins en cybersécurité d’une organisation. La force principale de cette approche réside dans l’harmonisation des différentes composantes qui “parlent le même langage”. Cette unification facilite grandement la gestion des logs et offre une vue globale cohérente des événements de sécurité. L’invité souligne l’évolution remarquable de Microsoft depuis 2020, qui a regroupé ses outils auparavant disparates sous des interfaces unifiées comme Microsoft Defender. Cette consolidation permet d’éclairer les “zones d’ombre” où pourraient se cacher des cybercriminels. Un atout majeur de Microsoft est son volume d’analyse considérable (63-65 trillions de signaux par jour), offrant une intelligence des menaces (“threat intelligence”) inégalée. De plus, Microsoft a su apprendre de ses propres erreurs, notamment après des incidents de sécurité, pour améliorer la gestion et la protection des jetons d’authentification. L’approche intégrée vs. les outils spécialisés Les deux intervenants reconnaissent que certains produits de niche peuvent offrir des fonctionnalités plus avancées que les solutions Microsoft, mais soulignent plusieurs inconvénients: Ces outils spécialisés nécessitent des équipes d’experts dédiées Les PME et organisations de taille moyenne n’ont généralement pas les ressources humaines nécessaires Même les grandes entreprises ne peuvent maintenir l’expertise sur 90 produits de sécurité distincts L’intégration de multiples plateformes crée des difficultés (formats de journaux différents, règles différentes) Des produits nombreux sont souvent sous-utilisés, représentant un gaspillage financier René-Sylvain cite l’exemple d’un SIUS (système d’information en santé) gérant 24,000 objets avec une équipe de 30-32 personnes: si cette équipe doit maîtriser 90 plateformes différentes, leur expertise sur chacune sera superficielle. À l’inverse, avec une plateforme unifiée comme celle de Microsoft, il est possible d’approfondir l’expertise et d’utiliser un langage de requête commun (KQL) pour l’ensemble de l’écosystème. La simplicité comme atout de sécurité Le podcast met l’accent sur le principe “KISS” (Keep It Simple, Stupid): réduire la complexité est essentiel en cybersécurité. Les experts ont tendance à oublier que la complexité est l’ennemie de la sécurité. La multiplication des consoles et des outils finit par nuire à l’efficacité opérationnelle. Les intervenants évoquent également le cas où des organisations investissent dans des outils sophistiqués (comme des EDR) sans avoir le personnel capable d’interpréter les signaux: “C’est l’équivalent de payer pour une centrale d’alarme mais qu’il y a personne dedans.” Points forts de la conférence @seqcure René-Sylvain partage son appréciation de la conférence SéQCure, notamment: La qualité des échanges avec le public et les autres conférenciers La présence d’une équipe du CÉGEP de Limoilou avec une parité homme-femme, un “rayon de soleil” dans un domaine où les femmes sont sous-représentées L’importance de la diversité, qui apporte des perspectives différentes essentielles en cybersécurité Le droit à l’erreur et la réalité de la cybersécurité Les intervenants abordent l’importance du droit à l’erreur en cybersécurité, un domaine où l’on travaille toujours avec une information imparfaite. René-Sylvain met en garde contre les promesses de protection à 100%: “Si quelqu’un vous dit qu’il vous offre 100% de couverture, sauvez-vous dans l’autre direction.” Le podcast conclut sur l’importance de la prise de conscience par les dirigeants que la cybersécurité est devenue fondamentale. René-Sylvain exprime sa stupéfaction face à l’insouciance de certains gestionnaires, rappelant que dans le monde numérique actuel, “votre donnée, c’est votre sang” - elle est essentielle à toutes les fonctions de l’entreprise. Notes René-Sylvain Bédard Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x566! Shameless plug 2 au 4 avril 2025 - Humaco 8 et 9 avril 2025 - Cybereco 10 au 18 mai 2025 - NorthSec 12 au 17 octobre 2025 - Objective by the sea v8 Novembre 2025 - European Cyber Week 25-26 février 2026 - SéQCure 2026 Description Notes Transformation numérique en PME : bâtir les fondations pour un succès durable Collaborateurs Nicolas-Loïc Fortin Christine Pelletier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x532! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x531! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x530! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x529! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x528! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x527! Shameless plug 26-27 février 2025 - SéQCure 2025 Description Notes Conçu pour être SÉCURE: Guide pour leader souhaitant garder les cybercriminels en dehors de leurs affaires Collaborateurs Nicolas-Loïc Fortin René-Sylvain Bédard Crédits Montage par Intrasecure inc Locaux réels par Archibald Duplessis

Parce que… c’est l’épisode 0x514! Préambule La qualité sonore est inférieure à l’habituel. Nous avons enregistré dans un restaurant avec un “lavalier”, pour augmenter la fluidité de la communication. C’est dans les expérimentations que je fais pour varier le format du podcast. Le résultat n’est pas concluant et demandera d’autres expérimentations. Shameless plug 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux réels par Dame Tartine

Parce que… c’est l’épisode 0x494! Shameless plug 7-8 septembre 2024 - Blue Team Con 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Crédits Montage par Intrasecure inc Locaux réels par Zibo! - Griffintown

Parce que… c’est l’épisode 0x488! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 29 septembre au 2 octobre 2024 - FAIR Conference 2024 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes ÉFVP Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x480! Shameless plug 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Crédits Montage par Intrasecure inc Locaux réels par Northsec

Parce que… c’est l’épisode 0x464! Shameless plug 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 7-8 septembre 2024 - Blue Team Con 19-20 septembre 2024 - Brucon 18-21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID 5-6 décembre 2024 - Objective by the Sea 26-27 février 2025 - SéQCure 2025 9-11 avril 2025 - Google Next ‘25 Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Régis Desmeules Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x442! Shameless plug 9-11 avril 2024 - Google Next ‘24 12-19 mai 2024 - NorthSec 8-11 août 2024 - DEFCON 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Maxime Jobin Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x423! Shameless plug 28 et 29 février 2024 - SéQCure 26-28 mars 2024 - Forum InCyber 9-11 avril 2024 - Google Next ‘24 8-11 août 2024 - DEFCON 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID Description Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Crédits Montage par Intrasecure inc Locaux réels par Blaxton Cartier

Parce que… c’est l’épisode 0x416! Shameless plug 28 et 29 février 2024 - SéQCure 26-28 mars 2024 - Forum InCyber 9-11 avril 2024 - Google Next ‘24 8-11 août 2024 - DEFCON 19 au 21 novembre 2024 - European Cyber Week 19-20 novembre 2024 - C&ESAR 20-21 novembre 2024 - CAID Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Julien Teste-Harnois Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x384! Shameless plug 28 et 29 février 2024 - SéQCure Description Notes MesProcedures Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x383! Shameless plug 21 au 23 novembre 2023 - European Cyber Week 28 et 29 février 2024 - SéQCure Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Rémi Douville Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x376! Shameless plug 21 au 23 novembre 2023 - European Cyber Week 28 et 29 février 2024 - SéQCure Description Notes À venir Collaborateurs Nicolas-Loïc Fortin Marie-Ève Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc