Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
Parce que… c’est l’épisode 0x338!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Une gouvernance qui ne règle rien à elle seule
Ce cinquième épisode du Cyber Barbecue conclut la série en abordant la gouvernance de façon plus complète, après différents volets vus dans les épisodes précédents. Mickael Nadeau rappelle l’importance d’avoir écouté les épisodes antérieurs pour bien saisir le contexte des interventions. Dominique Derrier ouvre la discussion avec une mise en garde. La gouvernance ne résout pas l’incident. Elle exige des gens connaissants, capables de faire l’inventaire et d’aiguiller les décisions, en faisant remonter l’information pour décider correctement et éviter les mauvaises postures.
Assumer les résultats des tests d’intrusion
Dominique revient sur une remarque de Martin Dubé au sujet des pen tests dont on ne suit pas les résultats, une attitude qu’il juge très dangereuse. Si un cyberassureur tombe lors d’un incident sur un rapport démontrant que rien n’a été fait, ça va mal se passer et les primes d’assurance seront salées. On n’est pas obligé de tout traiter, comme chez le médecin qui recommande de courir et de manger des légumes. L’essentiel consiste à adresser en priorité les trois constats les plus critiques, marqués en rouge, à planifier les éléments orange pour plus tard et à reporter le reste à l’année suivante.
Par où commencer une démarche saine
Thomas Veynachter demande par quoi débuter quand on veut mettre en place quelque chose de sain, chiffrer les courriels ou réaliser un pen test. La réponse s’est dessinée naturellement pendant l’incident traité dans les épisodes précédents. Le premier besoin fut la visibilité, voir ce qui se passe et comprendre, une exigence partagée par Mickael et Steve, et même par Martin, qui souhaite être le patient zéro. Vient ensuite la reconnaissance de la valeur présente dans l’entreprise. Ce qui a de la valeur mérite des efforts de protection, et inutile de construire un bunker pour des actifs sans importance. Dominique précise qu’on n’a pas besoin d’une méthodologie lourde comme la méthode Méhari, et qu’en trente minutes on peut identifier ce qui ferait un cyber barbecue si on le perdait. Cette réflexion permet ensuite d’avancer, notamment en se demandant si le site web doit être rattaché au système interne.
La valeur à protéger se trouve partout
Cédric relève qu’on entend souvent des propriétaires affirmer qu’ils n’ont rien de précieux et que personne ne viendra les attaquer. Dominique compare cette croyance au loto, celle que ça n’arrive qu’aux autres. Dès qu’une entreprise génère un chiffre d’affaires, elle possède quelque chose à protéger. L’animateur illustre avec le souvenir d’une boulangerie dont le site, sans transaction web, n’était qu’une carte d’affaires. Un piratage n’aurait pas empêché l’entreprise de gagner de l’argent, hormis un préjudice de réputation. Martin Dubé précise qu’un tel site devrait être statique plutôt qu’un WordPress installé en 2019 par un beau-frère et jamais mis à jour. Si on utilise des plugins, il faut prévoir l’entretien, alors qu’une simple page HTML suffirait souvent. Dominique rappelle que tout le monde est aujourd’hui une entreprise TI. La modernité accélère les affaires, mais elle impose son lot de protections.
Le budget informatique, un parent pauvre
Cédric souligne l’importance de prévoir un budget informatique et cyber. Des entrepreneurs en plomberie ou en construction possèdent huit à dix pick-up de 75 000 dollars dans leur cour, mais refusent d’investir 5 000 ou 25 000 dollars en informatique. Le jour où tout est paralysé et que l’atelier ne fonctionne plus, la panique s’installe. Steve Lavoie appuie le propos avec un client qui préférait acheter trois gros camions de sable plutôt qu’un serveur de 20 000 dollars, parce que les camions produisaient de la valeur tandis que l’informatique ne servait qu’à la comptabilité, jusqu’à la panne. Steve évoque aussi l’entrevue d’un dirigeant de LogRhythm qui se définissait comme une entreprise de pen test avec paiement après coup, les attaquants réalisant leurs tests gratuitement, et précise que la facture arrive alors avec intérêts.
Un cadre normatif et un minimum vital
Pour Dominique, la gouvernance doit créer une histoire qui fait du sens pour que tout le monde embarque, autant les employés que les partenaires, le MSP qui intervient et les clients. Il conseille d’adopter un cadre normatif existant plutôt que d’inventer le sien. Un tel cadre couvre à 360 degrés la sécurité de l’organisation, celle des personnes avec les formations et les vérifications d’antécédents, la sécurité physique pour prévenir le vol de serveurs dans le bâtiment, et la sécurité des technologies.
Steve admet qu’il n’est pas facile de vendre la gouvernance en PME. Le minimum qu’une entreprise devrait posséder est un plan de relève. Il faut savoir où se trouvent les sauvegardes, qui appeler, si on détient une cyberassurance et où est le numéro de police le jour de l’incident. Un semblant de pratique permet aussi de connaître ses données et ses systèmes critiques. Rien ne nécessite quarante pages, mais un minimum de réflexion avant l’incident s’impose, un peu comme la pratique d’évacuation évoquée par Dominique.
Anecdotes et clôture
Cédric partage une anecdote vécue en caisse dans un magasin de Drummond qu’il refuse de nommer. Des post-it avec les mots de passe étaient collés sur tous les écrans, une situation qu’il juge absurde. Mickael Nadeau avoue avoir failli ouvrir la boîte de Pandore en abordant l’intelligence artificielle, un sujet encore tabou. L’animateur remercie le panel et adresse une mention spéciale à Thomas Veynachter, l’objecteur de conscience qui a posé des questions pertinentes sans avoir eu de moment consacré. Il espère que les auditeurs sortiront grandis de cette expérience avec un cas réel à mâchouiller, avant de se retrouver autour d’un barbecue dont les poppers seront prêts.
Contributeurs
|
|
|
|
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
| Cédric Boivin |
Martin Dubé
|
Steve Lavoie
|
Mickael Nadeau
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par Claude
Tags: gouvernance, incident
