Parce que… c’est l’épisode 0x336! Shameless plug 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 1 au 3 décembre 2026 - Ottawa, Canada - Forum inCYBER Canada I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une fuite de recettes sur le Dark Web Le troisième épisode du Cyber Barbecue poursuit l’histoire fictive d’une entreprise de barbecue victime d’une fuite de renseignements. Cette fois, le problème provient des courriels. Un client téléphone, furieux, parce que sa recette secrète, échangée par courriel, se retrouve sur le Dark Web. L’épisode explore les risques liés à l’envoi de courriels, la préparation, la gestion d’incident et les meilleures pratiques à adopter. Le vrai parcours d’un courriel Mickael Nadeau, qui participe pour la première fois au podcast, explique que plusieurs PME se protègent contre les menaces entrantes sans jamais se demander ce qui arrive quand on appuie sur « envoyer ». Les gens croient que le message se téléporte d’une personne à l’autre, alors qu’il traverse différents appareils, dont des filtres antispam, avant d’atterrir dans la boîte du destinataire, qui peut être un service public comme Gmail ou Hotmail. On perd donc le contrôle du courriel, et de nombreux points du parcours permettent une fuite d’information confidentielle. D’où l’importance de chiffrer les communications. Il souligne aussi qu’on utilise des outils gratuits comme WeTransfer sans se demander où résident les données, comment elles sont conservées et qui peut y accéder. La valeur de l’information et la gouvernance Cédric aborde la question sous l’angle de la gouvernance. Selon lui, les PME peinent à situer leur vraie valeur. Comme on manipule ces renseignements chaque jour, on oublie qu’ils ont de la valeur, et quand on ne la perçoit plus, on ignore s’il faut les protéger. Sous la pression du temps, le réflexe naturel est de prendre le raccourci et la valeur s’efface. Se demander où réside la vraie valeur de l’entreprise relève donc de la gouvernance. Mickael précise que le problème n’est pas l’envoi par courriel en soi, mais l’usage des bonnes technologies. Des outils permettent d’envoyer des courriels chiffrés avec une traçabilité complète, indiquant où se trouve le document, s’il a été ouvert ou téléchargé, sans nuire à la rapidité des opérations. Pour être adoptée, la cybersécurité doit être simple à mettre en place. La carte de crédit demandée par courriel La discussion aborde ensuite une pratique risquée de l’entreprise fictive, qui demande à ses clients leur numéro de carte de crédit par courriel pour acheter des livres de recettes. Qui est en faute, le client qui envoie son numéro ou l’entreprise qui le demande? Cédric rappelle que dès qu’on touche des données sensibles, des cadres normatifs comme la norme PCI s’appliquent. L’animateur y voit un excellent terrain de sensibilisation, la gouvernance devant former les employés afin d’éviter leurs comportements dangereux et de ne pas pousser les clients à en adopter. Un participant ajoute qu’il faut expliquer au client, lui fournir un outil sécurisé comme Secure Exchange, puis lui laisser la responsabilité de ses choix, car on ne peut pas porter le fardeau des autres. Mickael nuance en rappelant que la résilience de toute la société passe par la formation, car ce sont aussi ses propres données qui seront compromises par une PME avec une mauvaise hygiène numérique. Il recommande de demander à son fournisseur de services gérés de configurer rapidement les normes SPF, DKIM et DMARC, qui réduisent le phishing. Signature électronique et confidentialité L’épisode traite également de la signature électronique. Mickael explique que la plupart des fournisseurs de solutions de signature sont techniquement en mesure de lire le contenu des documents téléversés sur leurs serveurs. Même si les données sont chiffrées au repos avec de l’AES, cette possibilité crée un problème de confidentialité. Il faut donc choisir une solution offrant un chiffrement de bout en bout, où le serveur ne peut pas lire les documents. Il plaide pour une solution québécoise souveraine, hébergée dans des centres de données de niveau tier 3. La simplicité comme condition de l’adoption Interrogé sur les incitatifs à offrir aux clients et aux employés qui trouvent les outils compliqués et longs, Mickael répond qu’il faut choisir des solutions simples d’utilisation qui n’exigent pas un baccalauréat en informatique, sinon les gens reviennent à leurs vieilles habitudes. Mieux vaut viser un besoin d’affaires précis que d’imposer des produits trop complexes. Un participant rappelle que PGP, malgré son ancienneté, n’est resté l’apanage que de quelques passionnés. Il faut concevoir les outils pour l’usager, lui offrir une routine facile et le cadrer, car l’alternative qu’il trouvera seul sera toujours pire. Celui qui installe son propre OpenVPN parce qu’il n’arrive pas à se connecter ouvre une brèche énorme dans l’entreprise. Un autre observe que les solutions informatiques pensent rarement aux usagers avant le déploiement et que la solution magique trouvée par un employé est rarement la plus sécuritaire. Mickael ajoute que quand c’est gratuit, c’est l’utilisateur le produit, puisqu’il existe toujours des coûts réels derrière les serveurs, les employés et les certifications. Certifications, lois et engagements Dominique Derrier propose une démarche en trois temps. Il faut d’abord respecter la loi, au Québec la loi 25. Viennent ensuite les contrats et les engagements signés avec les employés et les fournisseurs. Puis interviennent les exigences de sécurité internes, dictées par les pénalités à éviter, l’image de l’entreprise, la perte de clients et les risques financiers et juridiques. Ce n’est qu’ensuite qu’on peut décliner un plan d’action technologique. Sur les fournisseurs, Mickael recommande de vérifier la certification SOC 2 type 2, ou l’ISO 27001, son équivalent très populaire en Europe. Même si ces certifications peuvent sembler exagérées pour une PME, elles restent accessibles avec le bon accompagnement. Recommandations finales En conclusion, Mickael conseille d’éviter les produits gratuits et de payer pour des outils qui offrent des communications chiffrées, une journalisation des échanges et des preuves légales sur ce qui a été transmis, à qui, quand et comment. Pour la signature électronique, il invite à bien examiner le fournisseur choisi et à privilégier des solutions canadiennes, idéalement, ou européennes. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none;
