PolySécure Podcast volet pour les professionels

Nicolas-Loïc Fortin et tous les collaborateurs

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

  1. Oct 20

    Spécial - Certification - Trousse globale de vérification (TGV) pour le réseau de la santé au Québec

    Parce que… c’est l’épisode 0x358! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. L’invité et le sujet L’épisode spécial du Polysecure accueille Sébastien Robert, associé principal chez Factero Services-Conseils, un petit cabinet boutique en gouvernance des technologies de l’information. L’animateur souligne l’importance de ces dialogues où les auditeurs lèvent la main pour partager leur expertise. Sébastien a proposé d’aborder le TGV, un cadre normatif obligatoire pour les fournisseurs technologiques du système de santé québécois. Un référentiel adaptatif de 382 critères Le TGV signifie trousse globale de vérification. Ce référentiel compte 382 critères, un volume considérable comparativement aux normes habituelles comme ISO 27001 ou SOC 2, qui en comptent généralement entre 90 et 200. Contrairement à ces normes où l’on applique l’ensemble des contrôles, le TGV fonctionne selon un principe de gros bon sens. Le fournisseur présente sa solution à Santé Québec, qui évalue les critères applicables, que ce soit 382 critères ou 100 à 250 selon la conception et la fonction de l’application. Une sélection en boîte grise La sélection effectuée par Santé Québec n’est ni une boîte noire ni une boîte blanche, mais plutôt une boîte grise. Des grandes familles de critères s’appliquent selon la nature de la solution. Un scribe alimenté par l’intelligence artificielle verra les critères liés à l’IA s’appliquer, tandis qu’une connexion au dossier de santé numérique entraînera l’évaluation des critères d’interopérabilité. Le processus débute par un contact avec Santé Québec, qui fournit la grille, puis un questionnaire détermine les critères retenus. Sébastien insiste sur l’honnêteté requise, car cacher des informations mènerait aux mêmes ennuis qu’avec un auditeur SOC 2, tandis que la transparence génère de la collaboration en retour. Un référentiel évolutif inspiré de plusieurs normes Santé Québec a publié son nouveau référentiel en juin, passant de 254 à 382 critères, une augmentation d’environ 50 %. Cette croissance se traduit principalement dans la gestion de la vie privée et de l’intelligence artificielle, avec l’intégration de presque la totalité des contrôles d’ISO 42001. Le TGV combine aussi la loi 5, la loi 25, ISO 27001, des critères de HIPAA et de SOC 2 type 2, avec une centaine de contrôles propres, notamment en interopérabilité, applicables dès qu’une connexion existe entre deux applications. L’animateur y voit le nerf de la guerre dans le milieu de la santé, tant la communication entre systèmes demeure difficile. Sébastien anticipe que les prochaines moutures pourraient exiger la conformité à l’infrastructure de Nuage Québec. Il mentionne aussi la création récente de Données souveraines Québec, financée par le ministère du Numérique et de la Cybersécurité, dont son cabinet est membre. L’absence de reconnaissance mutuelle Il n’existe pas de processus de reconnaissance de certification. Une certification SOC 2, ISO 27001 ou NIST ne donne pas droit à une exemption de critères. L’équipe de Sébastien a toutefois monté un mapping sur 13 grands référentiels, qui sera bientôt publié sur GitHub via CISO Assistant pour la communauté. Santé Québec offre de l’accompagnement, mais pas de consultation. L’analogie avec le système judiciaire est parlante, on peut se représenter seul devant la cour, mais un avocat connaissant la drill facilite grandement le parcours. Certifier sans accompagnement reste possible avec une expérience préalable en gouvernance. Les exigences réglementaires et l’hébergement des données Même les grandes structures peuvent avoir besoin d’aide face aux exigences particulières. Les tests d’intrusion et les documents en français suivent des exigences précises. Contrairement à une idée répandue, être conforme au RGPD ne garantit pas la conformité à la loi 25, plus contraignante à certains égards et plus laxiste à d’autres. L’hébergement des données doit se faire préférablement au Québec ou au Canada, sinon une évaluation de vie privée devient nécessaire. Un tenant à l’étranger pourrait exiger une migration ou un dossier justificatif, comme pour l’accès à des GPU indisponibles au pays. Pour l’intelligence artificielle, les données doivent être anonymisées avant envoi, les options d’entraînement fermées, et une évaluation de vie privée réalisée. La loi 5 s’applique pleinement puisque les solutions traitent des dossiers patients. Le processus d’audit et le maintien Le dossier d’audit est monté dans une plateforme de gouvernance au choix, du simple tableur à l’open source CISO Assistant, en passant par des solutions payantes pouvant coûter de 10 000 à 20 000 dollars par année et par référentiel. L’audit est réalisé par l’un des deux cabinets retenus par appel d’offres, pour un coût d’environ 15 000 dollars. La recertification n’est pas annuelle mais déclenchée par les versions majeures, comme un changement complet de système d’exploitation ou l’ajout d’intelligence artificielle. Un SaaS évoluant progressivement suit un processus de maintien avec soumission de change logs évalués par Santé Québec. La certification est valide environ cinq ans, mais un dialogue continu s’installe plutôt qu’un rendez-vous unique. Une certification applicative et un parcours à planifier Un point crucial, le TGV certifie l’application et non l’organisation. Des contrôles organisationnels existent comme la gestion des droits d’accès et le principe du moindre privilège, mais une même organisation peut avoir deux applications certifiées avec un chevauchement des contrôles. Une bonne plateforme de gouvernance permet de ramener rapidement les preuves en s’alignant toujours sur la barre la plus élevée. Pour les organisations sans expérience en gouvernance, l’approche consiste à établir un plan de match. Viser d’abord le marché américain avec une HIPAA ou une SOC 2 type 2 couvre déjà une centaine d’exigences du TGV. Certains fondateurs ont d’ailleurs choisi de ne pas attaquer le marché québécois, un choix d’organisation légitime. La protection des données de santé Sébastien conclut en rappelant que le TGV, bien que lourd, existe pour protéger les données de santé des Québécoises et des Québécois. Jusqu’à aujourd’hui, aucune fuite de données n’est venue d’un prestataire tiers, un bilan dont il salue l’équipe de Santé Québ

  2. Oct 14

    SéQCure - Vous avez un secteur « GIA » en place? L'Auditeur aussi... et il prend des notes.

    Parce que… c’est l’épisode 0x354! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. La perception de l’audit démystifiée Dans cet épisode spécial Sécur du Polysécure, Nico reçoit Vincent Groleau pour discuter de sa conférence présentée lors de l’événement. Vincent, spécialiste en audit et en gestion des identités et des accès (GIA), s’attaque d’emblée à la caricature souvent associée aux auditeurs, perçus comme des gros méchants qui viennent taper sur les doigts. Il tient à rétablir les faits en expliquant que l’auditeur ne vient pas vérifier tous les petits détails des bonnes pratiques mises en place. Son objectif est plutôt de déterminer si les systèmes dans la portée d’audit, qu’ils soient administratifs ou financiers, sont exposés à un danger. Il précise qu’il n’est pas nécessaire d’avoir la Cadillac en matière de pratiques. Ce qui compte, c’est d’avoir des contrôles suffisants, une surveillance assidue et une pratique vivante qui s’intègre réellement aux opérations plutôt qu’un mécanisme maintenu artificiellement. Audit interne et audit externe deux missions distinctes Vincent apporte une nuance importante entre l’audit interne et l’audit externe. L’audit interne veut s’assurer que ce qui a été décrit dans les encadrements, les standards et les pratiques correspond à ce qui se fait réellement dans l’organisation, en confrontant le tout aux bonnes pratiques. L’audit externe, quant à lui, se limite aux applications financières et au traitement des données financières, qu’il s’agisse de saisie, d’opération, de modification, de suppression ou de transit. Son rôle est de valider que la pratique opérée est suffisante et efficace, même si elle ne correspond pas parfaitement à ce qui est écrit. La gestion des accès comme première et dernière ligne de défense Nico souligne que la GIA est le nerf de la guerre dans les systèmes informatiques actuels, car posséder les identités donne la capacité d’entrer dans les systèmes et de confirmer que les personnes effectuant des opérations financières y ont été légitimement autorisées. Vincent partage cette vision et utilise l’image des films américains où il est inscrit « first line of defense » dans les bureaux de la CIA. Pour lui, les accès sont la première et la dernière ligne de défense. Il rejette l’idée que la gestion des changements serait le nerf de la guerre, en référence au film Superman 3 où un développeur transfère des demi-sous dans son propre compte. Si une telle fraude est possible, c’est que la gestion des accès a échoué à l’en empêcher. L’autorisation est donc à la source de tout. Un cycle de vie vivant pour les accès Vincent décrit le cycle de vie complet de la gestion des accès, de l’embauche jusqu’au départ ou à la retraite de l’employé. On embauche des gens avec des rôles et des responsabilités, on gère des groupes de sécurité, on s’assure d’une chaîne d’approbation saine au bon niveau hiérarchique, impliquant le propriétaire de la donnée plutôt que seulement le gestionnaire immédiat. La gestion des accès doit devenir un organe vivant qui s’ajuste, se modifie et respire avec l’employé. Vincent admet que la pratique n’est pas parfaite, avec ses oublis, ses manquements et ses manques de documentation ou de traçabilité. Il précise aussi que la gestion des accès couvre environ 80 % de l’ouvrage sur l’autorisation, mais que d’autres contrôles existent dans les systèmes pour attraper des transactions inadéquates. Les trois lignes de défense expliquées La discussion aborde ensuite le modèle des trois lignes de défense. La première ligne correspond aux opérations, où chaque secteur doit faire une réflexion sur ses risques et produire un portrait de risque, une auto-évaluation qui permet parfois de découvrir des angles morts. La deuxième ligne analyse cette auto-évaluation en allant chercher de la donnée, de la volumétrie et de l’historique pour valider sa justesse, tout en évaluant des situations comme la désuétude technologique, qu’elle soit liée à l’équipement ou à la fin du support des logiciels. La troisième ligne est l’audit interne, qui teste réellement si les risques identifiés peuvent se matérialiser et si les impacts sont bien évalués, avec des recommandations qui remontent au comité d’audit. La transparence comme stratégie gagnante Vincent livre un message direct aux praticiens de la GIA. Selon lui, la plupart des équipes connaissent déjà leurs faiblesses à 99 %, mais hésitent à les communiquer par gêne ou par peur de se faire prendre en faute. Il encourage la transparence totale, autant avec les consultants qu’avec les deux autres lignes de défense. Présenter ses problèmes en rouge, avec des arguments, des justificatifs et des solutions, fonctionne auprès de la direction. Si le message ne passe toujours pas, il faut donner toutes les informations à l’audit interne, qui remontera la situation au comité d’audit. Nico renchérit en soulignant que plusieurs incidents publics au Québec auraient pu être évités si la haute direction avait écouté les messages soulevés à l’interne. Il déplore également que les organisations restent gênées d’admettre qu’elles n’ont pas les ressources humaines ou technologiques nécessaires. Une question de disponibilité continue Vincent apporte une nuance intéressante sur le rythme des organisations. Si les humains travaillent de 7 à 8 heures par jour, les compagnies fonctionnent 24 heures sur 24, 7 jours sur 7. Les accès sont sollicités à chaque seconde, que ce soit dans les institutions financières ou même dans les entreprises manufacturières où la production continue la nuit. Les contrôles doivent donc fonctionner même en l’absence des êtres humains. Il recommande de se mesurer constamment, d’impliquer l’audit interne en mode projet pour valider les jalons importants, et de faire preuve de créativité dans les pratiques, peu importe l’entité ou le domaine d’affaires. Comptes à privilèges et séparation des tâches En conclusion, Vincent insiste sur les comptes à privilèges, qu’il faut restreindre au maximum. Dans une entité, il s’attend à seulement trois ou quatre personnes dûment identifiées avec de tels accès. Il aborde aussi la séparation des tâches, les fameuses SoD, en recommandant de consulter la comptabilité qui connaît bien les tables de tâches incompatibles. Un sysadmin, un DBA et un sysoperator doivent être trois individus di

  3. Oct 9

    Spécial - Panel Bsides Montreal 2026

    Parce que… c’est l’épisode 0x351! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un panel réuni en marge du B-Sides Cet épisode spécial de Polysécure a été enregistré à l’occasion de la conférence B-Sides. L’animateur reçoit Éric Boivin, spécialiste technique de la plateforme chez Flair, Dominique Derrier, V-CISO chez Axiomis, Marsha Bazile, auditrice IT au bureau du vérificateur général de la ville de Montréal, Alexandre Blanc, consultant indépendant en sécurité informatique, et Stefan Timotijević, fondateur d’AKBECO, éditeur de la solution Cyber Sensei. Le thème central est l’intelligence artificielle vue du côté défensif, afin de démêler le vrai du faux dans un marché saturé de discours alarmistes. Des lacunes anciennes mises en lumière Les participants s’entendent pour dire que l’IA ne crée pas de problèmes nouveaux, elle expose plutôt des lacunes d’hygiène cyber, d’inventaire et de gestion des correctifs qui traînent depuis toujours. Stefan Timotijević, qui pratique le sujet à plein temps depuis deux ans, en a tiré l’outil Cyber Sensei et affirme qu’il faut contrer l’IA avec l’IA tout en automatisant un maximum de tâches. Alexandre Blanc estime que l’IA anéantit la latence organisationnelle qui permettait de repousser les corrections, et plaide pour une réduction drastique de la surface d’attaque, car ce qui n’est pas exposé ne peut pas être compromis. L’animateur constate que la sécurité par l’obscurité ne protège plus face à des machines qui explorent tous les chemins sans fatigue. Des attaques plus rapides et plus massives Les groupes de ransomwares qui plantaient leur toile pendant soixante jours bouclent maintenant leurs intrusions en quelques jours, avec exfiltration immédiate plutôt que chiffrement méthodique, de quoi forcer la défense à agir maintenant plutôt qu’en mode pluriannuel, observe Éric Boivin. Stefan Timotijević cite CrowdStrike, qui rapporte une hausse de 89 % des attaques par agents autonomes en un an, un record d’intrusion à 27 secondes et une moyenne de 29 minutes. Il souligne aussi la fatigue des équipes de correction, soumises à des cadences de correctifs de plus en plus serrées sur les services exposés. Éric Boivin note que le dernier rapport de Verizon replace les vulnérabilités au sommet des vecteurs d’attaque, après une décennie dominée par l’identité. Systèmes industriels et segmentation Éric Boivin explique que plusieurs équipements d’infrastructure critique tolèrent mal les mécanismes de défense modernes, les incidents visant des réseaux d’eau et d’électricité prouvant qu’aucune petite municipalité n’est à l’abri. Alexandre Blanc relève un paradoxe, car plusieurs incidents médiatisés sont entrés par des systèmes annexes, souvent des postes dotés d’outils d’accès à distance, plutôt que par les vieux systèmes industriels criblés de failles. Il défend une segmentation en zones sécurisées et fonctionnelles qui rachèterait du temps dans des environnements où le changement est lent. L’IA au service des défenseurs L’IA peut guider les moins expérimentés, sans jamais lui confier de contrôle direct sur les systèmes, et repérer les anomalies dans les flux réseau, une promesse que les SIEM portent depuis quinze ans sans la tenir. La revue de sécurité du code généré par les outils de développement assisté est aussi évoquée, avec une vérification contre les mauvaises pratiques connues. Alexandre Blanc prédit un retour à des systèmes préparés hors ligne, comme aux débuts d’Internet, ainsi qu’une reprofessionnalisation de la sécurité dans l’architecture logicielle. Il défend enfin la sobriété numérique, jugeant que la numérisation à outrance devra être épurée. Vie privée et paresse outillée Marsha Bazile s’agace de la prolifération des preneurs de notes IA dans les réunions et raconte avoir questionné son médecin sur l’application de transcription installée sur son téléphone personnel. Éric Boivin avoue que Flair utilise trois outils d’enregistrement en parallèle, dont un invisible qui poursuit la captation même quand un client refuse d’être enregistré. Alexandre Blanc précise que l’agent de transcription de Teams écoute côté serveur, aux États-Unis, sans chiffrement de bout en bout. Dominique Derrier rappelle pour sa part que les contrats infonuagiques exigent souvent que le client sécurise lui-même ses actifs, des documents que presque personne ne lit. La conformité comme levier d’affaires Marsha Bazile tempère l’espoir placé dans la conformité, qui existe depuis toujours sans régler les problèmes, notamment ceux de la fraude financière. Dominique Derrier répond qu’elle vérifie les contrôles plutôt que de les imposer, mais qu’elle offre un prétexte pour parler d’affaires, par exemple avec l’impact du PCI DSS sur les frais de transaction. Éric Boivin ajoute le risque réputationnel, vital pour une petite entreprise qui ne survivrait pas à une brèche, et Alexandre Blanc note que l’IA rend les incidents interrogeables indéfiniment, donc difficiles à oublier. Encadrer l’IA avec des garde-fous Une question du public porte sur l’impossibilité de bloquer l’IA quand les affaires exigent d’innover. Alexandre Blanc propose la politique d’usage acceptable comme premier contrôle, suivie d’outils de prévention des fuites de données et de solutions préapprouvées. Stefan Timotijević insiste sur l’inventaire des charges de travail qui utilisent l’IA afin de contrer le shadow AI, et mentionne le référentiel du Cloud Security Alliance pour l’IA, qui reprend 80 % des contrôles infonuagiques. Alexandre Blanc recommande pour sa part les ressources d’OWASP. Les décideurs doivent aussi se former en accéléré, les organisations improvisant encore leur gouvernance de l’IA. Mots de la fin Les participants livrent chacun un message final. Marsha Bazile rappelle que la cybersécurité doit découler des objectifs de l’organisation, Alexandre Blanc invite à réduire la surface d’attaque jusqu’à la maîtriser, Éric Boivin prédit une hausse des attaques maintenant que n’importe qui peut armer des outils, et Stefan Timotijević souligne que l’attaquant n’a besoin que d’une seule réussite alors que le défenseur doit tout protéger. L’animateur conclut en comparant cette révolution à celle de l’informatisa

  4. Oct 8

    Vincetopia - Deux fois sur le métier remettez votre ouvrage

    Parce que… c’est l’épisode 0x350! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une conversation entre amis sur la culture du risque Dans cet épisode intitulé Vincetopia, Vincent et son coanimateur lancent une nouvelle série mensuelle. L’ambiance est détendue et les deux hommes se décrivent comme étant dans une période calme de leur vie, ce qu’ils considèrent comme un bon signe. Plutôt que de traiter de l’actualité comme lors de l’épisode précédent, ils choisissent d’explorer le risque, un thème que Vincent connaît bien puisqu’il l’a récemment abordé dans son contexte professionnel. Le coanimateur précise d’ailleurs que la presque totalité de son propre travail repose sur l’analyse du risque, ce qui rend la discussion particulièrement pertinente pour lui. Pourquoi introduire une culture du risque en entreprise Vincent explique que tous les secteurs, du manufacturier à la technologie en passant par les services publics et privés, sont confrontés au risque au quotidien. Son idée n’est pas d’imposer de grands concepts descendants, mais d’ancrer la notion de risque dans chaque sphère de travail qui influence la performance et les opportunités. Il observe que certains secteurs s’autorisent désormais à prendre des risques calculés parce qu’ils y voient des occasions d’affaires, ce qui demande de penser hors des processus classiques. Il pose ensuite une question centrale. Une entreprise performante est-elle celle qui contrôle son risque à zéro absolu ou celle qui ose prendre des risques ? La réponse du coanimateur est sans ambiguïté. Être en affaires, c’est prendre des risques, mais ils doivent être contrôlés, connus et inventoriés. Vincent justifie l’actualité du sujet par l’inondation de l’intelligence artificielle. Selon lui, les modèles de risque sont en mutation, les risques eux-mêmes demeurent les mêmes, mais les vecteurs changent radicalement. L’ère du numérique exige donc une culture du risque plus soutenue et beaucoup plus agile. Pas besoin de nouveaux cadres de référence Le coanimateur nuance en soulignant que la culture du risque reste fondamentalement la même. Il juge inutile de réinventer l’analyse de risque pour l’intelligence artificielle, puisqu’il existe déjà une dizaine de très bons référentiels. Il n’y a pas besoin d’un nouveau cadre, il suffit d’adapter les vecteurs tout en conservant les mêmes matrices d’évaluation. Le véritable défi organisationnel, selon lui, tient dans un paradoxe. Il faut admettre que les choses ont changé tout en reconnaissant que le fond n’a pas changé, et peu d’organisations réussissent cette transposition. L’importance d’un langage commun Vincent aborde ensuite le premier grand principe. Au sein d’une entreprise, les secteurs TI et business développent chacun leur propre taxonomie, ce qui amène des interprétations différentes pour les mêmes risques et des guerres de clochers. Sans langage commun, les décisions souffrent et des opportunités se perdent. Le coanimateur compare cette situation à deux variantes d’une même langue, comme le québécois et le français métropolitain. On parle relativement la même langue, mais des nuances de mots créent des confusions profondes, comme dans son anecdote d’une expression française qui a froissé une Québécoise sans le vouloir. Il insiste sur la nécessité de devenir bilingue, voire trilingue, entre les univers du risque financier, du risque d’affaires, du risque cyber et maintenant du risque lié à l’intelligence artificielle. Appétit, tolérance et matérialité du risque Le langage commun permet d’établir l’appétit au risque, c’est-à-dire la tolérance de l’organisation à perdre un peu sans tout perdre, tout en restant capable de se relever et de saisir des opportunités. Vincent vulgarise le modèle classique, la probabilité multipliée par l’impact, qui génère des niveallisations allant du risque quasi nul au risque modéré. La plupart des gens se maintiennent dans le modéré, mais certaines catégories exigent du faible. Dans les banques et les institutions financières, par exemple, le risque de fraude ne peut jamais être modéré, sous peine de voir des acteurs malveillants tester les contrôles. Il illustre avec l’exemple d’une pratique aux excellents contrôles administratifs manuels mais soutenue par une technologie désuète. Le secteur d’affaires n’a vu aucune interruption de service depuis dix ans et se classe en modéré, alors que les TI préviennent qu’un mur approche avec la fin du support et l’obsolescence des compétences. Le coanimateur ajoute la notion de matérialité, surtout présente en finance, où de grandes institutions tolèrent des pertes financières jusqu’à des seuils étonnamment élevés, ce que des méthodologies comme FAIR permettent de calculer. Vincent met aussi en garde contre les changements de garde décisionnels. Un nouveau leadership apporte souvent un appétit au risque différent, ce qui justifie de refaire l’exercice de posture régulièrement ou lorsqu’un risque émergent significatif survient, tout en étant prêt à défendre son modèle devant le comité d’audit ou le conseil d’administration. Le choc des auditeurs juniors et expérimentés Les deux anciens des Big Four échangent sur leurs cicatrices professionnelles. Vincent raconte comment un auditeur externe peut imposer son propre modèle d’appétit au risque, et comment une posture documentée permet de le challenger et d’allumer des lumières. Le coanimateur rappelle avec humour que les grands cabinets envoient parfois des équipes peu expérimentées qui paniquent quand la réalité ne correspond pas à leur formation. Il invite les organisations à exiger la présence d’un senior, tout en recommandant d’inclure les juniors dans les rencontres initiales pour qu’ils apprennent. Former par petites doses et saisir les opportunités Vincent plaide pour des capsules courtes, des vidéos et des mises en situation plutôt que des formations longues vite oubliées. Il constate que ces formats, populaires depuis plusieurs années grâce à l’apprentissage par le jeu, sont efficaces mais encore trop espacés et trop centrés sur la fraude. Les deux compères rappellent que la gestion du risque fait partie du quotidien de tous, de la jauge d’essence au couvercle de café, tout en soulignant que le langage courant inapproprié peu

  5. Sep 30

    SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs

    Parce que… c’est l’épisode 0x34B! Shameless plug 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un constat d’irréalisme René-Sylvain Bédard revient sur sa conférence au Sécure, où il a soutenu que la souveraineté numérique telle qu’on l’invoque actuellement n’est pas réaliste. Être souverain impliquerait de détenir ses propres centres de données, son équipement et ses logiciels, sur lesquels reposerait ensuite toute la structure numérique. Or aucun fabricant de processeurs ne se trouve à Montréal et aucune nouvelle plateforme de virtualisation ne sort de Toronto, tout l’écosystème reposant sur des serveurs, des systèmes d’exploitation et des applications américains. L’animateur note que la fabrication dépend de métaux rares presque exclusivement chinois et de capacités concentrées à Taïwan, sans que les administrations américaines soient parvenues à inverser la tendance. Un cadre légal mal lu Un directeur de Microsoft a marqué les esprits devant le Sénat français en admettant ne pas pouvoir garantir que les données ne seraient jamais consultées. René-Sylvain Bédard rappelle toutefois la question suivante, à laquelle le directeur a répondu qu’un tel accès n’était jamais survenu depuis 2018. Le Cloud Act avait justement été créé pour offrir une structure légale au cloud, alors qu’auparavant, les gouvernements refusaient même d’approcher un centre de données canadien. Les contrats précisent depuis qui possède quoi, et briser cette entente détruirait le modèle du cloud. La peur comme argument de vente L’animateur qualifie de désinformation l’histoire des comptes OneDrive ayant remis des clés, et rappelle que le Cloud Act ne vise que les données d’Américains à l’étranger, en contexte criminel, sur mandat de la Cour suprême. Les deux s’entendent pour dire que le Cloud Act sert d’épouvantail et que les plus bruyants sur les risques de souveraineté ont toujours quelque chose à vendre. L’animateur concède que l’instabilité de l’administration Trump a rendu l’épouvantail plus crédible, sans qu’il faille jeter le bébé avec l’eau du bain. Chiffrer plutôt que rapatrier René-Sylvain Bédard observe que l’argent public s’oriente vers la défense plutôt que vers les centres de données. S’il faut choisir des chantiers, il propose l’intelligence artificielle et le quantique, avec de vraies enveloppes, des règles d’attribution et des mesures contre l’acquisition étrangère. En attendant, le chiffrement offre une réponse concrète, puisqu’en apportant ses propres clés, notamment matérielles, des données interceptées demeurent illisibles. Il appuie le chiffrement des données gouvernementales et des secrets de défense avec des clés souveraines, mais rejette le discours sur le cloud souverain. Des données sensibles à graduer La France en débat depuis dix à quinze ans sans grand résultat, alors que le Canada voudrait tout rattraper du jour au lendemain, et René-Sylvain Bédard note que les entreprises françaises utilisent majoritairement Microsoft 365. Selon l’animateur, la Défense nationale canadienne devrait probablement sortir de Microsoft, mais pas l’ensemble des organisations, les milieux sensibles gardant déjà leurs infrastructures à l’interne. Quant aux données de santé, leur présence dans un cloud américain pose peu de problèmes, puisque ces dossiers n’intéressent pas le gouvernement américain. Pour l’animateur, la souveraineté relève parfois de la récupération politique, les projets de consolidation de données de santé s’écrasant toujours faute de dialogue. Le calcul sécurisé et la valeur des données René-Sylvain Bédard évoque sa rencontre au World AI Summit avec la responsable de l’intelligence artificielle en santé au Canada, qui valorisait des zones sécurisées où les modèles s’entraînent sans que les données sortent. L’animateur décrit le secure compute de Google, une boîte noire certifiée et cryptographiquement bloquée, utile aussi pour deux institutions financières voulant détecter la fraude sans ouvrir leurs données. On ne peut plus être dogmatique, estime René-Sylvain Bédard, puisque cent ans de radiographies archivées permettraient d’entraîner un modèle détectant le cancer plus rapidement sans remonter aux patients. Les données constituent le pétrole d’aujourd’hui, que détiennent en abondance les hôpitaux, les gouvernements et les municipalités. Des défaillances opérationnelles L’exemple de CrowdStrike illustre une erreur d’architecture, des systèmes critiques mis à jour le soir même sans test préalable. L’animateur invoque l’ingénierie aéronautique, encadrée à chaque étape, loin d’un avion ou d’un pont conçu en vibe coding. AWS, Google et Apple déploient leurs correctifs par anneaux et suspendent les mises à jour problématiques, d’où une leçon qui relève des opérations, non de la souveraineté. L’écart avec les hyperscalers René-Sylvain Bédard met au défi les promoteurs de centres de données canadiens de montrer leur pile technologique, une dépendance majoritairement américaine rendant l’opération impossible si les ventes cessaient. Microsoft investit dix milliards par année et un technicien y surveille cinquante mille machines virtuelles, un ratio qu’aucun centre canadien n’atteint. L’animateur confirme l’expertise et l’automatisation exceptionnelles de Microsoft, d’AWS et de Google, et dans une moindre mesure d’OVH. René-Sylvain Bédard n’a rien contre les petits joueurs canadiens, mais refuse qu’on affirme que Microsoft pose problème sans proposer des équivalents locaux d’Exchange, de Dynamics, de SharePoint ou de Teams. Un monde multipolaire La souveraineté devient un dogme, estime l’animateur, alors qu’on peut composer avec des fournisseurs américains, européens ou asiatiques. Ce qu’on craint des Américains aujourd’hui, on le craindra demain d’autres puissances. René-Sylvain Bédard rappelle qu’Israël figure parmi les plus grands fournisseurs de pare-feu, sans que personne ne propose de s’en départir. Au-delà de la confidentialité La discussion se termine sur les trois facettes de la souveraineté, soit la confidentialité, la disponibilité et l’intégrité, le débat public ne portant que sur la première. Microsoft a ainsi accepté, après négociation, de dé

  6. Sep 24

    Spécial - Sur l'équilibre à trouver en entreprise autour du 'Do more with less' avec l'IA et l'enjeu de la taille des modèles de langage utilisés

    Parce que… c’est l’épisode 0x348! Shameless plug 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Une démarche pragmatique Dans cet épisode spécial de Polysécure, Nicolas reçoit Jordan Theodore pour discuter d’un article cosigné avec Glimps et la Chambre de commerce de New York. Destiné aux décideurs, ce texte plaide pour une utilisation équilibrée de l’intelligence artificielle sous le thème de faire plus avec moins. La discussion arrive à point nommé alors que plusieurs géants amorcent un repli après l’enthousiasme démesuré de 2025. Des budgets fondus à grande vitesse Le cas d’Uber sert d’exemple marquant, l’entreprise ayant épuisé la totalité de son budget annuel dédié à l’IA en à peine quatre mois. Ce phénomène n’a rien d’isolé selon Jordan, qui rappelle qu’un rapport du MIT de 2025 estime que 95 % des projets pilotes échouent. Le passage à l’échelle constitue le véritable obstacle, le déploiement massif d’agents de code autonome comme Claude Code auprès de milliers d’ingénieurs engendrant des coûts qu’aucun pilote ne laisse entrevoir. Des KPI contre-productifs Les KPI imposés par les décideurs privilégiaient l’adoption au détriment de la valeur. Jordan relate avec humour le concept de token maxim, qui consistait à consommer un maximum de tokens pour démontrer l’usage de l’IA. Comme la facturation se fait à l’usage, ces indicateurs ont créé une compétition absurde à qui consommera le plus, des employés se sentant jugés non performants lorsqu’ils sous-utilisaient les outils. Un développeur peut ainsi atteindre 2000 dollars US de frais d’API par mois, illustrant les dépenses de géants comme Walmart ou Uber. Le coût des boucles agentiques Jordan attribue ce gaspillage au loop engineering, qui lance des systèmes agentiques itérant de longues minutes, parfois avec plusieurs sous-agents qui se consultent entre eux. Il consomme personnellement environ 162 000 tokens par requête et avoisine les 500 millions de tokens par semaine. Nicolas souligne que cette réflexion prolongée coûte cher. Les deux conviennent qu’un agent peut perdre des heures et des sommes considérables à déboguer une simple variable mal définie qu’un humain corrigerait en quelques instants, d’où la nécessité d’une utilisation raisonnée. Le ROX comme nouvelle mesure Face à un retour sur investissement décevant, Jordan présente le ROX, le retour sur expérience, un concept liant la satisfaction des utilisateurs à l’usage des outils. Est-ce que l’expert passe plus de temps à micromanager l’IA qu’à produire ? Est-ce que l’outil réduit la friction au travail ou en crée davantage ? Nicolas demeure sceptique face à ce terme marketing, mais les deux conviennent qu’un outil qui frustre les talents coûte plus cher qu’il n’en rapporte. Un code abondant mais problématique L’IA produit environ 38 % de code de plus qu’un humain pour un même script, alourdissant lecture et maintenance. Ce code demeure étranger, sans logique humaine perceptible, et sa refactorisation donne des maux de tête à Nicolas. En cybersécurité, des outils contenant de l’IA ont été mis en production alors qu’ils n’étaient que des preuves de concept, et des cas publics de SaaS ont révélé des oublis de sécurisation élémentaire. Les intervenants reconnaissent malgré tout des gains réels, comme partir d’une structure existante plutôt que de la page blanche. Modèles spécialisés et inférence Jordan présente ensuite la vision de Gartner sur les small language models, devenus pour 2027 des DSLM, des modèles spécialisés, rapides, légers et économiques, avant de définir l’inférence. La vie d’un modèle se divise en deux phases, l’entraînement qui ingurgite des milliards de textes jusqu’à figer le modèle, puis l’inférence qui constitue le passage à l’acte par des calculs de probabilité. Nicolas ajoute une mise en garde au sujet de Hugging Face, où des scripts Python exécutables peuvent se cacher dans des modèles de sources douteuses. Il recommande de privilégier les producteurs reconnus comme Mistral, Qwen ou Google avec Gemma. Mélange d’experts et quantisation Les moteurs d’inférence comme VLLM ou SGLang gèrent la mémoire et les requêtes simultanées. Chez Glimps, les contraintes exigent au moins 10 utilisateurs en parallèle avec un contexte de plus de 128 000 tokens et un débit rapide. Les modèles retenus sont de type MoE, mélange d’experts, où seuls les experts pertinents s’activent à chaque requête. La quantisation complète le tout en arrondissant les chiffres du modèle, une différence négligeable sur des milliards de paramètres. Des modèles compacts comme Phi-3 tournent même sur un simple Mac M1, et le mode thinking peut être coupé pour les profils bureautiques. Le RAG en appui des petits modèles Jordan explique ensuite le RAG, la génération augmentée par récupération. Les documents sont découpés en petits morceaux convertis en vecteurs puis stockés dans une base de données vectorielle. Lors d’une question, seuls les quelques paragraphes pertinents sont injectés au modèle, ce qui réduit les coûts, accélère les réponses et diminue les hallucinations. Nicolas insiste sur la préparation préalable, un RAG improvisé ayant mené plusieurs utilisateurs à abandonner la démarche. Une masse documentaire suffisante est requise pour que les vecteurs soient représentatifs. Les tests réalisés avec les write-ups de CTF illustrent la valeur du concept et l’ingénierie nécessaire à son paramétrage. La vraie complexité organisationnelle La simplicité apparente du déploiement masque une complexité organisationnelle redoutable, qu’il s’agisse des silos entre départements, de la gouvernance des données confidentielles ou des droits d’accès. Les organisations doivent traiter l’IA comme tout projet structurant, sans raccourci, et les équipes deviennent hybrides, mêlant IA et cybersécurité. Cap sur le SOC L’épisode se conclut avec un aperçu du prochain volet consacré aux SOC et aux CERT. L’automatisation des tâches des analystes de niveau 1, trop souvent noyés sous les alertes, pourrait prévenir le burn-out, accélérer les décisions et améliorer des indicateurs comme le temps moy

  7. Sep 10

    SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant

    Parce que… c’est l’épisode 0x340! Shameless plug 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Le parcours menant à la faillite Jean-Philippe Racine débute dans le domaine en 2001, devient travailleur autonome en 2009, puis fonde CyberSWAT en 2015. L’entreprise croît rapidement, portée par la pandémie, jusqu’à compter 25 employés. Le marché change toutefois beaucoup dans les deux dernières années, entre la hausse des salaires, des ventes plus difficiles et les dépenses importantes dans le logiciel Protection C4. Les liquidités finissent par manquer et la faillite est déclarée à la fin août 2025, forçant des décisions difficiles. Le rachat des actifs et de la marque Pendant qu’il aide le syndic à liquider les actifs, Jean-Philippe s’interroge sur son avenir et constate qu’il aime toujours la sécurité, décidant de rester dans le service conseil auprès des PME. Vendre des actifs en faillite fonctionne par enchères et ressemble à la vente d’une maison sans garantie légale, ce qui en diminue la valeur. Les actifs sont séparés en deux lots, le premier comprenant la marque CyberSWAT avec son site web et ses articles promotionnels, le deuxième regroupant le logiciel Protection C4, ses clients et son code. Il rachète finalement les deux. Racheter la marque évite de repartir de zéro, ce qui exigerait de reconstruire un site web, de changer les courriels et de recontacter tous les contacts. Chaque dollar dépensé réduit d’autant les dettes, un peu comme de l’argent de Monopoly. Cette période soulève aussi des questions d’identité, ne sachant plus comment se présenter, comme président ou comme consultant, mais il décide d’assumer son choix de garder le nom. Un fil Reddit sur la faillite est apparu au moment des événements, et une recherche Google fait aujourd’hui ressortir ce post en deuxième position, ce qui exigera des efforts pour redresser la perception. Heureusement, les clients se sont montrés très sympathiques et humains. Les propositions refusées et le recentrage Durant sa période de flottement, plusieurs personnes manifestent de l’intérêt. Certains proposent de racheter le logiciel à condition qu’il s’implique personnellement, une firme lui offre de gérer une grosse équipe de sécurité et un autre scénario prévoit de redevenir coactionnaire avec un investisseur. Il se demande s’il veut se remettre cette pression. Son objectif passé de lever des fonds en capital de risque aurait exigé une expansion au Canada et aux États-Unis. Il réalise que ces objectifs ne lui ressemblent plus. Le nouveau CyberSWAT adopte donc une offre plus restreinte, ne gardant que les éléments qui lui plaisent. Avec la croissance, l’entreprise avait intégré des services qui alimentaient la machine sans lui plaire. La faillite lui permet de faire le ménage et de retourner sur le plancher des vaches, en refaisant de la cybersécurité au quotidien. Le poids du rôle de PDG Jean-Philippe occupait aussi le rôle de coordonnateur de gestion d’incidents, appuyé par son équipe pour le volet technique. Il déterminait la portée des incidents et choisissait les intervenants, en collaborant avec des assureurs et des firmes comme KPMG. Cette responsabilité pesait lourd, avec la crainte constante qu’un incident survienne la nuit ou pendant les vacances, et l’équipe n’avait jamais atteint la masse critique pour déléguer ce rôle. L’expérience de PDG lui apporte aujourd’hui une grande clarté sur ce qu’il aime et ce qu’il n’aime pas. Il constate qu’il est trop amoureux de la sécurité pour rester éloigné de l’exécution. Il recherche un meilleur équilibre de vie, notamment pour passer plus de temps avec sa fille, sans l’épée de Damoclès des incidents et des départs de joueurs clés. Un virage vers l’intelligence artificielle Le repositionnement demeure subtil. CyberSWAT se voulait auparavant un généraliste auprès des PME de 10 à 500 employés, grâce aux dossiers liés à la loi 25. Désormais, il concentre ses efforts sur deux pôles qui l’intéressent, soit la protection des renseignements personnels et des renseignements de santé, domaines qu’il connaît pour avoir travaillé sur les dossiers de la RAMQ et de Santé Québec. Il ajoute un volet intelligence artificielle, un intérêt de longue date qu’il n’avait pas le temps de cultiver comme PDG. Pour concrétiser ce virage, il a obtenu avant les fêtes les certifications AAIA et AAISM d’ISACA, lui qui n’avait plus passé d’examen depuis plusieurs années. Les certifications ne font pas tout, mais elles lui servent de défi personnel, un peu comme réserver un voyage au Kilimandjaro pour se forcer à faire de la randonnée. Le logiciel Protection C4 poursuit sa vie Le logiciel continue d’exister et Jean-Philippe reprend son rôle de product owner, qu’il occupait déjà pour la première version. La firme qui assurait le développement a accepté de poursuivre, malgré les factures impayées perdues dans la faillite. Des clients existants continuaient d’utiliser la plateforme et de nouvelles ventes ont été réalisées depuis le rachat. Une bonne partie du travail relève de la configuration plutôt que du développement. Les défis restent réels avec la transformation des produits SaaS et l’évolution du cloud. Il tient à financer le développement avec son propre argent, et les nouvelles méthodes de codage assisté devraient permettre d’accélérer l’ajout de fonctionnalités malgré un budget limité. Réflexions sur l’avenir du domaine Plus actif dans la veille, Jean-Philippe constate que la vitesse des changements est fulgurante et que les métiers se transforment, au point qu’il a de la difficulté à imaginer son travail dans 24 mois. Il s’interroge sur l’avenir de la facturation à l’heure dans cinq ans, lui qui peut désormais offrir plusieurs services à forfait grâce aux outils d’intelligence artificielle utilisés de manière sécuritaire. L’animateur note que l’usage de l’intelligence artificielle demeure peu sécurisé dans plusieurs organisations, notamment avec les risques d’injection de prompt par des documents externes. La conférence complète sera

  8. Aug 20

    Spécial - Chronhr ou comment trouver la fraude (Propolys)

    Parce que… c’est l’épisode 0x331! Shameless plug 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026 22 septembre 2026 - Belgique - BE-Cyber 24 au 25 septembre 2026 - Belgique - BruCON 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026 Description Présentation et parcours Dans cet épisode spécial de Polysécure, Yanis Ould Mahammed, étudiant en 4e année de génie logiciel à Polytechnique Montréal, présente Chronhr, une startup qu’il a cofondée avec Aziz, candidat au doctorat en cybersécurité à Polytechnique et également CTO de l’entreprise. Aziz, qui travaille chez Morgan Stanley, a identifié un enjeu majeur lié à la fraude et au blanchiment d’argent dans le cadre de son travail. Grâce à sa compréhension approfondie de l’intelligence artificielle, il a validé l’idée en discutant avec des analystes du domaine avant de proposer à Yanis, rencontré au sein d’une association étudiante, de le rejoindre dans l’aventure. L’accompagnement de Propolys Les deux cofondateurs ont postulé et ont été retenus pour intégrer le programme d’accompagnement Propolys, une expérience que Yanis décrit comme extrêmement formatrice puisqu’il s’agissait de sa première entreprise. Le programme leur a fourni une base solide en entrepreneuriat, en les aidant à comprendre le fonctionnement réel du milieu plutôt que ce qu’on peut voir sur YouTube. L’accompagnement combine des rencontres hebdomadaires ou bimensuelles avec des mentors pour discuter des avancements et des prochaines étapes, ainsi que des ateliers de deux heures, deux fois par semaine, animés par des professionnels de différents secteurs (cybersécurité, medtech, cleantech). Ces ateliers sont surtout orientés vers le développement des compétences business — validation d’idées, élaboration d’un Business Model Canvas (BMC) — plutôt que vers les aspects purement techniques, bien que certaines formations sur le déploiement et les processus aient aussi été offertes. Le problème identifié : l’AML manuel et vieillissant Chronhr s’attaque à un problème concret dans le domaine de la lutte contre le blanchiment d’argent (AML). Les fondateurs ont observé que les systèmes actuels utilisés par les institutions financières sont désuets, que l’extraction de données prend énormément de temps au détriment de l’analyse, et que les erreurs humaines sont fréquentes en raison de la nature répétitive du travail. Les analystes doivent traiter un grand nombre de cas quotidiennement, ce qui crée un arriéré constant. À cela s’ajoute une pression réglementaire croissante au Canada, notamment de la part du CANAFE (Centre d’analyse des opérations et déclarations financières du Canada) et de FINTRAC. Toute entreprise disposant d’un système de transactions — banques, sociétés de services monétaires, entreprises fintech, crypto, immobilier, casinos, assurances et prêteurs — doit se conformer à ces obligations, sous peine de sanctions financières sévères en cas de blanchiment non détecté. La solution technique Chronhr propose une équipe d’agents virtuels d’intelligence artificielle qui automatise les tâches répétitives liées à la collecte de données, à l’analyse et à la rédaction de rapports pour les analystes AML. Le système est conçu pour être modulaire et s’intègre aux infrastructures existantes plutôt que de les remplacer entièrement. Concrètement, lorsqu’une alerte est générée par un système externe détectant une transaction suspecte, Chronhr crée automatiquement un dossier (case) regroupant les alertes pertinentes. Un orchestrateur mobilise ensuite plusieurs agents pour aller chercher des données dans les bases de transactions, les dossiers KYC (Know Your Customer) et les listes réglementaires gouvernementales, afin notamment de vérifier si une personne est politiquement exposée. Le traitement combine des règles déterministes — des formules éprouvées pour détecter des schémas circulaires ou des structures de type « fan-in/fan-out » typiques du blanchiment — avec des composantes d’IA générative, dont la nature non déterministe est encadrée par des balises strictes. Yanis compare cette architecture à un patron de conception de type « décorateur », où chaque couche d’information vient s’ajouter aux précédentes pour former un rapport riche, semblable à un « gâteau mille-feuilles » de données. Le rapport final n’est pas un simple document statique : il comprend des graphiques interactifs, de la visualisation de déplacement de données, des fonctionnalités de recherche de réseau (network research) permettant de visualiser les relations entre comptes et transactions, ainsi que des espaces pour les commentaires des analystes. L’objectif est de permettre à l’analyste de prendre une décision plus rapide et mieux informée. Confidentialité et flexibilité technologique Un enjeu central pour le secteur financier est la protection des données. Chronhr a conçu son système pour être entièrement modulable au niveau du choix des modèles d’IA utilisés, avec la possibilité d’injecter des prompts personnalisés. Les données ne quittent jamais les infrastructures du client — aucune information sensible n’est envoyée dans le cloud — et le système peut fonctionner entièrement on-premise. Seules des données non sensibles comme les journaux (logs) et statistiques sont transmises à Chronhr. L’équipe a testé plusieurs modèles, notamment ceux d’Anthropic et d’OpenAI, avec des résultats satisfaisants, bien qu’ils prévoient une phase plus scientifique de validation avec des jeux de données dédiés. Étapes actuelles et ambitions Actuellement, l’équipe a développé une banque de données synthétiques pour tester sa solution et cherche désormais à décrocher un projet pilote avec un premier client réel, dans un marché reconnu pour ses coûts d’entrée élevés. Elle s’appuie sur un comité consultatif (advisory board), sur le soutien de Propolys, ainsi que sur des discussions en cours avec PwC et KPMG pour établir des partenariats stratégiques. Chronhr prévoit plusieurs apparitions publiques : l’entreprise a été sélectionnée dans le top 100 des compagnies en intelligence artificielle au Canada et présentera un kiosque au Forum FinTech les 14 et 15 septembre, ainsi qu’au GoSec fin septembre. Pour l’instant, l’entreprise cible exclusivement le marché canadien avant d’envisager une expansion vers les États-Unis, où la concurrence est plus forte. Le nom Chronhr, orthographié différemment de « Cronher », est né de la fusion des mots Chronos et Hermès — un clin d’œil approprié à une solution qui vise justement à faire gagner un temps précieux aux analystes AML, avec l’ambition d’atteind

See All (279)

About

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

Information