PolySécure Podcast

Nicolas-Loïc Fortin et tous les collaborateurs

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

  1. 4d ago

    PME - Piqûre de rappel ou l'importance d'entretenir son site web

    Parce que… c’est l’épisode 0x35B! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un cas révélateur de vulnérabilité Maxime Jobin ouvre la discussion avec une situation vécue par son entreprise, spécialisée dans l’entretien et la sécurité de sites WordPress. Ses systèmes reçoivent chaque jour plusieurs rapports de vulnérabilité. Chaque faille signalée requiert un correctif, souvent une simple mise à jour, mais les plugins payants exigent une licence annuelle valide. Un client dont la carte de crédit expirée n’avait pas été remplacée n’a pas pu renouveler sa licence. Malgré plusieurs rappels, le dossier s’est enlisé et le site a été infecté. Après une désinfection complète, le site a été réinfecté une semaine et demie plus tard, la licence n’ayant toujours pas été achetée. Même en engageant une firme spécialisée qui fait ses devoirs, on n’est jamais plus efficace que le maillon le plus faible. Sans la collaboration du client, une infection demeure possible, peu importe le forfait d’entretien. Les fondations d’un entretien efficace Nicolas invite ensuite Maxime à préciser ce que recouvrent ces forfaits, mais celui-ci pose d’abord des principes valables pour toute technologie. La première fondation concerne les sauvegardes. Peu importe le fournisseur, personne n’est magicien et sans backup, impossible de revenir en arrière après un incident. Ces sauvegardes doivent être quotidiennes, stockées sur un serveur distant, voire sur une infrastructure distincte de celle de l’hébergeur, des cas de piratage ou de fermeture d’hébergeur ayant déjà été vécus. Il faut aussi les tester, des fichiers corrompus ou vides ayant déjà été reçus. Des piratages banals amplifiés par l’intelligence artificielle Selon Maxime, la quasi-totalité des piratages observés ne provient pas de failles inédites. Les pirates exploitent des vulnérabilités connues et faciles à cibler en cherchant simplement les sites non mis à jour. Les victimes ne sont pas nécessairement négligentes par choix, car plusieurs ignorent simplement qu’un entretien est nécessaire. Ce constat a mené à la création du service il y a environ huit ans, les agences web abandonnant leurs sites après livraison. Là où une personne sans connaissances en programmation ne pouvait auparavant produire du code, n’importe quel outil d’intelligence artificielle génère aujourd’hui un résultat qui donne l’apparence de fonctionner. Transposé aux intentions malveillantes, cela permet à un individu sans compétences techniques de demander comment exploiter une faille ou quels plugins cibler. L’impact se manifeste aussi dans le volume de requêtes, des agents capables de générer des milliers de sollicitations qui font tomber des serveurs, notamment sur les commerces en ligne. L’analogie de la maison et la complexité des licences Nicolas propose l’analogie de la maison, le constructeur n’étant généralement pas celui qui entretient le toit. Maxime valide la comparaison, l’entretien exigeant des habiletés et des outils distincts de la création. Il critique aussi les mises à jour appliquées à intervalles fixes, car face à une vulnérabilité publiée, la correction doit être immédiate. Restaurer une sauvegarde n’est d’ailleurs plus une solution miracle, les sites vivants générant ventes, formulaires et contenus qui seraient perdus. Les licences payantes ajoutent une couche de complexité considérable, chaque éditeur appliquant ses propres règles. Certains plugins n’indiquent pas l’existence d’une mise à jour sans licence valide, d’autres laissent une mise à jour échouer, d’autres encore bloquent toute action. On peut donc croire à tort que tout est à jour. Cette jungle de subtilités justifie de déléguer l’entretien à des spécialistes, même si rien n’empêche de le faire soi-même. Gérer les incidents et les accès Les forfaits incluent parfois une garantie de désinfection, sous réserve que le client applique les règles demandées. Refuser d’acheter une licence recommandée annule cette protection. En cas d’incident couvert, un rapport documente les causes, les actions posées et les travaux restants pour le client. Maxime insiste aussi sur la gestion des accès. Donner un statut administrateur à tout le monde simplifie la vie, mais expose le site si un mot de passe faible est compromis. Les accès oubliés de sous-traitants ou d’anciens employés constituent des portes d’entrée fréquentes. Les pirates scannent les disques à la recherche d’identifiants, WordPress, l’outil le plus répandu, devenant une cible privilégiée pour contaminer des serveurs. L’hébergement représente une autre surface d’attaque, avec des failles possibles au niveau du système d’exploitation ou du langage PHP. Statistiquement, les plugins et thèmes demeurent toutefois la source majoritaire, surtout les plugins abandonnés qu’on garde par nécessité sans pouvoir les corriger. Détecter et traiter une infection Contrairement aux époques où les pirates défiguraient les pages d’accueil par provocation, les attaques actuelles visent des fins commerciales et restent incognito. Les données de l’industrie estiment à environ neuf mois le délai entre l’infection et sa détection. Lorsqu’un nouveau client souscrit un forfait, les scans initiaux révèlent parfois des infections inconnues. Une désinfection est alors facturée, la garantie ne s’appliquant pas en début de mandat. Des clients croyant être piratés ne le sont d’ailleurs pas toujours, confondant un bug ou un conflit entre plugins avec une attaque. Maxime compare l’entretien aux assurances, un mal nécessaire peu glamour. Les clients ayant vécu un piratage se convainquent facilement de la valeur d’un suivi, d’autant que la loi 25 impose des obligations lors de fuites de renseignements personnels. Son entreprise privilégie les relations à long terme et l’évolution des sites plutôt que les interventions ponctuelles. Une leçon finale Maxime conclut avec la phrase de son associé, on ne sait pas ce qu’on ne sait pas. En cybersécurité, cette ignorance coûte cher. Il invite chacun à évaluer honnêtement s’il est la bonne personne pour gérer ces enjeux, sinon à trouver de l’aide, car les conséquences sont réelles. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; }

  2. 5d ago

    Teknik - Série l'IA dans les CtF - Regard mix

    Parce que… c’est l’épisode 0x35A! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Dans cet épisode technique de Polysécure, l’animateur s’entretient avec Bitkay, membre de l’équipe The Flat Network Society et vétéran des CTF avec treize ans de pratique et plus de trois cents événements. Spécialiste des épreuves web, à la fois participant et organisateur, il livre un regard lucide sur l’irruption de l’IA dans ces compétitions de sécurité. Un basculement net entre 2025 et 2026 En 2025, l’IA restait timide et peu performante. Quelques équipes l’utilisaient sur les épreuves simples pour gagner du temps, mais le travail manuel demeurait plus efficace. En 2026, plus personne ne s’en cache. Les modèles dits de frontière viennent à bout de la plupart des challenges et la compétition devient une course aux dépenses, la victoire revenant à l’équipe qui brûle le plus de tokens. Un plaisir de jeu fragilisé Le CTF était pour lui un jeu entre copains, où chaque épreuve résolue après des heures d’effort procure un vrai rush d’adrénaline. Utiliser l’IA retire ce sentiment d’accomplissement, tandis que s’en passer condamne à descendre dans les classements. Ce dilemme l’a démotivé et l’inquiète surtout pour les débutants, pour qui le CTF restait une excellente école des vulnérabilités et de leur exploitation. Obtenir un flag à coups de prompts, c’est apprendre beaucoup moins, et il redoute une dépendance croissante. Présentiel, distance et économie des tokens Le présentiel garde sa magie, puisqu’on peut enfin mettre un visage sur les équipes rivales et échanger plus librement sur les attaques et les writeups. Sur la question de l’IA, rien ne change, car les modèles tournent à distance. Les coûts révèlent plusieurs profils. Les étudiants disposent de crédits offerts par leurs écoles, des entreprises de cybersécurité utilisent leurs bons classements sur CTFtime comme argument marketing, d’autres ont les moyens de leurs ambitions. Hors des événements prestigieux comme la Defcon, l’investissement reste rarement rentable, d’où sa boutade sur le bug bounty et ses tokens. Des parades organisationnelles limitées Sur certains événements, il voit des équipes lancer un essaim d’agents et aller boire une bière pendant que d’autres galèrent à la main. Interdire l’IA paraît presque impossible, car un modèle capable de réussir une épreuve rédigera aussi un rapport convaincant, et surveiller le réseau reste illusoire avec des joueurs experts en VPN. Tout repose sur la bonne volonté des équipes, alors que prix et gloire attirent la triche. Certains organisateurs proposent deux classements, l’un libre où tout est permis, l’autre où des équipes s’engagent à jouer sans IA. Il imagine même des compétitions dédiées aux meilleurs setups d’IA. Détecter les tricheurs et le code généré Organisateur du FCFC, la sélection française pour la compétition européenne, il raconte comment les tricheurs étaient repérés. Des requêtes trahissaient leur compte par des headers caractéristiques, d’autres résolvaient cinq épreuves en cinq minutes puis se montraient démunis face aux questions. Les exploits livrés trahissent aussi l’IA, propres, dotés d’un argparse soigné et d’options superflues, là où un vrai script de CTF s’écrit dans l’urgence, moche, avec des valeurs codées en dur. Il reste persuadé que beaucoup de tricheurs n’ont jamais été détectés. Une pratique recomposée côté participants Il participe désormais moins, et uniquement à des CTF de confiance dont la qualité est éprouvée. Il choisit deux ou trois challenges intéressants, idéalement ceux qui n’ont encore aucune solution, là où l’IA n’arrive pas, pour se prouver qu’il reste capable de ce que les modèles ne font pas. À l’argument que l’IA servira de toute façon dans son futur travail, l’animateur répond par l’image du sport, où l’on ne progresse plus sans entraînement. L’IA dans la conception des épreuves et le slop Beaucoup de petits événements proposent désormais des épreuves entièrement générées, reprenant des bugs vus cinquante fois. Il admet être exigeant après tant d’années, un débutant pouvant les trouver originales. Il ne s’oppose pas à l’IA pour fabriquer l’habillage, ce site jetable destiné à ne servir qu’une fois. L’essentiel demeure qu’un bug vraiment original se cache au cœur du scénario. Place ensuite au slop, ce contenu produit sans effort de personnalisation. Son exemple, un courriel de trois idées rédigé par l’IA, que le destinataire fait synthétiser pour retrouver les phrases initiales. Deux passages par un modèle pour une illusion de professionnalisme et beaucoup d’énergie gaspillée. Une saison à venir sous le signe du pay to win Les événements sur invitation, où des équipes réputées misent leur réputation sur une participation sans IA, constituent une parade de court terme défavorable aux nouvelles équipes. La surveillance restera possible en présentiel, pas en ligne. Il mesure la frustration d’heures d’effort face à des équipes validant quinze épreuves en dix minutes, personne ne demandant à un modèle de jouer ou de boire une bière à sa place. Il suppose que ces utilisateurs prennent plaisir à voir leur automatisation fonctionner, et y voient peut-être un banc d’essai pour le bug bounty, où les bugs sont difficiles à trouver et simples à exploiter, à l’inverse des CTF. La peur de la dépendance Il regrette aussi de voir se perdre la tradition de réserver une technique inédite aux joueurs méritants d’un CTF avant publication. Il cite un coéquipier spécialiste du reverse qui a confié un binaire redoutable à Codex, résolu en une heure pendant que l’équipe s’acharnait. Ce qui l’effraie le plus reste la dépendance envers quelques entreprises américaines fixant librement prix et accès. Le jour où le robinet se fermera, ceux qui ont perdu l’habitude de chercher par eux-mêmes risquent d’être démunis, et il espère des modèles locaux assez puissants pour prendre le relais. Épisode enregistré avec Lucas Philippe. Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table img.contributor-photo { width: 100px; height: 100px; object-fit: cover; border-radius: 50%; } .contributors-table .contributor-name { display: block; margin-bottom: 4px; font-weight: bold; } .contributors-table .contribu

  3. 6d ago

    SéQCure - OT et convergence vers le cloud - sécurité, gouvernance et valorisation des données

    Parce que… c’est l’épisode 0x359! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Un épisode spécial sur les technologies opérationnelles Dans cet épisode spécial, Nicolas reçoit François Detroyer, consultant en cybersécurité des technologies opérationnelles, mieux connues sous le sigle OT. François a présenté au Sécure un survol de ce domaine souvent négligé au Canada. De formation technicien en procédés chimiques, il a passé quinze ans en industrie manufacturière et en pétrochimie avant de se convertir à la cybersécurité et à l’automatisation industrielle. C’est en touchant aux systèmes de contrôle qu’il a constaté que le monde OT était en cybersécurité facilement quinze ans en retard sur le monde IT. Cette prise de conscience a nourri sa passion et sa volonté d’aider les entreprises à améliorer leur posture, car l’impact d’une attaque sur une infrastructure critique dépasse largement la perte de courriels et touche directement la population. La différence fondamentale entre IT et OT La distinction centrale du propos est que l’OT est de l’informatique qui touche au monde physique. En IT, une attaque fait généralement perdre des fonctionnalités, des services ou des applications. En OT, on contrôle des équipements réels et l’impact peut être majeur, comme dans une usine de traitement des eaux qui dessert une population. La transition s’est faite rapidement, du fil à fil et des relais mécaniques vers des composantes informatiques grand marché. Aujourd’hui, une salle de contrôle OT ressemble à une salle IT, avec des serveurs Dell, des pare-feux Palo Alto ou Fortinet. C’est l’utilisation et la logique en arrière-plan qui font la différence. Les équipes d’automatisation et les instrumentistes ont fait évoluer ces systèmes tranquillement, sans support IT, ce qui a créé des environnements mal documentés et mal protégés. La plus grande menace en OT n’est pas Internet mais l’environnement corporatif lui-même, qui sert de porte d’entrée, et pourtant on se contente souvent d’un simple pare-feu de périmètre entre les deux réseaux, sans visibilité ni inventaire. Patcher ou ne pas patcher François nuance le discours fataliste répandu sur les médias sociaux selon lequel on ne peut pas patcher en OT. La complexité se concentre dans les PLC, les DCS et les équipements spécialisés d’automatisation, mais la couche de supervision et de monitoring reste une couche IT classique. En suivant les recommandations des fournisseurs et en testant en environnement de développement, certains de ses clients patchent au mois ou aux trois mois. Ceux qui refusent le font souvent par peur de l’inconnu, car faire tomber un serveur en production peut coûter très cher, jusqu’à un million par heure d’arrêt dans une raffinerie. La désuétude est par contre réelle et normale. Une machine sous Windows XP reliée à un équipement physique ne peut pas être remplacée sans changer tout le système, ce qui coûte des millions. On mitige alors autrement, avec de la segmentation, des IDS et de la visibilité sur le trafic. Il faut aussi noter que la durée de vie des équipements en OT peut atteindre quarante ans, ce qui rend l’obsolescence inévitable mais pas insurmontable. Disponibilité et triangle CIA inversé En OT, le triangle de la CIA est inversé. La sécurité physique vient en premier, puis la disponibilité prime sur la confidentialité, car les procédés industriels tolèrent mal les pannes. François raconte ses audits dans des usines de traitement d’eau au Québec, où les équipes sous-subventionnées travaillent seules, sans support, avec des TeamViewer et des VNC ouverts directement sur Internet. Le personnel de garde a besoin d’un accès à distance et, faute de ressources, il trouve des solutions seul sur Google. Ces usines s’exposent ainsi sur Internet avec leurs PLC visibles pour faciliter les mises à jour. Ce n’est pas de la malveillance, mais un manque de ressources et d’accompagnement. Les délais entre un audit et une décision client peuvent atteindre six mois ou un an, pendant lesquels la vulnérabilité persiste. La menace ne fait pas de distinction de taille Beaucoup de petites organisations se croient à l’abri parce qu’elles sont petites. François explique que les acteurs étatiques ciblent des entreprises précises pour maximiser l’impact et semer la peur, mais la majorité des attaquants cherchent simplement une vulnérabilité exposée. Des bots scannent Internet en continu et enchaînent les attaques automatiquement, peu importe la taille de la victime. Les conflits récents, comme le début du conflit en Irak, ont montré que des centrales de traitement d’eau ont été compromises en quelques jours. Nicolas ajoute que ces petites entités négligées servent parfaitement les objectifs des attaquants, qui cherchent à déstabiliser plutôt qu’à prendre le contrôle. Le fossé humain entre les deux mondes Une grande partie de la discussion porte sur la dimension humaine. Les équipes OT, issues de l’instrumentation, de l’électricité et du génie électrique, se sont débrouillées seules pendant des années après avoir été ignorées par les équipes IT. Aujourd’hui que les IT veulent s’intéresser à ces systèmes, elles se heurtent à une méfiance compréhensible. Dans certaines entreprises, les deux équipes fusionnent et le transfert de connaissances fonctionne. Dans d’autres, elles restent séparées et le pare-feu entre IT et OT devient une tranchée de guerre où chaque camp gère son univers sans vraiment se parler. Le personnel OT comprend le risque mais manque de connaissances informatiques approfondies, tandis que les profils IT ne connaissent pas les réalités industrielles. Même les recruteurs confondent encore le métier, comme ce recruteur qui croyait que l’OT consistait à installer des caméras. Complexité, visibilité et légitimité des investissements François insiste sur un principe universel en cybersécurité, ne pas ajouter de complexité. Accumuler des outils, du whitelisting, de l’antivirus et de l’IDS génère des faux positifs et embourbe les systèmes. En OT, où les systèmes sont déjà complexes, c’est encore plus vrai. La visibilité, naturelle en IT, n’est pas un réflexe en OT, alors que les équipements grand marché lisent désormais les protocoles industriels courants comme Modbus, BACnet et DNP3. Le paradoxe soulevé par Nicolas est frappant, l’OT est un domaine de télémétrie par essence, on surveille pressions et températures en salle de contrôle, mais on ne surveille pas le réseau qui supporte tout cela. Cette culture du monitoring industriel, où les enjeux vont jusqu’à

  4. Oct 20

    Spécial - Certification - Trousse globale de vérification (TGV) pour le réseau de la santé au Québec

    Parce que… c’est l’épisode 0x358! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. L’invité et le sujet L’épisode spécial du Polysecure accueille Sébastien Robert, associé principal chez Facteo Services-Conseils, un petit cabinet boutique en gouvernance des technologies de l’information. L’animateur souligne l’importance de ces dialogues où les auditeurs lèvent la main pour partager leur expertise. Sébastien a proposé d’aborder le TGV, un cadre normatif obligatoire pour les fournisseurs technologiques du système de santé québécois. Un référentiel adaptatif de 382 critères Le TGV signifie trousse globale de vérification. Ce référentiel compte 382 critères, un volume considérable comparativement aux normes habituelles comme ISO 27001 ou SOC 2, qui en comptent généralement entre 90 et 200. Contrairement à ces normes où l’on applique l’ensemble des contrôles, le TGV fonctionne selon un principe de gros bon sens. Le fournisseur présente sa solution à Santé Québec, qui évalue les critères applicables, que ce soit 382 critères ou 100 à 250 selon la conception et la fonction de l’application. Une sélection en boîte grise La sélection effectuée par Santé Québec n’est ni une boîte noire ni une boîte blanche, mais plutôt une boîte grise. Des grandes familles de critères s’appliquent selon la nature de la solution. Un scribe alimenté par l’intelligence artificielle verra les critères liés à l’IA s’appliquer, tandis qu’une connexion au dossier de santé numérique entraînera l’évaluation des critères d’interopérabilité. Le processus débute par un contact avec Santé Québec, qui fournit la grille, puis un questionnaire détermine les critères retenus. Sébastien insiste sur l’honnêteté requise, car cacher des informations mènerait aux mêmes ennuis qu’avec un auditeur SOC 2, tandis que la transparence génère de la collaboration en retour. Un référentiel évolutif inspiré de plusieurs normes Santé Québec a publié son nouveau référentiel en juin, passant de 254 à 382 critères, une augmentation d’environ 50 %. Cette croissance se traduit principalement dans la gestion de la vie privée et de l’intelligence artificielle, avec l’intégration de presque la totalité des contrôles d’ISO 4201. Le TGV combine aussi la loi 5, la loi 25, ISO 27001, des critères de HIPAA et de SOC 2 type 2, avec une centaine de contrôles propres, notamment en interopérabilité, applicables dès qu’une connexion existe entre deux applications. L’animateur y voit le nerf de la guerre dans le milieu de la santé, tant la communication entre systèmes demeure difficile. Sébastien anticipe que les prochaines moutures pourraient exiger la conformité à l’infrastructure de Nuage Québec. Il mentionne aussi la création récente de Données souveraines Québec, financée par le ministère du Numérique et de la Cybersécurité, dont son cabinet est membre. L’absence de reconnaissance mutuelle Il n’existe pas de processus de reconnaissance de certification. Une certification SOC 2, ISO 27001 ou NIST ne donne pas droit à une exemption de critères. L’équipe de Sébastien a toutefois monté un mapping sur 13 grands référentiels, qui sera bientôt publié sur GitHub via CISO Assistant pour la communauté. Santé Québec offre de l’accompagnement, mais pas de consultation. L’analogie avec le système judiciaire est parlante, on peut se représenter seul devant la cour, mais un avocat connaissant la drill facilite grandement le parcours. Certifier sans accompagnement reste possible avec une expérience préalable en gouvernance. Les exigences réglementaires et l’hébergement des données Même les grandes structures peuvent avoir besoin d’aide face aux exigences particulières. Les tests d’intrusion et les documents en français suivent des exigences précises. Contrairement à une idée répandue, être conforme au RGPD ne garantit pas la conformité à la loi 25, plus contraignante à certains égards et plus laxiste à d’autres. L’hébergement des données doit se faire préférablement au Québec ou au Canada, sinon une évaluation de vie privée devient nécessaire. Un tenant à l’étranger pourrait exiger une migration ou un dossier justificatif, comme pour l’accès à des GPU indisponibles au pays. Pour l’intelligence artificielle, les données doivent être anonymisées avant envoi, les options d’entraînement fermées, et une évaluation de vie privée réalisée. La loi 5 s’applique pleinement puisque les solutions traitent des dossiers patients. Le processus d’audit et le maintien Le dossier d’audit est monté dans une plateforme de gouvernance au choix, du simple tableur à l’open source CISO Assistant, en passant par des solutions payantes pouvant coûter de 10 000 à 20 000 dollars par année et par référentiel. L’audit est réalisé par l’un des deux cabinets retenus par appel d’offres, pour un coût d’environ 15 000 dollars. La recertification n’est pas annuelle mais déclenchée par les versions majeures, comme un changement complet de système d’exploitation ou l’ajout d’intelligence artificielle. Un SaaS évoluant progressivement suit un processus de maintien avec soumission de change logs évalués par Santé Québec. La certification est valide environ cinq ans, mais un dialogue continu s’installe plutôt qu’un rendez-vous unique. Une certification applicative et un parcours à planifier Un point crucial, le TGV certifie l’application et non l’organisation. Des contrôles organisationnels existent comme la gestion des droits d’accès et le principe du moindre privilège, mais une même organisation peut avoir deux applications certifiées avec un chevauchement des contrôles. Une bonne plateforme de gouvernance permet de ramener rapidement les preuves en s’alignant toujours sur la barre la plus élevée. Pour les organisations sans expérience en gouvernance, l’approche consiste à établir un plan de match. Viser d’abord le marché américain avec une HIPAA ou une SOC 2 type 2 couvre déjà une centaine d’exigences du TGV. Certains fondateurs ont d’ailleurs choisi de ne pas attaquer le marché québécois, un choix d’organisation légitime. La protection des données de santé Sébastien conclut en rappelant que le TGV, bien que lourd, existe pour protéger les données de santé des Québécoises et des Québécois. Jusqu’à aujourd’hui, aucune fuite de données n’est venue d’un prestataire tiers, un bilan dont il salue l’équipe de Santé Québec. Le dossier de santé constitue ce qu’il y a de plus précieux, incluant des informations sur les enfants, les parents et la santé mentale. L’anima

  5. Oct 19

    Actu - 18 octobre 2026

    Parce que… c’est l’épisode 0x357! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Introduction et événements à venir Cet épisode du Pôle Sécur couvre l’actualité du 18 octobre 2026 et a été enregistré le 23 octobre. L’animateur mentionne qu’il rattrape son retard de publication et espère revenir à un rythme hebdomadaire normal. Plusieurs événements sont annoncés, dont le Defcon à travers le monde à Montréal les 13 et 14 novembre, une conférence de la CNIL à Paris sur l’éthique du numérique en contexte électoral le 16 novembre, l’Europe Cyber Week à Rennes, le Sécur à Québec en février 2027 et l’Insyber Europe à Lille en mars 2027. Deux mentions hors événements sont aussi faites, soit le podcast IA Café de l’Université Laval et l’outil Dasio de Beau Sécurité, un scanner destiné aux développeurs pour détecter les packages compromis et les secrets exposés, sur lequel un épisode spécifique sera publié. Intelligence artificielle et agents Le premier grand bloc porte sur les backdoors installables par les agents. Une recherche démontre qu’il est possible de cacher des neurones chiffrés dans un modèle, ce qui ouvre la voie à des fonctionnalités dissimulées activées par certains paramètres. Les agents de développement qui téléchargent automatiquement des packages NPM amplifient les risques liés aux dépôts vérolés ou détournés, un problème que l’outil Dasio vise justement à atténuer. Des études examinent aussi comment les systèmes multi-agents transmettent l’information entre eux, notamment à la suite des incidents publics chez Hugging Face. Sur la bulle de l’IA, la faillite d’une première entreprise est présentée comme un signe précurseur, tandis que le FMI estime que l’endettement des grandes entreprises du secteur représente un risque pour l’économie. Meta a déployé des conditions d’utilisation jugées trop permissives, et des firmes de recherche financière utilisent l’introduction en bourse d’Anthropic pour illustrer l’écart entre les valorisations espérées et les chiffres réels. Une sous-section intéressante aborde la possibilité que l’IA trouve des raccourcis pour fragiliser la cryptographie, sans la briser comme le ferait le quantique. Des prototypes résistants au quantique auraient déjà été écartés après avoir été cassés par l’IA. Un autre vecteur d’attaque consiste à faire dépenser massivement les crédits d’inférence facturés au token des entreprises, sur le même principe que le cryptojacking. L’équipe de cybersécurité de Blizzard partage son expérience d’adoption de l’IA, alors qu’un autre article met en garde contre la faible résistance des réseaux OT face aux agents, un danger accru dans un contexte géopolitique tendu. Bank of America a embauché plus de 1 000 consultants pour corriger les vulnérabilités découvertes par Mitre, ce qui illustre l’instabilité du code existant et le risque que le vibe coding perpétue ces failles. Côté contournement, une approche scientifique propose d’évaluer si les réponses des modèles répondent réellement aux questions afin de bloquer le jailbreaking. L’injection indirecte de prompts se multiplie dans les en-têtes de sites web, ce qui complique la veille automatisée et soulève des questions éthiques pour les créateurs et les utilisateurs. Les nouveaux modèles fermés de type GEB ne changent pas fondamentalement la donne, puisqu’ils s’appuient sur les mêmes moteurs d’inférence. Des analyses montrent que l’usage de langues rares facilite le contournement des contrôles, d’où une proposition de normalisation, et qu’il est possible de manipuler moralement les modèles avec des énoncés vertueux. La menace d’autoréplication des petits modèles dans les objets connectés est remise en question, aucune démonstration bout en bout n’ayant été faite. L’animateur critique ces scénarios de catastrophe qui font paniquer sans éclairer les décideurs. Sur la responsabilité juridique, une dynamique malsaine est soulignée où les fournisseurs d’agents proposent leurs produits comme solution aux dommages qu’ils causent. Huit États américains poursuivent OpenAI pour insuffisance de protection des enfants, et la FTC enquête sur Anthropic et OpenAI. Finalement, un agent de recherche d’OpenAI a prouvé sa valeur commerciale, des services permettent de re tracer des maisons via les photos Airbnb, ce qui change la réflexion sur la vie privée, et la question de la confiance envers les agents à instructions cachées demeure préoccupante. Guerre, souveraineté et vie privée Les Ukrainiens ont attaqué des centres de données russes qui hébergent des services comme Yandex, un sujet approfondi dans un épisode à venir avec Cyber Citoyen. X a purgé 13 000 comptes, possiblement en réaction à ces événements. Les Britanniques cherchent à encadrer la dominance de Microsoft, et l’Europe estime que sa quête de souveraineté numérique pourrait coûter jusqu’à 128 milliards de dollars, un chiffre que l’animateur refuse d’utiliser comme levier de peur. En matière de vie privée, Google lie silencieusement les numéros de téléphone des appareils Android aux comptes Google. Un plaidoyer contre les Passkeys critique leur rattache ment de l’identité, et le chiffrement perd du terrain sous la pression des lois. Aux États-Unis, un mandat fédéral a permis de surveiller des journalistes documentant les opérations d’ICE, tandis que le président de Flock plaide pour ses technologies. Au Canada, le projet C-22 sur l’accès dit légal à l’information menace potentiellement le chiffrement, et l’animateur invite les citoyens à contacter leur député fédéral. Loi et incidents notables OpenAI a retourné la poursuite d’Apple sur le vol d’informations, et le jugement impliquant Air Canada au Canada rappelle que les entreprises restent responsables des erreurs de leurs systèmes d’IA, même si l’interprétation des lois demande encore de la clarté. Dans la section rouge, un bug de 37 ans découvert dans OpenBSD ébranle la confiance envers ce système réputé très sécuritaire, même si ce brassage pourrait le rendre encore plus robuste. Un spyware à zéro clic exploité via la publicité ciblée a été confirmé, faisant écho à l’épisode enregistré avec l’équipe de Sekoya au North Sec. Un ingénieur d’OpenAI aurait dissimulé un micro dans un rouleau de papier toilette dans une salle sécurisée, révélant des procédures étonnamment faibles. En France, des frigidaires industriels se sont mis à chauffer à cause d’interfaces de gestion exposées sur Internet avec des mots de passe faibles, une double négligen

  6. Oct 16

    Teknik - Rewiring the SOC - From Detection-as-Code to Agentic MDR in Production (bsides)

    Parce que… c’est l’épisode 0x356! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. Présentation de l’invité et contexte Dans cet épisode spécial BSides du Polysecure, Nicolas reçoit Pierre Collard, qui dirige les équipes de détection et de réponse chez Sopra Steria pour le périmètre Canada et États-Unis. Sopra Steria est une société européenne de transformation numérique en pleine expansion en Amérique du Nord qui accompagne des clients de tailles et de secteurs variés, allant de l’assurance aux municipalités en passant par de grands groupes automobiles. Pierre est venu présenter au BSides, ainsi qu’à GoSec, un sujet portant sur la modernisation du SOC et la place réelle de l’intelligence artificielle dans les opérations de cybersécurité. La promesse de l’IA face à la réalité du terrain Pierre constate un consensus clair sur le potentiel de l’intelligence artificielle, mais souligne que la majorité des clients, petits comme grands, ne disposent pas encore de la maturité opérationnelle ni de la gouvernance nécessaires pour déployer des outils gérés par l’IA à grande échelle. Les données ne sont souvent ni fiables ni structurées et les processus manquent de clarté. Contrairement au discours marketing qui promet de trier le désordre existant, Pierre soutient que ce désordre doit être organisé en amont avant qu’une intelligence artificielle puisse générer une valeur réelle. L’IA n’est pas un outil magique, et sans les informations adéquates, elle ne livrera que la performance standard de la solution, mal alignée avec les enjeux business. Le cycle de vie d’un incident et les limites de l’autonomie Pierre décompose le cycle de vie d’un incident en trois phases. La détection génère les alertes, l’investigation consiste à corréler les événements, enrichir les cas et comprendre la situation, puis vient la décision, où l’on détermine quoi faire de cette information. Sur les deux premières phases, l’IA apporte déjà des gains notables en accélérant l’ingénierie de la détection, la gestion des signaux faibles, la création de rapports et l’enrichissement. Cependant, la partie décision reste problématique. Déléguer des actions à un agent ne transfère pas la responsabilité, qui demeure du côté des équipes de sécurité. Ce niveau de confiance requis pour une autonomie complète n’est pas encore atteint dans la plupart des organisations. Trois prérequis pour brancher l’IA utilement Pierre identifie trois éléments essentiels. Le premier est le contexte, c’est-à-dire donner à l’agent les informations qui permettent de comprendre ce que l’entreprise considère comme malveillant, selon son environnement, ses enjeux et son historique. Le deuxième est l’historique, qui consiste à corroborer une hypothèse avec les incidents passés et les décisions qui avaient été prises, notamment via une intégration à un outil ITSM, ce qui suppose une hygiène de gestion rigoureuse. Le troisième est l’autorité, soit la délimitation de ce qu’on délègue ou non à l’agent selon la criticité du cas d’usage et la capacité à revenir en arrière. Certains cas tolèrent un niveau de confiance de 60 à 70 pour cent, tandis que d’autres, comme la mise hors ligne d’une production, exigent une certitude proche de 99 pour cent avec un humain dans la boucle. Mesure de l’efficacité et qualité des données Pour évaluer les agents, l’équipe de Pierre s’appuie sur plusieurs métriques, dont le taux d’accord sur les décisions recommandées, la capacité de l’agent à retrouver des preuves contextuelles, le taux d’actions non sécurisées et l’analyse coût-performance. Les tests se font principalement en interne, via des campagnes avec des critères précis, puisque la majorité des clients n’en sont qu’à utiliser les fonctionnalités IA fournies avec leurs outils existants. Concernant les données, Pierre recommande un modèle de données clair avec des champs critiques, dont le raisonnement suivi par l’agent et le contexte utilisé, sans exiger une CMDB parfaitement propre avant de démarrer les preuves de concept. Il estime par ailleurs que les efforts de gouvernance et d’assurance qualité autour d’un agent représentent deux à trois fois les efforts de sa mise en place initiale. Un exemple concret de l’importance du contexte Pierre illustre son propos avec une alerte de détection de clé USB ou de fichier malveillant. Pour une entreprise dont la politique interdit les supports amovibles et où l’alerte provient d’un VIP du département des finances, l’incident sera ouvert et escaladé avec isolement de l’hôte. Pour une autre entreprise où l’usage quotidien des supports amovibles est accepté et où les données sont moins sensibles, le contrôle aura simplement fonctionné sans ouverture d’incident. Le même contexte technique peut donc produire des décisions diamétralement opposées selon le contexte opérationnel, et c’est précisément ce type d’information qu’il faut transmettre aux agents. L’évolution du rôle de l’analyste Les tâches techniques sont de plus en plus automatisées et le rôle de l’analyste se transforme vers la vérification, l’encadrement des agents, la gestion des identités et des exceptions, et la gouvernance du contexte fourni. Pierre prend l’exemple de la fonction XDR Attack Disruption de Microsoft, qui agit de façon autonome sans playbook manuel, les analystes vérifiant ensuite les actions et documentant les exceptions. Il nuance toutefois l’idée d’un simple décalage latéral des compétences. Selon lui, l’expertise technique doit rester présente, avec en plus des compétences en gestion de l’IA et en gouvernance, ce qui élève le point d’entrée de l’échelle d’un cran plutôt qu’il ne le décale sur le côté. Cela rend l’intégration de profils juniors plus difficile et nécessitera à terme des formations plus structurées et explicites pour maintenir les compétences. Le SOC du futur et le modèle économique Pierre décrit un changement du centre de gravité du SOC. Là où l’analyste était historiquement le goulot d’étranglement, l’organisation de demain verra les humains concevoir l’architecture et le service, les agents réaliser les investigations et les recommandations, et des garde-fous statiques comparer ces recommandations à la politique de sécurité. La valeur ajoutée des offres se recentre sur les résultats cybersécurité plutôt que sur le simple nombre d’analystes facturés, ce qui devrait transformer en profondeur le marché du MDR. La question des coûts La dimension financière constitue une troisième dimension à ajouter

  7. Oct 15

    Teknik - Série l'IA dans les CtF - leHACK WarGame

    Parce que… c’est l’épisode 0x355! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. ### Une invitation à découvrir le wargame du Hack Cet épisode spécial reçoit Majin Boo, président de l'association Hacker's Voice, qui anime des rencontres mensuelles, organise le Hack à Paris et coorganise chaque année BarBack à Toulon. Il vient présenter le wargame de cet événement et surtout expliquer comment l'intelligence artificielle a bousculé sa dernière édition. ### Un CTF nocturne entre compétition et découverte Le wargame se tient exclusivement sur place, généralement le dernier week-end de juin, avec plusieurs dizaines d'épreuves couvrant le web, la crypto, la stéganographie et d'autres domaines. De la soirée jusqu'à 6 h ou 7 h du matin règne une ambiance festive, entre boissons énergisantes et bières, même si les hoodies se font rares fin juin. La participation est strictement individuelle, même si des groupes de cinq à dix personnes se montent spontanément pour viser le haut du classement, sans que les organisateurs cherchent à les contrôler. Deux publics cohabitent. Les compétiteurs tentent de boucler toutes les épreuves avant l'aube pour décrocher le podium, tandis que d'autres viennent apprendre à leur rythme et s'amuser entre amis. La salle principale héberge environ 500 joueurs, rejoints par 200 places supplémentaires et des participants dispersés ailleurs dans la conférence. Y rester procure un avantage, les annonces d'ajouts d'épreuves ou de bugs y étant entendues. ### Anticiper l'IA pour remotiver les créateurs d'épreuves L'IA s'est imposée comme un enjeu majeur dès la préparation de l'édition 2026. Plusieurs créateurs historiquement impliqués ont vu leur motivation chuter, jugeant absurde de sacrifier des soirées à des challenges que des outils automatisés viendraient à bout en quelques minutes. Les organisateurs ont donc œuvré à les remotiver, rappelant que sans épreuves, il n'existe ni wargame ni flag, et que la majorité des participants ne cherche pas à tricher, mais vient pour s'amuser, comprendre et apprendre, préférant l'emporter sur le pote d'à côté plutôt que sur un professionnel assisté d'un modèle. Le calendrier a compliqué la donne, l'événement se préparant des mois à l'avance dans un paysage mouvant où un modèle a même été annoncé puis retiré sous la pression américaine, tout en restant accessible via des jetons cloud ou d'autres LLM. Concevoir des épreuves que les LLM ne savent pas résoudre relève de l'incertitude, puisque ce qui les dépasse trois mois avant l'événement ne les dépassera peut-être plus le jour venu. Limiter les tentatives constitue une autre option, les modèles ayant tendance à forcer brutalement là où un humain avance prudemment. L'injection de prompts a été écartée, un participant pouvant copier-coller la seule partie utile une fois le sujet cerné. ### Rééquilibrer sans prétendre tout bloquer Ces mesures servent surtout à rééquilibrer les forces. Le participant qui s'en sort bien possède une base solide lui permettant de jongler avec les limitations, sollicitant le modèle pour comprendre plutôt que tout déléguer. Le reverse engineering, historiquement redouté, est en revanche bouleversé, puisqu'il suffit de confier un binaire à un LLM relié à un outil de décompilation. Là où il fallait des années pour développer réflexes et instinct, les modèles pilotant ces outils ont pris une avance difficile à combler, puisqu'on ne réinventera pas un langage pour le dérober à des machines qui l'apprendront plus vite que nous. Le format compte aussi, BarBack misant sur le matériel dédié, une fault injection exigeant un accès physique à la carte. Avec près de 1000 personnes au Hack, entraver celui qui contournerait une restriction réseau est illusoire, tout en voulant ménager les participants honnêtes. La question du public visé se pose, compétiteurs acharnés ou majorité venue pour le plaisir, ces groupes se recoupant d'ailleurs largement, et ceux qui passent le meilleur moment ne sont probablement pas focalisés à cent pour cent sur le classement. ### Une nuit sans police ni ressentiment Sur place, aucun ressentiment marqué n'a été constaté. Sachant que des LLM seraient utilisés, l'équipe a renoncé à les bloquer ou à les traquer, posture jugée vaine avec le partage de connexion mobile et contraire à l'esprit de l'événement. La crainte de voir toutes les épreuves résolues en pleine nuit ne s'est pas réalisée, des centaines de participants restant jusqu'au matin, légèrement moins que les années précédentes. Certains ont dépensé 1000 ou 2000 dollars de jetons pour des lots valant quelques centaines d'euros, à l'image d'entreprises sponsorisant leurs équipes pour 5000 à 10 000 dollars sans retours équivalents. Ce déséquilibre est en partie assumé. Les organisateurs préfèrent des épreuves faisant suer l'IA et coûteuses en jetons, espérant des usages ponctuels et astucieux plutôt qu'un concours de budget chez Anthropic ou OpenAI, un modèle façon formule 1 où l'argent décide des vainqueurs. Ce qui les amuse, c'est un exploit élégant obtenu avec un code tout simple, ou un ESP32 à quelques euros accomplissant des prouesses mieux qu'un équipement hors de prix. ### L'esprit hacker face à la boîte noire Reste la question de fond. Le hacker qui traque des vulnérabilités non documentées est désormais en concurrence avec les LLM, incarnation de la boîte noire impossible à réentraîner dans son garage face à des acteurs aux budgets colossaux. Majin Boo veut croire que se demander comment fonctionne un système, plutôt que lui faire confiance, garde tout son sens dans ce duel asymétrique de David contre Goliath. ### Cap sur 2027 et l'humain au centre Pour l'édition 2027, le combat frontal est exclu, un nouveau modèle plus performant surgissant chaque mois. Les organisateurs poursuivront sur l'expérience et le plaisir, rassurés par une fréquentation qui a tenu malgré l'IA. Une réflexion s'ouvre autour du tableau compétitif et du podium, même si les gens aiment se comparer, à l'image des marathoniens visant leurs amis ou leur record. Le but demeure un événement où chacun s'amuse et apprend, l'usage de l'IA par les chercheurs allant de soi. Ce qui compte, c'est l'humain qui pressent une faille, s'aide du modèle là où il bloque, comprend le reste par lui-même et le partage ensuite. Notes leHACK Contributeurs .contributors-table { border-collapse: separate; border-spacing: 20px 8px; } .contributors-table td, .contributors-table th { border: none; background: transparent; text-align: center; vertical-align: top; } .contributors-table i

  8. Oct 14

    SéQCure - Vous avez un secteur « GIA » en place? L'Auditeur aussi... et il prend des notes.

    Parce que… c’est l’épisode 0x354! Shameless plug 13 et 14 novembre 2026 - Worldwide - DEATHCon 16 au 19 novembre - Rennes, France - European Cyber Week 2026 25 et 26 février 2027 - Québec, Canada - SéQCure 2027 9 au 11 mars 2027 - Lilles, France - Forum INCYBER - Europe 2027 I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes Boostsecurity - Dazio Description Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées. La perception de l’audit démystifiée Dans cet épisode spécial Sécur du Polysécure, Nico reçoit Vincent Groleau pour discuter de sa conférence présentée lors de l’événement. Vincent, spécialiste en audit et en gestion des identités et des accès (GIA), s’attaque d’emblée à la caricature souvent associée aux auditeurs, perçus comme des gros méchants qui viennent taper sur les doigts. Il tient à rétablir les faits en expliquant que l’auditeur ne vient pas vérifier tous les petits détails des bonnes pratiques mises en place. Son objectif est plutôt de déterminer si les systèmes dans la portée d’audit, qu’ils soient administratifs ou financiers, sont exposés à un danger. Il précise qu’il n’est pas nécessaire d’avoir la Cadillac en matière de pratiques. Ce qui compte, c’est d’avoir des contrôles suffisants, une surveillance assidue et une pratique vivante qui s’intègre réellement aux opérations plutôt qu’un mécanisme maintenu artificiellement. Audit interne et audit externe deux missions distinctes Vincent apporte une nuance importante entre l’audit interne et l’audit externe. L’audit interne veut s’assurer que ce qui a été décrit dans les encadrements, les standards et les pratiques correspond à ce qui se fait réellement dans l’organisation, en confrontant le tout aux bonnes pratiques. L’audit externe, quant à lui, se limite aux applications financières et au traitement des données financières, qu’il s’agisse de saisie, d’opération, de modification, de suppression ou de transit. Son rôle est de valider que la pratique opérée est suffisante et efficace, même si elle ne correspond pas parfaitement à ce qui est écrit. La gestion des accès comme première et dernière ligne de défense Nico souligne que la GIA est le nerf de la guerre dans les systèmes informatiques actuels, car posséder les identités donne la capacité d’entrer dans les systèmes et de confirmer que les personnes effectuant des opérations financières y ont été légitimement autorisées. Vincent partage cette vision et utilise l’image des films américains où il est inscrit « first line of defense » dans les bureaux de la CIA. Pour lui, les accès sont la première et la dernière ligne de défense. Il rejette l’idée que la gestion des changements serait le nerf de la guerre, en référence au film Superman 3 où un développeur transfère des demi-sous dans son propre compte. Si une telle fraude est possible, c’est que la gestion des accès a échoué à l’en empêcher. L’autorisation est donc à la source de tout. Un cycle de vie vivant pour les accès Vincent décrit le cycle de vie complet de la gestion des accès, de l’embauche jusqu’au départ ou à la retraite de l’employé. On embauche des gens avec des rôles et des responsabilités, on gère des groupes de sécurité, on s’assure d’une chaîne d’approbation saine au bon niveau hiérarchique, impliquant le propriétaire de la donnée plutôt que seulement le gestionnaire immédiat. La gestion des accès doit devenir un organe vivant qui s’ajuste, se modifie et respire avec l’employé. Vincent admet que la pratique n’est pas parfaite, avec ses oublis, ses manquements et ses manques de documentation ou de traçabilité. Il précise aussi que la gestion des accès couvre environ 80 % de l’ouvrage sur l’autorisation, mais que d’autres contrôles existent dans les systèmes pour attraper des transactions inadéquates. Les trois lignes de défense expliquées La discussion aborde ensuite le modèle des trois lignes de défense. La première ligne correspond aux opérations, où chaque secteur doit faire une réflexion sur ses risques et produire un portrait de risque, une auto-évaluation qui permet parfois de découvrir des angles morts. La deuxième ligne analyse cette auto-évaluation en allant chercher de la donnée, de la volumétrie et de l’historique pour valider sa justesse, tout en évaluant des situations comme la désuétude technologique, qu’elle soit liée à l’équipement ou à la fin du support des logiciels. La troisième ligne est l’audit interne, qui teste réellement si les risques identifiés peuvent se matérialiser et si les impacts sont bien évalués, avec des recommandations qui remontent au comité d’audit. La transparence comme stratégie gagnante Vincent livre un message direct aux praticiens de la GIA. Selon lui, la plupart des équipes connaissent déjà leurs faiblesses à 99 %, mais hésitent à les communiquer par gêne ou par peur de se faire prendre en faute. Il encourage la transparence totale, autant avec les consultants qu’avec les deux autres lignes de défense. Présenter ses problèmes en rouge, avec des arguments, des justificatifs et des solutions, fonctionne auprès de la direction. Si le message ne passe toujours pas, il faut donner toutes les informations à l’audit interne, qui remontera la situation au comité d’audit. Nico renchérit en soulignant que plusieurs incidents publics au Québec auraient pu être évités si la haute direction avait écouté les messages soulevés à l’interne. Il déplore également que les organisations restent gênées d’admettre qu’elles n’ont pas les ressources humaines ou technologiques nécessaires. Une question de disponibilité continue Vincent apporte une nuance intéressante sur le rythme des organisations. Si les humains travaillent de 7 à 8 heures par jour, les compagnies fonctionnent 24 heures sur 24, 7 jours sur 7. Les accès sont sollicités à chaque seconde, que ce soit dans les institutions financières ou même dans les entreprises manufacturières où la production continue la nuit. Les contrôles doivent donc fonctionner même en l’absence des êtres humains. Il recommande de se mesurer constamment, d’impliquer l’audit interne en mode projet pour valider les jalons importants, et de faire preuve de créativité dans les pratiques, peu importe l’entité ou le domaine d’affaires. Comptes à privilèges et séparation des tâches En conclusion, Vincent insiste sur les comptes à privilèges, qu’il faut restreindre au maximum. Dans une entité, il s’attend à seulement trois ou quatre personnes dûment identifiées avec de tels accès. Il aborde aussi la séparation des tâches, les fameuses SoD, en recommandant de consulter la comptabilité qui connaît bien les tables de tâches incompatibles. Un sysadmin, un DBA et un sysoperator doivent être trois individus différents dont les accès ne s’entrecroisent jamais. Dans les petites entités de quinze ou vingt employés, des contrôles compensatoires doivent êtr

See All (858)

About

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

Information

  • Creator
    Nicolas-Loïc Fortin et tous les collaborateurs
  • Years Active
    2021 - 2026
  • Episodes
    858
  • Rating
    Explicit
  • Copyright
    © CC BY-NC-ND 4.0
  • Show Website
    PolySécure Podcast

You Might Also Like