PolySécure Podcast volet PME

Nicolas-Loïc Fortin et tous les collaborateurs

Podcast francophone sur la cybersécurité pour les PME

  1. 2d ago

    PME - Résilience et fermeture de crise

    Parce que… c’est l’épisode 0x327! Shameless plug 19 septembre 2026 - Bsides Montréal 22 septembre 2026 - BE-Cyber 24 au 25 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Ce troisième et dernier volet de la série consacrée à la gestion de crise en cybersécurité s’attarde sur une question centrale : quand une crise est-elle réellement terminée ? Les invités s’accordent à dire qu’il faut distinguer deux moments bien différents : la gestion de crise proprement dite, et ce qu’ils appellent le « postcrise » ou le « relic » (les séquelles à traiter après coup). Quand la crise prend-elle fin ? Selon les intervenants, la crise se termine dès que l’organisation retrouve sa capacité à remplir sa mission, même en mode dégradé, et non lorsque tout est parfaitement résolu. Autrement dit, l’équipe de gestion de crise peut être allégée dès que le service essentiel peut être rendu à la clientèle — le reste (améliorations, projets de modernisation, correctifs secondaires) relève d’une phase ultérieure, distincte, et ne doit pas maintenir artificiellement l’organisation en « mode crise ». L’exemple de la pandémie de COVID-19 illustre bien ce piège : la véritable urgence (déployer le télétravail, fournir les équipements) n’a duré que trois semaines, mais certaines entreprises sont restées en « gestion de crise » pendant un an, confondant ajustements mineurs (port du masque, plexiglas) et véritable état de crise. Pour structurer les priorités pendant l’incident, un cadre à quatre niveaux est proposé : ce qui doit être réglé en 5-6 heures, ce qui doit l’être en 24 heures, ce qui relève du meilleur effort, et enfin ce qui devient un projet à part entière — souvent les nombreuses lacunes découvertes en cours de route, qui n’empêchent pas la reprise du service et peuvent donc attendre. L’impact humain, trop souvent négligé Une grande partie de la discussion porte sur les conséquences humaines, qui persistent bien après le retour du service. Deux effets majeurs touchent particulièrement les équipes TI : La surcharge de travail : reconstruction des données saisies manuellement pendant la panne, remise en état des systèmes non prioritaires laissés de côté, rattrapage du travail courant — tout cela s’ajoute au quotidien normal une fois la crise « officiellement » terminée. L’impact psychologique : les employés directement mobilisés vivent un choc parfois comparé à une agression personnelle, avec des effets pouvant relever du stress post-traumatique. Ceux qui ont été mis à l’arrêt pendant la crise peuvent aussi développer un sentiment d’inutilité. Un constat frappant revient : dans les semaines ou mois suivant une cyberattaque, certaines équipes TI perdent jusqu’à la moitié de leurs effectifs, soit par épuisement professionnel, soit à cause d’une gestion jugée catastrophique par les employés (par exemple, laisser les ressources humaines gérer seules les questions de rémunération pendant l’incident, sans communication claire de la direction). Les intervenants notent aussi un phénomène de cohésion : les équipes soudées dans l’urgence, en mode quasi militaire, ne sont pas toutes faites pour ce rythme, et un accompagnement post-crise — prendre le temps de vérifier comment chacun va, plutôt que de tourner la page trop vite — est jugé essentiel pour éviter les cicatrices durables. Retour à la normale : un concept à nuancer Le retour à la normale ne concerne, au fond, que le service rendu — pas les personnes qui l’ont vécu. Certains systèmes ou services jugés peu utiles ne sont d’ailleurs jamais relancés après une attaque, ce qui produit un effet de « ménage » parfois positif (vieux serveurs obsolètes abandonnés, par exemple). Mais du côté humain, il n’existe pas vraiment de retour en arrière : l’expérience laisse une trace durable chez les personnes impliquées. Ce vécu, bien que douloureux, comporte un avantage : une organisation qui a traversé une première cyberattaque sait mieux à quoi s’attendre. Les statistiques évoquées (à prendre avec prudence, précisent les invités) suggèrent qu’une entreprise déjà attaquée a de bonnes chances de l’être à nouveau dans les 12 à 24 mois suivants. D’où l’importance cruciale du retour d’expérience post-incident, souvent négligé par fatigue ou lassitude, alors qu’il permet de transformer une expérience coûteuse en amélioration réelle des procédures. Communication et leadership : les vrais facteurs de survie Deux facteurs reviennent comme déterminants pour la survie de l’entreprise après une cyberattaque : La communication. Une mauvaise communication de crise peut faire plus de dégâts que l’attaque elle-même. L’exemple cité d’une entreprise manufacturière ayant menti à ses clients et fournisseurs, et ayant fini par faire faillite un an plus tard malgré une reprise technique réussie, illustre ce point : la confiance perdue peut coûter plus cher que les données perdues. Le leadership. Un bon leader de crise doit projeter le contrôle même sous stress, savoir demander de l’aide extérieure sans hésiter, et surtout — point jugé le plus important — reconnaître ses propres limites et passer le relais si nécessaire. Un leader excellent en simulation peut s’effondrer en situation réelle pour des raisons personnelles imprévisibles ; l’humilité de céder sa place au bon moment est présentée comme la véritable marque du leadership. Ce leadership se construit d’ailleurs dès la phase de préparation, bien avant que la crise ne survienne, et continue de s’exercer après la résolution technique, notamment pour accompagner les équipes humaines vers la suite. En résumé Le message central de cet épisode : la fin technique d’une crise n’est pas la fin de la crise elle-même. Une gestion de crise réussie ne se mesure pas seulement à la vitesse de reprise des systèmes, mais à la façon dont l’organisation prend soin de ses équipes, communique honnêtement avec ses parties prenantes, et capitalise sur l’expérience vécue pour être mieux préparée la prochaine fois. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Alexandre Fournier Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  2. Jul 30

    PME - Résilience et préparation du nombril

    Parce que… c’est l’épisode 0x325! Shameless plug 19 septembre 2026 - Bsides Montréal 22 septembre 2026 - BE-Cyber 24 au 25 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Deuxième acte d’une trilogie Après un premier épisode consacré à la préparation, cette discussion aborde le cœur même de la crise : le moment où l’entreprise se retrouve, selon l’expression employée, « dans l’eau bouillante ». Les intervenants rappellent que tout ce qui se joue à ce stade repose sur le travail effectué en amont. Une organisation préparée applique simplement son plan, ce qui réduit considérablement la charge émotionnelle. À l’inverse, une entreprise non préparée vit un véritable effet de sidération, comparable à des lapins pris dans les phares d’une voiture. Pour illustrer les conséquences d’un manque de préparation, Alexandre raconte l’histoire d’un dirigeant breton qui, après une cyberattaque, est resté 24 heures sans savoir quoi faire en découvrant ses serveurs hors service. Soixante-douze heures plus tard, son entreprise cessait ses activités, un coup encore aggravé par un redressement fiscal survenu peu après. Une liste de parties prenantes à gérer dans l’urgence Nicholas propose de dresser rapidement la liste des personnes et entités à gérer simultanément lors d’une crise : soi-même en tant que dirigeant, les communications internes, les employés, éventuellement les médias, les fournisseurs, les commandes et livraisons, ainsi que les clients. Cette énumération, improvisée en quelques secondes, donne une idée de l’ampleur des décisions à prendre dans les premières minutes et heures suivant l’incident. La carte réflexe et les cercles concentriques Alexandre revient sur l’outil présenté lors de l’épisode précédent : la carte réflexe. La toute première instruction qui y figure, avant même le nom de son propriétaire, est simple : « prends une grande respiration ». L’idée est d’accepter que le mal est déjà fait et qu’il faut désormais agir avec lucidité plutôt que dans la panique. La gestion de crise est ensuite pensée comme une série de cercles concentriques. Le dirigeant doit d’abord se stabiliser lui-même, avant de s’occuper de son cercle N-1 (les directeurs et responsables directs), qui pourra ensuite relayer l’information et les consignes vers le reste des équipes. Une fois ce cadrage effectué, l’entreprise peut dresser un état des lieux : qu’est-ce qui fonctionne encore, qu’est-ce qui ne fonctionne plus, et que peut-on faire avec les ressources restantes ? Employés : rassurer, trier, parfois libérer La gestion des employés est identifiée comme une priorité immédiate. Il s’agit d’abord de communiquer pour les rassurer, car ils peuvent se retrouver face à des écrans noirs, voire des messages explicites annonçant une cyberattaque. Ensuite se pose une question stratégique : faut-il garder tout le monde sur place ou renvoyer une partie du personnel ? Les intervenants soulignent qu’il est souvent préférable d’offrir une journée de congé à la majorité des employés et de ne conserver que ceux dont le rôle est essentiel à la gestion de l’après-crise. Garder tout le monde alors que la direction elle-même ne sait pas quoi faire ne fait qu’ajouter du stress collectif. Communiquer vers l’extérieur et maintenir l’activité Une fois les communications internes traitées, l’entreprise doit s’adresser à ses cercles extérieurs : clients, fournisseurs, partenaires bancaires et assureurs, qui perçoivent déjà qu’un problème existe. Il faut ensuite maintenir une activité minimale en s’appuyant sur ce qui fonctionne encore, pendant que l’on reconstruit ce qui a été perdu. Dominique insiste sur l’importance, pour une PME, de disposer de bonnes métriques permettant de savoir objectivement si l’entreprise est en bonne ou mauvaise posture, un point souvent négligé. Qui est responsable de la carte réflexe ? Contrairement à une intuition répandue, la carte réflexe n’appartient pas à une seule personne (le PDG, les RH ou l’informatique) mais à chaque direction du comité de crise. Chacun y définit ses propres actions prioritaires pour la première heure. Par exemple, du côté finance, l’une des premières actions consiste à appeler la banque pour bloquer tous les paiements sortants tout en laissant entrer les fonds. Cet outil permet à chaque responsable d’arriver au comité de crise avec un état des lieux clair de son périmètre, sans dépendre d’un audit préalable coûteux : les directeurs connaissent déjà le fonctionnement de leur entreprise. Le rôle central — et fragile — du dirigeant La discussion aborde ensuite la question de la décision finale. Juridiquement, c’est toujours le dirigeant qui porte la responsabilité ultime, même lorsqu’un N-1 prend temporairement les rênes du comité de crise. Mais certains dirigeants, très compétents en temps normal, peuvent se retrouver dépassés émotionnellement en situation de crise. Les intervenants insistent sur l’importance d’anticiper ce scénario en désignant à l’avance un remplaçant en cas de blocage, plutôt que de laisser l’incertitude paralyser toute prise de décision au pire moment. Reconnaître ses limites humaines Un thème récurrent est celui de l’émotion. Cyndie souligne qu’il faut avoir le courage, collectivement, de retirer une personne du comité de crise si son état émotionnel nuit plus qu’il n’aide, y compris lorsqu’il s’agit du PDG lui-même. Les intervenants rappellent aussi que la gestion de crise ne signifie pas travailler sans relâche : prendre des pauses, reconnaître ses limites et savoir déléguer sont essentiels. Les décisions prises sous le coup du stress ne sont pas toujours les meilleures, et la précipitation reste mauvaise conseillère. Conclusion L’échange se termine sur une note d’espoir : lorsque le dirigeant accepte de prendre du recul et de confier temporairement les rênes à une autre personne, l’entreprise a souvent de meilleures chances de s’en sortir. Cette transition annonce le troisième et dernier épisode de la série, consacré à la phase de reconstruction (« recover »). Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Alexandre Fournier Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  3. Jul 21

    PME - Résilience et eau bouillante

    Parce que… c’est l’épisode 0x31F! Shameless plug 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte de l’épisode Ce premier épisode d’une série en trois volets consacrée à la gestion de crise réunit Alexandre Fournier, invité spécial, aux côtés de Cyndie Feltz, Nicholas Milot et Dominique Derrier. L’objectif de cette discussion est de poser les bases : qu’est-ce qu’une crise pour une PME, et comment s’y préparer concrètement, sachant que ces organisations sont souvent les moins bien outillées pour y faire face et l’apprennent généralement trop tard. Une réalité différente des grandes entreprises Alexandre ouvre la discussion en soulignant que la gestion de crise en PME n’a rien à voir avec celle des grandes organisations : ni les mêmes moyens, ni les mêmes priorités, ni les mêmes obligations réglementaires. Les PME consacrent naturellement leurs ressources au quotidien plutôt qu’à la préparation aux crises, ce qui les rend particulièrement vulnérables. Les cadres normatifs classiques (type ISO), pensés pour de grandes structures, sont jugés largement inadaptés à la réalité opérationnelle des petites organisations. Alexandre affirme même trouver plus stimulant de travailler avec des PME, où les gains d’efficacité sont plus tangibles lorsqu’elles s’engagent réellement dans la démarche. La méthode de « l’eau bouillante » Le cœur de l’échange porte sur une approche pragmatique : plutôt que de multiplier les analyses théoriques, Alexandre propose de plonger directement les dirigeants (le PDG et son bras droit) dans une simulation de crise concrète — un exercice de type « table top » réalisable en une heure. Ce choc initial révèle immédiatement les failles de préparation de l’organisation. Une fois la surprise passée, l’équipe peut construire un plan de gestion de crise réellement adapté — trois pages suffisent généralement pour une PME, loin des documents de trente pages inutilisables au quotidien. Définir ce qu’est réellement une crise Une partie importante de la discussion porte sur la définition même du mot « crise », devenu un terme galvaudé dans les PME où le moindre incident mineur peut être qualifié ainsi. Le groupe s’accorde sur un critère simple : une crise se reconnaît à l’arrêt de la productivité, du chiffre d’affaires ou de la capacité à rendre le service ou la mission de l’organisation. Cyndie souligne la difficulté fréquente à identifier où se situe réellement la valeur critique de l’entreprise, un exercice que seule une mise en situation concrète permet de clarifier efficacement — bien plus qu’une analyse d’impact d’affaires classique, jugée coûteuse en temps et souvent déconnectée de la réalité. Selon Alexandre, parler d’argent rend les gens lucides très rapidement : dès qu’une simulation touche au chiffre d’affaires, chaque service identifie naturellement ses priorités essentielles. Obligations légales et préparation La discussion aborde ensuite les obligations réglementaires variables selon les secteurs (alimentaire, pharmaceutique, industriel, etc.), la loi 25 étant citée en exemple. Ces obligations émergent naturellement lors des exercices de simulation, ce qui permet d’identifier les contacts et procédures nécessaires en amont plutôt que dans l’urgence. L’importance critique de l’annuaire de contacts Un point très concret est développé : la difficulté de retrouver rapidement les numéros de téléphone des parties prenantes (assureurs, fournisseurs, autorités) en cas de crise, alors que cette information est habituellement dispersée dans différents systèmes et contrats. Si cette recherche peut déjà prendre plusieurs heures en temps normal, elle devient quasi impossible si les systèmes informatiques sont hors service. La solution proposée : constituer des « cartes réflexes », des documents physiques (format une à deux pages) rassemblant l’essentiel pour gérer les deux premières heures d’une crise, en s’inspirant du principe de sauvegarde 3-2-1 appliqué aux copies numériques. Une copie externalisée, chiffrée ou sur clé USB, ainsi qu’une version papier, sont recommandées. Le groupe évoque en riant que certains ont déjà appliqué ce principe avec leur gestionnaire de mots de passe, imprimé et plastifié. La discussion souligne aussi la vulnérabilité totale de l’électronique en cas d’événements extrêmes (blackout, impulsion électromagnétique), où seul le papier resterait exploitable. Maintenir la préparation dans le temps La dernière partie aborde la fréquence de mise à jour de ces outils. Si une révision annuelle constitue un minimum, Alexandre recommande plutôt deux exercices complets par an, complétés par de courts exercices mensuels de quinze minutes portant sur un scénario spécifique choisi librement (attaque informatique, grève, etc.). Cette pratique régulière, bien plus légère qu’un exercice de trois heures perçu comme une perte de temps par des dirigeants déjà accaparés par leur quotidien, permet de maintenir un momentum et de développer une forme de réflexe mental face aux imprévus. Selon Alexandre, cette répétition crée des connexions cognitives qui accélèrent considérablement la capacité à réagir efficacement le moment venu — un gain de temps crucial, car une PME peut être longue à construire mais très rapide à perdre. Conclusion L’épisode se termine sur une transition vers la communication de crise, brièvement évoquée comme un enjeu tout aussi déterminant : bien décider ne suffit pas, encore faut-il savoir communiquer dès les premières heures pour occuper le terrain, faute de quoi d’autres acteurs risquent de définir le narratif à la place de l’organisation. Ce sujet sera approfondi dans le deuxième épisode de la série, consacré à la gestion en plein cœur de la crise. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Alexandre Fournier Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  4. Jul 7

    PME - Retour d'expérience de deux étudiants de la première cohorte du programme UQTR FORCE

    Parce que… c’est l’épisode 0x317! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial de Polysécure, deux invités partagent leur expérience du programme Force, une formation destinée aux personnes provenant de domaines hors cybersécurité mais souhaitant développer des compétences dans ce champ, particulièrement dans le contexte des PME. Alain Dubois, administrateur système chez Métalus (une usine de transformation de métal) depuis deux ans, et Keven Landry, analyste fonctionnel chez UV Assurance depuis environ six mois, racontent chacun leur parcours et ce que le programme leur a apporté, tant sur le plan professionnel que personnel. Deux parcours, une même formation Keven a découvert le programme grâce à un collègue, Dominique Villeneuve, qui donnait un cours à l’UQTR et qui avait remarqué sa curiosité pour la cybersécurité. Bien qu’il ait déjà touché à plusieurs aspects techniques par le passé (développement, gestion d’infrastructure), il n’avait jamais approfondi ces connaissances de façon structurée. Le programme Force lui a permis d’acquérir une façon de penser applicable autant au travail qu’au quotidien, notamment pour reconnaître des situations à risque qui semblent anodines en apparence. Alain, de son côté, possédait déjà une base en administration système et en cybersécurité. Également mis en contact avec la formation par Dominique, un ancien patron, il est arrivé chez Métalus dans une entreprise dont le réseau avait environ 25 à 30 ans d’existence, hérité d’une mentalité informatique dépassée. Le programme Force lui a permis d’identifier des lacunes importantes dans l’infrastructure de son employeur. En pratiquant des tests d’intrusion (pentests) sur son propre réseau, il a découvert des failles majeures qui l’ont mené à reconfigurer entièrement les routeurs et pare-feu, ainsi qu’à resegmenter les réseaux virtuels (VLAN). Il raconte même avoir démontré à son patron qu’il pouvait intercepter des conversations téléphoniques sur le réseau de l’entreprise, preuve concrète que la sécurité en place était insuffisante. Le top 3 des apprentissages marquants Interrogés sur les éléments qui les ont le plus marqués, les deux invités convergent sur plusieurs points. Le crochetage de serrures (lock picking) a impressionné les deux participants, qui ont réalisé à quel point il est facile de contourner certaines sécurités physiques d’un bâtiment avec un simple jeu de crochets. Cet aspect leur a rappelé que la cybersécurité ne se limite pas au monde numérique : la sécurité physique des lieux est tout aussi cruciale. Alain souligne également la découverte de logiciels de sécurité accessibles financièrement pour les PME, souvent gratuits et développés par des communautés, mais tout aussi performants que des solutions payantes coûteuses. Il mentionne aussi la qualité générale du programme et des tests pratiques réalisés en conditions réelles simulées. Keven, pour sa part, insiste sur son expérience avec Kali Linux, une distribution qu’il a installée sur son propre ordinateur portable pour scanner son réseau Wi-Fi et tester la robustesse de ses mots de passe, allant jusqu’à réussir à craquer son propre mot de passe Windows. Il évoque également les tests liés aux objets connectés (IoT), ayant notamment scanné le réseau domestique de son père pour découvrir un nombre surprenant de caméras vulnérables accessibles publiquement. Il mentionne aussi l’utilisation du Flipper Zero, un petit appareil permettant de réaliser des attaques de type “homme du milieu” (man-in-the-middle), ainsi que des exercices avec l’équipe de cybersécurité pour mettre en place des attaques Evil Twin. Les deux insistent sur l’importance d’utiliser ces outils de façon responsable et éthique, et non pour s’en prendre au réseau du voisin. Une communauté qui perdure Même après la fin officielle du programme, les liens tissés durant la formation continuent de vivre. Alain mentionne un groupe Discord actif regroupant anciens et nouveaux apprenants, où l’entraide se poursuit : un participant y a notamment obtenu de l’aide après avoir été victime d’un rançongiciel, et Alain lui-même y a sollicité des conseils pour choisir un logiciel de surveillance réseau. Keven, quant à lui, décrit un rôle plus communautaire au sein même de son entreprise, où il agit désormais comme une sorte de porte-parole pour l’équipe de cybersécurité. Alors qu’auparavant la cybersécurité était perçue par certains collègues comme une contrainte imposée sans explication, il est maintenant en mesure d’expliquer le pourquoi des décisions et des orientations prises, un rôle reconnu et apprécié dans son milieu de travail. Une formation axée sur la pratique En conclusion, les deux invités reviennent sur ce qui distingue, selon eux, le programme Force d’autres formations plus théoriques ou superficielles en cybersécurité. Keven raconte l’exemple d’un stagiaire suivant une autre formation en cybersécurité qui ne connaissait pas des concepts de base comme l’OSINT ou les attaques par pass-the-hash, illustrant selon lui les limites de certains cursus trop généraux. Le programme Force, à l’inverse, offre un contenu détaillé, constamment mis à jour, sans nécessiter des années d’études. Alain, qui donne lui-même des formations en cybersécurité à ses employés, explique que le programme lui a permis de saisir la différence fondamentale entre sensibiliser les gens à faire attention et former de véritables protecteurs de systèmes. Il affirme avoir modifié sa façon de former ses employés depuis, en insistant davantage sur la réalité concrète des menaces (rançongiciels, acteurs malveillants) pour les rendre plus vigilants. Keven ajoute que la pédagogie du programme, alternant théorie et exercices pratiques concrets lors de séances synchrones aux trois semaines avec Dominique, lui a permis d’apprendre beaucoup plus efficacement que les approches purement théoriques auxquelles il avait été confronté par le passé, notamment durant son parcours scolaire. L’animateur conclut l’épisode en saluant la passion manifeste des deux invités et l’importance de voir des personnes issues de domaines connexes rayonner la cybersécurité autour d’elles, contribuant ainsi à améliorer la posture de sécurité des PME québécoises, un secteur souvent moins bien outillé que les grandes entreprises face aux cybermenaces. Collaborateurs Nicolas-Loïc Fortin Alain Dubois Keven Landry Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  5. Jun 11

    PME - Reconnaitre le bias cognitif pour mieux se protéger

    Parce que… c’est l’épisode 0x309! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, je reçois Emeline Manson pour discuter d’un sujet central mais souvent négligé en cybersécurité : les biais cognitifs. Le point de départ de la discussion est simple mais important : les victimes de fraude ne sont ni naïves ni stupides. Les fraudeurs comprennent très bien le fonctionnement du cerveau humain et exploitent des mécanismes universels, peu importe le niveau de connaissances ou de prudence d’une personne. Les attaques ne visent donc pas toujours une machine, mais cherchent surtout à influencer un comportement humain, en misant sur l’urgence, la peur, la confiance, l’habitude ou la fatigue. Pour rendre ces mécanismes plus faciles à repérer, les biais sont regroupés en quatre grandes familles. Les biais qui nous font agir trop vite La première famille regroupe les biais qui réduisent l’espace entre l’émotion et l’action, empêchant toute vérification. Le biais d’urgence repose sur la création d’une pression artificielle (compte bloqué, livraison suspendue, intervention policière imminente), qui pousse à régler un faux problème avant même de vérifier son existence. Le biais de rareté fonctionne de façon similaire, avec des offres limitées dans le temps qui forcent une décision rapide. Les intervenants notent que ces deux biais sont souvent combinés, par exemple un message urgent accompagné d’éléments rassurants qui font aussi baisser la garde. Les biais qui nous font accorder trop de confiance La deuxième famille mise sur la crédibilité apparente. Le biais d’autorité pousse à obéir à une demande qui semble venir d’un supérieur, d’une institution ou d’une personne importante, comme dans les fraudes au faux président. Le biais de familiarité agit de façon proche : on baisse la garde lorsqu’un message semble provenir d’un proche ou d’un fournisseur connu, alors qu’un compte peut être compromis ou une identité usurpée. Le biais de réciprocité intervient lorsqu’une personne se sent obligée de répondre positivement après avoir reçu quelque chose, par exemple une fausse offre d’emploi ou un document utile envoyé par un faux fournisseur. Enfin, le biais de preuve sociale, très présent sur les réseaux sociaux, fait croire qu’une offre ou un investissement est légitime simplement parce que de nombreux avis ou témoignages positifs l’accompagnent, alors que ces avis peuvent être achetés ou fabriqués. Les biais qui nous font baisser la garde La troisième famille touche à la sous-estimation du risque. Le biais d’optimisme, très répandu même chez les experts, se traduit par la conviction qu’on ne se fera jamais piéger. Une statistique citée dans l’épisode indique que 78 % des Canadiens sont convaincus de ne pas pouvoir se faire avoir, ce qui en fait des cibles particulièrement vulnérables, car le risque demeure abstrait jusqu’à ce qu’il se concrétise. Le biais de surcharge cognitive complète ce tableau : devant la multiplication des comptes, mots de passe et applications, le cerveau cherche la facilité, ce qui mène à la réutilisation de mots de passe ou à des validations faites trop rapidement, surtout en fin de journée lorsque la vigilance diminue. Les biais qui nous enferment dans nos habitudes La dernière famille concerne les comportements numériques répétitifs. Le biais d’ancrage illustre la tendance à modifier légèrement un mot de passe existant plutôt que d’en créer un réellement nouveau, ce qui le rend prévisible pour un attaquant. L’usage de gestionnaires de mots de passe et de technologies comme les clés d’accès (passkeys) est présenté comme une solution efficace pour réduire cette dépendance. Le biais d’engagement, quant à lui, explique pourquoi une personne ayant déjà commencé à répondre à une demande a tendance à poursuivre dans cette direction, même si celle-ci devient progressivement plus risquée, alors qu’il est toujours possible de s’arrêter et de revalider. Cinq réflexes pour se protéger Pour conclure, cinq bonnes pratiques sont proposées comme réflexes anti-biais : Ralentir dès qu’une demande exige une action immédiate. Sortir du canal de communication utilisé pour valider une demande autrement. Ne jamais cliquer sur un lien fourni et se rendre soi-même à la source officielle. Traiter toute demande liée à l’argent, aux accès ou aux mots de passe comme une exception nécessitant une validation obligatoire. Utiliser des outils qui réduisent la charge mentale, comme les gestionnaires de mots de passe ou les filtres antipourriel. L’épisode se termine sur une réflexion plus large : l’intelligence artificielle rend les messages frauduleux plus crédibles et mieux écrits, rendant les indices traditionnels (fautes d’orthographe, ton suspect) moins fiables. À l’inverse, les échanges humains authentiques se construisent dans le temps, à travers de véritables liens, alors que les fraudes simulent une proximité instantanée. Se rappeler qu’on est des êtres de lien, et que la confiance véritable ne se construit pas en quelques secondes, devient ainsi un signal d’alarme précieux face aux tentatives de manipulation numérique. Collaborateurs Nicolas-Loïc Fortin Emeline Manson Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  6. Jun 4

    PME - Mythos ou pas mythos

    Parce que… c’est l’épisode 0x305! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, l’animateur réunit son trio composé de Cyndie Feltz, Nicholas Milot et Dominique Derrier pour discuter de Mythos, un sujet qui fait beaucoup les manchettes. D’entrée de jeu, l’équipe précise que l’important n’est pas tant Mythos en soi — entouré de beaucoup de bruit et de marketing — que la prise de conscience qu’il provoque : les modèles d’IA, qu’ils soient spectaculaires comme Mythos ou plus sobres comme Opus, marquent un changement de paradigme dans la découverte de vulnérabilités et dans la façon dont les attaquants opèrent. L’enjeu central pour les PME est simple : il deviendra encore plus facile de s’attaquer aux systèmes, alors que c’était déjà facile. Qu’est-ce que Mythos ? Pour ceux qui auraient « vécu sous une roche » ces dernières semaines, l’équipe explique le concept. Nous sommes à l’ère de l’IA et des LLM (large language models), capables de générer des images, de communiquer, de faire du « vibe coding ». Des chercheurs ont eu l’idée d’utiliser ces modèles pour découvrir des vulnérabilités dans les applications. En poussant le modèle, on obtient une puissance démultipliée — quoique coûteuse en tokens — capable d’analyser du code, de tester et de trouver les failles permettant de pénétrer les systèmes. Mythos est un modèle hautement spécialisé qui n’est pas encore réellement accessible au public; seules de grosses organisations et certains gouvernements peuvent y accéder. L’équipe évoque le fait qu’Anthropic l’utiliserait elle-même pour tester de grands projets open source, et mentionne un projet (« Glass Wind » ou similaire) regroupant de gros joueurs comme CrowdStrike, Amazon et Apple, qui utiliseraient Mythos pour sécuriser les systèmes. Un participant souligne avec ironie l’angle marketing : si l’outil était vraiment si dangereux, Anthropic n’en aurait simplement pas parlé et l’aurait gardé à l’interne. Un outil à double tranchant Les intervenants insistent : il s’agit avant tout d’un excellent outil d’analyse de code permettant de corriger des vulnérabilités. C’est précisément le travail quotidien de Nicholas et Cyndie. L’avantage d’une machine, c’est qu’elle ne dort pas la nuit ni les fins de semaine — elle fonctionne 24/7, sans relâche. L’exploit le plus médiatisé a été la découverte de vulnérabilités dans le navigateur Firefox, des failles qu’un humain n’aurait peut-être pas trouvées dans un temps ou avec une logique humaine. Un point technique crucial est soulevé : Mythos n’est pas un outil « point and shoot ». Il ne suffit pas de pointer une URL pour faire pirater une application. Il faut fournir le code source de l’application. C’est une nuance importante, d’autant que bien des organisations — voire des gouvernements — ne savent même pas où se trouve leur propre code source. L’équipe reste honnête : en mai 2026, leur propre métier de recherche de failles repose déjà sur l’IA, tout en conservant un volet manuel. Ils perfectionnent leurs propres outils. Et les acteurs malveillants, moins scrupuleux, font exactement la même chose. C’est là le vrai message : l’IA va faciliter et accélérer les attaques. L’aspect positif demeure : connaître ces vulnérabilités permet de les corriger et de produire du code plus sécuritaire. La fondation Mozilla profite ainsi du travail effectué, et personne ne peut s’opposer à du code plus solide — surtout pour un navigateur, qui constitue notre principale porte d’entrée vers Internet. La limite des humains et des machines Preuve que l’IA ne remplace pas tout : Anthropic a justement lancé un programme de bug bounty cette semaine. À la question « pourquoi ne pas simplement utiliser Mythos? », la réponse est que le modèle n’est pas encore capable de trouver tous les bugs qu’un humain détecterait, et vice versa. L’humain et l’IA ne perçoivent pas le code ni l’application de la même manière. L’impact pour les PME Faut-il paniquer? Non, mais il faut accélérer. Le mantra d’hygiène de base en cybersécurité reste valable, mais doit devenir plus strict. Il faut accélérer les déploiements et l’application des correctifs. D’autres modèles arriveront, possiblement bon marché (un « DeepSeek » de la vulnérabilité), donc la pression de correction touchera toutes les entreprises. Les notions d’inventaire, de mise à jour et d’application des correctifs deviennent incontournables : on ne pourra plus dire « on sait qu’on a des portes ouvertes et on vivra avec ça. » Les intervenants notent toutefois avec lucidité que beaucoup de clients peinaient déjà à maintenir un inventaire à jour et à gérer leur programme de vulnérabilités, avec des outils comme Tenable. S’exciter pour Mythos sans d’abord régler ces bases serait contre-productif. Il faut prendre le dessus sur ses vulnérabilités actuelles et tenir un inventaire d’actifs à jour avant même de songer à utiliser ce type d’outil. Cette hygiène n’est plus optionnelle : sans elle, impossible de sortir la tête de l’eau. Et dès qu’une vulnérabilité reçoit un nom médiatisé — comme Heartbleed ou Dirty COW —, on ne peut plus l’ignorer : sinon, c’est le patron ou les clients qui exigeront une action. L’analogie finale L’animateur propose une analogie : avant, les voleurs d’autos étaient peu nombreux dans un quartier tranquille. Aujourd’hui, votre voiture se trouve dans un quartier chaud où de nombreux voleurs potentiels circulent. Vous n’êtes pas mieux protégé, mais votre risque augmente fortement. La priorité n’est plus de craindre les outils sophistiqués, mais de commencer par verrouiller ses portes. L’équipe conclut que, là où l’on connaissait peut-être un incident par année, on risque désormais un incident par mois sans une hygiène suffisante. Le message final : verrouillez vos portes, car vous n’avez plus le choix. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  7. Apr 29

    PME - Retour d'expérience sur la première cohorte du programme UQTR FORCE

    Parce que… c’est l’épisode 0x2F1! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Un programme de cybersécurité taillé pour les PME québécoises Dans cet épisode du balado Polysécure, l’animateur Nicolas reçoit Gino Plourde et Dominic Villeneuve pour faire le bilan de la première cohorte du programme Quatre Force, une formation en cybersécurité conçue spécifiquement pour les techniciens et administrateurs des petites et moyennes entreprises (PME). Les résultats sont au-delà des attentes, et l’enthousiasme des deux créateurs est palpable tout au long de la conversation. Une première cohorte prometteuse La première cohorte s’est terminée le 27 février avec 11 participants provenant de six régions administratives différentes du Québec. La diversité des apprenants a été l’une des grandes surprises : on y retrouvait des gens issus de PME manufacturières, de firmes comptables et juridiques, de ministères gouvernementaux, ainsi que des propriétaires de petites entreprises en technologies de l’information. La cohorte s’est conclue par un rassemblement en présentiel où les attestations ont été remises dans une ambiance conviviale. La deuxième cohorte a démarré le 9 mars avec 10 participants, cette fois répartis dans encore plus de régions, incluant la Montérégie, la Vallée-de-l’Outaouais et même la Côte-Nord. Ce dernier participant, géographiquement isolé, a particulièrement apprécié le format asynchrone à distance, qui répond directement aux contraintes des régions éloignées. Fort de ce succès, Gino a ouvert les inscriptions pour une troisième cohorte dès le 13 mars, prévue pour le 14 septembre. Un contenu ancré dans la réalité des entreprises Le programme est structuré en six modules (du module 0 au module 5) sur une durée de 14 semaines, à raison d’environ 10 heures par semaine. Dominic souligne que dès le module zéro — le module de base théorique —, les participants réalisent à quel point leur entreprise est exposée. On y aborde la mentalité des pirates, la doctrine de guerre appliquée à la cybersécurité (notamment l’approche de Sun Tzu), ainsi qu’une introduction au cadre CVSS. Un exercice simple, comme demander un certificat SSL, suffit à illustrer concrètement comment des informations supposément privées deviennent publiquement accessibles. À partir du module 1, les apprenants passent à la pratique avec des laboratoires concrets. Un exemple marquant : les participants apprennent à exploiter la vulnérabilité Print Nightmare dans un environnement contrôlé. Ainsi, lorsqu’ils doivent convaincre leur direction de mettre à jour ou de retirer des serveurs obsolètes, ils peuvent démontrer en temps réel les risques encourus — un argument bien plus percutant qu’un rapport théorique. Le contenu a été délibérément épuré de tout ce qui n’est pas utile aux PME. Chaque heure de formation doit apporter une valeur directe à l’entreprise et à la personne. Les créateurs insistent : ce n’est pas un cours dilué ou facile à survoler comme on en trouve sur des plateformes généralistes. C’est exigeant, mais cette intensité est au service de l’intégration réelle des connaissances. Une formation qui évolue grâce aux retours des apprenants L’équipe a apporté plusieurs ajustements entre la première et la deuxième cohorte, tous basés sur les commentaires des participants. Une semaine supplémentaire a été accordée au module zéro, jugé trop dense à l’origine. Une semaine de relâche a également été introduite à mi-parcours, permettant aux apprenants légèrement en retard de se rattraper, et aux autres de laisser décanter la matière. Quelques laboratoires particulièrement ardus ont aussi été révisés pour mieux correspondre à des défis réalistes, sans sacrifier la rigueur du contenu. Dominic souligne avec humour qu’un laboratoire qu’il complétait lui-même en une heure pouvait prendre jusqu’à huit heures à un apprenant moins expérimenté — un signal clair qu’un ajustement s’imposait. Une communauté de pratique en pleine croissance Au-delà de la formation elle-même, Gino et Dominic ont mis sur pied un groupe privé sur Discord regroupant tous les diplômés des cohortes. Cet espace d’échange permet aux participants de partager des informations sur des attaques récentes, des patterns menaçants ou des solutions concrètes — sans honte ni jugement. Deux semaines après la fin de la première cohorte, un participant a signalé au groupe avoir été victime d’un cryptovirus, détaillant le vecteur d’attaque pour que tout le monde puisse s’en prémunir. Nicolas soulève un point important : cette communauté joue un rôle crucial parce qu’elle est accessible à des gens qui ne se sentent pas encore légitimes pour intégrer les grandes communautés de cybersécurité existantes. Les experts chevronnés peuvent être intimidants pour ceux qui commencent. Ce groupe offre un espace de progression à rythme raisonnable, avec des pairs au niveau comparable. Les échanges y sont aussi agnostiques par rapport aux fournisseurs, ce qui permet des discussions honnêtes sur les produits et solutions disponibles sur le marché. Une vision d’avenir pour le Québec et au-delà En conclusion, Gino et Dominic réaffirment leur ambition : voir ce programme contribuer concrètement à rendre les PME québécoises — et peut-être internationales — plus résilientes face aux cybermenaces. Les inscriptions pour la cohorte d’automne sont ouvertes, des subventions sont disponibles pour les PME et OBNL, et tout professionnel en TI qui souhaite approfondir ses compétences en cybersécurité sans nécessairement être un spécialiste de haut niveau est le bienvenu. La formation est conçue pour les jacks of all trades du numérique — y compris, soulignent-ils avec fierté, les femmes, encore trop peu représentées dans le domaine. Collaborateurs Nicolas-Loïc Fortin Dominic Villeneuve Gino Plourde Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  8. Apr 21

    PME - Comment simplifier un message complexe pour qu'il soit retenu?

    Parce que… c’est l’épisode 0x2ED! Préambule Nous avons rencontré un petit défi d’enregistrement vers la 12e minute. Shameless plug 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le contexte : une surcharge informationnelle sans précédent En 2026, nos cerveaux font face à un défi sans précédent : la quantité d’informations importantes à traiter et à retenir n’a jamais été aussi grande. L’essor de l’intelligence artificielle amplifie encore ce phénomène, en générant davantage de contenu tout en réduisant notre capacité à agir sur ce que nous recevons. C’est dans ce contexte que Cédrick Bruyère aborde une question fondamentale pour toute entreprise, tout conférencier ou tout professionnel qui souhaite faire passer un message : comment s’assurer qu’il sera réellement retenu ? L’exemple du courriel en cybersécurité : quand trop d’information tue l’information Pour illustrer son propos de façon concrète, Cédrick présente un cas fictif mais très réaliste : un expert en cybersécurité qui souhaite sensibiliser son équipe aux dangers des clés USB trouvées par terre. Dans sa version initiale, le courriel est un véritable mur de texte technique. Il y est question de vecteurs d’attaque physique, de contournement des mécanismes de sécurité périmétrique, de microcontrôleurs émulant des périphériques HID, d’exfiltration de données, de propagation latérale, de conformité à la loi 25, de politiques GPO, de solutions EDR, et de bacs à sable (sandboxes) pour l’analyse de fichiers suspects. Le résultat ? Un message que même un professionnel du domaine peine à suivre jusqu’au bout. Pour quelqu’un qui n’a pas de formation technique, c’est simplement incompréhensible — et donc inutile. Ce qui se passe dans le cerveau face à trop d’information Cédrick explique le mécanisme neurologique derrière cette défaillance de communication. Lorsqu’une trop grande quantité d’informations arrive simultanément, le cortex préfrontal — la région du cerveau responsable de la prise de décision et de la priorisation — se retrouve en état de saturation cognitive. Il n’est plus capable de distinguer l’essentiel du superflu. Face à cette surcharge, le cerveau abandonne purement et simplement l’idée de retenir quoi que ce soit. Cédrick cite à ce sujet James Carville : « If you say three things, you don’t say anything. » Quand on en dit dix, c’est encore pire. Le contre-exemple : aller à l’essentiel Face au courriel initial, Cédrick propose une version épurée qui tient en quelques lignes : une clé USB inconnue peut infecter un ordinateur en quelques secondes et donner accès à toutes les données de l’entreprise. Si vous trouvez une clé par terre, ne la branchez pas dans votre ordinateur, car elle pourrait déclencher une attaque et compromettre toute l’organisation. C’est le même message. Mais cette fois, il ne contient qu’une seule idée centrale, claire et actionnable : ne branchez pas de clé USB inconnue. Tout ce qui était superflu a été retiré. Ce qui reste, c’est exactement ce que l’on veut que les gens retiennent. Cédrick précise que cette démarche de simplification a été au cœur du travail réalisé chez Vigilia lors de la création de leurs formations en cybersécurité. Des capsules qui duraient initialement entre cinq et dix minutes ont été condensées en formats de une minute trente à trois minutes — sans perdre leur efficacité, bien au contraire. Le principe fondamental : un message parfait, c’est un message auquel on ne peut plus rien enlever Issu d’un background en rédaction, Cédrick partage sa règle d’or : un message atteint la perfection non pas quand il n’y a plus rien à ajouter, mais quand il n’y a plus rien à enlever. Quand chaque mot restant est indispensable, le message est à son niveau optimal d’efficacité. Pour y parvenir, la première question à se poser est : qu’est-ce qu’on veut que les gens retiennent ? Une seule réponse, claire et simple, doit guider l’ensemble de la rédaction. L’exemple de la compagnie aérienne : la mission comme boussole Pour illustrer comment une idée centrale peut structurer toute une organisation, Cédrick évoque l’exemple d’une compagnie aérienne à succès — vraisemblablement Southwest Airlines — dont la mission tient en quelques mots : être la ligne aérienne la moins chère. Cette formulation simple permet à des milliers d’employés de prendre des décisions cohérentes au quotidien, sans avoir besoin de consulter une longue liste de directives. Quand le département marketing propose d’améliorer les repas à bord, la question est immédiate : est-ce que ça nous rend moins chers ? Si la réponse est non, la décision est prise. Une mission bien formulée devient ainsi un filtre décisionnel puissant, applicable à tous les niveaux de l’entreprise. Comment développer ce réflexe au quotidien ? Cédrick propose une approche progressive et accessible. Le site web d’une entreprise constitue un excellent terrain d’entraînement : chaque page peut être relue avec un œil critique, chaque message peut être réécrit en se demandant si l’essentiel est vraiment mis de l’avant. Le même exercice s’applique aux courriels, aux présentations clients, aux dépliants de vente. Avec de la pratique, cette question — est-ce qu’il y a vraiment que l’essentiel ici ? — devient un réflexe naturel. Elle finit par s’intégrer dans la façon de composer n’importe quel message. L’intention plutôt que la planification En guise de conclusion, Cédrick glisse une dernière réflexion : il est souvent plus payant de mettre son énergie sur l’intention plutôt que sur la planification. Une planification rigide peut s’effondrer dès le premier imprévu, sans que l’on sache comment se réaligner. Une intention claire, elle, résiste aux aléas : même si le chemin change, on sait toujours où l’on va. En somme, simplifier un message, ce n’est pas l’appauvrir — c’est lui donner toutes ses chances d’être compris, retenu et appliqué. Collaborateurs Nicolas-Loïc Fortin Cédrick Bruyère Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

See All (90)

About

Podcast francophone sur la cybersécurité pour les PME

Information

  • Creator
    Nicolas-Loïc Fortin et tous les collaborateurs
  • Years Active
    2025 - 2026
  • Episodes
    90
  • Rating
    Clean
  • Copyright
    © CC BY-NC-ND 4.0
  • Show Website
    PolySécure Podcast volet PME