PolySécure Podcast volet pour les professionels

Nicolas-Loïc Fortin et tous les collaborateurs

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

  1. Jun 30

    Spécial - La géopolitique s'invite en cyber

    Parce que… c’est l’épisode 0x313! Shameless plug 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Cet épisode spécial de Polysécure réunit un panel international : Geneviève Lajeunesse (spécialiste en cybersécurité, actuellement en gouvernance à Radio-Canada, à titre personnel), Fanny Tan (journaliste tech et chercheuse à l’Observatoire des conflits multidimensionnels de la Chaire Raoul-Dandurand), Christophe Darlhac (consultant en sécurité, ex-secteur aérospatial et défense) et William Sampietro (RSSI dans le cloud privé, avec un long passé en sécurité opérationnelle nationale et en normalisation). L’animateur ouvre le débat en notant qu’un acteur majeur a, depuis un an et demi, remis la géopolitique au cœur de la cybersécurité : on ne parle plus seulement de menaces venues de l’étranger, mais aussi de tensions internes qui ont des répercussions cyber. Le cyber comme levier de puissance Les intervenants s’accordent : le cyber n’est plus un simple enjeu technique mais un véritable levier de puissance pour les États, les entreprises privées et les groupes criminels. On est passé d’attaques isolées à une confrontation continue et souvent invisible. Les groupes d’attaquants sont aujourd’hui catégorisés (APT, groupes sponsorisés par des États), et le phishing, loin d’être artisanal, mène régulièrement à des acteurs identifiables poursuivant des objectifs géopolitiques précis. Un phénomène frappant est évoqué : la Birmanie et le Cambodge, où des dizaines de milliers de jeunes gens se voient confisquer leur passeport pour être forcés de mener des cyberattaques — une réalité suffisamment préoccupante pour que la Chine elle-même exerce une pression sur le Cambodge à ce sujet. Dépendance matérielle et logicielle Un thème central est la dépendance de l’Occident envers du matériel et des logiciels étrangers. La flambée du prix de la RAM, détournée vers des acheteurs privés ayant précommandé, illustre la fragilité des chaînes d’approvisionnement. Le matériel chinois (Huawei, par exemple) est souvent moins cher et parfois plus transparent que son équivalent américain, mais son adoption soulève des questions de confiance à long terme — un composant piégé peut rester dormant pendant des années avant d’être activé. La Chine a par ailleurs habilement orienté les normes techniques (comme le standard 5G) pour imposer ses propres équipements, une stratégie qualifiée de « soft power » plus subtile que les attaques directes russes. Doctrines nationales différenciées Les panélistes soulignent une différence de doctrine notable : les États-Unis assument une capacité de riposte cyber offensive inscrite dans leur politique nationale, alors qu’en Europe (à l’exception partielle de la France) cette capacité reste cantonnée au domaine militaire et n’est pas assumée publiquement. Cela crée une asymétrie dans la réponse aux attaques étatiques. Portraits par pays La Russie est associée à des campagnes de déstabilisation et de désinformation, rappelant des précédents comme Cambridge Analytica. La Chine privilégie le renseignement économique et l’espionnage industriel plutôt que la destruction — l’exemple d’une antenne suspecte de 15 mètres installée près d’un site sensible à Toulouse est mentionné. Les États-Unis, quant à eux, ne sont plus perçus comme des alliés inconditionnels : le rachat de VMware par Broadcom, ou l’utilisation du droit américain (via Microsoft) dans l’affaire Alstom-Pierucci, illustrent des formes de pression économique et juridique qui affectent directement les entreprises européennes. Le paradoxe de la souveraineté numérique Une large partie de la discussion porte sur la souveraineté numérique, jugée abondamment discutée mais peu mise en pratique, autant en France qu’au Québec. L’exemple de WhatsApp, massivement utilisé par des Européens pourtant critiques envers les États-Unis, illustre cette contradiction, malgré l’existence d’alternatives comme Signal ou Olvid. Les intervenants pointent l’absence de définition claire de la souveraineté numérique, notamment au Québec où le concept vient d’entrer dans la loi sans balises précises. Ils proposent de la penser par couches : souveraineté de l’individu (sur ses données), de l’entreprise, de l’État, puis de blocs régionaux (Europe, Amérique, Asie). Aucune souveraineté à 100 % n’est jugée réaliste ; il s’agit plutôt d’une question de priorisation selon la criticité des usages. Deux leviers concrets sont proposés pour sortir de l’inaction : la décision politique (imposer des fournisseurs nationaux ou alliés dans la commande publique) et le financement structurel des acteurs souverains, afin qu’ils puissent rivaliser avec les géants américains. Le retard technologique européen, estimé à environ 40 ans depuis l’essor de Windows, est jugé quasiment impossible à rattraper sans rupture volontaire — la Russie et la Chine, elles, ont innové par nécessité en étant coupées de l’accès à certaines technologies occidentales. La fuite des talents vers les géants américains, qui offrent des salaires nettement supérieurs à ceux du secteur public, est également citée comme un frein majeur à l’autonomie technologique. Reconfiguration des alliances En conclusion, le panel aborde la refonte des alliances internationales (Five Eyes, Union européenne, rapprochement Canada-Europe), accélérée par le désengagement relatif des États-Unis sous l’administration Trump. Les intervenants insistent : une alliance solide repose sur des valeurs communes et la confiance plutôt que sur des structures figées, et les alliances évoluent comme des relations humaines, avec des hauts et des bas. La frontière n’est plus seulement physique mais cyber, une dimension qui touche désormais la souveraineté, les infrastructures, la politique et la défense. La question de l’intégration formelle du Canada à l’Europe est jugée secondaire face à la volonté réelle de coopérer. L’épisode se termine sur la promesse d’un prochain volet, faute de temps pour aborder d’autres sujets comme l’informatique quantique. Collaborateurs Nicolas-Loïc Fortin Christophe D’ARLHAC Geneviève Lajeunesse Fanny Tan William Sampietro Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  2. Jun 23

    Spécial - Cybersécurité, sureté, risque dans un grand groupe

    Parce que… c’est l’épisode 0x30F! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Collaborateurs Nicolas-Loïc Fortin [Pascal Manni] Crédits Montage par Intrasecure inc Locaux réels par [BANQ] upe industriel aéronautique. Pascal possède plus de 15 ans d’expérience au sein d’Airbus, dont une dizaine d’années en France et huit ans en Chine en sécurité numérique, avant de rejoindre le Canada en 2018 et d’occuper le poste de RSSI depuis environ trois ans. Contexte : l’acquisition et le choc culturel Airbus, qui compte environ 150 000 employés dans le monde, a racheté le programme C Series (devenu l’A220) en 2016. Cette acquisition a créé un choc de paradigme entre la culture de gouvernance européenne, très structurée en matière de sécurité, et l’environnement canadien qui devait s’y adapter. Pascal a été la première personne à instaurer cette culture du rôle de RSSI au Canada, un poste alors mal compris dans l’organisation. Les quatre piliers du programme A220 Pascal identifie quatre grands domaines sur lesquels repose la sûreté du programme A220 : la partie industrielle et la chaîne d’approvisionnement, le produit lui-même (soumis aux exigences réglementaires de l’aviation, comme celles de Transport Canada ou de l’OACI), la partie numérique (données et systèmes informatiques), et enfin les personnes et les espaces de travail (menaces liées aux acteurs malveillants). Le rôle du RSSI consiste à s’assurer que ces quatre piliers sont adéquatement maîtrisés, en s’appuyant notamment sur une cartographie des risques. Un enjeu central évoqué est celui du vocabulaire : Airbus a développé un langage commun et une taxonomie propre, permettant d’uniformiser la communication à travers toutes ses divisions (avions, hélicoptères, espace, services), et de dialoguer efficacement avec les multiples régulateurs (français, canadiens, américains, européens) dans un environnement extrêmement encadré, renforcé par les nouvelles normes cyber européennes. La méthodologie EBIOS RM Le cœur de l’échange porte sur la méthode d’analyse de risque utilisée par Airbus : EBIOS RM, développée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en France. Cette approche, organisée en cinq ateliers, permet d’adapter le niveau de détail selon la maturité et les besoins du secteur d’affaires concerné. Atelier 1 définit le périmètre (scope), la mission concernée, ainsi que les « biens métier » et « biens support ». Une analyse de conformité (basée sur le NIST, adapté au vocabulaire d’Airbus) permet d’attribuer des notes de A à D, donnant au secteur d’affaires une première vision de sa posture de sécurité. Atelier 2 identifie les « sources de risque », c’est-à-dire les acteurs malveillants potentiels (groupes criminels, États, employés mécontents) et leurs motivations, ce qui permet de prioriser les contrôles à mettre en place. Atelier 3 croise stratégiquement les sources de risque avec les biens à protéger, en modélisant simplement comment une attaque pourrait perturber une mission. Ce niveau s’adresse à un public exécutif. Atelier 4 descend au niveau opérationnel, en précisant les mesures concrètes (par exemple isoler physiquement un serveur plutôt que de se fier uniquement à des solutions numériques comme un antivirus). Atelier 5 conclut par un plan de traitement des risques, positionné sur une matrice impact/probabilité, avec un suivi continu et une réévaluation périodique. Pascal souligne que cette démarche implique fortement le secteur d’affaires (le « business ») dès le départ, le RSSI agissant comme traducteur entre les exigences d’ingénierie, réglementaires et de sécurité. La spécificité aéronautique La discussion aborde aussi la dimension unique de l’aéronautique : contrairement à d’autres industries, la sûreté d’un produit comme l’A220 continue d’exister bien après sa livraison, à travers la maintenance, les mises à jour et une relation contractuelle et réglementaire continue entre Airbus et les opérateurs aériens. Une analogie est faite avec le transport par autocar, où la sécurité ne se limite pas au véhicule mais concerne l’ensemble de l’écosystème (aéroports, restauration, maintenance, peinture, etc.), chaque maillon pouvant avoir des conséquences dramatiques. La chaîne d’approvisionnement, angle mort fréquent Un thème récurrent est la gestion des risques liés aux fournisseurs, de plus en plus ciblés par les attaquants puisque les grandes entreprises comme Airbus sont mieux protégées. Chaque contrat de service inclut désormais des annexes de sécurité, avec des questionnaires de conformité et des audits réguliers. Pascal raconte que de nombreux fournisseurs, surtout les petites entités locales sans expérience préalable de ce type d’exigences, réagissent d’abord en pensant ne pas être concernés puisqu’ils ne sont pas directement connectés aux systèmes d’Airbus. Il doit alors jouer un rôle pédagogique pour expliquer que leur capacité de production, même non numérique, peut mettre en péril toute la chaîne. Il observe aussi que les fournisseurs européens, plus habitués à ce type de rigueur réglementaire, aident souvent leurs homologues nord-américains à s’y retrouver. Gestion des vulnérabilités, incidents et tableaux de bord Les deux derniers piliers du rôle de RSSI — la gestion des vulnérabilités et la gestion des incidents — sont étroitement liés aux évaluations de risque. La détection d’une vulnérabilité déclenche un travail de priorisation et de remédiation, tandis qu’un incident est transmis aux équipes spécialisées (CERT, SOC) puis vient réalimenter le cycle d’analyse de risque. Enfin, Pascal évoque l’importance des tableaux de bord partagés avec les niveaux exécutifs, à condition que les indicateurs soient suffisamment matures et fiables — un chantier encore en construction pour un programme relativement jeune comme celui d’Airbus Canada. Collaborateurs Nicolas-Loïc Fortin Pascal Manni Crédits Montage par Intrasecure inc Locaux réels par [BANQ]

  3. Jun 17

    Spécial - L'IA au service de la cybersécurité - de l'optimisation à la transformation (Cybereco)

    Parce que… c’est l’épisode 0x30C! Shameless plug 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 30 juin au 2 juillet 2026 - Pass the SALT 19 septembre 2026 - Bsides Montréal 20 au 26 septembre 2026 - BruCON 13 novembre 2026 - DEATHCon 16 au 19 novembre - European Cyber Week 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode, je reçois Samuel Bonneau, venu présenter Cybereco la transformation profonde que son entreprise — une société de développement logiciel établie depuis quinze ans, qui intègre l’intelligence artificielle depuis huit ans — a opérée au cours de la dernière année. Contrairement à plusieurs entreprises qui se contentent d’un discours marketing autour de l’IA, l’organisation a réellement transformé ses façons de faire en profondeur. D’un objectif de 50 % à un changement de mentalité radical L’histoire débute par un objectif ambitieux fixé aux employés : devenir 50 % plus performants grâce à l’IA, sur une période d’un an. Plusieurs équipes ont dépassé largement cette cible en cours de route, ce qui a mené l’entreprise à revoir entièrement son approche. Samuel illustre ce changement par une analogie automobile : viser 50 % plus de vitesse revient à accélérer davantage avec le même véhicule, alors que viser une multiplication par dix ou vingt force à repenser entièrement le moyen de transport. C’est ce changement de paradigme — un mindset de croissance exponentielle plutôt qu’incrémentale — que l’entreprise a adopté, en parallèle de l’arrivée de modèles et d’outils de codage de plus en plus performants, dont Claude Code, qui a rapidement surpassé les outils utilisés jusque-là. Cette transformation ne s’est pas limitée aux équipes techniques : les ressources humaines, la finance et le reste du back-office ont aussi été intégrés, développant leurs propres flux de travail avec des agents, des compétences (skills) partagées entre équipes, et même de nouveaux outils et plateformes internes. Samuel souligne que la petite taille de l’équipe administrative et une culture d’innovation déjà bien ancrée ont facilité cette adoption, réalisée sur une période de trois à six mois pour la cinquantaine de personnes moins familières avec ces outils. Une urgence stratégique et des risques émergents Samuel explique que ce virage n’était pas optionnel : dans un domaine où l’IA évolue très rapidement, ne pas adopter ces outils aurait signifié perdre en pertinence face à des concurrents capables de développer plus vite et à moindre coût. Ce sentiment d’urgence (« do or die ») a guidé les décisions de l’entreprise. Or, cette accélération massive amène son lot de défis en cybersécurité. Les employés développant leurs propres agents et automatisations utilisent souvent leurs propres identifiants, ce qui peut devenir dangereux si ces agents ne sont pas correctement encadrés. Samuel cite l’exemple de la sandboxing des agents codeurs, un besoin pour lequel peu de solutions matures existaient sur le marché — l’outil le plus prometteur, Nvidia Open Shell, étant encore en préalpha, ce qui illustre bien le décalage entre la rapidité de l’innovation en IA et la maturité des outils de protection. Une plateforme cybersécurité développée à l’interne Face à ce constat, l’équipe a bâti sa propre plateforme de cybersécurité, intégrée à un robot Slack déjà utilisé pour les demandes liées à la sécurité. Cette plateforme analyse automatiquement les demandes d’utilisation d’outils ou de compétences (skills) externes, attribue des scores de risque et permet d’approuver ou de rejeter les requêtes. Plutôt que de gérer cela à travers du code traditionnel, l’équipe travaille désormais par spécifications : il suffit de modifier les spécifications fonctionnelles pour que le système se régénère avec les nouvelles règles, par exemple en ajoutant un critère lié à la localisation des données. L’élément le plus distinctif de cette plateforme est sa capacité à puiser dans toute la documentation interne d’un projet client — transcriptions de réunions, documents de conception, échanges — afin de déterminer automatiquement le niveau de criticité, les enjeux de disponibilité et les risques associés à un système avant même son développement. Cette information alimente ensuite la génération de spécifications de sécurité sur mesure, adaptées au contexte d’affaires réel du client plutôt qu’à des standards génériques. Encadrer les agents : god rails et supervision Une partie importante de l’entretien porte sur la façon de limiter les comportements destructeurs que pourraient avoir des agents autonomes. Samuel explique que chaque agent développé par l’entreprise comporte une douzaine de composantes, dont des mécanismes de garde-fous (« god rails ») qui valident que son comportement reste dans les limites prévues. Il illustre cela avec l’exemple d’un agent d’intégration des nouveaux employés (onboarding), qui ne doit jamais pouvoir exécuter des actions de désactivation de comptes (offboarding), même s’il possède techniquement les droits nécessaires pour créer des comptes. Un agent superviseur additionnel surveille les actions des agents opérationnels pour détecter et bloquer tout comportement anormal. Cette approche de décomposition en agents très spécialisés, plutôt qu’en un seul agent polyvalent, réduit non seulement les risques d’erreurs ou d’hallucinations liées à une fenêtre de contexte trop chargée, mais permet aussi de réduire les coûts en tokens en choisissant des modèles adaptés à la complexité réelle de chaque tâche. Choix des modèles et expertise interne L’entreprise s’appuie sur une équipe d’une quarantaine de spécialistes en IA, plusieurs détenant un doctorat, qui combinent rigueur scientifique et application concrète (programmation, entraînement et ajustement de modèles). Leur rôle a évolué : alors qu’ils entraînaient autrefois des modèles sur des infrastructures dédiées, ils se concentrent aujourd’hui davantage sur le choix du modèle optimal selon le contexte, qu’il soit local ou hébergé via une API externe, agissant essentiellement comme un routeur intelligent entre différents modèles de langage. Vers la commercialisation et les prochains défis Développée depuis janvier, la plateforme interne sert déjà à la fois à protéger l’entreprise et à soutenir des contrats clients de longue durée. Samuel évoque un potentiel de commercialisation, possiblement sous forme de produit en mode SaaS, déjà testé auprès de grands clients déployant des systèmes agentiques complexes. En clôture, Samuel partage sa vision des prochains défis : l’arrivée de robots humanoïdes en milieu industriel, déjà amorcée chez certains clients, qui posera de nouveaux enjeux de sécurité et de sûreté (safety) lorsque ces robots, connectés à des systèmes intelligents, devront être encadrés pour éviter des actions dangereuses. L’entreprise prévoit relancer une division spécialisée pour anticiper cette vague, prévue dans un horizon de deux à cinq ans. Collaborateurs Nicolas-Loïc Fortin Samuel Bonneau Crédits Montage par Intrasecure inc Locaux réels par Cybereco

  4. May 21

    Spécial - Retour sur Google Next 2026

    Parce que… c’est l’épisode 0x2FD! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Dans cet épisode spécial, Nicolas Bédard revient sur sa participation à Google Next 2026, son quatrième événement du genre, mais le premier qu’il vivait en tant qu’employé de Palo Alto plutôt que de Google. Il y présente les quatre intégrations majeures que Palo Alto a lancées en partenariat avec Google, dans un contexte où l’intelligence artificielle agentielle se déploie à grande vitesse — souvent sans encadrement de sécurité adéquat. Le contexte : la plateforme Gemini Enterprise se réorganise Avant d’aborder les intégrations, Nicolas explique les changements de nomenclature chez Google. Gemini Enterprise est désormais divisé en deux volets : Gemini Enterprise Apps : l’interface utilisateur permettant d’accéder aux agents, aux connecteurs de données (SharePoint, Outlook, etc.) et aux outils IA. Gemini Enterprise AI Platform : la couche cloud sous-jacente, qui remplace l’ancienne plateforme Vertex AI. Cette restructuration simplifie la compréhension de l’écosystème : tout ce qui touche à l’IA en entreprise chez Google s’appelle désormais Gemini Enterprise. Intégration 1 — Prisma AIRS dans l’Agent Gateway La première et probablement la plus stratégique des intégrations concerne Agent Gateway, une nouvelle fonction au cœur d’Agent Cloud, la plateforme Google pour exécuter des agents IA. Agent Gateway agit comme un point d’insertion au sein des load balancers internes : il permet d’injecter des fonctions de sécurité ou d’autres capacités dans les flux de communication entre agents, entre un agent et un serveur MCP, ou entre un utilisateur et son agent. Palo Alto a annoncé l’intégration de son AI Runtime de Prisma AIRS directement dans ce gateway. L’idée est de centraliser la sécurité plutôt que de la déléguer à chaque développeur. Concrètement, cela signifie que les garde-fous — validation des comportements, prévention des fuites de données, protection contre les abus — s’appliquent automatiquement à tous les agents, sans que les équipes de développement aient besoin d’expertise en cybersécurité. Agent Gateway s’articule autour de trois piliers : l’identité, le runtime (pare-feu IA) et l’observabilité. Pour l’instant, seuls les deux premiers sont ouverts aux partenaires tiers comme Palo Alto. Cette approche répond directement à la préoccupation numéro un des équipes de sécurité en entreprise : le Shadow AI, soit l’utilisation non contrôlée d’outils IA par des employés ou des développeurs, qui expose l’organisation à des risques importants. Intégration 2 — Le scan de modèles open source via Gemini Enterprise Apps La deuxième intégration adresse un risque souvent sous-estimé : l’utilisation de modèles IA provenant de plateformes communautaires comme Hugging Face. Si les grands modèles commerciaux (Google, Anthropic, OpenAI, Mistral) offrent des garanties relatives à leur provenance, les modèles open source sont publiés par n’importe qui, sans vérification systématique. Ils peuvent contenir des vulnérabilités cachées, des kill switches, du code malveillant dissimulé dans l’enveloppe du fichier (notamment via des fichiers pickle), ou avoir été entraînés sur des données douteuses. Palo Alto a lancé un agent de scan de modèles directement accessible depuis Gemini Enterprise Apps. Intégré au cycle de développement logiciel (SDLC), cet agent permet à un développeur de soumettre un modèle hébergé sur Hugging Face ou dans un registre interne pour vérification avant déploiement — sans avoir à sortir de son environnement de travail habituel. Nicolas précise que cet agent fonctionne dans le tenant du client, ce qui garantit que les données restent dans l’infrastructure de l’entreprise. Intégration 3 — Wildfire et l’analyse de malwares dans les flux IA La troisième intégration s’inscrit dans une approche plus classique, mais essentielle : la détection de malwares dans les fichiers transitant par des agents IA. Google utilisait déjà la technologie de pare-feu de Palo Alto pour son Cloud NGFW. Ce qui est nouveau à Google Next, c’est l’ajout de Wildfire, le moteur de sandboxing de Palo Alto, sous la forme d’un service géré appelé Advance Malware Sandboxing. Concrètement : lorsqu’un utilisateur envoie un fichier via un agent Gemini Enterprise — vers un dépôt documentaire, par exemple — ce fichier est intercepté, analysé dans un environnement isolé, puis validé avant d’être stocké. Cela protège les autres utilisateurs ou agents qui pourraient accéder à ce fichier ultérieurement. L’enjeu est d’autant plus grand que les malwares générés par IA sont désormais créés on the fly, spécifiquement pour une cible, ce qui rend les approches basées sur des signatures connues insuffisantes. Intégration 4 — Le pare-feu dans l’Application Design Center La quatrième intégration touche à l’expérience des développeurs. Google a ouvert son Application Design Center (ADC) aux partenaires tiers. L’ADC est un outil visuel dans la console cloud qui permet d’assembler des services Google (Cloud Run, Pub/Sub, BigQuery, etc.) pour créer des applications. Palo Alto a travaillé avec Google pour permettre l’insertion native d’un pare-feu dans ces assemblages. Un développeur qui crée une architecture dans l’ADC peut maintenant ajouter un gabarit Palo Alto d’un clic. Une fois la configuration validée, l’outil génère automatiquement le code Terraform correspondant, incluant les load balancers et le pare-feu. L’objectif est de démocratiser la sécurité réseau en la rendant accessible à des développeurs qui ne maîtrisent pas nécessairement les subtilités des pare-feux d’infrastructure. Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Nicolas Bédard

  5. May 13

    Spécial - Naviguer à travers les sept îles (7 islands)

    Parce que… c’est l’épisode 0x2F8! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Présentation de l’invité et de Seven Islands Nicolas Duguay est le président fondateur de Seven Islands Defense and Intel, une jeune firme spécialisée dans le conseil stratégique en cybersécurité, cyberdéfense et renseignement. Avant de lancer cette entreprise, il a occupé le poste de directeur général d’InCyber (anciennement In.Sec.M), le cluster canadien de la cybersécurité. Son parcours est atypique : il a d’abord été journaliste à Radio-Canada pendant une dizaine d’années, puis a évolué dans le secteur du renseignement privé, avant de bifurquer progressivement vers la cybersécurité. C’est cette trajectoire diversifiée qui lui a permis de développer une compréhension fine des écosystèmes internationaux et des dynamiques de marché. La mission de Seven Islands Seven Islands est née d’un constat simple : l’écosystème canadien de la cybersécurité est principalement composé de PME ambitieuses mais disposant de peu de moyens, qui passent souvent sous le radar des grands donneurs d’ordre. Fort de son expérience chez In.Sec.M, où il a mené des travaux de prospection et de cartographie d’écosystèmes à l’international en collaboration avec Affaires mondiales Canada, Nicolas a accumulé une connaissance approfondie des distinctions entre les marchés et des facteurs qui font qu’une entreprise réussit ou échoue à l’étranger. Seven Islands met cette expertise au service d’organisations qui souhaitent pénétrer de nouveaux marchés, non seulement en cybersécurité, mais aussi dans les secteurs de la défense et des outils de renseignement. Des marchés en pleine transformation L’Ukraine constitue un exemple frappant de marché en rupture de paradigme. La pression à ses frontières a engendré une explosion de la demande et le développement d’un écosystème local très innovant. Les pays limitrophes de l’espace russe — pays baltes, Europe centrale et de l’Est — connaissent une dynamique similaire. Or, plusieurs entreprises canadiennes arrivent dans ces marchés avec des produits pensés selon une logique traditionnelle de défense, sans tenir compte de la réalité du terrain : il faut des solutions abordables, accessibles, produites rapidement et utilisables sans formation poussée. C’est pratiquement l’inverse de la tradition habituelle en matière de produits de défense. Le rôle concret de Seven Islands auprès de ses clients La clientèle type de Seven Islands se compose de startups et de scaleups ayant atteint un niveau de maturité technologique suffisant pour aborder les marchés internationaux. La firme intervient pour raccourcir le temps d’acquisition de marché, c’est-à-dire pour permettre à ces entreprises de comprendre rapidement les particularités du procurement local, d’identifier les bons partenaires ou acheteurs, d’éviter les pièges propres à chaque marché et de structurer leur montage financier. Nicolas estime pouvoir réduire de moitié, voire du tiers, le temps et les coûts habituellement nécessaires à une pénétration de marché, qui se chiffrent normalement en centaines de milliers de dollars sur six mois à un an. Le Canada, un marché en silos Une partie importante de la conversation porte sur les particularités du marché canadien, souvent mal compris par les entreprises étrangères. L’erreur la plus répandue est de considérer le Canada comme un marché américain en plus petit ou, pour les Français, de voir le Québec comme une extension naturelle de la France. La réalité est tout autre : le Canada est un ensemble de silos distincts, chacun avec sa culture, ses réseaux et ses dynamiques propres. Toronto représente le pôle principal pour la cybersécurité privée, porté par le secteur bancaire et sa position de deuxième ou troisième place financière nord-américaine. La compétition y est féroce. Vancouver constitue le deuxième pôle en importance, avec un écosystème vibrant tourné vers la côte ouest américaine, la Silicon Valley et le marché Asie-Pacifique — une porte d’entrée stratégique souvent sous-estimée. Montréal est un marché significatif mais très insulaire, fortement centré sur lui-même et sur le Québec, avec des réseaux établis difficiles à pénétrer. Ottawa est le cœur du marché gouvernemental et devrait devenir l’un des pôles les plus intéressants du pays grâce aux récents investissements en défense. Calgary se distingue pour tout ce qui touche à la sécurité des systèmes énergétiques, tandis que des villes atlantiques comme Halifax et Fredericton investissent beaucoup d’efforts dans le développement de leur écosystème. Nicolas souligne que les entreprises étrangères qui échouent au Canada reviennent chez elles avec une image déformée du marché : elles racontent leur échec sans en analyser les causes profondes, alimentant ainsi des perceptions erronées chez d’autres entreprises qui pourraient autrement y trouver leur place. De nouvelles alliances géopolitiques et commerciales La conversation s’ouvre ensuite sur les marchés émergents les plus prometteurs. Nicolas observe un recadrage géopolitique important qui redéfinit les alliances commerciales du Canada. Le marché scandinave, longtemps ignoré, suscite aujourd’hui un intérêt considérable : la Suède notamment exprime un véritable appétit pour des échanges avec le Canada dans une dynamique nordique partagée. Les pays baltes — Estonie, Lettonie, Lituanie — ainsi que la Pologne offrent également des occasions majeures, avec moins de protectionnisme que les grands marchés traditionnels comme l’Allemagne, la France ou le Royaume-Uni. Nicolas constate que les entreprises canadiennes, habituées à la proximité confortable du marché américain, ont développé une certaine paresse stratégique. Elles commencent à peine à regarder au-delà de l’Amérique du Nord, et la courbe d’apprentissage risque d’être exigeante pour celles qui ne se sont pas outillées pour comprendre ces nouveaux marchés. C’est précisément là que Seven Islands entend jouer son rôle d’accompagnement. Notes 7 Islands Defense & Intel Collaborateurs Nicolas-Loïc Fortin Nicolas Duguay Crédits Montage par Intrasecure inc Locaux réels par Cyberconférence 2026

  6. May 12

    Spécial - Rebondissement dans l'univers WordPress

    Parce que… c’est l’épisode 0x2F7! Shameless plug 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Le déclencheur : une attaque publique au WordCamp US En septembre 2024, Matt Mullenweg, fondateur de WordPress et dirigeant d’Automattic, profite de sa présentation de clôture au WordCamp US pour s’en prendre violemment à WP Engine, un hébergeur spécialisé WordPress. Il les qualifie de « cancer pour l’écosystème ». Le ton est d’autant plus choquant que les WordCamp sont des événements communautaires accessibles et abordables, portés par l’esprit de l’open source — le WordCamp Montréal, par exemple, ne coûtait que 50 dollars pour un weekend complet. WP Engine est un acteur majeur qui a bâti tout son modèle d’affaires autour de WordPress, offrant de l’hébergement dédié et ayant acquis plusieurs produits populaires, dont Advanced Custom Fields (ACF), un plugin utilisé par des millions de sites. Mullenweg reproche à WP Engine de générer d’importants revenus grâce à WordPress sans contribuer suffisamment au projet. Il avait d’ailleurs lancé l’initiative « Five for the Future », invitant les entreprises bénéficiant de l’écosystème à y consacrer 5 % de leurs ressources. Or, aucune obligation légale ne contraint quiconque à contribuer, et Mullenweg lui-même tire profit de l’écosystème via Automattic et WordPress.com. L’escalade : actions légales et blocages Trois jours après l’attaque publique, WP Engine réplique par une mise en demeure pour diffamation et extorsion. Le 25 septembre, Mullenweg bloque l’accès des serveurs de WP Engine au dépôt officiel de plugins et thèmes WordPress, empêchant des centaines de milliers de sites clients de recevoir leurs mises à jour, y compris les correctifs de sécurité. WP Engine doit alors développer en urgence des solutions de contournement. Le 30 septembre, la communauté découvre que WordPress.org — la plateforme qui héberge tout l’écosystème open source — appartient personnellement à Matt Mullenweg et non à la fondation WordPress, créée pourtant pour assurer transparence et gouvernance indépendante. Cette révélation amplifie l’inquiétude : une seule personne contrôle l’infrastructure sur laquelle repose près de 40 à 50 % des CMS du web, alors que le deuxième concurrent plafonne sous les 5 %. Le 2 octobre, WP Engine dépose une plainte officielle pour pratiques anticoncurrentielles et abus de pouvoir, rendant publics des échanges compromettants entre Mullenweg et la direction de WP Engine. Le chaos interne et la prise de contrôle d’ACF En parallèle, les employés d’Automattic s’interrogent sur les agissements de leur patron, qui communique de façon impulsive sur les réseaux sociaux et son blogue. Mullenweg pose un ultimatum à ses employés : être avec lui ou partir, avec un délai de 24 à 48 heures. Environ 159 personnes, soit près de 10 % de l’effectif, choisissent de quitter l’entreprise. Mullenweg reprend ensuite le contrôle du plugin ACF au nom de la sécurité de l’écosystème, s’appuyant sur la licence GPL qui régit les extensions déposées sur le dépôt WordPress. Il crée un clone baptisé SCF (Secure Custom Fields) et redirige silencieusement les mises à jour d’ACF vers SCF, de sorte que la plupart des utilisateurs changent de plugin sans même s’en rendre compte. Cette manœuvre soulève de sérieuses questions sur la pérennité de SCF, un produit gratuit sans modèle économique ni équipe dédiée à long terme. Pour les agences comme celle de Maxime, la situation est un casse-tête : faut-il informer les clients, revenir à ACF, attendre ? L’équipe de Maxime décide de redéployer ACF sur les sites concernés, estimant que les clients sont pris en otage dans ce conflit. Les conséquences sur l’écosystème Mullenweg réduit drastiquement les contributions d’Automattic au projet open source, passant de 4 000 heures par semaine à environ 45, provoquant une stagnation du développement. La version 6.8 de WordPress accumule les retards. BlackRock, investisseur dans Automattic, dévalue ses parts. Des développeurs commencent à remettre en question la pertinence de publier sur le dépôt WordPress. Face à cette centralisation problématique, des initiatives émergent pour décentraliser la distribution des extensions. WP Engine rachète WP Packagist et Roots lance WP Packages, offrant des alternatives au dépôt officiel. L’adoption reste cependant un défi majeur pour les utilisateurs non techniques. L’arrivée de EmDash par Cloudflare Le 1er avril 2025, Cloudflare lance EmDash, une solution de gestion de contenu basée sur le framework Astro. Son approche distingue le contenu statique du contenu dynamique grâce au concept d’« îles », offrant de meilleures performances. EmDash isole également les plugins dans des sandbox pour renforcer la sécurité, contrairement à WordPress où un plugin défaillant peut compromettre tout le site. Maxime reconnaît l’intérêt technique de cette solution, mais tempère l’enthousiasme : aucun écosystème de plugins, aucune communauté établie, aucun expert disponible. Cloudflare a les moyens financiers de soutenir le projet, mais il est trop tôt pour y migrer des projets clients. WordPress n’est ni mort ni véritablement menacé à court terme. Perspectives La bataille juridique entre Automattic et WP Engine devrait connaître des avancées en juin 2025. Maxime anticipe une tentative de règlement hors cour de la part de Mullenweg, face à un WP Engine soutenu par un fonds d’investissement de plusieurs milliards déterminé à aller jusqu’au bout. Plus le conflit dure, plus il nuit à l’ensemble de l’écosystème. L’espoir reste qu’un retour à la maturité permette à chacun de poursuivre son activité dans un marché suffisamment vaste pour tous. Collaborateurs Nicolas-Loïc Fortin Maxime Jobin Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

  7. May 7

    Spécial - RETEX conférence S3NS 2026 aka part 2

    Parce que… c’est l’épisode 0x2F5! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Contexte et premières impressions Dans cet épisode spécial du podcast Polysécure, Nicolas Bédard reçoit son collègue de Palo Alto Networks pour un retour d’expérience sur la conférence S3NS, qui s’est tenue à Paris à la mi-février 2026. S3NS est le cloud souverain français, une offre construite sur la technologie de Google Cloud et certifiée par l’ANSSI (l’agence nationale française de cybersécurité) en décembre 2025 — soit à peine trois mois avant la conférence. L’invité y était envoyé en tant que représentant de Palo Alto Networks, pour présenter comment une entreprise américaine peut s’inscrire dans un écosystème de cloud souverain. Il avoue y être arrivé avec de sérieuses appréhensions : en tant que Nord-Américain travaillant pour une grande compagnie américaine, il craignait un accueil hostile, voire franchement anti-américain. La réalité qu’il a vécue a complètement renversé ses attentes. Une affluence surprenante, un discours inattendu Premier constat : l’ampleur de l’événement. Plus de 2 000 personnes étaient inscrites au sommet S3NS, un chiffre qui a surpris l’invité. La conférence était animée et les kiosques, dont celui de Palo Alto qui figurait parmi les plus grands, ont attiré une foule nombreuse et curieuse. Deuxième constat, et sans doute le plus marquant : le discours sur la souveraineté numérique entendu dans les keynotes était diamétralement opposé à ce qu’on entend habituellement au Québec ou en Amérique du Nord. Contrairement à ce que l’invité anticipait, il n’y avait aucune hostilité envers les entreprises américaines. Le message central de la conférence reposait sur deux piliers : la confiance d’abord, le contrôle ensuite. L’idée n’était pas de rejeter les technologies étrangères, mais de s’assurer qu’elles priorisent les intérêts des utilisateurs européens et qu’elles respectent leurs contraintes légales et opérationnelles. Cette nuance est fondamentale : mettre la souveraineté et l’innovation en opposition serait contre-productif. Les cyberattaquants, eux, utilisent les outils les plus avancés sans se soucier de leur origine. Une organisation qui sacrifierait l’innovation au nom de la souveraineté se retrouverait donc dans une position défavorable face aux menaces. Une maturité acquise avec le temps Nicolas Bédard apporte ici un éclairage précieux : il suit l’évolution du discours européen sur la souveraineté numérique depuis 2021-2022. À cette époque, le ton était beaucoup plus fermé, plus protectionniste, voire souverainiste au sens étroit du terme. En 2026, la pensée européenne a évolué vers une approche beaucoup plus pragmatique et collaborative, reconnaissant que la souveraineté ne signifie pas l’isolement, mais la maîtrise. Cette maturité, les Français l’ont acquise après des années de débat public sur le sujet. En comparaison, le Québec en est encore à une phase plus émotionnelle, réactive au contexte géopolitique récent. Les animateurs du podcast expriment le souhait que le débat local gagne lui aussi en nuance et en profondeur dans les années à venir. Palo Alto dans un cloud souverain : comment ça fonctionne ? La question naturelle se pose : comment une entreprise américaine comme Palo Alto Networks peut-elle opérer dans un environnement souverain, sachant que la certification SecNumCloud impose que l’opérateur soit une entité française ? La réponse est technique et pragmatique. Palo Alto ne peut pas être directement certifié SecNumCloud — et ne cherche pas à l’être. En revanche, ses produits peuvent tourner à l’intérieur d’une infrastructure souveraine certifiée. La stratégie retenue dans un premier temps consiste à déployer des solutions sous forme de machines virtuelles (VM) : pare-feu virtuels, console de gestion Panorama en VM, ou encore AI Runtime Security pour protéger les inférences localement. Le client télécharge et opère ces outils lui-même, dans son infrastructure souveraine, sans dépendre d’un service SaaS américain. Cette approche rappelle les déploiements dans les infrastructures critiques hors ligne — comme les sous-stations électriques — où l’on déploie des pare-feu entièrement autonomes, sans connexion à des services cloud externes. Le cloud souverain suit la même logique : le contenant est souverain, et le client garde le plein contrôle sur ce qui tourne à l’intérieur. Un use case qui dépasse les frontières françaises Un autre constat inattendu : la conférence S3NS attirait non seulement des organisations françaises, mais aussi des entreprises d’autres pays de l’Union européenne — Suisse, Italie, Allemagne, entre autres. Ces organisations voient dans S3NS une solution idéale pour la reprise après sinistre (DR) ou pour certaines charges de travail sensibles, en dehors même de toute obligation légale française. S3NS représente la certification cloud souveraine la plus exigeante disponible en Europe, ce qui en fait une option attractive pour quiconque cherche à minimiser son exposition aux juridictions extra-européennes. La souveraineté comme un oignon L’image la plus éclairante de la conférence est celle de l’oignon : la souveraineté se décline en couches. Certaines données et certains workloads nécessitent une infrastructure pleinement certifiée SecNumCloud — avec le surcoût que cela implique, inévitable pour tout cloud souverain qui ne bénéficie pas des économies d’échelle mondiales des grands hyperscalers. D’autres données, moins sensibles ou non soumises à des obligations légales, peuvent reposer sur des infrastructures alternatives offrant des garanties partielles de souveraineté — comme les offres équivalentes chez Microsoft ou AWS — à moindre coût. Ce n’est pas tout ou rien. C’est une stratégie graduée, adaptée à la nature de chaque donnée et à chaque contexte réglementaire. Ce qui s’en vient En conclusion, les deux animateurs notent que l’écosystème des clouds souverains est en pleine expansion : Bleu (basé sur Azure) est en cours de certification en France, un équivalent est annoncé en Allemagne, et d’autres suivront. La décentralisation vers de plus petits clouds régionaux s’amorce, portée en partie par le contexte géopolitique actuel. Un sujet à suivre de près — et assurément matière à un prochain épisode. Collaborateurs Nicolas-Loïc Fortin Nicolas Bédard Crédits Montage par Intrasecure inc Locaux réels par Nicolas Bédard

  8. May 6

    Spécial - Vraust.ai ou comment protéger les personnes vulnérables de la fraude (Propolys)

    Parce que… c’est l’épisode 0x2F4! Shameless plug 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 24 et 25 juin 2026 - Troopers 26 et 27 juin 2026 - leHACK 19 septembre 2026 - Bsides Montréal 1 au 3 décembre 2026 - Forum INCYBER - Canada 2026 24 et 25 février 2027 - SéQCure 2027 Description Présentation de l’invité et de la plateforme Dans cet épisode spécial enregistré dans le cadre de la cohorte Propolys, Nicolas reçoit Elnathan Tiokou, fondateur et CEO de Vraust.ai (vraust.ai). Cette startup québécoise se spécialise dans la prévention des arnaques (scams) en temps réel, ciblant principalement les citoyens canadiens les plus vulnérables. Elnathan présente sa plateforme comme un outil capable d’évaluer en quelques secondes si un site web, un courriel ou une conversation téléphonique présente des signes de fraude, en retournant un score de risque accompagné de recommandations concrètes. Comment fonctionne la fraude aujourd’hui Elnathan rappelle que la grande majorité des fraudes modernes repose sur le social engineering, c’est-à-dire la manipulation psychologique des victimes. Il illustre le propos avec un exemple parlant : un parent âgé qui tombe sur une fausse plateforme d’investissement et qui, faute de pouvoir rejoindre un proche plus averti, n’a aucun moyen de vérifier la légitimité du site. L’intelligence artificielle a considérablement amplifié la menace. Les fraudeurs peuvent désormais cibler des dizaines de milliers de personnes simultanément, avec des messages rédigés dans un français impeccable, rendant la détection humaine de plus en plus difficile. Même des professionnels en cybersécurité peuvent se faire piéger, comme Nicolas l’admet lui-même au fil de l’échange. Les axes d’analyse de Vraust.ai La plateforme s’appuie sur trois grandes familles d’analyse : L’analyse textuelle : courriels, sites web, messages de romance scam sur les réseaux sociaux. La plateforme effectue une analyse sémantique et sentimentale du contenu pour détecter les tentatives de manipulation. L’analyse vocale : les arnaques par appel téléphonique ou en vidéoconférence (Zoom, Teams) sont également couvertes. L’outil repère des signaux comme l’urgence dans le ton, les silences inhabituels ou les incohérences dans le discours. L’analyse technique : vérification de l’adresse IP, localisation du domaine, et autres indicateurs classiques en cybersécurité qui permettent de tracer l’origine d’une tentative de fraude. Ces trois couches alimentent un score de risque global, accompagné d’une catégorisation du type d’arnaque détecté (job scam, romance scam, fraude bancaire, etc.) et d’un lien vers des ressources gouvernementales présentant des situations similaires déjà documentées. La cible : les personnes vulnérables, pas les convaincus Elnathan soulève une statistique frappante : 78 % des adultes canadiens se disent confiants dans leur capacité à détecter une fraude, alors que 23 % d’entre eux continuent pourtant d’en être victimes. Cette fausse assurance crée un angle mort dangereux : plus on se croit invulnérable, plus on baisse sa garde. Plutôt que de dépenser énergie et capital à convaincre cette majorité confiante, Vraust.ai concentre ses efforts sur les segments les plus exposés : les personnes âgées, d’une part, et les jeunes de 13 à 18 ans, d’autre part — ces derniers représentant 25 à 27 % des victimes de fraude, un chiffre souvent méconnu. La stratégie commerciale repose sur un forfait familial : un adulte inscrit peut y intégrer ses parents et ses enfants, ces derniers ne pouvant rejoindre la plateforme qu’avec autorisation parentale. Une intégration pensée pour réduire la friction Actuellement, la plateforme fonctionne comme une interface conversationnelle en ligne — l’utilisateur y colle un texte suspect et reçoit une analyse instantanée. La prochaine étape, en cours de développement, est une application en arrière-plan (overlay) installée sur téléphone ou ordinateur. Celle-ci restera invisible dans l’usage quotidien et n’alertera l’utilisateur que lorsqu’une situation suspecte est détectée : un appel entrant frauduleux, un site web malveillant, etc. L’utilisateur garde le contrôle : il choisit quelles applications faire surveiller. La vie privée est au cœur de la conception — les données des utilisateurs ne sont pas stockées par défaut, et le modèle tourne en grande partie localement sur l’appareil. Simplifier le signalement aux autorités L’un des problèmes majeurs soulevés dans l’épisode est la barrière au signalement. Selon Elnathan, les 643 millions de dollars de pertes liées à la fraude rapportés l’an dernier au Canada ne représentent que 5 à 10 % des fraudes réelles — le reste n’étant jamais déclaré, souvent par honte, par découragement ou par manque de temps. Vraust.ai cherche à réduire ce processus à un seul clic : la plateforme structure automatiquement l’information (numéro du fraudeur, type d’arnaque, localisation potentielle) et la transmet aux autorités compétentes — en commençant par le Québec. Des échanges sont déjà en cours avec les autorités locales pour bâtir ce pipeline de signalement. Une fonction de rapport vocal est également prévue, permettant à une victime de simplement raconter son histoire à voix haute pour que la plateforme l’analyse et la transmette. En conclusion : la fraude se combat en communauté Elnathan conclut l’épisode par un appel au partage et à la déstigmatisation. Se faire arnaquer n’est ni une honte ni un signe d’ignorance — tout le monde peut en être victime. Il encourage chacun à reporter ses expériences, car chaque signalement alimente le modèle et protège les prochaines victimes potentielles. Nicolas renchérit : même les professionnels de la cybersécurité se font piéger, et 2026 s’annonce comme une année charnière dans la lutte contre la fraude numérique au Canada. Notes Vraust.ai Propolys Collaborateurs Nicolas-Loïc Fortin Elnathan Tiokou Crédits Montage par Intrasecure inc Locaux réels par Cyberconférence 2026

See All (271)

About

Podcast francophone sur la cybersécurité. Pour professionels et curieux.

Information