PolySécure Podcast volet pour les professionels

Parce que… c’est l’épisode 0x340!

Shameless plug























































































































































































































































































































































































































































































































































































19 septembre 2026 -
Montréal Canada -

Bsides Montréal 2026












22 septembre 2026 -
Belgique -

BE-Cyber












24 au 25 septembre 2026 -
Belgique -

BruCON












1er au 3 octobre 2026 -
Krakow, Pologne -

AligatorCon












13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












1 au 3 décembre 2026 -
Ottawa, Canada -

Forum inCYBER Canada












25 et 26 février 2027 -
Québec, Canada -

SéQCure 2027




















I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle













Description

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Le parcours menant à la faillite

Jean-Philippe Racine débute dans le domaine en 2001, devient travailleur autonome en 2009, puis fonde CyberSWAT en 2015. L’entreprise croît rapidement, portée par la pandémie, jusqu’à compter 25 employés. Le marché change toutefois beaucoup dans les deux dernières années, entre la hausse des salaires, des ventes plus difficiles et les dépenses importantes dans le logiciel Protection C4. Les liquidités finissent par manquer et la faillite est déclarée à la fin août 2025, forçant des décisions difficiles.

Le rachat des actifs et de la marque

Pendant qu’il aide le syndic à liquider les actifs, Jean-Philippe s’interroge sur son avenir et constate qu’il aime toujours la sécurité, décidant de rester dans le service conseil auprès des PME. Vendre des actifs en faillite fonctionne par enchères et ressemble à la vente d’une maison sans garantie légale, ce qui en diminue la valeur. Les actifs sont séparés en deux lots, le premier comprenant la marque CyberSWAT avec son site web et ses articles promotionnels, le deuxième regroupant le logiciel Protection C4, ses clients et son code. Il rachète finalement les deux.

Racheter la marque évite de repartir de zéro, ce qui exigerait de reconstruire un site web, de changer les courriels et de recontacter tous les contacts. Chaque dollar dépensé réduit d’autant les dettes, un peu comme de l’argent de Monopoly. Cette période soulève aussi des questions d’identité, ne sachant plus comment se présenter, comme président ou comme consultant, mais il décide d’assumer son choix de garder le nom.

Un fil Reddit sur la faillite est apparu au moment des événements, et une recherche Google fait aujourd’hui ressortir ce post en deuxième position, ce qui exigera des efforts pour redresser la perception. Heureusement, les clients se sont montrés très sympathiques et humains.

Les propositions refusées et le recentrage

Durant sa période de flottement, plusieurs personnes manifestent de l’intérêt. Certains proposent de racheter le logiciel à condition qu’il s’implique personnellement, une firme lui offre de gérer une grosse équipe de sécurité et un autre scénario prévoit de redevenir coactionnaire avec un investisseur. Il se demande s’il veut se remettre cette pression. Son objectif passé de lever des fonds en capital de risque aurait exigé une expansion au Canada et aux États-Unis. Il réalise que ces objectifs ne lui ressemblent plus.

Le nouveau CyberSWAT adopte donc une offre plus restreinte, ne gardant que les éléments qui lui plaisent. Avec la croissance, l’entreprise avait intégré des services qui alimentaient la machine sans lui plaire. La faillite lui permet de faire le ménage et de retourner sur le plancher des vaches, en refaisant de la cybersécurité au quotidien.

Le poids du rôle de PDG

Jean-Philippe occupait aussi le rôle de coordonnateur de gestion d’incidents, appuyé par son équipe pour le volet technique. Il déterminait la portée des incidents et choisissait les intervenants, en collaborant avec des assureurs et des firmes comme KPMG. Cette responsabilité pesait lourd, avec la crainte constante qu’un incident survienne la nuit ou pendant les vacances, et l’équipe n’avait jamais atteint la masse critique pour déléguer ce rôle.

L’expérience de PDG lui apporte aujourd’hui une grande clarté sur ce qu’il aime et ce qu’il n’aime pas. Il constate qu’il est trop amoureux de la sécurité pour rester éloigné de l’exécution. Il recherche un meilleur équilibre de vie, notamment pour passer plus de temps avec sa fille, sans l’épée de Damoclès des incidents et des départs de joueurs clés.

Un virage vers l’intelligence artificielle

Le repositionnement demeure subtil. CyberSWAT se voulait auparavant un généraliste auprès des PME de 10 à 500 employés, grâce aux dossiers liés à la loi 25. Désormais, il concentre ses efforts sur deux pôles qui l’intéressent, soit la protection des renseignements personnels et des renseignements de santé, domaines qu’il connaît pour avoir travaillé sur les dossiers de la RAMQ et de Santé Québec. Il ajoute un volet intelligence artificielle, un intérêt de longue date qu’il n’avait pas le temps de cultiver comme PDG.

Pour concrétiser ce virage, il a obtenu avant les fêtes les certifications AAIA et AAISM d’ISACA, lui qui n’avait plus passé d’examen depuis plusieurs années. Les certifications ne font pas tout, mais elles lui servent de défi personnel, un peu comme réserver un voyage au Kilimandjaro pour se forcer à faire de la randonnée.

Le logiciel Protection C4 poursuit sa vie

Le logiciel continue d’exister et Jean-Philippe reprend son rôle de product owner, qu’il occupait déjà pour la première version. La firme qui assurait le développement a accepté de poursuivre, malgré les factures impayées perdues dans la faillite. Des clients existants continuaient d’utiliser la plateforme et de nouvelles ventes ont été réalisées depuis le rachat. Une bonne partie du travail relève de la configuration plutôt que du développement. Les défis restent réels avec la transformation des produits SaaS et l’évolution du cloud. Il tient à financer le développement avec son propre argent, et les nouvelles méthodes de codage assisté devraient permettre d’accélérer l’ajout de fonctionnalités malgré un budget limité.

Réflexions sur l’avenir du domaine

Plus actif dans la veille, Jean-Philippe constate que la vitesse des changements est fulgurante et que les métiers se transforment, au point qu’il a de la difficulté à imaginer son travail dans 24 mois. Il s’interroge sur l’avenir de la facturation à l’heure dans cinq ans, lui qui peut désormais offrir plusieurs services à forfait grâce aux outils d’intelligence artificielle utilisés de manière sécuritaire. L’animateur note que l’usage de l’intelligence artificielle demeure peu sécurisé dans plusieurs organisations, notamment avec les risques d’injection de prompt par des documents externes. La conférence complète sera disponible sur le site du Sécur.

Notes

Présentation faire lors du SéQCure 2026

Contributeurs

.contributors-table {
border-collapse: separate;
border-spacing: 20px 8px;
}
.contributors-table td,
.contributors-table th {
border: none;
background: transparent;
text-align: center;
vertical-align: top;
}
.contributors-table img.contributor-photo {
width: 100px;
height: 100px;
object-fit: cover;
border-radius: 50%;
}
.contributors-table .contributor-name {
display: block;
margin-bottom: 4px;
font-weight: bold;
}
.contributors-table .contributor-socials img {
margin: 0 2px;
}







Nicolas-Loïc Fortin








Jean-Philippe Racine









Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x331!

Shameless plug























































































































































































































































































































































































































































































































































































19 septembre 2026 -
Montréal Canada -

Bsides Montréal 2026












22 septembre 2026 -
Belgique -

BE-Cyber












24 au 25 septembre 2026 -
Belgique -

BruCON












1er au 3 octobre 2026 -
Krakow, Pologne -

AligatorCon












13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












1 au 3 décembre 2026 -
Ottawa, Canada -

Forum inCYBER Canada



























I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle













Description

Présentation et parcours

Dans cet épisode spécial de Polysécure, Yanis Ould Mahammed, étudiant en 4e année de génie logiciel à Polytechnique Montréal, présente Chronhr, une startup qu’il a cofondée avec Aziz, candidat au doctorat en cybersécurité à Polytechnique et également CTO de l’entreprise. Aziz, qui travaille chez Morgan Stanley, a identifié un enjeu majeur lié à la fraude et au blanchiment d’argent dans le cadre de son travail. Grâce à sa compréhension approfondie de l’intelligence artificielle, il a validé l’idée en discutant avec des analystes du domaine avant de proposer à Yanis, rencontré au sein d’une association étudiante, de le rejoindre dans l’aventure.

L’accompagnement de Propolys

Les deux cofondateurs ont postulé et ont été retenus pour intégrer le programme d’accompagnement Propolys, une expérience que Yanis décrit comme extrêmement formatrice puisqu’il s’agissait de sa première entreprise. Le programme leur a fourni une base solide en entrepreneuriat, en les aidant à comprendre le fonctionnement réel du milieu plutôt que ce qu’on peut voir sur YouTube. L’accompagnement combine des rencontres hebdomadaires ou bimensuelles avec des mentors pour discuter des avancements et des prochaines étapes, ainsi que des ateliers de deux heures, deux fois par semaine, animés par des professionnels de différents secteurs (cybersécurité, medtech, cleantech). Ces ateliers sont surtout orientés vers le développement des compétences business — validation d’idées, élaboration d’un Business Model Canvas (BMC) — plutôt que vers les aspects purement techniques, bien que certaines formations sur le déploiement et les processus aient aussi été offertes.

Le problème identifié : l’AML manuel et vieillissant

Chronhr s’attaque à un problème concret dans le domaine de la lutte contre le blanchiment d’argent (AML). Les fondateurs ont observé que les systèmes actuels utilisés par les institutions financières sont désuets, que l’extraction de données prend énormément de temps au détriment de l’analyse, et que les erreurs humaines sont fréquentes en raison de la nature répétitive du travail. Les analystes doivent traiter un grand nombre de cas quotidiennement, ce qui crée un arriéré constant. À cela s’ajoute une pression réglementaire croissante au Canada, notamment de la part du CANAFE (Centre d’analyse des opérations et déclarations financières du Canada) et de FINTRAC. Toute entreprise disposant d’un système de transactions — banques, sociétés de services monétaires, entreprises fintech, crypto, immobilier, casinos, assurances et prêteurs — doit se conformer à ces obligations, sous peine de sanctions financières sévères en cas de blanchiment non détecté.

La solution technique

Chronhr propose une équipe d’agents virtuels d’intelligence artificielle qui automatise les tâches répétitives liées à la collecte de données, à l’analyse et à la rédaction de rapports pour les analystes AML. Le système est conçu pour être modulaire et s’intègre aux infrastructures existantes plutôt que de les remplacer entièrement. Concrètement, lorsqu’une alerte est générée par un système externe détectant une transaction suspecte, Chronhr crée automatiquement un dossier (case) regroupant les alertes pertinentes. Un orchestrateur mobilise ensuite plusieurs agents pour aller chercher des données dans les bases de transactions, les dossiers KYC (Know Your Customer) et les listes réglementaires gouvernementales, afin notamment de vérifier si une personne est politiquement exposée.

Le traitement combine des règles déterministes — des formules éprouvées pour détecter des schémas circulaires ou des structures de type « fan-in/fan-out » typiques du blanchiment — avec des composantes d’IA générative, dont la nature non déterministe est encadrée par des balises strictes. Yanis compare cette architecture à un patron de conception de type « décorateur », où chaque couche d’information vient s’ajouter aux précédentes pour former un rapport riche, semblable à un « gâteau mille-feuilles » de données.

Le rapport final n’est pas un simple document statique : il comprend des graphiques interactifs, de la visualisation de déplacement de données, des fonctionnalités de recherche de réseau (network research) permettant de visualiser les relations entre comptes et transactions, ainsi que des espaces pour les commentaires des analystes. L’objectif est de permettre à l’analyste de prendre une décision plus rapide et mieux informée.

Confidentialité et flexibilité technologique

Un enjeu central pour le secteur financier est la protection des données. Chronhr a conçu son système pour être entièrement modulable au niveau du choix des modèles d’IA utilisés, avec la possibilité d’injecter des prompts personnalisés. Les données ne quittent jamais les infrastructures du client — aucune information sensible n’est envoyée dans le cloud — et le système peut fonctionner entièrement on-premise. Seules des données non sensibles comme les journaux (logs) et statistiques sont transmises à Chronhr. L’équipe a testé plusieurs modèles, notamment ceux d’Anthropic et d’OpenAI, avec des résultats satisfaisants, bien qu’ils prévoient une phase plus scientifique de validation avec des jeux de données dédiés.

Étapes actuelles et ambitions

Actuellement, l’équipe a développé une banque de données synthétiques pour tester sa solution et cherche désormais à décrocher un projet pilote avec un premier client réel, dans un marché reconnu pour ses coûts d’entrée élevés. Elle s’appuie sur un comité consultatif (advisory board), sur le soutien de Propolys, ainsi que sur des discussions en cours avec PwC et KPMG pour établir des partenariats stratégiques.

Chronhr prévoit plusieurs apparitions publiques : l’entreprise a été sélectionnée dans le top 100 des compagnies en intelligence artificielle au Canada et présentera un kiosque au Forum FinTech les 14 et 15 septembre, ainsi qu’au GoSec fin septembre. Pour l’instant, l’entreprise cible exclusivement le marché canadien avant d’envisager une expansion vers les États-Unis, où la concurrence est plus forte. Le nom Chronhr, orthographié différemment de « Cronher », est né de la fusion des mots Chronos et Hermès — un clin d’œil approprié à une solution qui vise justement à faire gagner un temps précieux aux analystes AML, avec l’ambition d’atteindre une amélioration de vitesse et de simplification de 4 à 5 fois supérieure aux méthodes actuelles.

Notes

Chronhr

Propolys

Collaborateurs

Nicolas-Loïc Fortin

Yanis Ould Mahammed

Crédits

Montage par Intrasecure inc

Locaux réels par Next AI

Parce que… c’est l’épisode 0x320!

Préambule

C’est toujours difficile d’avoir une qualité uniforme lorsqu’il y a autant de gens autour de la table.

Shameless plug
















































































































































































































































































































































































































































































































































































6 au 9 août 2026 -
Las Vegas, USA -

DEFCON 34












19 septembre 2026 -
Montréal Canada -

Bsides Montréal 2026












22 septembre 2026 -
Belgique -

BE-Cyber












24 au 25 septembre 2026 -
Belgique -

BruCON












1er au 3 octobre 2026 -
Krakow, Pologne -

AligatorCon












13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












1 au 3 décembre 2026 -
Ottawa, Canada -

Forum inCYBER Canada



























I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle













Description

Cet épisode spécial de Polysécure réunit huit invités venus d’horizons variés — académique, industriel et gouvernemental — pour dresser un portrait de la recherche en cybersécurité au Québec : Benoît Baudry (sécurité de la chaîne d’approvisionnement logicielle, UdeM), Olivier Bilodeau (Flaire, Northsec), Alexandre Côté Cyr (malware researcher), François Proulx et Sébastien Gravelines (Boost Security, sécurité applicative et supply chain), Benoît Dupont (criminologie, UdeM), Sébastien Gambs (protection de la vie privée et IA, UQAM) et Alexis Dorais-Joncas (recherche sur le cyberespionnage, Proofpoint).

Les origines : des CTF à la recherche professionnelle

La discussion s’ouvre sur l’histoire du domaine. Plusieurs intervenants rattachent les débuts de la recherche en cybersécurité au Québec aux petites équipes pionnières comme celle d’ESET (I7), fondée notamment autour de figures comme Pierre-Marc Bureau. Beaucoup de premiers chercheurs venaient de l’ÉTS et avaient été initiés par les compétitions de capture de flag (CTF). Un débat émerge sur la légitimité du titre de « chercheur » en entreprise : certains estiment que la recherche académique, plus rigoureuse et lente, se distingue nettement de la recherche industrielle, souvent plus chaotique et teintée de marketing. D’autres nuancent : la recherche académique dépend largement des données et de la collaboration avec l’industrie, et les deux mondes s’enrichissent mutuellement.

Une circularité féconde entre industrie et université

Un exemple concret de collaboration est présenté : Benoît Baudry, arrivé au Québec il y a deux ans et demi, a rapidement contacté Boost Security (François Proulx), aboutissant à un projet commun avec des étudiants au doctorat et à la maîtrise qui construisent un « ground truth dataset » à partir des données accumulées par l’entreprise. Ce type de partenariat illustre comment l’industrie fournit des données massives et des cas concrets pendant que l’académie apporte la rigueur méthodologique.

L’humain au cœur de la cybersécurité

Plusieurs intervenants insistent sur l’importance croissante des sciences sociales dans la recherche en sécurité. Benoît Dupont souligne que l’étude des cybercriminels exige une collaboration avec la criminologie, tandis qu’Alexis Dorais-Joncas explique comment l’analyse des cibles d’attaques par courriel permet d’émettre des hypothèses sur les motivations géopolitiques des attaquants. La discussion aborde aussi l’ingénierie sociale et les leviers psychologiques exploités par les attaquants, ainsi que les collaborations avec le droit et l’éthique, notamment autour de la protection des données (loi 25) et de l’intelligence artificielle. Un exemple original est mentionné : une collaboration avec des chercheurs en théâtre pour concevoir des simulations de cyberattaques plus immersives.

Un écosystème québécois dense mais discret

Les participants estiment que le Québec, et Montréal en particulier, constitue un pôle de recherche en cybersécurité de calibre international, porté par une concentration unique d’universités francophones (UdeM, ÉTS, Concordia, UQAM, Laval, Sherbrooke) totalisant près d’une centaine de professeurs actifs, sans compter leurs étudiants. Les crédits d’impôt en R-D fédéraux ont favorisé l’implantation d’équipes de recherche en entreprise (I7/ESET, Flaire, GoSecure). Toutefois, un certain manque de confiance collective — attribué en partie à la culture et à la langue — empêcherait le Québec de pleinement revendiquer ce leadership, malgré des études d’industrie le confirmant.

Formation, angles morts et lacunes

Les intervenants reconnaissent une tension récurrente : l’industrie se plaint que les diplômés ne sont pas immédiatement opérationnels, un problème jugé inhérent à un domaine en évolution constante plutôt qu’un vrai défaut de formation. Un consensus se dégage sur une lacune importante : l’usabilité (HCI — interaction humain-machine) appliquée à la cybersécurité est quasi absente de la recherche québécoise, alors qu’elle est cruciale — les gestionnaires de mots de passe et les clés d’accès (passkeys) étant cités comme exemples de solutions encore mal adaptées aux usagers ordinaires. Certains plaident pour réduire au minimum les décisions demandées aux utilisateurs plutôt que de tenter de les éduquer davantage.

La francophonie comme atout à mieux structurer

Le réseau francophone — Québec, France, Afrique francophone (Algérie, Maroc, Sénégal), Haïti — est identifié comme une richesse sous-exploitée. Des collaborations existent, notamment via la conférence Botconf, mais restent largement informelles et ad hoc, faute de canal structuré entre le Québec et la France. Le manque d’un équivalent local de l’ANSSI française, en raison de la centralisation des services de renseignement à Ottawa, est aussi déploré.

Menaces sur l’avenir : immigration et financement

Un sujet préoccupant est la réduction récente des seuils d’immigration étudiante (environ 14 % de baisse), qui fragilise particulièrement les programmes de maîtrise — historiquement alimentés par des étudiants internationaux — et menace, à moyen terme, le vivier des futurs doctorants et chercheurs. Par ailleurs, l’augmentation prévue des dépenses fédérales de défense (vers 5 % du budget) pourrait injecter des fonds importants en cybersécurité, mais avec le risque de biaiser la recherche vers des thématiques strictement militaires, au détriment des enjeux civils.

Conclusion

Malgré ces incertitudes, les intervenants demeurent optimistes quant à la richesse et à la diversité de l’écosystème québécois, porté par une jeune génération talentueuse et un terreau propice à la collaboration interdisciplinaire. Ils appellent toutefois à une meilleure structuration — notamment un regroupement provincial fédérant les chercheurs de toutes les universités et disciplines — pour consolider les acquis et faire face aux défis migratoires et budgétaires à venir.

Collaborateurs

Nicolas-Loïc Fortin

Olivier Bilodeau

François Proulx

Alexis Dorais-Joncas

[Sébastien Gambs]

Benoit Baudry

Benoit Dupont

Alexandre Côté-Cyr

Sébastien Graveline

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x313!

Shameless plug









































































































































































































































































































































































































































































































































































30 juin au 2 juillet 2026 -
Lille, France -

Pass the SALT












6 au 9 août 2026 -
Las Vegas, USA -

DEFCON 34












19 septembre 2026 -
Montréal Canada -

Bsides Montréal 2026












22 septembre 2026 -
Belgique -

BE-Cyber












24 au 25 septembre 2026 -
Belgique -

BruCON












1er au 3 octobre 2026 -
Krakow, Pologne -

AligatorCon












13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












1 au 3 décembre 2026 -
Ottawa, Canada -

Forum inCYBER Canada



























I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle













Description

Cet épisode spécial de Polysécure réunit un panel international : Geneviève Lajeunesse (spécialiste en cybersécurité, actuellement en gouvernance à Radio-Canada, à titre personnel), Fanny Tan (journaliste tech et chercheuse à l’Observatoire des conflits multidimensionnels de la Chaire Raoul-Dandurand), Christophe Darlhac (consultant en sécurité, ex-secteur aérospatial et défense) et William Sampietro (RSSI dans le cloud privé, avec un long passé en sécurité opérationnelle nationale et en normalisation). L’animateur ouvre le débat en notant qu’un acteur majeur a, depuis un an et demi, remis la géopolitique au cœur de la cybersécurité : on ne parle plus seulement de menaces venues de l’étranger, mais aussi de tensions internes qui ont des répercussions cyber.

Le cyber comme levier de puissance

Les intervenants s’accordent : le cyber n’est plus un simple enjeu technique mais un véritable levier de puissance pour les États, les entreprises privées et les groupes criminels. On est passé d’attaques isolées à une confrontation continue et souvent invisible. Les groupes d’attaquants sont aujourd’hui catégorisés (APT, groupes sponsorisés par des États), et le phishing, loin d’être artisanal, mène régulièrement à des acteurs identifiables poursuivant des objectifs géopolitiques précis. Un phénomène frappant est évoqué : la Birmanie et le Cambodge, où des dizaines de milliers de jeunes gens se voient confisquer leur passeport pour être forcés de mener des cyberattaques — une réalité suffisamment préoccupante pour que la Chine elle-même exerce une pression sur le Cambodge à ce sujet.

Dépendance matérielle et logicielle

Un thème central est la dépendance de l’Occident envers du matériel et des logiciels étrangers. La flambée du prix de la RAM, détournée vers des acheteurs privés ayant précommandé, illustre la fragilité des chaînes d’approvisionnement. Le matériel chinois (Huawei, par exemple) est souvent moins cher et parfois plus transparent que son équivalent américain, mais son adoption soulève des questions de confiance à long terme — un composant piégé peut rester dormant pendant des années avant d’être activé. La Chine a par ailleurs habilement orienté les normes techniques (comme le standard 5G) pour imposer ses propres équipements, une stratégie qualifiée de « soft power » plus subtile que les attaques directes russes.

Doctrines nationales différenciées

Les panélistes soulignent une différence de doctrine notable : les États-Unis assument une capacité de riposte cyber offensive inscrite dans leur politique nationale, alors qu’en Europe (à l’exception partielle de la France) cette capacité reste cantonnée au domaine militaire et n’est pas assumée publiquement. Cela crée une asymétrie dans la réponse aux attaques étatiques.

Portraits par pays

La Russie est associée à des campagnes de déstabilisation et de désinformation, rappelant des précédents comme Cambridge Analytica. La Chine privilégie le renseignement économique et l’espionnage industriel plutôt que la destruction — l’exemple d’une antenne suspecte de 15 mètres installée près d’un site sensible à Toulouse est mentionné. Les États-Unis, quant à eux, ne sont plus perçus comme des alliés inconditionnels : le rachat de VMware par Broadcom, ou l’utilisation du droit américain (via Microsoft) dans l’affaire Alstom-Pierucci, illustrent des formes de pression économique et juridique qui affectent directement les entreprises européennes.

Le paradoxe de la souveraineté numérique

Une large partie de la discussion porte sur la souveraineté numérique, jugée abondamment discutée mais peu mise en pratique, autant en France qu’au Québec. L’exemple de WhatsApp, massivement utilisé par des Européens pourtant critiques envers les États-Unis, illustre cette contradiction, malgré l’existence d’alternatives comme Signal ou Olvid. Les intervenants pointent l’absence de définition claire de la souveraineté numérique, notamment au Québec où le concept vient d’entrer dans la loi sans balises précises. Ils proposent de la penser par couches : souveraineté de l’individu (sur ses données), de l’entreprise, de l’État, puis de blocs régionaux (Europe, Amérique, Asie). Aucune souveraineté à 100 % n’est jugée réaliste ; il s’agit plutôt d’une question de priorisation selon la criticité des usages.

Deux leviers concrets sont proposés pour sortir de l’inaction : la décision politique (imposer des fournisseurs nationaux ou alliés dans la commande publique) et le financement structurel des acteurs souverains, afin qu’ils puissent rivaliser avec les géants américains. Le retard technologique européen, estimé à environ 40 ans depuis l’essor de Windows, est jugé quasiment impossible à rattraper sans rupture volontaire — la Russie et la Chine, elles, ont innové par nécessité en étant coupées de l’accès à certaines technologies occidentales.

La fuite des talents vers les géants américains, qui offrent des salaires nettement supérieurs à ceux du secteur public, est également citée comme un frein majeur à l’autonomie technologique.

Reconfiguration des alliances

En conclusion, le panel aborde la refonte des alliances internationales (Five Eyes, Union européenne, rapprochement Canada-Europe), accélérée par le désengagement relatif des États-Unis sous l’administration Trump. Les intervenants insistent : une alliance solide repose sur des valeurs communes et la confiance plutôt que sur des structures figées, et les alliances évoluent comme des relations humaines, avec des hauts et des bas. La frontière n’est plus seulement physique mais cyber, une dimension qui touche désormais la souveraineté, les infrastructures, la politique et la défense. La question de l’intégration formelle du Canada à l’Europe est jugée secondaire face à la volonté réelle de coopérer.

L’épisode se termine sur la promesse d’un prochain volet, faute de temps pour aborder d’autres sujets comme l’informatique quantique.

Collaborateurs

Nicolas-Loïc Fortin

Christophe D’ARLHAC

Geneviève Lajeunesse

Fanny Tan

William Sampietro

Crédits

Montage par Intrasecure inc

Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x30F!

Shameless plug



























































































































































































































































































































































































































































































































































24 et 25 juin 2026 -
Allemagne -

Troopers












26 et 27 juin 2026 -
Paris, France -

leHACK












30 juin au 2 juillet 2026 -
Lille, France -

Pass the SALT












6 au 9 août 2026 -
Las Vegas, USA -

DEFCON 34












19 septembre 2026 -
Montréal Canada -

Bsides Montréal 2026












22 septembre 2026 -
Belgique -

BE-Cyber












24 au 25 septembre 2026 -
Belgique -

BruCON












1er au 3 octobre 2026 -
Krakow, Pologne -

AligatorCon












13 et 14 novembre 2026 -
Worldwide -

DEATHCon












16 au 19 novembre -
Rennes, France -

European Cyber Week 2026












1 au 3 décembre 2026 -
Ottawa, Canada -

Forum inCYBER Canada



























I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle













Description

Dans cet épisode spécial du podcast, je reçois Pascal Manni, RSSI (CISO) affilié à Airbus Canada, pour discuter du rôle de responsable de la sécurité de l’information dans un grand groupe industriel aéronautique. Pascal possède plus de 15 ans d’expérience au sein d’Airbus, dont une dizaine d’années en France et huit ans en Chine en sécurité numérique, avant de rejoindre le Canada en 2018 et d’occuper le poste de RSSI depuis environ trois ans.

Contexte : l’acquisition et le choc culturel

Airbus, qui compte environ 150 000 employés dans le monde, a racheté le programme C Series (devenu l’A220) en 2016. Cette acquisition a créé un choc de paradigme entre la culture de gouvernance européenne, très structurée en matière de sécurité, et l’environnement canadien qui devait s’y adapter. Pascal a été la première personne à instaurer cette culture du rôle de RSSI au Canada, un poste alors mal compris dans l’organisation.

Les quatre piliers du programme A220

Pascal identifie quatre grands domaines sur lesquels repose la sûreté du programme A220 : la partie industrielle et la chaîne d’approvisionnement, le produit lui-même (soumis aux exigences réglementaires de l’aviation, comme celles de Transport Canada ou de l’OACI), la partie numérique (données et systèmes informatiques), et enfin les personnes et les espaces de travail (menaces liées aux acteurs malveillants). Le rôle du RSSI consiste à s’assurer que ces quatre piliers sont adéquatement maîtrisés, en s’appuyant notamment sur une cartographie des risques.

Un enjeu central évoqué est celui du vocabulaire : Airbus a développé un langage commun et une taxonomie propre, permettant d’uniformiser la communication à travers toutes ses divisions (avions, hélicoptères, espace, services), et de dialoguer efficacement avec les multiples régulateurs (français, canadiens, américains, européens) dans un environnement extrêmement encadré, renforcé par les nouvelles normes cyber européennes.

La méthodologie EBIOS RM

Le cœur de l’échange porte sur la méthode d’analyse de risque utilisée par Airbus : EBIOS RM, développée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information) en France. Cette approche, organisée en cinq ateliers, permet d’adapter le niveau de détail selon la maturité et les besoins du secteur d’affaires concerné.

Atelier 1 définit le périmètre (scope), la mission concernée, ainsi que les « biens métier » et « biens support ». Une analyse de conformité (basée sur le NIST, adapté au vocabulaire d’Airbus) permet d’attribuer des notes de A à D, donnant au secteur d’affaires une première vision de sa posture de sécurité.

Atelier 2 identifie les « sources de risque », c’est-à-dire les acteurs malveillants potentiels (groupes criminels, États, employés mécontents) et leurs motivations, ce qui permet de prioriser les contrôles à mettre en place.

Atelier 3 croise stratégiquement les sources de risque avec les biens à protéger, en modélisant simplement comment une attaque pourrait perturber une mission. Ce niveau s’adresse à un public exécutif.

Atelier 4 descend au niveau opérationnel, en précisant les mesures concrètes (par exemple isoler physiquement un serveur plutôt que de se fier uniquement à des solutions numériques comme un antivirus).

Atelier 5 conclut par un plan de traitement des risques, positionné sur une matrice impact/probabilité, avec un suivi continu et une réévaluation périodique.

Pascal souligne que cette démarche implique fortement le secteur d’affaires (le « business ») dès le départ, le RSSI agissant comme traducteur entre les exigences d’ingénierie, réglementaires et de sécurité.

La spécificité aéronautique

La discussion aborde aussi la dimension unique de l’aéronautique : contrairement à d’autres industries, la sûreté d’un produit comme l’A220 continue d’exister bien après sa livraison, à travers la maintenance, les mises à jour et une relation contractuelle et réglementaire continue entre Airbus et les opérateurs aériens. Une analogie est faite avec le transport par autocar, où la sécurité ne se limite pas au véhicule mais concerne l’ensemble de l’écosystème (aéroports, restauration, maintenance, peinture, etc.), chaque maillon pouvant avoir des conséquences dramatiques.

La chaîne d’approvisionnement, angle mort fréquent

Un thème récurrent est la gestion des risques liés aux fournisseurs, de plus en plus ciblés par les attaquants puisque les grandes entreprises comme Airbus sont mieux protégées. Chaque contrat de service inclut désormais des annexes de sécurité, avec des questionnaires de conformité et des audits réguliers. Pascal raconte que de nombreux fournisseurs, surtout les petites entités locales sans expérience préalable de ce type d’exigences, réagissent d’abord en pensant ne pas être concernés puisqu’ils ne sont pas directement connectés aux systèmes d’Airbus. Il doit alors jouer un rôle pédagogique pour expliquer que leur capacité de production, même non numérique, peut mettre en péril toute la chaîne. Il observe aussi que les fournisseurs européens, plus habitués à ce type de rigueur réglementaire, aident souvent leurs homologues nord-américains à s’y retrouver.

Gestion des vulnérabilités, incidents et tableaux de bord

Les deux derniers piliers du rôle de RSSI — la gestion des vulnérabilités et la gestion des incidents — sont étroitement liés aux évaluations de risque. La détection d’une vulnérabilité déclenche un travail de priorisation et de remédiation, tandis qu’un incident est transmis aux équipes spécialisées (CERT, SOC) puis vient réalimenter le cycle d’analyse de risque. Enfin, Pascal évoque l’importance des tableaux de bord partagés avec les niveaux exécutifs, à condition que les indicateurs soient suffisamment matures et fiables — un chantier encore en construction pour un programme relativement jeune comme celui d’Airbus Canada.

Collaborateurs

Nicolas-Loïc Fortin

Pascal Manni

Crédits

Montage par Intrasecure inc

Locaux réels par [BANQ]