PolySécure Podcast volet pour les professionels

Parce que… c’est l’épisode 0x686! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Introduction Ce podcast entre Benoît Gagnon et son hôte explore un sujet fondamental mais souvent négligé : la culture de sécurité en entreprise. S’appuyant sur un article paru dans le Harvard Business Review en juin 2025, la discussion met en lumière pourquoi les initiatives de cybersécurité échouent fréquemment, non pas par manque d’outils, mais par absence d’une culture organisationnelle appropriée. Les trois piliers d’une culture de sécurité efficace L’article du HBR identifie trois axes essentiels pour bâtir une culture de sécurité robuste : Connect, Reduce Uncertainty et Inspire Action. Ces trois dimensions forment le socle sur lequel repose toute transformation culturelle en matière de cybersécurité. 1. Connect : La communication comme fondement La communication représente le premier et peut-être le plus crucial des défis. Les professionnels de la cybersécurité souffrent souvent d’un vocabulaire hermétique qui crée une barrière avec le reste de l’organisation. Benoît souligne que la communication doit être adaptée au niveau de l’interlocuteur - on ne parle pas de la même manière à un exécutif qu’à quelqu’un “dans le shop”. Plus problématique encore, la culture du “shaming” domine trop souvent en cybersécurité. Plutôt que d’adopter une approche bienveillante et pédagogique, les équipes de sécurité ont tendance à pointer du doigt les erreurs, créant ainsi une atmosphère de méfiance plutôt que d’adhésion. L’article encourage plutôt à construire la réciprocité - reconnaître qu’on a besoin des autres départements et leur donner les moyens d’agir (l’empowerment). La communication doit également être bidirectionnelle et adaptée horizontalement. Parler aux RH, aux opérations, au département TI ou au business requiert des approches différentes. La sécurité n’est pas là pour elle-même, mais au service de l’entreprise et de ses actifs. Cette perspective change radicalement la dynamique : il ne s’agit plus d’imposer des règles, mais de protéger ce qui compte pour l’organisation. 2. Reduce Uncertainty : Clarifier les rôles et responsabilités L’incertitude organisationnelle constitue un obstacle majeur à l’adoption d’une culture de sécurité. Dans de nombreuses entreprises, les responsabilités en matière de cybersécurité restent floues. Qui fait quoi ? Quel est le périmètre de chacun ? Ces questions sans réponse créent un vide que personne ne cherche à combler. Benoît illustre ce point avec son expérience chez Ubisoft, où des ambassadeurs de sécurité étaient intégrés directement aux équipes projet. Ces personnes participaient aux réunions, offraient des conseils proactifs et, surtout, devenaient le “go-to” pour toute question de sécurité. Cette présence humaine et constante créait des relations et des réflexes, transformant la sécurité d’une contrainte abstraite en un soutien concret. La notion de “besoin de comprendre” (need to know) versus l’accès universel dans le monde des affaires illustre également ce défi. En sécurité gouvernementale, les niveaux d’accès sont strictement contrôlés ; dans le secteur privé, cette discipline est souvent absente. Clarifier qui a accès à quoi et pourquoi fait partie intégrante de la réduction d’incertitude. Un autre aspect crucial : lorsqu’on assigne de nouvelles responsabilités de sécurité aux employés, il faut ajuster leurs charges de travail existantes. On ne peut pas simplement ajouter des tâches de sécurité et s’attendre à ce que la productivité reste constante. Cette reconnaissance réaliste des coûts de la sécurité permet d’éviter la résistance et le burnout. 3. Inspire Action : Le leadership authentique Le leadership représente le troisième pilier, et sans doute le plus puissant. Un leader doit démontrer par l’exemple qu’il cherche constamment à s’améliorer. Si le gestionnaire ne fait pas l’effort de se perfectionner, comment peut-il demander aux autres de changer leurs habitudes ? L’authenticité s’avère cruciale. Les employés possèdent un détecteur de “corporate bullshit” très sensible. Ils savent instantanément si un message vient du cœur ou s’il s’agit simplement d’une directive descendante sans conviction. Un leader qui croit véritablement en l’importance de la sécurité et qui sait articuler le “pourquoi” - pas seulement le “quoi” - obtiendra infiniment plus d’adhésion. Le podcast fait référence à la célèbre distinction de Daniel Kahneman entre le Système 1 (pensée rapide, automatique) et le Système 2 (pensée lente, délibérée). La sécurité exige souvent qu’on active le Système 2, ce qui demande de l’énergie cognitive. L’objectif d’une bonne culture de sécurité est de transformer progressivement ces comportements du Système 2 vers le Système 1, pour qu’ils deviennent des réflexes automatiques. Les leçons de l’expérience L’exemple de Microsoft illustre parfaitement ces principes. À la fin des années 1990, Microsoft était la risée de l’industrie pour sa sécurité médiocre. Un virage culturel majeur a transformé l’entreprise en modèle à suivre dans les années 2000. Cependant, avec le temps, cette culture s’est effritée lorsque la sécurité a perdu son statut de priorité business. Les incidents récents ont forcé Microsoft à revigorer cette culture, démontrant qu’une culture de sécurité n’est jamais acquise définitivement - elle demande un entretien constant. Les pièges à éviter Plusieurs obstacles récurrents menacent l’établissement d’une culture de sécurité : Le manque de sens : Demander aux gens d’agir sans expliquer le pourquoi génère de la résistance. L’analogie du creusage de trou résume bien le problème : sans comprendre qu’on plante un arbre, on creuse n’importe où. La tour d’ivoire : Les décisions prises “en haut” sans consultation des personnes sur le terrain mènent à des processus déconnectés de la réalité opérationnelle. L’absence de rétroaction : Lorsque les employés soulèvent des préoccupations et ne reçoivent aucun feedback, ils cessent rapidement de contribuer. La stagnation managériale : Les gestionnaires qui n’ont pas ouvert un livre depuis leur MBA de 1995 et qui ignorent les nouvelles approches de management créent un handicap organisationnel majeur. Conclusion La culture de sécurité en entreprise ne se décrète pas, elle se construit patiemment, avec persistance. Comme l’exprime bien l’adage cité dans le podcast : “Les bœufs sont là, mais la terre est patiente.” Il faut accepter que les changements culturels prennent du temps et éviter de changer constamment de stratégie, ce qui ne ferait qu’étourdir les employés. Au final, tout repose sur une vérité simple : une organisation, ce sont des humains réunis pour un projet commun. La technologie, les processus et les outils ont leur place, mais sans l’adhésion humaine, sans la compréhension et sans un leadership authentique, aucune initiative de sécurité ne peut véritablement réussir. La culture de sécurité n’est pas un projet IT - c’est un projet humain. Notes À venir Collaborateurs Nicolas-Loïc Fortin Benoit Gagnon Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x681! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction Dans cet épisode spécial du podcast Police Secure, Alexandre Fournier aborde la question cruciale de notre dépendance excessive au numérique, analysant les enjeux de résilience tant sur le plan humain que sociétal. À travers des exemples concrets et des mises en situation, les animateurs explorent les conséquences de cette dépendance et proposent des solutions pour développer notre résilience numérique. La mise en situation révélatrice Alexandre commence par une expérience vécue : imaginer devoir prendre un avion après avoir oublié son téléphone aux toilettes, sans possibilité de retour. Cette situation, bien que stressante, met en lumière l’ampleur de notre dépendance. Sur nos téléphones se trouvent désormais notre messagerie, nos moyens de paiement, notre GPS, nos outils d’authentification à deux facteurs, et une grande partie de notre vie numérique. Se retrouver sans cet appareil, c’est se sentir nu, vulnérable, déconnecté de sa propre existence. La question posée aux auditeurs est simple mais profonde : combien de temps pourriez-vous tenir sans votre téléphone avant que cela ne pose de réels problèmes ? Cette interrogation invite chacun à réfléchir sur sa propre dépendance et sur les risques associés. L’évolution post-pandémie Les animateurs soulignent que la situation s’est considérablement aggravée ces dernières années, particulièrement depuis la pandémie. Il y a cinq ans, perdre son téléphone était problématique, mais aujourd’hui, c’est devenu catastrophique. L’authentification à deux facteurs est désormais obligatoire pour de nombreux services, les coffres-forts de mots de passe sont souvent uniquement sur mobile, et certains services nécessitent absolument un téléphone avec SMS. La société moderne présume que chacun possède un téléphone cellulaire en permanence, et à peine 1% de la population refuse encore d’en avoir un. Les multiples facettes de la dépendance Communication et mémoire L’un des aspects les plus frappants est la perte de mémoire des numéros de téléphone. Les animateurs constatent que le seul numéro dont ils se souviennent encore est celui de la maison familiale de leur adolescence, à l’époque des téléphones filaires. Cette atrophie de la mémoire illustre parfaitement comment nous déléguons systématiquement à nos appareils tout ce que nous pouvons : dates, numéros, rendez-vous. Le téléphone intelligent nous rend paradoxalement moins intelligents. Finance et paiements La dépendance s’étend aux transactions financières. Beaucoup utilisent leur téléphone pour payer, consulter leurs comptes bancaires, effectuer des virements. Sans téléphone, impossible de payer si on n’a pas sa carte physique. Alexandre insiste sur l’importance de toujours avoir un minimum de liquide (100 dollars) sur soi, car en cas de panne des systèmes électroniques, l’argent comptant reste le seul moyen d’acheter l’essentiel : eau, nourriture, essence. Orientation et repères géographiques Le GPS a complètement transformé notre rapport à l’espace. Les gens ne connaissent plus leur propre ville et dépendent entièrement de leur téléphone pour se déplacer. Cette perte des repères géographiques représente une vulnérabilité majeure. Les cartes papier sont devenues obsolètes, considérées comme “old school”, alors qu’elles constituent une solution de secours essentielle. Travail et productivité Le télétravail et le cloud (Teams, M365) ont créé une dépendance totale à Internet et à l’électricité. Sans connexion, impossible de travailler. Les plans de reprise d’activité sont rarement adaptés à cette nouvelle réalité où les employés travaillent de chez eux, sans avoir nécessairement prévu les solutions de secours nécessaires. Les conséquences humaines et psychologiques Stress et anxiété La perte du téléphone génère un stress comparable à celui ressenti face à des besoins physiologiques non satisfaits. C’est un sentiment d’inconfort profond, d’impuissance, comme si une partie de soi-même avait disparu. Alexandre partage qu’il peut tenir cinq jours sans téléphone dans un contexte contrôlé et sécurisé, mais seulement une demi-journée dans la vie quotidienne avant de ressentir une anxiété significative. Atrophie cognitive et l’effet ChatGPT Les animateurs abordent l’impact de l’intelligence artificielle, particulièrement ChatGPT, sur nos capacités cognitives. L’IA nous rend “totalement idiots” en étant toujours d’accord avec nous, quelle que soit notre position politique ou nos opinions. Cette absence de contradiction empêche le développement de notre pensée critique et de notre capacité à débattre de manière constructive. Le numérique atrophie progressivement notre cerveau, comme les réseaux sociaux exploitent notre paresse naturelle pour nous maintenir dans une zone de confort intellectuel. Panique sociale et inégalités En cas de panne prolongée (plus de 24 heures), on observe des comportements irrationnels : ruée vers les supermarchés, panique collective. Les plus vulnérables - aînés et personnes isolées - sont les plus touchés. Les jeunes générations, qui passent leur vie sur leurs téléphones, sont également très fragilisées face à une absence d’écran. Les risques systémiques Infrastructures critiques L’exemple de la panne Rogers en 2022 au Canada illustre parfaitement les risques : des millions de personnes se sont retrouvées sans accès au 911, aux paiements, aux télécommunications. Les cyberattaques sur les hôpitaux causent des morts réelles en annulant des rendez-vous et en redirigeant des patients. Une panne d’électricité affecte les feux de circulation, créant des embouteillages qui empêchent les secours d’intervenir efficacement. Dépendance géopolitique Les animateurs soulèvent une question inquiétante : voulons-nous d’une société où une panne d’un fournisseur peut paralyser tout un pays ? Ils évoquent le scénario où un décret américain pourrait obliger Microsoft à couper l’accès à M365 pour tout un pays, paralysant ainsi la majorité des entreprises qui dépendent de cette plateforme. Cette dépendance à des services sur lesquels nous n’avons aucun contrôle représente un risque majeur pour la souveraineté numérique. Solutions et résilience Préparation individuelle Alexandre propose plusieurs actions concrètes : Noter sur papier les numéros de téléphone essentiels (cartes réflexes dans le portefeuille) Garder du cash en réserve (100 dollars minimum) Disposer d’une autonomie électrique minimale (batteries, lampes, radio à manivelle) Avoir des filtres à eau et des moyens de subsistance de base Entraînement à la déconnexion Il est essentiel de s’entraîner régulièrement : Une journée sans électronique par mois Simuler des situations de blackout en famille Établir des points de rencontre physiques en cas de séparation Préparer un kit 72 heures sans numérique Éducation et sensibilisation Les animateurs appellent à intégrer la résilience numérique dans les programmes scolaires dès la maternelle, pour apprendre aux jeunes générations à utiliser correctement l’électronique tout en développant leur capacité à fonctionner sans. Cette éducation devrait s’étendre à l’antifragilité en général, pour former des citoyens capables de faire face aux crises. Conclusion Le podcast se termine sur une réflexion puissante : la question n’est pas de savoir si le numérique tombera, mais quand il tombera. La vraie résilience consiste à rester debout même quand nos écrans s’éteignent. Nous ne pouvons pas nous couper du numérique dans la société actuelle, mais nous pouvons et devons réduire notre dépendance pour mieux encaisser le jour où l’infrastructure numérique faillira. Les trois défis concrets proposés aux auditeurs sont simples mais essentiels : noter des numéros importants sur papier, essayer une journée sans cellulaire, et préparer un kit de survie 72 heures. Ces actions, bien que modestes, constituent les premiers pas vers une véritable autonomie face à notre dépendance technologique croissante. Collaborateurs Nicolas-Loïc Fortin Alexandre Fournier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x672! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 31 mars au 2 avril 2026 - Forum INCYBER - Europe 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2026 - SSTIC 2026 19 septembre 2026 - Bsides Montréal Description Ce podcast spécial European Cyber Week met en lumière les enjeux de la cyberdéfense, de la souveraineté numérique et de la collaboration internationale à travers l’expérience d’Arnaud Coustillière, ancien amiral de la Marine nationale française. Parcours et création de la cyberdéfense française Arnaud Coustillière a consacré 40 années au service de l’État français dans la Marine nationale, partageant équitablement sa carrière entre le maritime et le numérique. Après avoir navigué pendant quinze ans, il est devenu directeur des systèmes d’information de la Marine avant de récupérer le dossier de création de la cyberdéfense des armées en 2009. Jusqu’en 2017, il a commandé l’ensemble de la structure de cyberdéfense française, développant une capacité qui englobe la protection, la prévention, la défense et l’action offensive dans l’espace numérique. Cette cyberdéfense militaire se distingue des services de renseignement par son cadre juridique : contrairement à l’action secrète, l’action militaire reste discrète mais encadrée par le droit des conflits armés, le droit international humanitaire et le code pénal. Les trois dernières années de sa carrière, Coustillière a créé la direction générale du numérique du ministère des armées, passant de la défense des données à leur ouverture et à l’accompagnement de la transformation numérique. Le Pôle d’Excellence Cyber : un pari gagnant Depuis sa retraite, Coustillière préside le Pôle d’Excellence Cyber (PeC), une association créée il y a dix ans pour concentrer les forces de cyberdéfense françaises en Bretagne. Ce choix stratégique reposait sur trois piliers : la proximité avec Paris, l’expertise technique-opérationnelle déjà présente dans la région, et un terreau d’emplois dans les télécommunications. Le pari, considéré comme audacieux voire fou à l’époque, consistait à faire collaborer une organisation civile (l’association) avec la région Bretagne et l’État. Le succès est aujourd’hui manifeste : l’European Cyber Week est passée de 2000 participants il y a cinq ans à plus de 8000 aujourd’hui, avec une projection de 8500 à 9000 participants. L’événement se distingue par son ADN régalien européen, un terme que Coustillière préfère à “souveraineté” car il permet de penser à l’échelle européenne tout en conservant les fonctions essentielles de l’État. La collaboration franco-canadienne Le PeC développe une stratégie de partenariats choisis, notamment avec le Canada, qui partage les mêmes valeurs démocratiques que l’Europe. Depuis quatre ans, une journée de l’European Cyber Week est consacrée au Canada, et la délégation canadienne est passée d’un seul participant en 2021 à environ 25 personnes aujourd’hui. Des protocoles de coopération ont été signés avec ISECOM, et un laboratoire de recherche cyber-IA est en cours de création entre les universités de Bretagne et celles du Québec (Sherbrooke, ÉTS). L’objectif est de créer un véritable écosystème cyber franco-canadien où les entreprises des deux côtés de l’Atlantique travaillent ensemble, avec des partenariats et des offres communes. Les entreprises canadiennes peuvent participer aux appels d’offres européens si elles s’associent avec un partenaire européen. Souveraineté numérique : un concept à repenser Coustillière critique le terme de “souveraineté numérique” qu’il juge inadapté au monde numérique. Contrairement à la souveraineté terrestre qui définit clairement les frontières, l’espace numérique est plus complexe et comparable au maritime, où différents niveaux de droits coexistent selon la distance des côtes. Il préfère parler d’autonomie stratégique ou de résilience. L’écosystème numérique a évolué d’un milieu technique vers un espace de conflictualité centrée sur la captation des données. L’informatique communiquante et Internet ont créé un monde où celui qui possède les données détient le pouvoir. Cette captation est restée longtemps cachée, masquée par les technologies de big data, la transformation numérique et la migration vers le cloud. Le numérique ressemble à un iceberg : visible en surface mais reposant sur des infrastructures massives (câbles, data centers, électricité) qui appartiennent souvent à d’autres. L’impact géopolitique et le réveil européen Le combat entre la Chine et les États-Unis pour la domination technologique place l’Europe dans une position difficile. L’arrivée du président Trump a eu un effet “salutaire” selon Coustillière, car elle traite tous les pays de la même manière, clarifiant les relations et mettant fin à l’ambiguïté. La doctrine américaine se résume à : liberté des données pour faire des affaires, et cette liberté s’arrête là où commencent leurs intérêts commerciaux. Face à cette réalité, l’Europe doit retrouver une autonomie stratégique en faisant écosystème avec des partenaires partageant les mêmes valeurs. L’IA générative complique encore la situation en rendant impossible pour le citoyen moyen de distinguer le vrai du faux en ligne, nécessitant de nouvelles formes de certification. Solutions concrètes : cloud souverain et résilience Plusieurs initiatives émergent en France et en Allemagne. Les projets Bleu (Cap Gemini, Microsoft, Orange) et Sens (Thalès, Google) proposent des solutions de cloud utilisant la technologie américaine mais exploitées par des sociétés européennes, garantissant que les données restent sous cadre juridique européen. OVH représente une alternative purement européenne avec une forte présence au Canada. Le CIGREF, qui rassemble les 150 plus grandes entreprises françaises, ne parle plus de souveraineté mais de résilience face à toutes les menaces : géopolitiques, techniques et commerciales. Cette approche implique de désoptimiser les réseaux pour avoir des architectures plus hétérogènes mais plus robustes. Certaines données, particulièrement celles des citoyens, de la santé ou des services régaliens, doivent impérativement rester sous contrôle national, même si cela implique un système moins performant. Défis et perspectives Le principal défi reste le lobbying massif des grandes entreprises américaines auprès de l’Union européenne et des gouvernements. Ces sociétés déploient des moyens comparables à ceux des nations pour influencer les politiques et les décideurs. Néanmoins, un mouvement de fond s’est enclenché. Le sommet franco-allemand sur la souveraineté numérique, alors que les deux pays avaient des visions initialement opposées, démontre une prise de conscience collective. Les 18 à 24 prochains mois seront cruciaux pour concrétiser les initiatives, développer des certifications et établir une préférence européenne dans les marchés publics. Coustillière conclut que l’écosystème doit se mobiliser pour avancer dans la même direction, malgré les forces qui tenteront de l’en empêcher. La fin de la naïveté européenne face aux réalités géopolitiques du numérique constitue peut-être l’héritage le plus important de cette période de transformation. Collaborateurs Nicolas-Loïc Fortin Arnaud Coustillière Crédits Montage par Intrasecure inc Locaux réels par European Cyber Week

Parce que… c’est l’épisode 0x668! Shameless plug 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction Ce podcast spécial réunit trois experts pour discuter d’un enjeu crucial : les conseils d’administration comme engrenage raté de la cybersécurité. L’hypothèse centrale avancée est que l’absence de connaissances même basiques en cybersécurité au sein de ces instances de gouvernance explique en partie les problèmes actuels auxquels font face les organisations québécoises et canadiennes. Le problème de la composition des conseils d’administration Sylvie Guérin soulève un constat troublant : malgré la multiplication des fraudes touchant les institutions, écoles, hôpitaux et universités, les conseils d’administration demeurent largement dominés par des comptables et des avocats. Cette surreprésentation crée un manque flagrant de diversité, particulièrement en matière d’expertise technologique et de cybersécurité. Elle partage son expérience personnelle où, malgré son expertise, elle s’est vue écartée d’un poste au conseil d’administration d’un CHSLD privé au profit d’un autre comptable. Cette anecdote illustre bien le caractère consanguin de ces structures, où les membres ont tendance à reproduire les mêmes profils plutôt que d’ouvrir leurs rangs à de nouvelles compétences essentielles à l’ère numérique. L’aveuglement volontaire et la dénégation plausible Éric Parent expose un phénomène qu’il nomme “l’aveuglement volontaire”. Il raconte avoir été approché pour un poste de CSO (Chief Security Officer) dans une entreprise internationale, où il est rapidement devenu évident que l’organisation cherchait en réalité un bouc émissaire plutôt qu’un véritable responsable de la sécurité. Le poste offert devait se rapporter au directeur des technologies de l’information, créant ainsi une structure hiérarchique dysfonctionnelle. Une conversation révélatrice avec Ronald Brisois, ancien PDG de Cognos, illustre parfaitement ce problème. Interrogé sur où devrait se situer la sécurité dans l’organigramme, Brisois a répondu sans hésitation : au conseil d’administration. Pourtant, il admet que ce n’est jamais là qu’elle se trouve en pratique, les dirigeants préférant la cacher sous les technologies de l’information. Parent mentionne également le concept de “plausible deniability department” utilisé dans certaines grandes entreprises canadiennes pour désigner les départements légaux, véritables cimetières d’idées où les préoccupations sont écoutées mais jamais suivies d’actions concrètes. Le fossé du langage et de la communication Un obstacle majeur identifié concerne le langage. Les comptables et avocats ont appris à parler en termes de risques financiers, ce qui leur confère une certaine autorité auprès des conseils d’administration. En contraste, les professionnels de la cybersécurité peinent souvent à traduire leurs préoccupations techniques en risques d’affaires compréhensibles. Parent souligne l’importance de cette traduction. Au lieu de parler de bits, de réseaux et de technologies, il faut parler de l’arrêt potentiel des chaînes de montage, des pénalités contractuelles et des impacts financiers concrets. Il mentionne avoir enseigné pendant dix ans à Polytechnique avec cet objectif précis : former des technologues capables de communiquer en langage d’affaires. Les lacunes du système éducatif La discussion révèle des failles profondes dans le système éducatif, depuis les écoles primaires jusqu’aux universités. Les universités forment des enseignants compétents sur le plan pédagogique, mais largement démunis en matière de technologie et de cybersécurité. Cette lacune se répercute ensuite sur les élèves, créant un cercle vicieux d’incompétence numérique. Sylvie partage l’exemple d’une connaissance dont les stagiaires en enseignement étaient prometteurs comme futurs professeurs, mais quasi analphabètes technologiquement. Ironiquement, ce sont souvent les enfants qui doivent aider leurs enseignants avec les ordinateurs et les tableaux interactifs. Ce problème s’étend aux comptables et avocats qui siègent aux conseils d’administration. Décrits avec humour comme “une gang de vieux hommes blancs de 75 ans” incapables de reprogrammer leur magnétoscope, ils manquent cruellement de la formation minimale nécessaire pour comprendre les enjeux de cybersécurité. Des solutions possibles Plusieurs pistes sont explorées pour améliorer la situation. Sylvie suggère de créer un module de formation obligatoire d’environ deux heures pour tout nouveau membre d’un conseil d’administration, les sensibilisant aux risques concrets comme l’usurpation d’identité et les fraudes par courriel. Parent propose d’aller plus loin avec une approche réglementaire. Il cite l’exemple de la loi HIPAA aux États-Unis, qui établit une grille de pénalités graduées selon le niveau de négligence. Il imagine un système où les dirigeants seraient personnellement pénalisés financièrement en cas de brèche, créant ainsi un “four autonettoyant” où la cybersécurité deviendrait automatiquement une priorité. L’exemple récent de Qantas, qui a pénalisé ses cadres supérieurs suite à un incident, est cité comme un modèle encourageant. Les assureurs pourraient également jouer un rôle en exigeant non seulement la présence d’un responsable de la cybersécurité, mais aussi une gouvernance active du conseil d’administration sur ces questions. Conclusion Le consensus qui émerge de cette discussion est que le changement ne viendra probablement que par la contrainte : réglementation, pénalités personnelles pour les dirigeants, ou exigences des assureurs. Le bon sens seul ne suffit pas, et comme le souligne Parent, “le monde marche à claque à gueule puis au coup de pelle en pleine face”. Sans événements majeurs ou nouvelles lois, les conseils d’administration continueront probablement à négliger leur rôle crucial en matière de cybersécurité, perpétuant ainsi le cycle de vulnérabilité des organisations québécoises et canadiennes. Collaborateurs Nicolas-Loïc Fortin Sylvie Guérin Éric Parent Crédits Montage par Intrasecure inc Locaux réels par Bsides Montréal

Parce que… c’est l’épisode 0x660! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CfP 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Parcours professionnel de Michel Gaudette Michel Gaudette possède plus de 25 ans d’expérience dans le secteur technologique montréalais. Son parcours a débuté dans les années 90 chez Discrete Logic, une entreprise spécialisée dans les effets visuels 2D, l’incrustation et la correction couleur, avant que celle-ci ne soit rachetée par Autodesk. Attiré par l’énergie des startups, il a quitté cette position stable pour rejoindre une jeune pousse en tant que VP technologie, une aventure qui s’est soldée par un échec lors de l’éclatement de la bulle technologique. Cette expérience l’a néanmoins “intoxiqué” à l’univers des startups et à l’innovation de pointe. Son parcours l’a ensuite mené chez Quebecor, où il a passé 10 ans à développer une plateforme numérique désormais utilisée par des millions d’élèves québécois. Après avoir quitté Quebecor en 2020 pour rejoindre une startup en agrotechnologie, la pandémie de COVID-19 a fait échouer ce projet avant même son premier jour de travail, les investisseurs ayant retiré leur financement. Il a par la suite dirigé une filiale nord-américaine d’une entreprise allemande de modélisation 3D avant de rejoindre FLIR il y a deux ans et demi, recommandé par un ancien collègue qui décrivait FLIR comme la meilleure entreprise montréalaise pour laquelle il avait travaillé. Le rôle fondamental du product manager Michel définit le rôle de directeur de produit comme celui d’un orchestrateur ou d’un coach. Le product manager ne réalise pas directement le travail technique, mais s’assure que chaque membre de l’équipe performe à son meilleur niveau. Son rôle consiste à équilibrer trois dimensions essentielles : les besoins des clients, les objectifs d’affaires de l’entreprise et les capacités de l’équipe d’ingénierie. Cette position requiert des compétences particulières et multidimensionnelles. Le product manager doit pouvoir communiquer efficacement avec les développeurs passionnés et parfois têtus, tout en comprenant les enjeux commerciaux et les attentes des clients. Michel souligne qu’il a rapidement pivoté de l’ingénierie vers ce rôle après avoir découvert son intérêt pour le contact client, réalisant qu’on ne peut pas simultanément être “dans la zone” de développement et gérer les interactions constantes qu’exige la gestion de produit. Un aspect crucial du rôle est la capacité à dire non. Le product manager doit constamment prendre des décisions qui optimisent la capacité de l’équipe d’ingénierie tout en restant aligné avec la stratégie globale. Quelqu’un qui cherche à rendre tout le monde heureux en permanence ne fait pas correctement son travail. Gestion des parties prenantes et priorisation L’un des défis majeurs pour un product manager réside dans la gestion des demandes anecdotiques provenant des vendeurs et de l’équipe de support client. Les vendeurs peuvent vouloir une fonctionnalité immédiate pour conclure une vente, tandis que le support peut signaler des problèmes urgents. Le product manager doit replacer ces demandes dans un contexte holistique : est-ce vraiment prioritaire pour l’ensemble des clients et pour l’entreprise? Michel insiste sur l’importance d’écouter les clients, une approche qui résout la moitié des problèmes. Chez FLIR, les clients ont l’opportunité de parler presque directement aux équipes, créant une relation de confiance. Plutôt que de promettre des changements massifs dans 12 mois, l’équipe privilégie des améliorations incrémentales constantes. Cette approche transforme certains clients en co-créateurs et ambassadeurs du produit. Méthodologie et évolution organisationnelle FLIR a adopté une méthodologie inspirée de Shape Up, développée par Basecamp, avec des cycles de travail de 8 semaines. Les product managers présentent des propositions de projets, et les dirigeants (CTO, CEO, CPO) votent sur les priorités. L’équipe de développement travaille ensuite sans interruption pendant ces 8 semaines. L’entreprise a récemment atteint un niveau de maturité où elle développe une vision stratégique et un plan à plus long terme. Avec un doublement de la clientèle chaque année, FLIR doit mettre en place des processus plus robustes de gestion et de communication. Michel précise qu’un processus n’est essentiellement qu’une “manière de communiquer ensemble” dans une organisation en croissance où les collègues peuvent se trouver à Toronto, aux États-Unis ou ailleurs. Culture d’équipe et valeurs humaines Michel critique fermement le mythe du “10x engineer” toxique popularisé par la Silicon Valley. Il compare la gestion d’une équipe technologique à celle d’un groupe musical : chaque membre doit jouer la bonne note au bon moment, en harmonie avec les autres. Quelqu’un qui arrive avec un ego surdimensionné ne fait pas corps avec l’ensemble et nuit à l’harmonie globale. Chez FLIR, l’équipe privilégie des personnes passionnées mais capables de collaborer. La diversité des talents et des contributions est essentielle. Michel souligne que même les développeurs les plus talentueux ne pourraient pas, à eux seuls, soutenir le rythme et la complexité du travail accompli collectivement. La prise de décision chez FLIR est remarquablement rapide. L’entreprise évite les débats interminables : si une décision est réversible, l’équipe avance rapidement. Cette culture du momentum attire des personnes à l’aise avec l’action et l’imperfection, sachant qu’ils pourront se réajuster au besoin. Bien que ce ne soit pas une démocratie, chaque voix compte et est entendue. Processus d’embauche et travail hybride Le processus d’embauche chez FLIR est personnalisé et orienté vers la collaboration. Les candidats rencontrent directement les personnes avec qui ils travailleront et participent à des sessions de résolution de problèmes au tableau pendant 2 à 3 heures. L’objectif n’est pas de piéger les candidats mais d’évaluer la chimie, la communication et la compatibilité culturelle. FLIR fonctionne comme une entreprise remote par défaut, mais favorise l’embauche locale à Montréal pour faciliter les interactions. Les employés viennent naturellement au bureau pour des raisons précises : brainstorming, kickoffs de projets ou événements sociaux. Michel est convaincu que l’idéation et le brainstorming fonctionnent mieux en personne, mais que la production individuelle se fait souvent mieux à domicile. Cette approche rejoint le meilleur des deux mondes. Conclusion Michel Gaudette incarne un product manager qui place l’humain au centre de son approche. Son expérience démontre l’importance de ce rôle souvent dans l’ombre, mais essentiel à la coordination entre les besoins techniques, commerciaux et clients. Chez FLIR, cette philosophie centrée sur la collaboration, l’agilité et le respect mutuel a permis à l’entreprise de doubler sa clientèle chaque année tout en maintenant une culture saine et dynamique dans le secteur exigeant de la cybersécurité. Collaborateurs Nicolas-Loïc Fortin Michel Gaudette Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc