PME - CyberBBQ part 1 - La place de la protection web durant un incident - Parce que... c'est l'épisode 0x334!
Contenu de l'épisode
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 octobre 2026 - Montréal, Canada - MTL Connecte
- 5 novembre 2026 - Montréal, Canada - CISO Open Mic Montréal 2026
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Le concept de la série Cyber Barbecue
Le podcast Polysecure ouvre une série spéciale de cinq épisodes consacrée à la gestion d’un incident de sécurité dans une PME. Claude a imaginé cette mise en situation fictive mais réaliste et réuni chez lui un panel d’experts autour de Cyber Barbecue, une entreprise d’une trentaine d’employés qui organise des événements de barbecue au Québec et en France. Elle exploite un portail de loyauté où transitent des informations nominatives et financières. Un employé a mordu à l’appât d’un piège, ce qui a permis à des attaquants de soutirer une identité, de pivoter à l’intérieur de l’organisation et de publier de l’information sur le dark web. L’entreprise ne l’apprend que quelques jours plus tard, lorsqu’une participante furieuse appelle pour signaler que ses données personnelles se retrouvent sur le dark web. La réputation est clairement en jeu et les obligations légales s’accumulent, puisque l’entreprise opère sur deux continents et doit composer avec le RGPD en Europe ainsi qu’avec la loi 25 au Québec.
Six experts se partagent ensuite la parole, chacun disposant d’environ dix minutes dans un format proche du buzzer. Mickael Nadeau couvre le web, Steve Lavoie les postes et les serveurs MSP, Martin Dubé le red team, Cédric l’échange courriel sécurisé, Dominique Derrier la gouvernance et Thomas Veynachter agit comme objecteur de conscience. Ce premier volet porte sur le web, porte d’entrée des attaquants.
Les priorités et l’état des lieux
L’animateur, qui incarne la PME, évoque deux urgences, la fuite effective de données et la perte de confiance envers des systèmes compromis. Dominique Derrier demande d’ailleurs ce qui compte vraiment pour l’entreprise, le prochain concours ou les recettes secrètes, car identifier son urgence guide la réponse. Mickael dresse ensuite l’état des lieux. Dans une PME de cette taille, le manque d’expertise complique tout, la conformité et les sauvegardes étant rarement en place. Les premières étapes consistent à identifier l’hébergement, la plateforme et le MSP éventuel, car la réalité rejoint souvent le site monté par le beau-frère ou la plateforme clé en main vendue par une entreprise disparue. Ici, le site WordPress gère aussi des transactions, avec un formulaire développé par un étudiant du cégep qui ne maintient plus ses plugins. La première question concerne le niveau de compromission, les clés de chiffrement à changer et les détenteurs d’accès. La personne en charge de l’incident finit par jouer au shérif sur une plateforme que le client ne connaît pas vraiment.