La cybersécurité expliquée à ma grand-mère

En 1974, dans la jungle de l’île de Lubang, aux Philippines, un officier japonais dépose enfin les armes. Hiroo Onoda s’est battu pendant vingt-neuf ans pour un empire qui n’existait plus. On lui avait largué des tracts, envoyé des messages, dépêché des émissaires. Il les a tous rejetés : pour lui, c’était forcément de la propagande ennemie.

Vos systèmes informatiques ont leurs Onoda. Un programme COBOL des années 1980 qui calcule encore vos intérêts bancaires. Un Windows XP qui pilote une machine dans une usine. Un automate d’hôpital dont le fabricant a disparu. Ils sont fiables, obstinés, compétents, et ils se défendent contre les ennemis de 1995 dans un monde qui a changé.

Dans cet épisode, nous parlons des systèmes « legacy » : pourquoi ils sont encore là, pourquoi on ne peut pas simplement les mettre à jour, et ce qu’il en coûte de les oublier, du NHS paralysé par WannaCry à l’État du New Jersey cherchant désespérément des programmeurs COBOL en pleine pandémie.

Et surtout : comment évaluer le risque qu’ils représentent, en quatre questions, et décider en conscience de ce que l’on garde, ce que l’on remplace, et ce que l’on accepte.

La question n’est pas de savoir si ces soldats existent chez vous.
C’est de savoir si vous êtes allés les chercher.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Et si le cœur de votre banque battait à 7 000 kilomètres de chez vous ?

Dans cet épisode, je vous emmène dans ma valise. Direction l'Inde, pour visiter l'un des principaux fournisseurs de la banque : celui qui développe et maintient le logiciel sur lequel tournent vos comptes. Pas une visite de courtoisie, un audit. Avec une checklist de 37 questions, 150 preuves à collecter, et une seule idée en tête : ne pas se contenter de ce qu'on nous dit, mais voir.

On y parle de ce qu'on appelle en jargon le TPRM, la gestion des risques liés aux tiers. Derrière le sigle, une question très simple que ma grand-mère comprend parfaitement : quand on confie ses clés à quelqu'un, comment s'assurer qu'il en prend soin ?

Au programme :

• Pourquoi la réglementation européenne (DORA) oblige désormais les banques à aller voir sur place
• Ce qu'on regarde vraiment : qui a accès aux données, comment, et ce qui se passe quand quelqu'un quitte l'entreprise
• La différence entre une politique bien écrite et un contrôle qui fonctionne
• Les questions qui mettent mal à l'aise et pourquoi ce sont les bonnes
• Et le plan B : que fait la banque si demain ce fournisseur n'est plus là ?

Un épisode pour comprendre que la cybersécurité d'une entreprise ne s'arrête pas à ses murs, et qu'une bonne partie du métier consiste à faire confiance… en vérifiant.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

En 1966, dans Blow-Up d'Antonioni, un photographe agrandit ses clichés d'un parc londonien et croit y découvrir un meurtre que personne n'avait vu. Cette posture, c'est exactement celle du threat hunter : ne plus attendre que l'alarme sonne, mais partir activement à la recherche de l'attaquant qui est peut-être déjà dans la place.

Dans cet épisode :
• Pourquoi la détection réactive (antivirus, EDR, SIEM) ne suffit plus face aux attaquants avancés
• « Assume breach » : le changement de paradigme
• Les trois façons de chasser : hypothèses, indicateurs de compromission, TTP et MITRE ATT&CK
• La boucle de chasse : de l'hypothèse à la règle de détection automatisée
• L'histoire vraie des 110 millisecondes qui ont permis à Amazon de démasquer un faux employé nord-coréen
• Le profil du chasseur, comment lancer un programme, et les pièges à éviter

Parce que voir vraiment, c'est d'abord accepter de regarder.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Et si l'avenir de la cybersécurité se jouait déjà dans un data center luxembourgeois ? Dans cet épisode, Nicolas reçoit Mohamed, CISO de POST Luxembourg et physicien de formation, pour un voyage aux frontières de la physique quantique et de la sécurité de l'information.

Au programme : pourquoi les ordinateurs quantiques menacent nos chiffrements actuels (et pourquoi le « harvest now, decrypt later » doit déjà nous préoccuper), la différence entre la réponse mathématique (PQC) et la réponse physique (QKD) à cette menace, et surtout la mise en œuvre bien réelle d'un réseau QKD entre le Luxembourg et la Belgique — avec ses nœuds sécurisés, ses contraintes de distance et même un satellite lancé pour échanger des clés entre Luxembourg et Singapour.

Mohamed nous parle aussi de chiffrement homomorphique et de Secure Federated Learning appliqués à la lutte anti-fraude : comment deux entités peuvent collaborer et entraîner des modèles communs… sans jamais échanger leurs données.

Un épisode qui prouve que la science-fiction se construit parfois au cœur de l'Europe, et qu'oser reste la meilleure stratégie d'anticipation.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Mythos, le modèle d'Anthropic capable de découvrir des 0-day de façon autonome, a fait grand bruit. Mais derrière le buzz, qu'en est-il vraiment ? Avec Maxime et Rayna, on démythifie : effet marketing, caractère non déterministe des LLM, coûts astronomiques (20 000 $ pour une seule vulnérabilité), faux positifs... Surtout, on rappelle que le vrai problème n'a jamais été de trouver les vulnérabilités, mais de les prioriser et de les corriger. Entre souveraineté numérique, surcharge des équipes et retour aux fondamentaux, un épisode qui remet l'IA à sa juste place. Spoiler : il n'y a pas d'apocalypse LLM côté cyber, juste beaucoup de travail et un peu de bon sens.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

On ne gravit pas l'Everest d'une seule traite, et on ne devient pas mature en cybersécurité du jour au lendemain. Dans cet épisode, l'ascension de la plus haute montagne du monde sert de fil conducteur pour comprendre comment évaluer la maturité cyber d'une organisation : les camps successifs, l'acclimatation qu'on ne peut pas brûler, la zone de la mort où l'on ne s'installe jamais.

On y explore les grands référentiels, l'échelle CMMI à cinq niveaux, le NIST Cybersecurity Framework et ses Tiers, le C2M2, le CMMC, l'ISO 27001, les outils de l'ANSSI et COBIT, avant de voir, très concrètement, comment mener une évaluation, quels pièges éviter, et comment transformer un diagnostic en feuille de route.

Une certitude pour finir : sur cette montagne-là, le sommet n'est jamais le but. L'objectif, c'est de savoir y rester.

NB: Si vous souhaitez voir le côté sombre le l'Everest aujourd'hui : https://www.youtube.com/watch?v=sV4xAaoaNy8

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Le défenseur doit gagner cent fois. L'attaquant, une seule. Bienvenue dans la réalité de la cybersécurité.

De la ligne Maginot contournée en six semaines aux ransomwares déclenchés un vendredi soir à vingt heures, cet épisode démonte les sept asymétries qui donnent systématiquement l'avantage à l'attaquant : surface à protéger, information, timing, coûts, complexité, contraintes légales et connaissance des failles.

Une plongée dans les règles du jeu, pour comprendre pourquoi l'invincibilité n'existe pas et pourquoi la vraie victoire s'appelle résilience.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Que se passe-t-il quand une entreprise n'a jamais réfléchi aux conséquences d'une panne majeure ? Demandez aux armateurs du Titanic. Dans cet épisode, on explore le BIA, l'analyse d'impact sur les activités, cet exercice indispensable qui consiste à identifier ce qui est vital dans une organisation et à mesurer les conséquences réelles d'une interruption. RTO, RPO, cas concrets d'OVHcloud à Maersk, lien avec la cybersécurité et le règlement DORA : tout ce qu'il faut savoir pour ne plus naviguer à l'aveugle.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Episode consacrée à la méthode FAIR (Factor Analysis for Information Risk) avec Vincent MILETTE, instructeur accrédité FAIR, et Nicolas Loïc, consultant stratégique, pour découvrir cette méthodologie qui traduit les risques cyber en langage financier. Au programme : pourquoi passer d'une approche qualitative (matrices rouge-orange-vert) à une approche quantitative, les six catégories de pertes, la simulation de Monte Carlo, et comment FAIR cohabite avec des référentiels comme ISO 27005 ou EBIOS RM. Un épisode essentiel pour quiconque doit défendre un budget cybersécurité devant un comité de direction.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Le risk appetite, c'est l'art de décider quels risques on joue et lesquels on refuse. Un concept stratégique trop souvent réduit à un document poussiéreux. Dans cet épisode, on voit comment le définir, le formaliser et en faire un véritable outil de pilotage de la cybersécurité.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.