Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Dans cet épisode, Marie-Ève Fortin et son coanimateur reviennent sur la cyberattaque que Molson Coors a annoncée le 11 mars dernier, alors que l’entreprise se remettait encore de l’incident. L’attaque a engendré une panne de système majeure qui a affecté la capacité de production ainsi que la capacité de livraison des produits. En pleine pandémie et en plein confinement, la production d’alcool demeure l’affaire de beaucoup de gens. Cet exemple mérite d’être étudié, car on parle habituellement de vol de données, alors qu’ici l’attaque a eu un impact physique tangible sur la production et la distribution.

Comme plusieurs entreprises touchées par ce genre d’événement, Molson Coors est demeurée très avare de commentaires publics sur ce qui s’est réellement passé dans ses infrastructures. Les seules informations confirmées indiquent que l’entreprise a été la cible d’une cyberattaque, sans autre précision. Les animateurs spéculent donc prudemment sur la nature de l’attaque.

Selon ce qu’on peut en déduire, l’attaque ressemble fortement à un rançongiciel, une attaque qui vise à retenir l’information ou à bloquer les systèmes en échange d’une rançon. Ce type de programme aurait brisé des systèmes liés à la production, ce qui expliquerait l’arrêt des opérations. Une distinction importante demeure toutefois entre une attaque ciblée et une infection accidentelle causée par l’ouverture d’un courriel contenant un fichier infecté. Au vu du peu d’informations disponibles, l’attaque ne serait probablement pas ciblée. Elle serait plutôt le fruit d’un accident de parcours ayant propagé l’infection à l’intérieur du réseau.

Cette hypothèse soulève une observation préoccupante. Si un courriel ouvert du côté administratif a pu affecter les systèmes de production, la séparation entre les deux réseaux serait insuffisante. Dans une entreprise de manufacture, ces deux réseaux sont normalement bien séparés, justement pour éviter qu’un courriel malicieux ouvert du côté administratif ne vienne toucher la production. Le peu d’informations disponibles suggère donc un cloisonnement défaillant entre ces deux sphères.

Selon les délais observés avant le retour en service, Molson Coors n’aurait pas payé la rançon, ce qui constitue une bonne chose selon l’expert. Payer une rançon justifie en effet le modèle d’affaires des groupes malveillants et encourage la perpétuation de cette nuisance. L’entreprise aurait probablement récupéré ses données à partir de copies de sauvegarde, puis nettoyé ses systèmes pour revenir dans un état propre et éviter toute réinfection.

Depuis environ un an, les rançongiciels les plus récents ne se contentent plus de chiffrer les données et d’exiger une rançon. Ils volent d’abord l’information de l’entreprise, de sorte que lorsque la demande de rançon arrive, tout le contenu pertinent a déjà été exfiltré. Les groupes malveillants réclament alors une rançon supplémentaire auprès des entreprises qui ne disposent pas de copies de sauvegarde. Puisque l’incident semble isolé à une seule usine, il est probable que les attaquants n’aient rien trouvé et aient chiffré rapidement, ce qui signifierait peu ou pas de données volées.

La discussion met en lumière un élément essentiel, soit l’importance des copies de sauvegarde. Lorsqu’une entreprise dispose de bonnes copies de sauvegarde, elle n’a pas besoin de payer la rançon puisqu’elle peut restaurer ses données et ramener ses systèmes dans un état non vulnérable. L’expert rappelle que cette précaution vaut aussi à titre personnel, puisque conserver une copie de ses données évite bien des ennuis en cas d’incident. Cette mesure n’est pas sans faille, mais elle constitue un pas de plus vers une bonne protection.

Plus personne ne mène ce type d’attaque seul depuis son sous-sol. L’époque du loup solitaire, souvent dépeinte dans les films, est quasi inexistante. Ces attaques sont maintenant le fait de groupes organisés, parfois collaboratifs, chacun fournissant une partie des modules nécessaires jusqu’au chiffrement des données.

Cet incident a été retenu parce que l’immobilisation de certains systèmes a handicapé l’entreprise et touché sa production ainsi que sa distribution, avec des répercussions physiques bien réelles. Molson Coors a d’ailleurs dû déclarer les effets monétaires de l’incident. Dans un contexte de pandémie où les chaînes de production se révèlent plus fragiles, cet arrêt a des conséquences importantes et montre à quel point les malveillants peuvent causer des problèmes réels dans le monde réel.

L’expert termine avec une mise en garde face à cette menace sérieuse. Si des acteurs malveillants peuvent arrêter la production d’alcool, ils peuvent aussi toucher des secteurs plus essentiels, comme la nourriture ou d’autres produits de première nécessité. Les impacts sur la société seraient alors bien plus importants. Cet incident offre un aperçu de ce qui pourrait se passer dans l’avenir et rappelle la précaution que les individus comme la société doivent prendre face à cette menace.

Les articles suggérant différentes solutions ont amené les animateurs à planifier des épisodes sur le Zero Trust et sur le cloud, afin de poser les bases et de parler un langage commun. Le Zero Trust est un sujet complexe qui demandera une bonne vulgarisation, mais cette mesure de protection permet une saine séparation entre les informations pour éviter que ce genre d’incident ne se reproduise. Quant à l’infonuagique, plusieurs plaident qu’elle est généralement plus sécuritaire que les installations sur site, puisque des compagnies comme Microsoft, Amazon et Google dépensent des milliards de dollars annuellement en sécurité, un investissement difficile à justifier pour la plupart des entreprises.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’animateur reçoit Vincent Groleau pour cette édition consacrée à l’actualité de la cybersécurité. L’épisode s’ouvre sur un rappel des mesures sanitaires alors que la troisième vague se dessine, les animateurs encourageant l’auditoire à se faire vacciner. L’événement SÉCUR 2021 du 15 avril sera précédé d’épisodes spéciaux présentant chaque conférence. Le lendemain, le Boss of the SOC offrira une simulation de centre opérationnel de sécurité par équipes de quatre, les inscriptions demeurant ouvertes. Les animateurs soulignent également le lancement du podcast Incidence, consacré à la vie privée traitée en profondeur.

Vincent décortique le shadow IT, qu’il définit comme toute insertion dans une infrastructure offrant un service qui déborde des orientations d’approvisionnement et des principes de gestion de la configuration, que ce soit de nature applicative, de données ou matérielle, souvent chez un grand fournisseur infonuagique. Il relève cinq risques principaux. Les mécanismes de sécurité transversaux sont contournés. Les entités assujetties à des régulateurs comme l’AMF ou les accords de Bâle s’exposent à des risques de conformité. Le shadow IT n’étant ni inventorié ni indexé, la gestion des configurations souffre. La collaboration devient moins efficiente, les employés étant détournés de leurs rôles. Enfin, la continuité de service est compromise, les équipes ne pouvant diagnostiquer un système invisible.

Nico nuance en rappelant que le phénomène englobe aussi les développements en milieu utilisateur et va du simple fichier Excel au service infonuagique complet, le faible coût de friction de ces services rendant l’adhésion facile pour un besoin ponctuel. Il faut distinguer l’usage domestique d’un service comme Doodle de son usage en entreprise, où les paramètres légaux et contractuels s’appliquent, certaines données ne pouvant légalement sortir du pays. Il critique l’usage de WeTransfer entre départements et dénonce le « département du non » où tout est refusé, créant la désuétude du service TI. Les départements doivent être des accompagnateurs offrant des solutions.

Vincent ajoute que les grandes plateformes posent des défis particuliers. Un gestionnaire de console Amazon mal encadré peut copier des bases de données, et une erreur suffit à exposer un environnement sur Internet. Nico rappelle que des compartiments S3 mal sécurisés ont déjà fui des données militaires ou bancaires, tandis que Vincent juge inacceptable le délai de déconnexion automatique de douze heures des consoles administrateur. La solution passe par des arbres décisionnels, des business cases et une chaîne d’approvisionnement encadrée jusqu’à la production.

La discussion aborde les systèmes vieillissants qu’on laisse traîner faute de projets plus séduisants et qui deviennent vulnérables. La faille d’Exchange a beaucoup marqué, certains professionnels suggérant de migrer vers l’infonuagique quand la correction dépasse les capacités de l’organisation. Vincent introduit l’évaporation des compétences, les expertises sur les vieux systèmes comme MVS disparaissant avec leurs détenteurs. Il propose de jauger le stress des équipes face à une panne simulée du central pour mesurer l’urgence d’un remplacement.

Nico mentionne les efforts du Conseil du trésor du Québec pour éradiquer la désuétude. Cette réflexion mène au zéro trust, pour lequel la NSA a publié un guide, NIST et Microsoft véhiculant le même message. Le télétravail hybride appelé à perdurer renforce l’importance de la granularité de sécurité aux points terminaux, désormais dans des environnements domestiques partagés. Vincent conseille de diversifier les fournisseurs en définissant objectifs et critères d’évaluation, avec les gens d’affaires.

Nico traite de la gestion des incidents, illustrée par les cas publics de Promutuel et Beneva. L’automatisation libère les analystes des alertes de premier niveau pour les concentrer sur des tâches à valeur ajoutée, dans l’esprit des références à COBIT. Il insiste sur la recherche de la vraie source du problème, rarement technologique ou humaine. L’exemple de madame Michu, ayant ouvert huit fois un courriel malicieux, montre que la cause racine réside dans un défaut d’éducation plutôt que dans la faute de l’utilisatrice. La gestion d’incidents demeure une compétence précieuse, exigeante pour les nerfs.

Vincent présente le logiciel Respondus, utilisé notamment à l’Université McMaster, qui scrute les étudiants par caméra et micro lors des examens à distance. La configuration relève de la discrétion de l’enseignant, sans obligation d’annoncer le modèle de surveillance. Il s’interroge sur la validation de ces outils et la capacité des professeurs à interpréter les données, craignant que des étudiants anxieux génèrent des faux positifs.

Nico juge l’approche intrusive et propose de repenser les modèles d’évaluation plutôt que de répliquer la surveillance en classe. Il évoque les examens à livre ouvert, dont la densité rend la consultation inutile sans maîtrise de la matière, et cite les pays d’Europe du Nord où les examens n’arrivent qu’en quatrième année. Les deux conviennent que l’examen devrait demeurer un indicateur noble, mesurant l’absorption de la matière ou le talent de l’enseignant à la transmettre, plutôt qu’un outil de châtiment.

La conversation glisse vers Clearview AI et Cadillac Fairview, la reconnaissance faciale dans les centres d’achat étant justifiée par le rehaussement de l’expérience utilisateur. Vincent y voit plutôt une expérience commerciale visant à augmenter les ventes. Nico déplore un modèle favorisant l’endettement et les achats impulsifs, constatant que les boutiques virtuelles reproduisent ces mécaniques sans changer ses habitudes. Un humain bien formé ferait aussi bien que ces machines, signe d’une paresse relationnelle.

Vincent termine avec les employés de première année de Goldman Sachs, exploités à 98 heures hebdomadaires en moyenne, qui ont proposé un plafond de 80 heures. Il rappelle que le télétravail ne signifie pas un agenda à remplir. Nico abonde, soulignant que la créativité disparaît au-delà d’un certain seuil de fatigue, et promet de dégager du temps pour les prochains enregistrements.