PolySécure Podcast volet Actualités

C’est le premier enreigstrement en présentiel depuis longtemps. Nous avons commis quelques erreurs lors de la captation, certaines qui n’ont pas été possible de régler.

J’ai retranché la dernière section au complet, qui menait le podcast à 1h43. Cette section discutait du télétravail, dans le contexte d’un potentiel retour au bureau. Nous allons y revenir dans un épisode spécial, de façon plus organisée, que la discussion libre qui a pris place lors de cet enregistrement.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’animateur reçoit Vincent Groleau pour cette édition consacrée à l’actualité de la cybersécurité. L’épisode s’ouvre sur un rappel des mesures sanitaires alors que la troisième vague se dessine, les animateurs encourageant l’auditoire à se faire vacciner. L’événement SÉCUR 2021 du 15 avril sera précédé d’épisodes spéciaux présentant chaque conférence. Le lendemain, le Boss of the SOC offrira une simulation de centre opérationnel de sécurité par équipes de quatre, les inscriptions demeurant ouvertes. Les animateurs soulignent également le lancement du podcast Incidence, consacré à la vie privée traitée en profondeur.

Vincent décortique le shadow IT, qu’il définit comme toute insertion dans une infrastructure offrant un service qui déborde des orientations d’approvisionnement et des principes de gestion de la configuration, que ce soit de nature applicative, de données ou matérielle, souvent chez un grand fournisseur infonuagique. Il relève cinq risques principaux. Les mécanismes de sécurité transversaux sont contournés. Les entités assujetties à des régulateurs comme l’AMF ou les accords de Bâle s’exposent à des risques de conformité. Le shadow IT n’étant ni inventorié ni indexé, la gestion des configurations souffre. La collaboration devient moins efficiente, les employés étant détournés de leurs rôles. Enfin, la continuité de service est compromise, les équipes ne pouvant diagnostiquer un système invisible.

Nico nuance en rappelant que le phénomène englobe aussi les développements en milieu utilisateur et va du simple fichier Excel au service infonuagique complet, le faible coût de friction de ces services rendant l’adhésion facile pour un besoin ponctuel. Il faut distinguer l’usage domestique d’un service comme Doodle de son usage en entreprise, où les paramètres légaux et contractuels s’appliquent, certaines données ne pouvant légalement sortir du pays. Il critique l’usage de WeTransfer entre départements et dénonce le « département du non » où tout est refusé, créant la désuétude du service TI. Les départements doivent être des accompagnateurs offrant des solutions.

Vincent ajoute que les grandes plateformes posent des défis particuliers. Un gestionnaire de console Amazon mal encadré peut copier des bases de données, et une erreur suffit à exposer un environnement sur Internet. Nico rappelle que des compartiments S3 mal sécurisés ont déjà fui des données militaires ou bancaires, tandis que Vincent juge inacceptable le délai de déconnexion automatique de douze heures des consoles administrateur. La solution passe par des arbres décisionnels, des business cases et une chaîne d’approvisionnement encadrée jusqu’à la production.

La discussion aborde les systèmes vieillissants qu’on laisse traîner faute de projets plus séduisants et qui deviennent vulnérables. La faille d’Exchange a beaucoup marqué, certains professionnels suggérant de migrer vers l’infonuagique quand la correction dépasse les capacités de l’organisation. Vincent introduit l’évaporation des compétences, les expertises sur les vieux systèmes comme MVS disparaissant avec leurs détenteurs. Il propose de jauger le stress des équipes face à une panne simulée du central pour mesurer l’urgence d’un remplacement.

Nico mentionne les efforts du Conseil du trésor du Québec pour éradiquer la désuétude. Cette réflexion mène au zéro trust, pour lequel la NSA a publié un guide, NIST et Microsoft véhiculant le même message. Le télétravail hybride appelé à perdurer renforce l’importance de la granularité de sécurité aux points terminaux, désormais dans des environnements domestiques partagés. Vincent conseille de diversifier les fournisseurs en définissant objectifs et critères d’évaluation, avec les gens d’affaires.

Nico traite de la gestion des incidents, illustrée par les cas publics de Promutuel et Beneva. L’automatisation libère les analystes des alertes de premier niveau pour les concentrer sur des tâches à valeur ajoutée, dans l’esprit des références à COBIT. Il insiste sur la recherche de la vraie source du problème, rarement technologique ou humaine. L’exemple de madame Michu, ayant ouvert huit fois un courriel malicieux, montre que la cause racine réside dans un défaut d’éducation plutôt que dans la faute de l’utilisatrice. La gestion d’incidents demeure une compétence précieuse, exigeante pour les nerfs.

Vincent présente le logiciel Respondus, utilisé notamment à l’Université McMaster, qui scrute les étudiants par caméra et micro lors des examens à distance. La configuration relève de la discrétion de l’enseignant, sans obligation d’annoncer le modèle de surveillance. Il s’interroge sur la validation de ces outils et la capacité des professeurs à interpréter les données, craignant que des étudiants anxieux génèrent des faux positifs.

Nico juge l’approche intrusive et propose de repenser les modèles d’évaluation plutôt que de répliquer la surveillance en classe. Il évoque les examens à livre ouvert, dont la densité rend la consultation inutile sans maîtrise de la matière, et cite les pays d’Europe du Nord où les examens n’arrivent qu’en quatrième année. Les deux conviennent que l’examen devrait demeurer un indicateur noble, mesurant l’absorption de la matière ou le talent de l’enseignant à la transmettre, plutôt qu’un outil de châtiment.

La conversation glisse vers Clearview AI et Cadillac Fairview, la reconnaissance faciale dans les centres d’achat étant justifiée par le rehaussement de l’expérience utilisateur. Vincent y voit plutôt une expérience commerciale visant à augmenter les ventes. Nico déplore un modèle favorisant l’endettement et les achats impulsifs, constatant que les boutiques virtuelles reproduisent ces mécaniques sans changer ses habitudes. Un humain bien formé ferait aussi bien que ces machines, signe d’une paresse relationnelle.

Vincent termine avec les employés de première année de Goldman Sachs, exploités à 98 heures hebdomadaires en moyenne, qui ont proposé un plafond de 80 heures. Il rappelle que le télétravail ne signifie pas un agenda à remplir. Nico abonde, soulignant que la créativité disparaît au-delà d’un certain seuil de fatigue, et promet de dégager du temps pour les prochains enregistrements.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode se déroule toujours en pleine pandémie, alors que le confinement se poursuit. Les vaccins commencent à arriver, mais les mesures d’hygiène publique, la distanciation et le port du masque demeurent essentiels pour espérer un été plus libre. Nicolas profite de l’occasion pour mentionner le SECU de Québec numérique, un événement de sécurité prévu le 15 avril, ainsi que le lancement d’un nouveau podcast nommé Incidence, animé par Virginie, qui creuse divers sujets avec un regard critique.

Avant d’aborder les sujets principaux, Vincent partage que ses parents, âgés de plus de 75 ans, sont vaccinés depuis quelques semaines. Sa mère voit déjà la lumière au bout du tunnel tandis que son père n’a ressenti aucun effet secondaire.

Vincent revient sur le dossier de Clearview AI, cette entreprise d’origine canadienne ayant développé un logiciel de reconnaissance faciale. La compagnie avait constitué une vaste banque de données à partir de photos provenant des réseaux sociaux, sans le consentement des personnes concernées. La GRC avait utilisé leurs services dans quelques dossiers de personnes disparues, avec des résultats assez limités.

Une photographe professionnelle avait menacé de poursuivre l’entreprise, estimant que ses photos protégées par des droits d’auteur avaient été récupérées sans autorisation. Clearview AI a depuis établi son siège social aux États-Unis, où les lois sont plus clémentes en la matière.

Récemment, le Commissariat à l’éthique du Canada et celui de l’Alberta ont déposé une opinion concluant que les pratiques de Clearview AI sont contraires au code d’éthique. Cette décision pourrait fournir des munitions aux autorités de la justice pour entreprendre des enquêtes et porter des accusations si des personnes ont subi un dommage.

Nicolas et Vincent discutent ensuite du débat éthique entourant l’usage des photos publiques. Ils soulignent la tension entre l’utilité pour les corps policiers et l’invasion de vie privée subie par les citoyens, devenus participants involontaires à cette expérience.

Vincent s’attaque à l’argument classique de ceux qui prétendent n’avoir rien à cacher. Il rappelle que se sentir libre, c’est justement avoir le droit de posséder des secrets, un droit acquis essentiel au bien-être et à la conscience de chacun. Il existe aussi un droit à la vie publique, pour les informations que l’on préfère dévoiler.

Il rejette également l’argument selon lequel la reconnaissance faciale pourrait facilement disculper une personne innocente. Une telle disculpation reposerait sur des données obtenues sans consentement. Chacun doit demeurer maître de sa propre protection et conserver le jugement sur les gestes qui le protègent.

Les brèches de sécurité révèlent que les éléments les plus fréquemment dérobés demeurent les comptes usagers et les mots de passe. Cette réalité souligne l’importance cruciale de l’authentification multifacteur dans les vies personnelle et professionnelle, d’autant plus que les fournisseurs comme Facebook, Google et Microsoft offrent tous les outils nécessaires à cette protection.

Vincent propose une analogie avec l’automobile. La voiture représente une cage d’acier, le premier facteur de protection, et la ceinture de sécurité constitue le second facteur. Le MFA fonctionne de la même manière en ajoutant une couche de protection parmi des milliards d’usagers infonuagiques.

Nicolas précise que la ceinture ne se porte pas pour éviter une contravention, mais bien pour se protéger lors d’un accident imprévu. De même, le MFA protège contre le vol de comptes, dont les informations mènent souvent à l’argent. Vincent ajoute qu’une victime de vol à domicile qui n’aurait pas verrouillé ses portes pourrait voir sa prime d’assurance augmenter. Nicolas observe que les assureurs cyber exigent désormais des tests de sécurité avant d’assurer des systèmes, ce qui réduit les primes des compagnies ayant une bonne hygiène de sécurité.

Nicolas s’adresse aux compagnies qui n’ont pas encore fait le saut vers le nuage ou qui possèdent une maturité limitée. Il est essentiel de bien connaître son fournisseur et ses mesures de sécurité, notamment en vérifiant les audits comme les SSAE 18, les SOC 2 ou les certifications ISO.

Il rappelle le modèle de responsabilité partagée avec une analogie immobilière. Le propriétaire de l’édifice est responsable de l’extérieur, mais le locataire reste responsable de verrouiller sa porte. De même, Azure ou Amazon protègent leurs infrastructures, mais le client demeure responsable de la configuration de son propre espace.

Les points de jonction entre les systèmes sur site et les systèmes infonuagiques constituent les zones les plus fragiles et les moins bien maîtrisées. Contrairement aux systèmes sur site protégés par des coupe-feu, les systèmes infonuagiques sont exposés en permanence sur Internet, et les malveillants connaissent les adresses des grands fournisseurs, cherchant des espaces mal configurés pour remonter jusqu’aux systèmes internes.

Les maliciels récents utilisent des pages web trompeuses très bien réalisées pour amener les utilisateurs à saisir leurs mots de passe. Les gens se font ainsi convaincre de s’infecter eux-mêmes. Pour les entreprises disposant de moyens supplémentaires, un CASB, un courtier de sécurité d’accès infonuagique, ajoute une couche de protection devant les informations infonuagiques, bien que cela exige des compétences particulières. Il est recommandé de se faire accompagner par des professionnels en sécurité.

Des chercheurs ont découvert par hasard que 30 000 Mac auraient été infectés par un maliciel. Ce nombre est probablement sous-estimé, car il repose sur la télémétrie des compagnies d’antivirus. Le code a été recompilé pour fonctionner à la fois sur les processeurs Intel et M1, témoignant du professionnalisme des développeurs. La version déployée semble être une forme d’essai dont l’objectif demeure flou.

Apple a révoqué le certificat du développeur responsable, ce qui empêchera probablement le code de s’installer à l’avenir. Le maliciel contournait le gatekeeper sans lever d’alerte. La menace ne touche que macOS et non les appareils mobiles. Ce serait le comportement de l’utilisateur trompé plutôt qu’une faille du système qui aurait permis l’infection. Apple déploie déjà un antivirus intégré dans macOS et met ses signatures à jour régulièrement.

Cette découverte rappelle que même les utilisateurs de Mac ne sont pas immunisés contre les problèmes de sécurité. Des indicateurs de compromission sont disponibles dans les notes de l’épisode pour détecter une infection. Nicolas compare cette situation à SolarWinds, où des mois ont été nécessaires avant que des chercheurs ne découvrent une menace invisible.

Les animateurs annoncent leur intention de produire des épisodes plus courts et plus fréquents afin de maintenir un rythme de nouvelles plus digeste. Vincent souhaite une bonne semaine aux auditeurs en rappelant l’arrivée de la relâche.

Nous avons rencontré un problème technique au courant de l’enregistrement. Nous avons préservé ce qui était écoutable.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode s’ouvre sur les habituels shameless plugs. Les animateurs rappellent l’importance des mesures sanitaires liées à la Covid-19 alors que le Québec se trouve à un tournant concernant le déconfinement, une nouvelle variante préoccupante étant apparue. Ils annoncent aussi le retour de l’événement SéCure en avril 2021, virtuel cette année, avec des conférenciers tous confirmés et les inscriptions via les show notes.

La première nouvelle abordée est SolarWinds, qui occupe les professionnels de la sécurité depuis plus d’un mois, avec des victimes comme Malwarebytes et Microsoft. Vincent en tire une leçon de gestion des risques. Il ne faut pas prendre à la lettre tout ce que disent les fournisseurs tiers avec qui on échange des données ou dont on utilise les services. Les contrats doivent contenir des clauses sur la gestion des incidents, le partage des responsabilités et des recours possibles. Les rapports SOC 2 offrent une assurance raisonnable que les contrôles fonctionnent comme prévu, et on peut négocier l’envoi d’un auditeur externe, à ses frais, pour évaluer l’environnement traitant les données.

Vincent nuance toutefois le pouvoir de négociation face aux GAFAM, blindés avec leurs armées d’avocats. Pour les autres fournisseurs, il recommande de se faire accompagner dans la rédaction des contrats, d’autant que le traitement des données de clients engage la responsabilité légale de l’entreprise.

Nicolas rappelle que l’infonuagique n’est qu’une continuité de la délégation à des tiers pratiquée depuis les années 70, avec des standards comme les SA70 d’alors et les SSAE18 aujourd’hui. Il déplore que les petits fournisseurs connaissent mal ces exigences contractuelles qui établissent le lien de confiance.

Vincent rassure les petits joueurs en les invitant à voir les clauses de sécurité exigées par les gros clients d’un œil éducatif plutôt que comme une montagne. Ces exigences rehaussent leurs processus et constituent aussi un beau produit marketing démontrant un sérieux en sécurité de l’information.

Nicolas recommande aux PME des approches allégées comme le NIST Cybersecurity Framework, qu’il utilise activement. Contrairement aux certifications lourdes comme le SOC 2 ou le SSAE 18, ce framework demande quelques jours de mise en œuvre, et il a même établi des tableaux de bord en une soirée. Vincent rappelle que le NIST est public et gratuit. Nicolas suggère aussi aux petites entreprises de partager des ressources cyber à temps partiel entre elles, car plusieurs manufacturières québécoises ont disparu à cause d’attaques malgré d’excellents produits.

Nicolas s’attaque au mythe voulant que l’infonuagique soit plus sécuritaire que les installations sur site. Si les infrastructures des gros fournisseurs comme Amazon, Google, Microsoft ou OVH sont effectivement sécuritaires, ce qu’on y met demeure de la responsabilité de chacun de configurer correctement. Le firewall de périmètre magique n’existe pas en infonuagique et les attaquants sont présents en continu sur vos données.

Vincent insiste sur le besoin de faire le même due diligence pour le cloud que pour l’interne. Avant de déplacer des données sensibles, brevets, données financières ou renseignements personnels, il faut évaluer la situation d’ensemble, incluant les obligations réglementaires, le consentement, la loi québécoise sur la protection des renseignements personnels et les programmes de rétention. Le cloud first ne signifie pas jeter ses données n’importe où, et parfois garder l’information en local coûte plus cher mais agit comme une bonne couverture d’assurance.

Nicolas ajoute l’importance de cartographier ses systèmes et services pour comprendre comment l’information se déplace à travers les intermédiaires, plutôt que de se fier au feeling entretenu avec le fournisseur.

Bonne nouvelle du côté d’Emotet, ce maliciel qui fut la porte d’entrée de 60 % des cybercrimes dans le monde. Une coalition de huit pays, dont le Canada avec la GRC, aurait piraté les pirates et pulvérisé l’infrastructure, avec deux arrestations en Europe de l’Est. Nicolas, qui a géré plusieurs incidents impliquant Emotet, rappelle que son code changeait aux 24 heures et célèbre l’effort tout en demeurant prudent. Il prédit qu’Emotet renaîtra de ses cendres et regrette l’absence de leviers légaux pour une destruction définitive, notant que le vrai danger résidait dans Trickbot et Ryuk. Les deux animateurs se réjouissent que le Canada possède les compétences pour défendre ses infrastructures critiques.

Le FBI a mis la main sur un résident de Gatineau qui aurait soutiré 35 millions de dollars canadiens avec le maliciel NetWalker. Sa maison était d’une banalité déconcertante pour quelqu’un ayant volé des millions, et on y a trouvé énormément de drogue et d’argent liquide, ce qui ne surprend pas Nicolas, les criminels restant dans leurs environnements habituels même devenus cybercriminels.

Nicolas aborde ensuite le Zero Trust, qu’il préfère qualifier de limited trust. Le vocable importe peu, l’essentiel est de changer la façon de designer nos réseaux et d’établir la confiance, car l’humain fait confiance de façon aveugle, ce que les attaquants exploitent. Vincent résume le concept avec humour en disant que si tu t’es trompé, dehors.

Nicolas explique qu’au lieu d’un continent protégé par un firewall de périmètre, chaque système devient sa propre île vérifiant l’identité à chaque accès. Il offre l’analogie du bouncer qui vérifie les cartes d’identité à l’entrée du bar. Dans le modèle classique, une fois entré, on fait ce qu’on veut. En Zero Trust, chaque bar du club redemande votre identité avant de vous servir.

La GIA demeure un fondement du Zero Trust, car l’identité est le premier point de contrôle, vérifié en amont par des campagnes de certification assurant que les fiches et privilèges sont exacts. Nicolas recommande les documents NIST 800-63 sur l’identité, l’authentification et la fédération. Vincent note que ce modèle alourdit l’opérationnalisation de la gouvernance, mais assure un bien meilleur contrôle des accès. Dans le monde informatique, ces vérifications répétées restent généralement transparentes pour l’utilisateur, contrairement au monde réel où il serait pénible de prouver son âge à chaque bière commandée.

Rien à signaler… Sauf mon (NLF) ventillateur qu’on entend trop bien.

Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.

L’épisode s’ouvre sur un rappel des mesures sanitaires toujours en vigueur au Québec, alors que le reconfinement se poursuit. Se laver les mains et respecter la distanciation permettent de faire baisser la courbe et de préserver les places à l’hôpital pour ceux qui en ont vraiment besoin. L’émission annonce aussi la reprise du SÉCUR 2021 le 15 avril, formule reprenant l’édition 2020 annulée à cause de la pandémie, avec une invitation à s’inscrire en grand nombre.

Vincent présente les développements de l’affaire SolarWinds. En décembre, un compte d’un membre du personnel de Microsoft a servi à des tentatives d’accès au code source, sans élévation de privilèges puisque les droits usurpés permettaient seulement de consulter, et rien n’a pu être extrait. Aucune donnée client n’a été touchée et l’enquête suggère un dommage collatéral lié à la compromission de SolarWinds.

Plus les investigations avancent, plus il semble que les malveillants étaient en place depuis longtemps. Même une entreprise investissant des milliards en sécurité annuellement est affectée, un signal fort sur la vulnérabilité des organisations plus modestes. Le CISA a révisé ses recommandations et demande aux organismes gouvernementaux américains de passer en mode forensic, soit une analyse approfondie des possibilités de fuite, car des preuves scellées et des courriels d’agences ont été divulgués. Un troisième kit d’attaque a aussi été découvert, Cisco ayant trouvé d’autres éléments. Interrogé par Vincent sur l’analyse de risque préalable aux enquêtes forensiques, l’animateur précise qu’il s’agit plutôt d’une analyse de l’événement, exigeant créativité et appui de la ligne de gestion.

Un article de journal a révélé qu’une exfiltration de 15 fichiers aurait eu lieu et que ces fichiers se sont retrouvés sur le web obscur. Cela fait deux mois jour pour jour que les services en ligne sont inaccessibles, seules des lignes téléphoniques demeurent disponibles, ce qui fait mal aux états financiers et génère des dépenses imprévues.

L’animateur comprend l’immensité du travail des équipes de cybersécurité, espère que personne ne s’épuisera, et critique le manque de communication externe, les clients gagnant à connaître l’avancement du rétablissement. Il souhaite que l’entreprise tire des leçons, investisse aux bons endroits et partage publiquement son expérience afin que les organisations moins outillées en profitent. Vincent exprime son empathie, rappelant que la région de Québec compte plusieurs assureurs qui sont de bons employeurs, et que perdre une telle compagnie serait dommageable. L’animateur ajoute que les données des Québécois ont tellement fui qu’il faut changer d’attitude à l’échelle de la société, et que le législateur devrait ajuster les lois, le RGPD restant aussi un outil de chantage.

Durant le temps des fêtes, Communauto a été victime d’un rançongiciel ayant chiffré certaines données et causé une perte d’accès totale à certains serveurs. Aucune donnée de carte de crédit ni de paiement n’est concernée et la facturation a subi des retards sans être empêchée. Des données sensibles ont été exfiltrées, notamment des informations de trajet jugées confidentielles, mais aucune donnée client compromettante une fois agrégée ni aucun mot de passe n’auraient fui. Une firme a été embauchée pour accompagner l’entreprise.

L’animateur estime que ces entreprises à valeur sociale sont mal servies en cybersécurité et suggère du bénévolat pour les aider. Vincent s’interroge sur le mobile, Communauto ne semblant pas une cible évidente, peut-être une cible d’opportunité lors d’une vague d’attaques en décembre. L’animateur évoque des attaques mécanisées de type Emotet, où les malveillants drainent l’information, chiffrent tout et repartent, avant de revendre les données aux plus offrants. Il conclut qu’il faut cesser de pointer du doigt les entreprises et plutôt leur offrir des règles de bonnes pratiques minimales pour cheminer en cybersécurité.

Selon des documents du CISA, le principal facteur menant à une brèche demeure une hygiène de sécurité insatisfaisante, ici au niveau du cloud. La pandémie a provoqué une migration massive et non organisée vers l’infonuagique, souvent sans analyse des conséquences de sécurité. Si les fournisseurs comme Microsoft, Google ou Amazon sont solides, la configuration des services consommés demeure la responsabilité du client. L’authentification à double facteur reste la mesure la plus rentable pour limiter les attaques, trop souvent contournée ou oubliée.

Vincent rappelle que plusieurs fuites provenaient de mauvaises configurations, souvent par manque de compétences, et conseille de vérifier le partage des responsabilités dans le contrat ainsi que les compétences internes. Maîtriser un fournisseur demande déjà du temps et de l’expertise, et en ajouter un deuxième accroît la dispersion des risques. La compétence en sécurité doit être présente, car il n’y a pas de raccourci. Vincent insiste sur la due diligence, soit l’adéquation entre obligations légales, politiques internes et services infonuagiques, et suggère de réunir tous les acteurs de l’entreprise autour d’une analyse de risque.

Chez Apple, suivant les travaux de plusieurs chercheurs, des exclusions ont été retirées de l’interface réseau de la nouvelle version de macOS. Les services Apple n’étaient plus soumis aux contrôles de sécurité de cette interface, ce qui permettait de contourner les protections. L’animateur recommande les outils d’Objective See pour sécuriser les Mac, ainsi que Little Snitch, un pare-feu applicatif utile contre l’exfiltration de données.

Enfin, Flash est officiellement désuet depuis le 1er janvier et plusieurs grands navigateurs cesseront de le supporter le 12 janvier. Ce caillou dans le soulier de la sécurité cumulait une panoplie de problèmes phénoménale, et le HTML5 rend désormais cette extension inutile. L’animateur rappelle que Steve Jobs avait publiquement enterré Flash il y a plusieurs années, provoquant un tollé, mais l’histoire lui a donné raison.