Alexandre Blanc

vCISO VARS / RCGT, VARS Corporation (RCGT)

L’objectif de cet atelier sera d’apporter un éclairage pragmatique sur la mise en contexte des menaces et risques technologiques. Traduire ces risques en analyse d’impact qualitative et quantitative, afin d’aider la priorisation du plan d’action des gestionnaires.

Évaluer la posture de sécurité et établir un plan de sécurité peu sembler complexe. Cependant, on peut approcher cette tache de manière pratique, afin de prendre des décisions concrètes plus rapidement, et réduire le risque en améliorant la posture de l’organisation en continu.

Nous passerons à travers un rappel des tendances, l’évolution de la menace, puis nous discuterons des approches multiples qui peuvent être considérées pour gérer sa posture.

Un focus rapide sur les éléments de base à couvrir, puis sur la durée, un processus plus formel, accompagnant le développement de politiques, de plan de réponse aux incidents, et l’importance de préparer ses éléments en amont d’un incident.

Nous soulèverons le point de la gouvernance, et nous expliquerons pourquoi c’est devenu un élément critique avec l’arrivée de la loi 64 au Québec.

Finalement, nous parlerons des solutions pratiques que nous mettons en place, et qui permettent de faire la différence tout en considérant la réalité du marché, avec son manque de ressources, et des besoins opérationnels grandissants.

Dans un contexte de transformation numérique active, et de mouvement massif vers l’infonuagique, les considérations d’inventaire technologique (données et périphériques) sont un point critique pour assurer le succès des projets futurs.

Nous rappellerons l’importance de mettre les processus en ordre, d’appliquer les meilleures pratiques en s’appuyant sur un cadre de référence tel que ISO27001 ou NIST, avant d’entamer de grands changements.

Lors de la réponse à un incident en cybersécurité, nous recherchons en premier lieu à connaître l’environnement, les ressources, et la documentation de référence pour accélérer la reprise des activités. Quand les processus sont documentés et communiqués, toutes les opérations sont rendues plus efficaces, et les impacts sont bien moindres, car les éléments à haut risque sont rapidement identifiés.

Nous mettrons l’emphase sur le fait qu’une stratégie organisationnelle globale est nécessaire pour avoir des contrôles effectifs. Le développement d’une culture de sécurité est un point critique, alors que les techniques des acteurs malicieux évoluent très rapidement, les simples contrôles technologiques ne suffisent plus.

Nous apporterons également notre expérience en réponse aux incidents, les éléments les plus courants que nous avons identifiés lors de nos interventions, et comment nous adaptons notre stratégie en fonction de l’évolution de la menace.