En bref : ITSec retour événement : ce billet est notre merci à la communauté et à Shakey le requin, la mascotte qui a fait sourire tout le monde. Merci aussi aux organisateurs et aux bénévoles qui ont rendu l’événement possible. Le blogue, resté silencieux pendant l’événement, reprend aujourd’hui avec ce mot de remerciement.
Si vous étiez sur place, ce texte est pour vous. Si vous n’y étiez pas, il donne un aperçu de ce qui compte vraiment dans un événement comme celui-là : les gens, plus que le programme officiel.
Dans cet article
ITSec retour événement : qu’est-ce qui s’est passé ?
ITSec réunit, le temps de quelques jours, des dirigeants, des équipes techniques, des consultants et des fournisseurs qui travaillent tous, chacun à sa façon, à rendre les organisations québécoises un peu plus sécurisées. On y croise des gens qu’on ne voit qu’une fois par année et d’autres qu’on retrouve d’un événement à l’autre, au point de les considérer comme des collègues plutôt que comme des contacts.
La communauté cybersécurité québécoise n’est pas si grande. Après quelques événements comme celui-là, on finit par reconnaître les mêmes visages d’une salle à l’autre, ce qui change la nature des échanges : moins de présentations de soi, plus de suivis de conversations entamées des mois plus tôt, parfois à un autre événement, parfois par courriel.
Nous y étions comme participants, pas pour vendre quoi que ce soit sur place. Notre travail consiste à éclairer des décisions, pas à pousser un produit dans un kiosque, et un événement comme celui-ci se prête d’abord à l’écoute. Nous avions annoncé notre présence dès le mois de mars, avant même de savoir exactement à quoi ressembleraient ces journées (notre annonce de participation à ITSec), et l’expérience a dépassé ce qu’on en attendait.
Factero est un cabinet-boutique de Saint-Jean-sur-Richelieu, à quelques minutes du Collège militaire royal de Saint-Jean. Nous sommes membres de CADSI et nous appuyons Ino Sécure dans sa mission. Un événement comme ITSec, c’est l’occasion de mettre des visages sur ces liens plutôt que de les laisser dormir dans une page « à propos ».
Ce billet n’a pas la prétention de résumer l’événement au complet. C’est un mot de remerciement, écrit le lendemain, pendant que les conversations sont encore fraîches.
Pourquoi dire merci aux organisateurs et aux bénévoles de la communauté cybersécurité québécoise ?
Parce qu’un événement de cette taille ne s’organise pas tout seul, et que le travail qui le rend possible reste largement invisible pour les participants. Une salle qui fonctionne, un horaire qui tient, des conférenciers bien accueillis, des bénévoles capables de répondre à toutes les questions avec le sourire : rien de tout ça n’arrive par hasard.
On dit souvent merci aux conférenciers. On dit plus rarement merci à la logistique. C’est pourtant elle qui détermine si un événement se vit bien ou se vit mal. Alors merci, sincèrement, à qui a monté les salles, imprimé les badges, réglé les micros et répondu aux questions banales qu’on pose tous à l’accueil en arrivant.
Ce sont aussi ces bénévoles, plus que les grandes conférences, qui donnent le ton d’un événement. On se souvient rarement du titre exact d’une présentation un mois plus tard. On se souvient de l’accueil qu’on a reçu en entrant, et de si quelqu’un a pris le temps de répondre à une question mal formulée sans faire sentir qu’elle l’était.
Qui est Shakey le requin, et pourquoi on lui dit merci ?
Shakey le requin est la mascotte qui circulait sur le site d’ITSec cette semaine, prête pour une photo à chaque coin de corridor. Dans un domaine qui parle beaucoup de menaces, de vulnérabilités et de risques, une mascotte qui fait sourire les gens n’est pas un détail cosmétique. C’est un rappel que la communauté qui travaille sur ces enjeux reste une communauté humaine, capable de rire d’elle-même entre deux présentations sur les incidents de sécurité.
ITSec retour événement : merci aussi à Shakey pour les sourires et les photos. Un événement technique peut vite s’enchaîner de présentation en présentation sans respirer : une mascotte qui traîne dans les corridors casse ce rythme, et c’est très bien ainsi.
Les droits d’image de cette portion de l’événement, mascotte comprise, restent à confirmer avant la publication de tout visuel.
De quoi parlait-on dans les corridors ?
ITSec retour événement : les meilleures conversations n’ont pas lieu dans les salles, mais entre elles. Sans citer personne ni reprendre le contenu d’aucun échange privé, trois thèmes sont revenus assez souvent dans nos conversations pour qu’on les note ici.
- La capacité de relance après un incident. Beaucoup d’organisations se demandent si elles pourraient vraiment redémarrer, pas seulement si elles ont une copie de sauvegarde quelque part. La question dépasse la sauvegarde elle-même : c’est celle du temps réel de remise en marche. Ce n’est pas une question théorique : plusieurs des personnes qui l’ont soulevée avaient déjà vécu un incident, ou en avaient vu un de près chez un partenaire ou un client. Le sujet revient d’autant plus fort qu’il touche directement les opérations, pas seulement la technologie.
- L’indépendance de l’audit. Plusieurs dirigeants s’interrogent sur qui vérifie leur sécurité, et sur les liens que ce vérificateur entretient avec les produits qu’il pourrait ensuite leur recommander. La question revient d’une conversation à l’autre, sous des formulations différentes, du genre : est-ce que la firme qui trouve les problèmes est aussi celle qui vend la solution ? C’est exactement la distinction qui nous occupe chaque jour. Un audit indépendant ne revend rien, ne touche aucune commission sur ce qu’il recommande, et son seul produit est son constat.
- Les certifications canadiennes. Entre les démarches volontaires comme CyberSécuritaire Canada et les programmes de certification plus formels, beaucoup de dirigeants cherchent encore à comprendre lequel de ces cadres s’applique à leur situation, et dans quel ordre les aborder. Le paysage s’est passablement complexifié depuis un an, entre les démarches volontaires, les exigences de certains donneurs d’ordre et les programmes en développement. Difficile de reprocher à un dirigeant de s’y perdre un peu.
Trois thèmes, trois familles de questions qu’on retrouvera dans nos prochains billets, avec plus de substance que ce que permet un mot de remerciement.
Pourquoi Factero n’a rien publié pendant l’événement ?
Par choix. Publier en direct pendant un événement, c’est souvent y être à moitié : un œil sur les conversations, un œil sur le téléphone. Nous avons préféré être présents pour vrai, sans commenter en temps réel ce qui se passait dans les salles ou les corridors.
Ce choix n’a rien d’une politique officielle. C’est simplement plus agréable d’écouter une présentation sans à moitié rédiger un fil de discussion en même temps, et plus utile de retenir une conversation de corridor que de la résumer en quelques mots pendant qu’elle a encore lieu.
Réfléchir avant de diffuser en direct sur les réseaux d’une organisation fait aussi partie des réflexes de base en cybersécurité, dans l’esprit des guides pour PME du Centre canadien pour la cybersécurité.
ITSec retour événement : le blogue reprend aujourd’hui, le lendemain, avec ce qu’on peut en dire une fois l’événement terminé, soit un merci, une mascotte, et quelques thèmes qui alimenteront les prochains textes.
Qu’est-ce qui s’en vient après ITSec ?
ITSec retour événement : les trois thèmes de corridor ci-dessus vont chacun devenir un billet plus développé, avec plus de substance qu’une conversation debout entre deux présentations. Si l’un d’eux touche votre réalité, en particulier la question de l’indépendance de l’audit, notre guide complet sur l’audit informatique pose déjà les bases.
Ça tombe bien, puisque c’est exactement notre travail au quotidien : de l’audit TI indépendant qui ne vend rien d’autre que son résultat. Nous en avons d’ailleurs reparlé il y a quelques jours à peine, quand nous avons annoncé que Factero a obtenu sa certification CyberSécuritaire Canada niveau 1, une démarche qui nous a permis, de l’intérieur, de comprendre ce que vivent nos clients quand ils s’y engagent eux-mêmes.
Notre position reste la même en dehors des événements qu’à l’intérieur : nous éclairons, vous décidez. « Notre vision, vos décisions », ce n’est pas une phrase qu’on sort pour les kiosques, c’est la façon dont on travaille le reste de l’année, avec les équipes TI déjà en place chez nos clients, jamais à leur place.
Les photos de l’événement, une fois les droits d’image confirmés, viendront compléter ce billet, Shakey compris. En attendant, les mots suffisent.
Si vous nous avez croisés dans un corridor ou parlé entre deux présentations cette semaine, la conversation ne doit pas s’arrêter là. On s’est croisés à ITSec ? Continuons la conversation, par un appel exploratoire ou, plus simplement, autour d’un café à Saint-Jean-sur-Richelieu.
Pour aller plus loin avec Factero :
Foire aux questions
Qu’est-ce qu’ITSec ?
Un événement cybersécurité qui rassemble, au Québec, des dirigeants, des équipes techniques et des consultants du secteur pendant quelques jours de conférences et de réseautage. C’est le genre de rendez-vous où on croise autant de dirigeants curieux de mieux comprendre leurs risques que de spécialistes qui vivent la cybersécurité au quotidien.
Comment savoir si un audit informatique est vraiment indépendant ?
En vérifiant qui le réalise et ce qu’il vend à côté. Un audit indépendant ne revend aucun produit, ne touche aucune commission sur ses recommandations et son seul livrable est son constat. Si la même firme qui trouve les failles propose ensuite de les corriger avec sa propre solution, l’indépendance n’existe plus, même si le rapport semble rigoureux. Notre guide sur l’audit informatique indépendant détaille ces critères.
Quelle est la différence entre une sauvegarde et une capacité de relance après un incident ?
Une sauvegarde prouve qu’une copie des données existe. La capacité de relance prouve qu’une organisation peut redémarrer ses opérations dans un délai réel, testé à l’avance plutôt que présumé. Beaucoup d’entreprises ont l’une sans avoir vérifié l’autre. La question à se poser n’est pas « avons-nous une copie de sauvegarde », mais « combien de temps pour redémarrer si elle sert vraiment ».
CyberSécuritaire Canada, est-ce obligatoire pour une entreprise québécoise ?
Non, c’est une démarche volontaire, pas une obligation légale au Québec. Elle gagne toutefois du terrain comme référence attendue par certains clients et donneurs d’ordre, aux côtés d’autres programmes de certification plus formels en développement. Nous l’avons obtenue le 19 avril 2026, une expérience qui éclaire justement ce qu’implique la démarche pour qui l’envisage.
