2026-10-31 –, Track 1 (306B) Language: Français
Tous les pentesters ont déjà vu une vulnérabilité critique disparaître dans un backlog et se sont demandé : « Mais qu’est-ce que le CISO attend pour agir? » Parfois, cette frustration est entièrement justifiée.
J’ai moi-même été ce CISO. Pendant près de 30 ans en cybersécurité, j’ai eu des budgets, de l’autorité et d’excellentes équipes. Pourtant, je n’ai pas tout corrigé — parfois pour de bonnes raisons, parfois non.
À partir de situations réelles anonymisées, cette conférence explore pourquoi une vulnérabilité critique n’est pas toujours la priorité la plus urgente, comment le correctif lui-même peut créer un risque opérationnel et comment de petites faiblesses peuvent se combiner pour former des chemins d’attaque majeurs.
Pourquoi votre CISO n’a-t-il pas corrigé votre vulnérabilité critique?
La réponse facile : il ne comprend pas la technique, il ne mesure pas la gravité de la situation ou il préfère protéger son budget. Et, soyons honnêtes, c’est parfois exactement ce qui se passe.
Mais après près de 30 ans en cybersécurité — notamment dans les secteurs de la finance, des télécommunications et des médias — j’ai appris que la réalité est souvent plus complexe. J’ai occupé des rôles où j’avais le budget, l’autorité et des équipes compétentes. Malgré cela, certaines vulnérabilités critiques sont restées ouvertes. Quelques décisions étaient raisonnables. D’autres, avec le recul, étaient des erreurs.
À travers des situations réelles anonymisées, je présenterai les décisions qui se cachent derrière un rapport de vulnérabilité : un score critique dans un contexte où l’exposition réelle est limitée, un correctif susceptible de provoquer un incident opérationnel majeur, ou encore plusieurs faiblesses apparemment mineures qui, une fois combinées, créent un chemin d’attaque redoutable.
Éric Hébert œuvre en cybersécurité depuis 1994. Ancien CISO de Québecor, du Fonds de solidarité FTQ et du Groupe Pages Jaunes, il a dirigé d’importantes équipes et transformations en sécurité. Fondateur de Sandstorm Cyber, il conseille aujourd’hui des dirigeants en stratégie, gouvernance et gestion des risques. Conférencier, mentor, CISSP et CISM, il partage une vision pragmatique nourrie autant par ses réussites que par les décisions qu’il prendrait autrement aujourd’hui.