https://cyriskintel.com/ Conseil, Édition et Formations en GRC Cyber fr-ca https://cyriskintel.com/2025/04/02/ai-security-threats-controls-and-life-cycle/https://cyriskintel.com/2025/04/02/ai-security-threats-controls-and-life-cycle/Wed, 02 Apr 2025 12:00:00 +0000Temporary mapping. From OWASP GenAI Security Project and NIST AI Risk Management Framework. https://cyriskintel.com/2025/04/02/typologie-des-intelligences-artificielles/https://cyriskintel.com/2025/04/02/typologie-des-intelligences-artificielles/Wed, 02 Apr 2025 12:00:00 +0000Pour éviter les confusions fréquentes de la littérature grand public, voici un diagramme avec plusieurs vues différentes de ce qu'est une intelligence artificielle, en distinguant, au centre, les modes d'apprentissage, des autres typologies et des usages qui en sont faits. https://cyriskintel.com/2025/03/12/gerer-un-cadre-documentaire-de-cybersecurite/https://cyriskintel.com/2025/03/12/gerer-un-cadre-documentaire-de-cybersecurite/Wed, 12 Mar 2025 12:00:00 +0000Un cadre documentaire comprend une taxonomie (comment on nomme et on référence les documents) et sa structure basée sur la typologie des documents, leur portée et la nature des obligations éventuellement contenues. La taxonomie dénombre une charte d'entreprise, une politique générale (ou politique… https://cyriskintel.com/2025/02/15/dmaic-de-six-sigma-pour-la-grc-ti-et-cyber/https://cyriskintel.com/2025/02/15/dmaic-de-six-sigma-pour-la-grc-ti-et-cyber/Sat, 15 Feb 2025 12:00:00 +0000Voici une vue générale de l'application de la méthodologie Lean Six Sigma aux activités de la GRC. L'optimisation des processus de sécurité est une priorité et il est utile de définir pour formaliser une démarche de Cyber Lean Management (CLM). Voici quelques articles pour une mise en bouche… https://cyriskintel.com/2025/02/15/mefiez-vous-des-injonctions-issues-de-bonnes-pratiques/https://cyriskintel.com/2025/02/15/mefiez-vous-des-injonctions-issues-de-bonnes-pratiques/Sat, 15 Feb 2025 12:00:00 +0000Méfiez vous des injonctions théoriques issues des « bonnes pratiques » ! Il est bon de lire beaucoup sur les sujets qui nous passionnent, mais il est encore plus important de savoir faire le tri lorsqu'il vient le moment de mettre la théorie en pratique. Un des exemples fréquemment rencontrés dans… https://cyriskintel.com/2025/01/20/modelisation-simplifiee-des-attaques/https://cyriskintel.com/2025/01/20/modelisation-simplifiee-des-attaques/Mon, 20 Jan 2025 12:00:00 +0000Certaines circonstances nous obligent à simplifier notre modélisation des attaques tout en désirant exploiter le référentiel de MITRE Att&ck. Par manque de temps, par souci opérationnel, on ne peut descendre au niveau des techniques, mais il nous est toujours possible de rester au niveau des… https://cyriskintel.com/2024/12/01/attaques-par-drive-by-waterhole/https://cyriskintel.com/2024/12/01/attaques-par-drive-by-waterhole/Sun, 01 Dec 2024 12:00:00 +0000Une application de notre méthode de modélisation pour les attaques par Drive by ou Water hole. https://cyriskintel.com/2024/11/30/modelisation-des-menaces-avec-notre-modele-stride-cx/https://cyriskintel.com/2024/11/30/modelisation-des-menaces-avec-notre-modele-stride-cx/Sat, 30 Nov 2024 12:00:00 +0000STRIDE CX (en ajoutant le contournement des défenses et l'exécution de code arbitraire) est une évolution du modèle de Microsoft STRIDE fusionné avec les impacts techniques de MITRE CWE et CWSS : Usurpation d'identité (S) Assume identity ( S poofing) menace l' identification et l' authentification… https://cyriskintel.com/2024/11/10/la-famille-ou-ecosysteme-des-normes-iso-27xxx/https://cyriskintel.com/2024/11/10/la-famille-ou-ecosysteme-des-normes-iso-27xxx/Sun, 10 Nov 2024 12:00:00 +0000Une prise d'image de quelques unes des publications appartenant à l'écosystème ISO 27001 (sécurité de l'information, cybersécurité et protection de la vie privée. En bleu les normes non certifiables, en rouge les exigences pouvant amener à la certification d'un organisme. https://cyriskintel.com/2024/10/10/nist-ssdf-1-1-sp800-218-cadre-pour-le-developpement-logiciel-securise/https://cyriskintel.com/2024/10/10/nist-ssdf-1-1-sp800-218-cadre-pour-le-developpement-logiciel-securise/Thu, 10 Oct 2024 12:00:00 +0000Voici un aperçu du guide du NIST SP800 218 qui décrit les objectifs pour encadrer le développement logiciel sécurisé en 4 étapes : Préparer l'organisation (PO) Protéger le logiciel (PS) Produire un logiciel bien sécurisé (PW) Réagir aux vulnérabilités résiduelles (RV) Je vous en recommande la… https://cyriskintel.com/2024/08/25/services-aws-et-fonctions-de-securite/https://cyriskintel.com/2024/08/25/services-aws-et-fonctions-de-securite/Sun, 25 Aug 2024 12:00:00 +0000Voici une synthèse des services AWS correspondant aux fonctions de sécurité (CSF 2.0) avec les suggestions de réponse aux menaces type (CWSS). Le cadre CWSS propose des menaces type plus granulaires que Microsoft STRIDE. Ces menaces conviennent à la plupart des cas de figure. Les fonctions de… https://cyriskintel.com/2024/07/07/essai-de-ciso-assistant-comme-solution-grc/https://cyriskintel.com/2024/07/07/essai-de-ciso-assistant-comme-solution-grc/Sun, 07 Jul 2024 12:00:00 +0000C'est le premier essai de la série sur les solutions GRC. Les scores sont obtenus après vérification de 68 critères loin d'être exhaustifs. Ils correspondent à notre vision de ce que devrait être une solution GRC complète. Nous regardons de près ce que les modules réalisent, avec en filigrane la… https://cyriskintel.com/2024/07/05/choix-dune-solution-grc/https://cyriskintel.com/2024/07/05/choix-dune-solution-grc/Fri, 05 Jul 2024 12:00:00 +0000Pour contribuer à l'abandon des feuilles Excel pour gérer les activités de GRC, nous allons proposer un certain nombre d'essais et d'évaluations de solutions du marché (non Étatsunien) avec les critères d'évaluation ci dessous. 🖐 Nous déconseillons les futurs acheteurs de se fier aveuglément aux… https://cyriskintel.com/2024/07/05/panorama-des-solutions-de-grc-hors-etats-unis/https://cyriskintel.com/2024/07/05/panorama-des-solutions-de-grc-hors-etats-unis/Fri, 05 Jul 2024 12:00:00 +0000Nouvelle tentative d'inventaire des solutions GRC mais cette fois hors États Unis ... on peut maintenant voir plus clairement "le bosquet derrière le grand arbre". : ) La liste sera mise à jour avec vos suggestions et au fil de mes recherches à venir. https://cyriskintel.com/2024/06/07/cadre-nist-sur-la-gestion-des-risques-de-lia-en-9-diapos/https://cyriskintel.com/2024/06/07/cadre-nist-sur-la-gestion-des-risques-de-lia-en-9-diapos/Fri, 07 Jun 2024 12:00:00 +0000Vous pouvez télécharger ce résumé ici : /medias/2024/06/ISRI Cadre NIST de gestion des risques de lIA.pdf Ou vous pouvez consulter l'article publié sur mon profil Linkedn. https://cyriskintel.com/2024/05/22/exemple-de-quantification-du-risque-dhameconnage/https://cyriskintel.com/2024/05/22/exemple-de-quantification-du-risque-dhameconnage/Wed, 22 May 2024 12:00:00 +0000Dans l'exemple ci dessous, certains statistiques sont réelles, d'autres arbitraires. Chaque entreprise mesurant le niveau de vulnérabilité aux campagnes d'hameçonnage par des tests réguliers doivent disposer de leurs propres statistiques plus pertinentes. Par ailleurs, nous avons décidé de… https://cyriskintel.com/2024/05/13/comment-evaluer-des-mesures-de-controle-du-risque/https://cyriskintel.com/2024/05/13/comment-evaluer-des-mesures-de-controle-du-risque/Mon, 13 May 2024 12:00:00 +0000C'est un sujet tellement vaste que je ne pense pas qu'il puisse être réduit à un seul article, mais comme il est au cœur d'une analyse de risque, il est impératif d'en parler un peu et parfois contribuer à démystifier ce sujet. Lorsqu'on analyse des risques, notamment les risques résiduels, la… https://cyriskintel.com/2024/05/13/lestimation-des-probabilites-lors-dune-evaluation-des-risques/https://cyriskintel.com/2024/05/13/lestimation-des-probabilites-lors-dune-evaluation-des-risques/Mon, 13 May 2024 12:00:00 +0000L'évaluation des risques se fait sur deux facteurs : la vraisemblance ou la probabilité d'occurrence d'un événement (généralement adverse) et la magnitude d'impact associé à celui ci. Le terme vraisemblance est souvent utilisé pour estimer qualitativement les événements, c'est à dire en utilisant… https://cyriskintel.com/2024/03/09/quantification-des-risques/https://cyriskintel.com/2024/03/09/quantification-des-risques/Sat, 09 Mar 2024 12:00:00 +0000Voici un sujet qui est particulièrement à la mode ici, au Québec, notamment l'utilisation de la méthode FAIR qui mérite une page dédiée. Je recommande d'ailleurs la lecture de l'ouvrage de jack Jones qui a créé la méthode pour quantifier le risque cyber (la nouvelle version de son livre est… https://cyriskintel.com/2024/03/03/quest-ce-quune-analyse-de-risque/https://cyriskintel.com/2024/03/03/quest-ce-quune-analyse-de-risque/Sun, 03 Mar 2024 12:00:00 +0000Je suppose que si vous avez atterri sur cette page, c'est que vous savez ou pensez savoir ce qu'est une analyse de risque parce que vous en avez réalisé entre plusieurs et beaucoup. Probablement des analyses qualitatives, qui sont prépondérantes ou bien semi quantitatives (ou hybrides), avec les…