Transcription

• Paul Such

  La prestation principale qu'on vendait à ce moment-là, c'était du test d'intrusion. Ça a l'avantage d'être assez démonstratif. On peut dire en fait, on va vous faire voir ce que quelqu'un de malveillant, ce que quelqu'un qui voudrait s'intéresser à votre société est capable de faire. Et donc c'est vite démonstratif. À partir du moment où on arrive à faire voir qu'on a accès à des choses auxquelles on ne devrait pas avoir accès, les gens en donnent vite de l'attention.

• Bryan Umana

  Est-ce que l'IA change vraiment la cybersécurité ? Ou est-ce qu'elle accélère, entre guillemets, simplement des attaques qui existaient déjà ?

• Paul Such

  Le cliché. Vraiment, du hacker qui a piraté je ne sais quelle société et puis qui est tellement bon qu'on l'embauche derrière, ça, dans la vraie vie, ça n'existe pas. Parce qu'aujourd'hui, pour travailler dans ce domaine-là, et j'ai la chance de pouvoir travailler dans ce domaine-là, de vivre de ma passion, il faut un casier judiciaire vierge. Il y a un chiffre qui est fou, c'est le temps moyen que met une société en Suisse pour se rendre compte qu'elle a été piratée. Suivant les sources, on est toujours autour de 200 jours. 200 jours pour qu'une société se rende compte qu'elle a été piratée.

• Bryan Umana

  Salut les amis et bienvenue sur mon podcast. Dans les épisodes, j'échange librement avec des entrepreneurs. ou des experts passionnés sur des thèmes barrés comme le sport, l'éducation et la santé. Je suis Bryan Umana, associé gérant de l'entreprise wilight telecoms, spécialiste en infrastructure informatique et téléphonie, COO et associé de la startup SolarSplit, une plateforme qui veut démocratiser l'investissement dans l'énergie solaire, enthousiaste de sport et de développement personnel. Pourquoi ce podcast ? Pour apprendre, être inspiré. et partager tout ça avec toi. Dans cet épisode, j'échange avec Paul Such, hacker éthique, entrepreneur et CEO de Swiss Post Cyber Security. Paul a créé SCRT en 2002, Hack Knowledge en 2016, a été à l'origine d'InsomniHack, puis a accompagné l'évolution de sa dernière société jusqu'à Swiss Post Cyber Security. Avec Paul, on a parlé de comment il est tombé dans la cybersécurité, de la création de ses différentes entreprises, ce que l'IA change vraiment dans les attaques cyber, de deepfake, de phishing, de social engineering, des erreurs fréquentes des PME suisses... de bons réflexes à avoir et de bien d'autres sujets. Avant de te laisser écouter la conversation, je tiens à remercier Infomaniak qui est une entreprise suisse de cloud et d'outils collaboratifs qui soutient cet épisode. Concrètement, elle se positionne comme une alternative européenne au GAFAM. Final. Finalement, pour m'aider à grandir et à continuer, je te demande une seule chose, c'est de t'abonner à la plateforme de podcast sur laquelle tu l'écoutes, de laisser ta meilleure note possible, c'est-à-dire 5 étoiles, et de commenter. C'est ce qui fait grandir le podcast et qui me permet d'inviter plus de personnes. Je suis aussi sur Instagram, et tu trouveras toutes les références citées durant l'épisode sur le site internet du podcast. Bienvenue dans mon podcast, et bonne écoute ! Paul, tu es souvent présenté comme un hacker éthique, mais aussi comme un entrepreneur. Tu as créé SCRT en 2002, Hack Knowledge en 2016, tu as été à l'origine d'InsomniHack et aujourd'hui tu diriges Swiss Post Cyber Security. Avant qu'on parle d'IA, de Patriot Act, de PME, de la Poste, À quel moment est-ce que tu as compris que la cybersécurité allait devenir un sujet central pour toute l'économie suisse, ou l'économie de manière générale ?

• Paul Such

  Je crois que la cybersécurité est devenue un sujet à la mode, on va dire. Je ne me rappelle pas précisément, mais je dirais... Autour de partir de 2010, par là, au tout début, moi je suis tombé dedans quand j'étais petit, c'est une passion pour moi la cybersécurité. Et je me rappelle qu'au tout début, au tout début de la SCRT, ou même sur mon expérience précédente, il fallait expliquer pourquoi c'était important, il fallait convaincre les gens que ça avait un intérêt, que ça avait du sens de faire un test d'intrusion, d'investir dans la cybersécurité. Puis c'est quelque chose qui a vraiment changé petit à petit, et la hype de la cybersécurité, j'ai l'impression que ça a commencé à démarrer À partir de 2010-2012, avec les premiers vers qui commençaient à se propager, avec les conséquences où les sociétés voyaient que si on n'investissait pas dans la cybersécurité, ça pouvait être ennuyeux.

• Bryan Umana

  Comment est-ce qu'on tombe dedans quand on est petit ?

• Paul Such

  C'est une bonne question. En fait, mon premier ordinateur, c'était un Amstrad 464 à cassette et monochrome. Ça date un petit peu. Ça date un petit peu, ça va, je n'y vais pas. Et j'ai, comme tous les enfants, commencé à jouer sur cet ordinateur. Puis ce n'était pas ce qui m'intéressait le plus en fait. Ce qui m'intéressait, c'était de regarder comment je pouvais contourner certaines des restrictions qu'il y avait sur les jeux. Peut-être pas le dire à l'antenne, mais peut-être pas. pour ne pas les payer pour certains ou simplement pour se rajouter des vies sur les jeux en fait et puis c'est ce qu'on appelait du hacking mais avec un terme différent en fait à l'époque j'ai commencé à bidouiller en fait sur cet ordinateur et puis de fil en aiguille voilà c'est un thème qui

• Bryan Umana

  m'a intéressé ok sympa donc tu piratais différents jeux Merci.

• Paul Such

  Alors pour moi, en fait, ce n'était pas du tout un but de revente ou quoi que ce soit, mais le but principal, c'était de pouvoir me rajouter des vies ou de pouvoir accéder à des parties cachées ou ce type de choses-là.

• Bryan Umana

  Oui, ok.

• Paul Such

  Sur l'Amstrad, et puis ensuite sur un Atari, et puis sur Amiga, et puis voilà.

• Bryan Umana

  Ok. Peut-être avant qu'on plonge et qu'on poursuive l'épisode, pour les personnes qui ne te connaîtraient pas, qui es-tu, Paul ?

• Paul Such

  Je suis un ingénieur dans le domaine de la cybersécurité, devenu entrepreneur plus ou moins par la force des choses. J'ai créé une première société quand je faisais mes études, qui m'a permis de gagner un petit peu d'argent et de travailler déjà dans ce domaine. Je faisais, c'était déjà avant les années 2000, les premiers tests d'intrusion en fait. Et ensuite j'ai créé une deuxième société qui s'appelle SCRT, qui aujourd'hui est devenue Orange Cyber Défense en fait, en Suisse. Qui a été racheté par Orange Cyber Défense. Et puis une troisième société aujourd'hui qui s'appelait Hack Knowledge et qui est devenue Swiss Post Cyber Sécurité. Donc devenu entrepreneur par la force des choses, mais passionné par la cyber sécurité.

• Bryan Umana

  Donc tu as créé des boîtes, tu en as vendu. Tu fondes SCRT en 2002. Et tu dis que la hype de la sécurité, elle est arrivée en 2010-2012.

• Paul Such

  Plus tard en tout cas, oui.

• Bryan Umana

  Voilà, donc c'est quand même, disons, 2012, ça fait quand même 10 ans après. En plus de ça, tu l'as dit, bon à moi tu me l'as dit en off avant, mais ta première boîte tu l'as créée en 96, dans la sécurité, dans la cyber sécurité. Donc là on est même 16 ans plus tôt que cette nouvelle tendance. À cette époque, quand on crée une boîte, tu dois quand même trouver un product market fit. Sans ça, les clients potentiellement ne comprennent pas. Donc si tu es trop tôt, ça peut aussi être problématique si tu n'as pas suffisamment de cash typiquement. Donc en 2002, qu'est-ce qui se passe ? Qu'est-ce que tu dis aux dirigeants ? Est-ce qu'ils comprennent déjà le risque ? Comment ça se passe ?

• Paul Such

  Il y a une grosse... part, il y a beaucoup d'évangélisation à faire à ce moment-là pour expliquer pourquoi c'est important et quel est le danger de ne pas s'intéresser à la cybersécurité. La prestation principale qu'on vendait à ce moment-là, c'était du test d'intrusion. Ça a l'avantage d'être assez démonstratif. On peut dire on va vous faire voir ce que quelqu'un de malveillant, ce qu'un employé malveillant, ce que quelqu'un qui voudrait s'intéresser à votre société est capable de faire. C'est vite démonstratif. À partir du moment où on arrive à faire voir Qu'on a accès à des choses auxquelles on ne devrait pas avoir accès, qu'on peut modifier certains systèmes, qu'on peut faire des choses pas prévues, les gens donnent vite de l'attention. Par contre, c'est vrai que les premiers rendez-vous, expliquer pourquoi c'est important, c'est beaucoup plus difficile que ce que ça l'est aujourd'hui.

• Bryan Umana

  Donc ouais, en fait c'est très concret finalement. C'est pragmatique. Si tu montres à un boss, une boss d'une entreprise que tu as réussi à entrer dans son système, que tu as réussi à obtenir des informations confidentielles de cette entreprise en question, je pense qu'on comprend assez rapidement qu'il y a un enjeu.

• Paul Such

  Alors par contre, je n'ai jamais fait ça et c'est quelque chose qu'on n'a jamais voulu faire, en fait de faire un test d'intrusion. non mandatée en fait, ça c'est complètement illégal donc il y a quand même une phase au départ où il faut convaincre la société que ça a un intérêt après on peut vendre un proof of concept on peut vendre une toute petite mission pour démontrer ce qu'il est possible mais je sais qu'à l'époque certains concurrents en tout cas arrivaient directement en rendez-vous en disant voilà tout ce qu'on a trouvé sur vous ça c'est quelque chose qu'on a jamais voulu faire parce que c'était illégal en fait tout simplement donc ça on n'a pas fait, j'ai jamais fait en tout cas

• Bryan Umana

  En tout cas, je me dis que 96-2002, c'est très tôt.

• Paul Such

  J'avais la chance, la toute première société, c'est une société que j'avais créée à Barcelone en même temps que j'étais étudiant, qui permettait de travailler en parallèle de mes études, c'était de l'argent de poche en fait. Donc je n'avais pas d'enjeu, si je faisais quelques missions par an, ça m'allait très bien, c'était de l'argent de poche. La première société SCRT, là j'avais besoin d'argent quand même pour vivre, mais je sortais des études, j'avais très peu de besoins, donc finalement ça s'est fait assez naturellement. Du moment que je couvrais mes besoins qui étaient assez limités, ça allait bien. Et puis petit à petit, la demande est venue, j'ai pu embaucher une personne, deux personnes, puis la société a grossi petit à petit.

• Bryan Umana

  Donc quel est le moment, le point de bascule ? Donc par rapport au volume, par rapport aux engagements, typiquement quand est-ce que tu as engagé la première personne ?

• Paul Such

  Quand je n'arrivais plus à livrer tout tout seul en fait. Donc assez naturellement en fait, quand ce n'est plus possible de tout faire tout seul, j'ai commencé à embaucher les premières personnes. Je n'ai pas toujours tout fait juste d'ailleurs sur les embauches, ça s'apprend d'embaucher les bonnes personnes. Mais ça s'est fait assez naturellement en fait.

• Bryan Umana

  En termes d'années, tu te souviens plus ou moins ?

• Paul Such

  Assez vite. Honnêtement, je ne me rappelle pas précisément, mais je dirais déjà 2003-2004.

• Bryan Umana

  Donc c'est quand même un marché... qui était en plein essor dans les débuts des années 2000.

• Paul Such

  Oui, après, à ce moment-là, je faisais tout ce que je pouvais faire, tout ce que je pouvais facturer pour pouvoir vivre. C'est quoi,

• Bryan Umana

  c'est de l'IT de manière générale ? Non,

• Paul Such

  il y avait toujours une connotation de sécurité, mais il n'y avait pas... que du test d'intrusion. On a fait quelques missions de conseil, on a fait quelques missions de tests de montée en charge par exemple qui n'étaient pas directement de la cybersécurité, même si c'est intéressant de voir si son infrastructure est capable de tenir la charge face à un déni de service par exemple. Voilà, c'est le type de mission qu'après on faisait moins parce qu'on en avait moins besoin en fait. Mais je n'étais pas très regardant sur le type de mission.

• Bryan Umana

  Et donc tu l'as dit, je l'ai redit, tu as vécu deux exits, SCRT puis Hack Knowledge. Qu'est-ce que tu as appris de SCRT que tu as ensuite appliqué ensuite chez Hack Knowledge, que ce soit en termes de création d'entreprise par exemple, parce que quand tu as créé SCRT en 2002, tu étais très jeune aussi, pas le même bagage financièrement. pas les mêmes moyens non plus, que ce soit en termes de vente ou même toi, qu'est-ce que tu as appris de toi à travers ce premier exit ?

• Paul Such

  Il y a pas mal de choses que j'ai appris au fur et à mesure sur le tas avec SCRT. Peut-être la première, c'est que c'est ultra important de garder du temps pour soi. Quand on est jeune entrepreneur, au départ, on travaille à 200% pour sa société et souvent, on n'a pas le choix, il faut le faire. Par contre, avec le recul, je crois qu'on est beaucoup plus efficace, beaucoup plus productif si on garde du temps pour soi, pour du sport, pour des loisirs, pour sa famille, pour d'autres choses. Chacun choisira comment il veut consommer son temps, mais ça, c'est quelque chose qu'il m'a fallu un petit moment pour comprendre et pour apprendre. Et puis peut-être le deuxième point le plus important, c'est de bien s'entourer, en fait. C'est que j'ai eu la chance avec SCRT de m'entourer de personnes incroyables, mais j'ai mis du temps. temps à aller trouver ces personnes. Et c'est quelque chose où je suis allé beaucoup plus vite sur Hack Knowledge, en sachant plus facilement le type de profil qu'il me fallait, à quel poste, et j'ai pu beaucoup plus vite construire un middle management efficace, ce qui est ultra important pour pouvoir aller vite et avoir du temps, justement, pour les activités dont je parlais précédemment.

• Bryan Umana

  Après, je pensais aussi de... Tu étais dans une autre phase quand tu créais Agnoledge, tu as un réseau aussi qui est différent, donc un potentiel, tu as accès à d'autres ressources que tu n'avais pas chez SCRT, en tout cas au début. Comme tu l'as dit, c'est finalement l'expérience aussi qui fait que, de savoir que parfois il faut payer un peu plus cher une personne pour s'assurer d'avoir la bonne personne. Il y a un élément dont je voulais parler avec toi, parce que justement tu as dit qu'avec le recul, il faut prendre du temps pour soi, peu importe la façon, que ce soit le sport, la famille ou autre. Mais ça c'est justement un sujet qui m'interroge beaucoup, parce que comme tu sais, quand on voit, on peut te prendre toi, aujourd'hui, tu me l'as dit avant, 5-6 heures de sport par semaine. Tu prends peut-être du temps aussi avec ta famille et autres. Tu agis différemment qu'au début. Par contre, si on prend le pôle justement de 2002, c'était, comme tu as dit, 200%, tête dans le guidon à fond parce qu'il fallait aussi développer. Qu'est-ce que tu as dû sacrifier pour SCRT, par exemple ?

• Paul Such

  J'ai effectivement, au tout début de SCRT, c'était... Ma femme travaillait déjà avec moi à ce moment-là, alors pas en tant qu'employée, mais c'était elle qui s'occupait de toute la finance, donc elle faisait les salaires, elle faisait la compta. Donc on était à 200% dans la journée et même le week-end et le soir où on devait gérer les salaires et la compta, c'est quelque chose qu'on peut faire un certain temps au début, mais qu'on ne peut pas tenir sur la distance, surtout à partir du moment où on commence à avoir des enfants, on s'use à faire ça. C'est possible au début, il faut le faire même au début quand on n'a pas le choix. Mais si on a la chance de pouvoir faire différemment, je crois qu'on est quand même plus efficace sur les points où on doit vraiment être attentif, où on doit vraiment prendre un peu de recul, si on n'est pas à 200%.

• Bryan Umana

  Et donc le sport, tu me disais, à cette période-là, alors que...

• Paul Such

  Les premières années, c'était zéro. Ouais, zéro. C'était zéro. Et c'est quelque chose que je me suis plus ou moins imposé, en fait, au cours du temps, parce que je me rends compte que si j'en fais... pas efficace et puis ça ne me réussit pas en fait, tout simplement.

• Bryan Umana

  Il y a d'autres... Donc, à refaire, tu t'imposerais quand même de faire ce sport ?

• Paul Such

  Je ne sais pas, parce que les deux expériences sont différentes. Dans le premier cas, j'avais une pression qui était différente, dans le sens que j'avais moins de besoins. Je n'avais pas d'hypothèque, je n'avais pas de maison, j'avais des besoins très limités. Aujourd'hui, j'ai une famille, j'ai des besoins qui sont un petit peu différents. Dans le premier cas, je n'avais aucune économie, donc il fallait de toute façon que je gagne de quoi vivre. Dans le deuxième cas, j'avais fait un exit avant avec SCRT, donc c'est difficile de comparer les deux. Est-ce que je ferais différemment ? Idéalement oui. Est-ce que je pourrais faire différemment si j'étais dans la même situation ? Probablement pas.

• Bryan Umana

  Oui, mais c'est en fait, comme je te dis, c'est un sujet que je trouve très intéressant. Tu vois au final on peut faire un parallèle avec le sport donc toi qui fais beaucoup de sport d'endurance tu le sais très bien aujourd'hui tu t'entraînes 5-6 heures par semaine si tu passais à je pense 12h30-3h à mon avis tu maintiendrais ton niveau tu ne ferais pas des meilleures performances mais je pense que tu maintiendrais pendant un certain temps et après peut-être gentiment tu perdrais un petit peu si de temps en temps tu ne mets pas un peu plus de volume Pour arriver à ce stade de maintenance, tu dois avoir effectué plus de volume pendant un certain temps. Donc là, le parallèle, c'est pour développer une boîte, en fait, il faut investir beaucoup de temps. Et c'est que lorsqu'on arrive à un certain stade, et ce stade, il dépend de plusieurs facteurs et des différents domaines d'activité aussi, potentiellement, c'est là où le dirigeant de l'entreprise Il peut peut-être justement sortir un peu plus la tête du guidon parce qu'il a créé ce middle management, parce qu'il a peut-être des commerciaux, parce que ci, parce que ça. Et là justement, commencer à pouvoir faire d'autres choses que travailler de lundi à dimanche.

• Paul Such

  C'est comme un joueur un peu plus âgé de n'importe quel sport, en fait il apprend à mieux se placer, il anticipe mieux. Et finalement, il fait moins d'efforts pour un résultat qui est souvent meilleur. C'est peut-être un peu ça en fait aussi. Peut-être aussi le privilège de vieillir d'ailleurs.

• Bryan Umana

  Oui, c'est clair. On parle beaucoup de souveraineté digitale, mais quand il s'agit de passer à l'action, on ne sait pas toujours par où commencer. Heureusement, ici en Suisse, on a un acteur de confiance, Infomaniak. Avec ses outils comme le mail, le chat professionnel, le drive ou encore son IA Eurya, Infomaniak permet de garder ses données en Suisse avec un contrôle total. Moi, je les utilise depuis des années. Le respect de la vie privée, leur engagement social et leur engagement vis-à-vis de l'environnement, c'est exactement ce que je cherche. C'est pour ça que cette collaboration est une évidence. C'est vrai que ça me questionne pas mal, parce que, tu vois, tous ces livres de développement personnel, où, en fait, les personnes qui en parlent, on a l'impression que... Même si quand on lance une entreprise, une start-up, peu importe, qu'il faut en même temps que tu développes ta boîte, tu dois méditer 30 minutes par jour, tu dois faire une heure de sport, tu dois bien manger tout le temps, tu dois être avec ta famille. Et ça, ça amène tellement de pression. Si tu regardes ça et tu te dis « purée, moi je ne fais rien de tout ça » ou alors « je le fais, mais partiellement » . Et puis en plus, les nuits avec la petite, c'est complètement le bordel. Et tu vois, ça, c'est compliqué à gérer.

• Paul Such

  On en parlait tout à l'heure, mais j'ai essayé le Miracle Morning comme plein de gens. Et puis pour moi, c'était une connerie, ce Miracle Morning, ça ne marchait pas. Donc il faut faire ses essais et voir ce qui convient à chacun. Mais moi, j'étais foutu l'après-midi quand je faisais le Miracle Morning.

• Bryan Umana

  Par contre, c'est intéressant. C'est comme tu me disais, le Miracle Morning, en fait, il faut prendre le concept. Il faut du temps pour toi, pour soi. Et puis toi, ça a fonctionné moyen de te lever à 5h, parce que tu étais usé, fatigué en fin de journée. Et puis maintenant, si on parle un peu de la sécurité, si on entre un petit peu dans le vif du sujet, parce que j'ai quand même pas mal de questions à te poser à ce propos. On est en 2026, en juin. Cet épisode sortira en juillet 2026. L'IA et plutôt les LLM sont à nos dispositions depuis bientôt 4 ans maintenant. Elle évolue de manière drastique dans plusieurs secteurs, dont la cyber. Je vais parler des gros, des géants des États-Unis ou chinois. Ils ont développé aussi des modèles de cyber. J'avais vu OpenAI qui avait annoncé, je ne sais plus maintenant comment ils s'appellent, mais c'est avec leur modèle 5.5.

• Paul Such

  Il y a Mythos dont on parle beaucoup. Voilà,

• Bryan Umana

  exactement. Et donc, je me posais une question pour M. et Mme Tout-le-Monde aussi, les gens qui nous écoutent. Est-ce que l'IA change vraiment la cybersécurité ou est-ce qu'elle accélère, entre guillemets, simplement des attaques qui existaient déjà ?

• Paul Such

  Si je dois le résumer, ça accélère principalement des attaques qui existaient déjà. L'IA dans la cybersécurité, c'est quelque chose à la mode maintenant depuis pas mal. pas mal d'années. Il y a encore quelques années en arrière, c'était surtout un buzzword qui permettait de vendre. Et ce qu'on appelait le machine learning, l'IA, etc., c'était plus ou moins des bêtes statistiques en fait, des statistiques améliorées. Aujourd'hui, c'est vrai qu'il y a certaines attaques qui sont vraiment facilitées, amplifiées par l'IA. Et ce qu'on voit, c'est qu'on est dans un paradigme aujourd'hui où c'est IA versus IA en fait. Donc on utilise de l'intelligence artificielle pour l'attaque. Et pour la défense, pour identifier plus facilement certaines anomalies, certains dysfonctionnements. Par contre, force est de reconnaître que je crois qu'aujourd'hui, l'IA est quand même plus efficace en attaque qu'en défense. On a facilement des résultats vite pour rechercher des vulnérabilités, pour préparer des attaques de type phishing, pour créer tout ce qui est deepfake. Il y a tout un spectre d'attaques qui sont facilitées, amplifiées par l'utilisation de l'IA. Je ne crois pas que ça va s'améliorer.

• Bryan Umana

  Et justement, donc là tu cites les deepfakes, est-ce qu'il y a un fantasme qu'on imagine aujourd'hui dans ces différentes attaques ? Par exemple, le clonage de voix, tu sais, un appel ou autre ?

• Paul Such

  C'est pas un fantasme, c'est une réalité aujourd'hui. il y a des tas d'attaques récentes et documentées, où il y a des fausses voix, fausses vidéos. Il y a eu, il n'y a pas longtemps, il y a quelques mois, un cas d'un CFO en Asie qui s'est retrouvé dans une conférence, je crois qu'il y avait 10 ou 12 personnes dans la conférence, c'était le seul qui était vrai dans la conférence. Tout le reste, c'était du fake et ça s'est traduit par une escroquerie de plusieurs millions, en fait. Donc, ce n'est pas des scénarios de cinéma, ça existe, ça se fait relativement facilement, en fait.

• Bryan Umana

  Et donc, tu es le CFO que tu viens de mentionner. Comment tu fais ? Quel signe est-ce que tu peux essayer d'identifier pour te rendre compte qu'il y a un problème ? Parce que tu vois, on entend souvent... Si par exemple, là, aujourd'hui, je t'avais dit mon père est mon associé chez wilight Telecoms, imaginons mon père qui m'appelle. donc avec sa voix, en espagnol, et qui me dit écoute là faut absolument que tu m'envoies, c'est un peu cliché ce que je vais dire, c'est un peu ce qu'on entend, tu sais faut que tu m'envoies 5000 francs maintenant sur mon compte, blablabla. Disons que moi ça m'interrogerait énormément, mais donc... Là, la bonne façon d'agir, ce serait un petit message ou le rappeler juste derrière pour m'assurer qu'il a vraiment besoin, si en fait c'est lui qui m'a appelé.

• Paul Such

  En fait, il y a déjà une question de contexte. Dès qu'il y a une notion d'urgence, dès qu'il y a une notion d'argent, ça doit allumer une petite lumière et dire attention, danger. Et dans un cas comme ça, il faut vérifier l'information via le canal de communication habituel. Donc rappeler ton père sur son numéro de téléphone, dire mais c'est bizarre ce que tu m'as demandé. Et puis tu regardes si ça correspond ou pas. Et pour revenir au cas du CFO, malheureusement, de l'exemple dont on parlait tout à l'heure, souvent ça c'est la dernière étape d'une attaque qui a été largement préparée avant. Et c'est souvent trop tard en fait à ce moment-là. Ce type d'attaque, ça s'anticipe, ça se prépare en formant et en responsabilisant les employés en fait. Il n'y a pas de miracle. Et aujourd'hui, je crois qu'il y a beaucoup de sociétés qui font faux dans ce travail. de préparation en fait, de lutte contre le phishing, contre le social engineering, parce que ce que le font c'est des formations en ligne complètement inintéressantes, où on demande aux gens de suivre une formation qui est généralement ennuyeuse à mourir, et où simplement on valide que les gens ont suivi la formation, et ensuite c'est des tests de clics automatisés, où on mesure combien de personnes ont cliqué sur un lien qui se trouve dans un mail. Je crois qu'il y a moyen de faire beaucoup mieux en fait que ça, déjà en rendant la formation intéressante. En faisant en sorte que les gens puissent appliquer ça, y compris à la maison. Et puis quand on fait des tests de clics, quand on fait des tests de phishing, ça c'est un point qui est super important. Il faut mesurer le nombre de personnes qui ont fait faux, celles qui ont cliqué sur le lien, mais il faut surtout mesurer le nombre de personnes qui ont signalé l'attaque à la société. Ce qu'on veut en fait, c'est qu'une attaque de phishing ne passe pas inaperçue. Donc on veut mesurer combien de personnes se sont fait avoir, mais on veut aussi mesurer combien ont réalisé qu'il y avait eu l'attaque et combien préviennent la société. Parce qu'il y a un chiffre qui est fou, c'est le temps moyen que met une société en Suisse pour se rendre compte qu'elle a été piratée. Suivant les sources, on est toujours autour de 200 jours. 200 jours pour qu'une société se rende compte qu'elle a été piratée. C'est pas possible. Et quand on fait ce type de test, test de clic, test de social engineering sur une société, même si une société a été ultra bien entraînée, ultra bien formée, qui font des tests régulièrement, etc., on se rend compte que c'est très très très difficile. de tomber en dessous de 10%. C'est-à-dire qu'il y aura toujours un utilisateur sur 10, ou un peu moins, qui va tomber dans le piège. Pourquoi ? Parce qu'on est des êtres humains, puis que du coup on fait des erreurs, et puis parce qu'il y a toujours souvent, en tout cas, des nouveaux arrivants dans une société, et qui n'ont pas encore été formés. Donc ce qu'on veut, et c'est pour ça que c'est important, c'est mesurer le nombre de personnes qui font faux, mais aussi le nombre de personnes qui préviennent. Comme ça, s'il y en a un qui se trompe, potentiellement j'en ai 9 qui ont signalé l'attaque, qui fait que l'attaque ne passera pas inaperçue. qui fait qu'il ne faudra pas 200 jours pour se rendre compte qu'on a été attaqué.

• Bryan Umana

  On parlait des LLM. Tu l'as dit, aujourd'hui, l'IA accélère les différentes attaques. Mais est-ce qu'il y a des attaques qui peuvent être faites aujourd'hui grâce aux LLM qu'on ne pouvait pas faire il y a cinq ans ?

• Paul Such

  Oui. Presque toutes en fait. Aujourd'hui, on voit sur des plateformes de bug bounty, donc des types PSWehack ou bug bounty Switzerland, on voit que quand les nouveaux modèles de LLM sortent, le nombre d'attaques signalées augmente. Donc clairement, aujourd'hui, les hackers utilisent ce type d'outils pour automatiser notamment la recherche d'attaques. Donc on va pouvoir aller beaucoup plus vite dans la recherche d'anomalies pour pouvoir beaucoup plus facilement cibler en fait. cibler les attaques.

• Bryan Umana

  Ça me fait penser parce que tu parles de là on parle de hacker on parle de cyber sécurité en tant que hacker éthique

• Paul Such

  Est-ce que tu as déjà eu l'occasion de parler avec des hackers ? Je ne sais pas si c'est toujours d'actualité, j'aurais peut-être dû rechercher. J'ai entendu que c'est à Buenos Aires qu'il y avait, ou en Argentine. Une sorte de séminaire pour les hackers, un truc un peu...

• Bryan Umana

  Alors il y a des tas d'événements de sécurité comme Insomniac, mais à encore plus grande échelle, comme DEF CON par exemple aux Etats-Unis, qui est le plus gros rassemblement de hackers au monde, où là on retrouve de tout. Dans la salle il y a des... des hackers éthiques, des white hat hackers, il y a aussi des hackers malveillants, il y a des organisations criminelles, il y a des fédéraux, il y a absolument tout type de public qui est mélangé là. Par contre, le cliché vraiment du hacker qui a piraté je ne sais quelle société et puis qui est tellement bon qu'on l'embauche derrière, ça dans la vraie vie ça n'existe pas. Parce qu'aujourd'hui pour travailler dans ce domaine-là, et j'ai la chance de pouvoir travailler dans ce domaine-là, de vivre de ma passion, il faut un casier judiciaire vierge. et c'est quelque chose qu'on vérifie sur tous les employés et mes concurrents font la même chose aujourd'hui donc à partir du moment où on n'a pas un casier judiciaire vierge c'est terminé,

• Paul Such

  donc le jeu n'en vaut pas la chandelle par exemple chez Insomniac tu sais qu'il y a des criminels des hackers vous soupçonnez quoi exactement mais c'est

• Bryan Umana

  Dans toutes les conférences, c'est comme ça. Il y a des gens qui sont là pour apprendre. Après, qu'est-ce qu'ils vont faire de ce qu'ils ont appris ? On ne le sait pas forcément.

• Paul Such

  Oui, bien sûr. Et puis là, il y a aussi un fantasme de ce qu'on voit dans les films ou autre. Et ça, j'avais entendu, c'était assez intéressant. Au final, dans certains pays, peut-être qu'en Suisse, je n'en sais rien aussi s'il y a ce genre d'organisation qui sont de cette façon-là. Finalement, le hacker se lève le matin, il fait un bisou à sa femme et à son enfant, il part travailler et puis il a des chiffres à obtenir, tant de hacking par jour ou par mois ou peu importe. Ensuite, il rentre à la maison et puis voilà, c'était une journée normale pour lui de travail. Et alors qu'on imagine qu'un hacker, il est tout seul dans sa cave, pas du tout organisé à essayer de s'introduire dans certaines organisations.

• Bryan Umana

  Il y a deux choses dans ta question. Il y a le cliché du hacker qui se nourrit de pizza et qui porte un hoodie noir, qui vit dans le noir. Un masque. C'est un cliché. J'ai eu la chance de travailler avec des tas de hackers éthiques ultra brillants. Il y en a évidemment quelques-uns qui tombent dans ce cliché-là, mais ce n'est pas le cas de la majorité. Il y en a plein qui ont une vie complètement normale à côté. Et puis, par contre, là où il y a quelque chose qui est juste, c'est qu'aujourd'hui, il y a plein d'organisations criminelles qui gagnent plus d'argent, finalement, avec la criminalité informatique qu'avec les moyens traditionnels type prostitution, drogue, etc. Donc, c'est quelque chose qui s'est professionnalisé. Et c'est vrai que le type de hacker qu'on trouve aujourd'hui, le type d'attaque qu'on trouve aujourd'hui, c'est plus du tout les mêmes, en fait, que celles qu'on trouvait il y a 20 ans en arrière.

• Paul Such

  Donc, qu'est-ce qui a changé ?

• Bryan Umana

  Ce qui a changé, c'est qu'il y a 20 ans en arrière, 20 ans ou plus, je crois qu'un des premiers drivers, en tout cas pour le piratage, c'était le challenge technique. C'était plus une forme d'idéalisme. C'était quelqu'un qui voulait aller planter son drapeau et dire « j'ai réussi à rentrer sur le site de la NASA » , enfin n'importe quoi. Aujourd'hui, c'est moins vrai, en fait. Il y a eu une période après encore avec des... Je ne sais pas si on peut appeler ça idéaliste, mais des personnes qui avaient un message à faire passer, type Anonymous par exemple, aujourd'hui la majorité des piratages, la majorité des attaques qu'on voit, il y a une logique financière derrière, avec le ransomware, le crypto-locker, les crypto-lockers c'est des sociétés, c'est des organisations criminelles qui sont là pour gagner de l'argent en fait. Donc du coup c'est plus le même type d'attaque et ça cible plus non plus le même type de target en fait. Aujourd'hui n'importe qui... peut être la victime d'un ransomware ou d'un cryptolocker. Du moment que vous êtes prêt à payer pour récupérer vos datas, le fait de dire je ne suis pas une banque, peu importe, du moment que vous n'avez plus votre comptable, peut-être que ça vous intéresse de payer pour la récupérer.

• Paul Such

  C'est clair. Et au final, n'importe quelle entreprise, comme tu dis, peut être la cible de ces attaques-là ?

• Bryan Umana

  Oui, ça c'est une réalité aujourd'hui, c'est que ça peut vraiment cibler n'importe qui. Et je crois que le paradigme qui est le plus juste, en tout cas en 2026, c'est Assume Bridge. La question, ce n'est pas de savoir si une société va être piratée, mais quand. Et en fait, ce n'est pas du tout la même chose si on s'en rend compte au bout de quelques heures. que si on s'en rend compte au bout de 220 jours, comme je disais tout à l'heure. Si on s'en rend compte au bout de quelques heures, souvent, les conséquences de l'attaque, elles sont minimes. C'est un poste qui a été infecté, qu'on réinstalle, puis voilà, ça s'arrête là. Si on s'en rend compte au bout de 100 jours ou 200 jours, évidemment, ce n'est pas les mêmes conséquences. Donc, je crois qu'un des gros enjeux aujourd'hui, en 2026, c'est d'être prêt, en fait, et d'être capable de détecter l'attaque rapidement, de réagir rapidement, puis de savoir quoi faire, en fait. Ce n'est pas si évident que ça. Un exemple, par exemple, qui peut être intéressant, quand quelqu'un se rend compte que sa machine a été infectée par un ransomware ou un cryptolocker, souvent, son premier réflexe, en fait, c'est d'éteindre la machine, de la débrancher électriquement. Ce qui est une erreur, en fait, parce que quand on débranche électriquement la machine, on perd tout ce qu'il y a dans la RAM de la machine. Et c'est là, parfois, qu'on peut retrouver la clé qui a été utilisée pour chiffrer. Donc le bon réflexe, en fait, c'est d'isoler la machine du réseau, de couper le Wi-Fi, de débrancher le câble réseau, mais pas de débrancher électriquement la machine. Et ça, c'est quelque chose, c'est un exemple, mais c'est quelque chose qui doit être documenté, les personnes doivent savoir, et ça limite du coup les conséquences de l'attaque, par exemple.

• Paul Such

  Ouais. Et donc justement, tu dis en moyenne en Suisse 200 jours, 220 jours. Où on en est aujourd'hui ? La Suisse, est-ce qu'on est en avance ou en retard face aux risques, si on se compare avec nos pays voisins ?

• Bryan Umana

  Alors, je n'ai pas de stade précis honnêtement, mais on est dans la moyenne. Je ne crois pas qu'il y ait une différence flagrante entre la Suisse, l'Allemagne, la France ou le Luxembourg. Enfin, je ne crois pas qu'il y ait de différence flagrante. Il y a eu peut-être une petite prise de conscience ces dernières années. On était peut-être un petit peu naïf en Suisse à penser qu'on était moins intéressant, plus isolé ou plus caché que les autres, ce qui est complètement faux. On est une cible tout aussi intéressante, si ce n'est plus, que les autres. Il y a eu suffisamment de cas médiatisés ces dernières années pour démontrer que c'est bien le cas.

• Paul Such

  C'est vrai qu'intuitivement, je dirais qu'on est, comme tu dis, peut-être plus intéressant, étant donné qu'on connaît la place financière de la Suisse, les différentes entreprises fleurissantes. Si je suis à un cœur, je me dis que la Suisse, ça pourrait être pas mal d'aller toquer pour voir ce qu'il y a dedans. Oui,

• Bryan Umana

  puis on a les organisations internationales qui sont présentes aussi. Et puis factuellement, on sait que le coût d'un numéro de carte bancaire suisse sur le Dark Web, la valorisation en fait, est pas mal plus élevée que celle des autres pays. Je ne donnerai pas de chiffres parce que je dirais une bêtise. Je sais juste que c'est largement plus élevé en tout cas.

• Paul Such

  D'ailleurs, tu parles du Dark Web. Juste comme ça, pour info. Le dark web, ça se passe comment ? C'est vraiment un marché un peu, je ne sais pas, on y va. J'imagine les gens, s'ils veulent y aller, on arrive à y aller assez facilement. Que ce soit en posant des questions au LLM qu'on a l'habitude d'utiliser. Enfin voilà, et puis ensuite, quoi ? Tu peux vendre tout, n'importe quoi ?

• Bryan Umana

  Le dark web, c'est un terme qui fait peur, en fait. Le dark web, ça veut juste dire, en gros, ce qu'on ne trouve pas via l'Internet conventionnel et qui n'est pas indexé par Google. Donc, généralement, pour aller sur le dark web, il faut passer via un réseau type Tor, en fait. Il y a des outils aujourd'hui tout packagés qui permettent d'y aller, donc ce n'est pas compliqué, honnêtement, d'aller sur le dark web. Puis, qu'est-ce qu'on y trouve ? Généralement, ce qui n'est pas trop légal. Oui, c'est clair. Après, c'est quelque chose qui a... pendant longtemps été utilisée pour faire peur aux entreprises en disant mais rendez-vous compte si vos données se trouvent sur le dark web le problème c'est rendez-vous compte si vos données se retrouvent publiques,

• Paul Such

  pas forcément sur le dark web et d'ailleurs vous en tant qu'entreprise dans la sécurité le dark web Vous l'utilisez d'une certaine façon ?

• Bryan Umana

  En monitor, en fait, on a des outils qui nous permettent de surveiller l'apparition de mots-clés ou d'informations qu'on recherche sur le dark web. Ça nous permet de voir, par exemple, si on a une information qui se retrouve à cet endroit-là, c'est qu'elle a fuité et qu'il y a un problème. Après, c'est impossible d'être exhaustif, en fait, puisque par définition, le dark web, c'est ce qui n'est pas indexé par Google, c'est ce qui est caché. Donc, il n'y a aucune garantie d'être exhaustif et de pouvoir surveiller tout le dark web. Ça n'existe pas.

• Paul Such

  D'ailleurs, il y a un site, je n'ai plus le nom, peut-être que tu sors, ou peut-être qu'il y a plusieurs types de sites où tu entres ton adresse email, enfin une adresse email, et ça te sort s'il y a des éléments qui ont fuité, qui peuvent être trouvés.

• Bryan Umana

  Le plus connu et le plus intéressant et le seul que je peux recommander, du coup, c'est Have I Been Pwned. Voilà,

• Paul Such

  je crois que c'est celui-là.

• Bryan Umana

  Sur ce site-là, on a la possibilité de rentrer son adresse email et d'être prévenu s'il y a une fuite de données dans laquelle se retrouve cette adresse email. Ce qui est assez intéressant. Aujourd'hui, il y a plein de gestionnaires de mots de passe qui ont cette fonctionnalité intégrée et qui permet du coup aussi d'être averti quand son adresse e-mail ou son mot de passe a fuité. Intéressant. Là où il faut faire attention, c'est qu'il y a aussi plein de sites moins intéressants qui prétendent faire la même chose et qui vous demandent de saisir votre mot de passe et votre adresse e-mail pour être prévenu si jamais ça fuite. Encore une fois, éducation, il ne faut pas être idiot.

• Paul Such

  Mais par contre alors Disons, je tape mon mail dans haveibeenpound.org.

• Bryan Umana

  Honnêtement, je me rappelle.

• Paul Such

  On tape ça. De toute façon, je mettrai le lien dans les notes de l'épisode. Ensuite, si j'ai des éléments qui ont fuité, qu'est-ce que je peux faire ?

• Bryan Umana

  Pas grand-chose à part changer le mot de passe, en fait.

• Paul Such

  Juste ça.

• Bryan Umana

  Et ça démontre encore une fois l'intérêt d'avoir une hygiène numérique de base et de ne pas avoir le même mot de passe partout.

• Paul Such

  Oui.

• Bryan Umana

  Parce que si... 1, 2, 3, 4, ça marche pas. Déjà, non. Déjà d'avoir un mot de passe solide et de ne pas avoir le même partout. Et là, encore une fois, on parlait d'éduquer les utilisateurs, de responsabiliser les utilisateurs. Le problème des mots de passe, il n'y a qu'eux qui peuvent le résoudre. Donc, aux sociétés, de leur donner les bons outils, de leur donner l'information, la formation, mais après, c'est une éducation, c'est une responsabilisation des utilisateurs. Je crois qu'aujourd'hui, en 2026, on n'a pas le choix que d'avoir un gestionnaire de mots de passe. C'est la meilleure option aujourd'hui pour ne pas avoir le même mot de passe partout et pour arriver à s'en sortir. Il y a l'arrivée de passkey qui arrive, qui simplifie la chose. Aujourd'hui, il y a des tas de sites où on n'a plus besoin de taper un mot de passe. On va pouvoir s'authentifier avec son téléphone ou en utilisant Touch ID ou Face ID. Ça, c'est assez intéressant. Je ne rentre pas dans les détails techniques de comment ça marche.

• Paul Such

  Bien des clés aussi.

• Bryan Umana

  Ou des clés type YubiKey ou quelque chose comme ça. On a des solutions aujourd'hui pour améliorer cette problématique des mots de passe. de passe. Mais c'est une contrainte, c'est vrai que c'est beaucoup plus simple pour les utilisateurs de mettre Toto 1, 2, 3 partout.

• Paul Such

  C'est clair. C'est vrai qu'aujourd'hui, moi, au minimum, sans mon mobile, pour la partie double totification, ça c'est vraiment le minimum, mais effectivement, maintenant c'est une habitude, il faut juste se dire, c'est comme ça. Mais c'est de facto, je me connecte sur un truc, je vais me connecter sur mon gestionnaire de mot de passe. C'est le seul mot de passe que je connais. Puis ensuite, les autres, ils sont automatiques, standardisés, aléatoires. C'est notre nouvelle vie, c'est l'ère dans laquelle on vit.

• Bryan Umana

  Je peux comprendre que pour les utilisateurs, on est dans un climat assez anxiogène aujourd'hui pour la cybersécurité. Les médias cherchent avant tout à faire du sensationnel et à faire peur avec ce domaine-là. Puis on ne sait plus, les utilisateurs ne savent plus. quelles mesures protègent vraiment et lesquelles sont juste de la science-fiction. Par exemple, on peut entendre dire qu'il ne faut pas utiliser les réseaux Wi-Fi publics.

• Paul Such

  J'allais te poser cette question.

• Bryan Umana

  Par exemple. Ou qu'il faut avoir des mots de passe différents partout. Ou qu'il ne faut pas charger son téléphone n'importe où. Parce qu'on peut se faire hacker par le câble de charge du téléphone.

• Paul Such

  Ah c'est vrai ? Ça j'avais déjà fait.

• Bryan Umana

  Sauf qu'en termes de probabilité, dans ce que j'ai présenté là, il y a certaines choses où il faut vraiment le faire parce que le risque il est énorme et d'autres où honnêtement le risque il est assez limité. Pour revenir aux exemples que j'ai dit, brancher son téléphone sur un câble de charge et se faire siphonner ses données, ça a quasi aucune chance d'arriver sur un aéroport ou une gare en 2026. Oui c'est techniquement possible, mais la probabilité que ça arrive, ultra faible.

• Paul Such

  mais un cas de... Quand on parle de câble de charge, c'est quoi ? C'est ces petits USB qu'on peut trouver à un endroit et tu branches ton USB ou vraiment un câble d'alimentation ? Non,

• Bryan Umana

  je suis à l'aéroport et puis il y a une borne de charge à l'aéroport qui permet de charger mon téléphone en fait.

• Paul Such

  Via le câble d'alimentation ?

• Bryan Umana

  Via le câble ou via une prise, oui. Via un câble fourni par l'aéroport. Je dis l'aéroport, ça veut dire une gare.

• Paul Such

  Ah oui, ok. Donc le câble est quand même fourni, il est là. D'accord, ok.

• Bryan Umana

  Il y a des attaques qui existent, qui sont documentées, qui s'appellent le juice jacking. Juice ? Juice jacking, en fait. L'idée, c'est de fournir du courant pour siphonner les données. Mais ça, ça remonte à il y a quelques années. Aujourd'hui, ça fonctionne quasi plus, ce type d'attaque. Et pareil, le fait d'utiliser un réseau Wi-Fi public, le risque est ultra limité. Aujourd'hui, presque... Toutes les communications de nos téléphones sont chiffrées. Même si j'utilise un réseau Wi-Fi public, au pire, celui qui me fournit le réseau va voir quel type de site je consulte. Mais le contenu,

• Paul Such

  il est tout chiffré aujourd'hui. Donc le risque,

• Bryan Umana

  il est ultra faible, honnêtement. Par contre, d'avoir le même mot de passe partout, le risque est maximum. Donc là, là-dessus, les utilisateurs doivent travailler. Il y a un site qui est assez intéressant et que je recommande. Il était en tant que conférencier, d'ailleurs, dans les... Geneva, qui est Zurichac, qui a été organisé par Swiss Post Cyber Security. Le conférencier s'appelle Bob Lord et il a créé un site qui s'appelle Hacklore, H-A-C-K-L-O-R-E, où il parle de ce folklore, en fait, du hacking. Et où il débunque, en fait, ces différentes attaques, là où ça fait du sens, là où c'est quelque chose où il y a vraiment un risque pour les utilisateurs, et puis là où c'est juste pour faire peur, en fait, c'est du folklore.

• Paul Such

  Tu dis débunquer, on parle d'hymestifier. écoute on va directement passer parce que je voulais justement te poser la question ou te donner quelques situations du quotidien pour que tu me répondes par je sais pas vrai risque, faux risque ou bien mal compris étonné que tu as tu en as mentionné écoute je saisis la perche pour qu'on en parle le wifi public Merci. Moi, je pensais que c'était avéré, raison pour laquelle j'utilise un VPN quand je me connecte dans les réseaux hôtels, publics, etc. Pour toi, c'est un faux risque ?

• Bryan Umana

  Risque limité.

• Paul Such

  Risque limité.

• Bryan Umana

  Risque limité. En fait, ça va permettre à la personne qui fournit le réseau public potentiellement de voir qu'il y a une connexion vers Gmail, vers Infomaniak, vers whatever. Par contre, aujourd'hui, 99,9% des communications... de nos téléphones sont chiffrés. Donc aller intercepter la donnée, risque faible. Évidemment, il ne faut pas accepter n'importe quel certificat. Je suis sur un réseau Wi-Fi public et quand je me connecte sur un site dont j'ai l'habitude, il y a une erreur de certificat, là risque maximum. Mais ça, ce n'est pas lié au fait que j'utilise un réseau public. C'est lié au fait que j'accepte n'importe quel certificat. Ce n'est pas la même chose.

• Paul Such

  Et quand on parle de réseau public, on parle d'un réseau... Dans un aéroport, c'est fameux. Ou Starbucks, ou équivalent. Très bien. On a parlé de la partie j'utilise le mot de passe, mais par contre, quid d'une variation ? Donc un...

• Bryan Umana

  Oui, si j'ai une technique, c'est par exemple d'avoir un mot de passe type 22 chien noir, point d'exclamation. Et puis de rajouter quelque part dans le mot de passe la première lettre du site sur lequel on va se connecter.

• Paul Such

  Ah ouais,

• Bryan Umana

  ok. Pour Infomaniak, 22i-chien-noir.exclamation.

• Paul Such

  Ok.

• Bryan Umana

  Pour Facebook, 22f-chien-noir.exclamation. Ouais, c'est mieux que d'avoir exactement le même partout, mais c'est quand même vraiment mieux d'avoir un vrai mot de passe différent via un gestionnaire de mot de passe. Enfin vraiment, je crois qu'en 2026, c'est impossible de faire l'économie d'un gestionnaire de mot de passe.

• Paul Such

  La souveraineté digitale, ce n'est pas juste un concept vague, c'est un choix au quotidien. C'est pour ça que j'utilise des outils d'infomaniak depuis des années. Mail, agenda, drive, tout est hébergé en Suisse dans le respect de mes valeurs. Est-ce que tu recommandes certains gestionnaires plus que d'autres ? Oui,

• Bryan Umana

  alors je n'ai pas d'action particulière chez eux ou je n'en vends pas en particulier. Ce que je peux recommander, il y a Kipas qui fait le job. Kipas, c'est gratuit. Il y a Bitwarden qui fait aussi très bien le job. Il y a 1Password qui fait aussi bien le job. Et puis pour les utilisateurs iOS, le gestionnaire de mots de passe fourni par Apple fait aussi très bien le travail. Il a l'inconvénient de fonctionner que sur de l'iOS. Mais si vous êtes un Apple fanboy et que vous n'avez que du Apple, ça marche très bien.

• Paul Such

  Ok. Tu parles d'Apple. Alors juste avant que je te pose cette question-là, un SecureSafe, tu les connais ?

• Bryan Umana

  Non, je n'ai pas testé honnêtement. Je ne peux pas dire.

• Paul Such

  Bien sûr.

• Bryan Umana

  Mais il y a plein de gestionnaires de mots de passe très bien. Le problème, c'est de l'utiliser déjà, et puis surtout de ne pas choisir un qui a eu des problèmes. Par exemple, Dashlane, il y a quelques années, il y a eu plusieurs leaks, donc celui-là, évidemment qu'on ne peut pas le recommander.

• Paul Such

  Et donc, est-ce que ça fait qu'ils sont morts lorsqu'ils leakent comme ça ?

• Bryan Umana

  Honnêtement, je n'ai pas suivi. Je ne crois pas que la société soit morte, en tout cas, elle a survécu quelques temps. Je crois que c'est de mémoire. C'est le code source, je crois, de Dashlane qui avait leaké. Ce n'est pas pour ça que tous les mots de passe des utilisateurs avaient leaké. Il faut regarder le contexte et ce qui s'est passé exactement. Comme je ne me rappelle plus ou que je ne sais pas, je ne peux pas répondre là-dessus.

• Paul Such

  J'ai un Mac, donc je suis tranquille.

• Bryan Umana

  Ben non. Ben non, ça c'est un vieux mythe.

• Paul Such

  Mais c'est mieux. Enfin. mieux si tu t'en fiches complètement pardon je suis un peu parti je disais mieux si tu t'en fiches complètement, enfin c'est pas que tu t'en fiches mais que tu n'as pas conscience et que la réalité c'est qu'il y a moins,

• Bryan Umana

  en absolu il y a beaucoup moins de virus sur Mac que sur PC, mais parce qu'il y a beaucoup moins de Mac que de PC en fait donc où est-ce que c'est intéressant pour un hacker de développer un virus sur la plateforme qui représente 90% du marché Donc PC. Et la même chose pour les mobiles d'ailleurs. Aujourd'hui, la plateforme mobile la plus ciblée, c'est Android, mais parce que c'est la plateforme numéro un. Donc il y a aussi une question de part de marché en fait. Après, est-ce que le Mac, techniquement, est mieux sécurisé qu'un PC ? C'était vrai il y a quelques années, c'est plus vraiment vrai aujourd'hui. Une machine Windows récente est au moins aussi bien protégée qu'un Mac. Historiquement, le Mac, il y avait une meilleure gestion des utilisateurs, une meilleure gestion des droits. Il y avait quelques avantages il y a quelques années, ce qui n'est plus vraiment le cas aujourd'hui. Et aujourd'hui, il y a des virus qui ciblent le Mac aussi.

• Paul Such

  C'est vrai que c'est marrant ce que peuvent dire ou pas dire les chiffres, parce que... C'est très juste ce que tu dis. En fait, il y a moins d'Apple, il y a moins d'utilisateurs Apple. Fondamentalement, il y a moins d'attaques et moins de virus sur Apple.

• Bryan Umana

  Là où c'est un petit peu différent, c'est iOS versus Android. C'est que la manière dont iOS a été conçu initialement fait qu'il est beaucoup plus étanche et beaucoup plus difficile à pirater qu'une machine Android. C'est un système qui est beaucoup plus fermé, mais qui permet aussi beaucoup moins de choses. Il y a des tas de choses qu'on ne peut pas faire avec un téléphone Apple. Alors qu'on peut naturellement et facilement le faire avec un téléphone Android. Tout bête, je veux copier des morceaux de musique sur une carte SD pour les partager avec quelqu'un. Bon courage pour le faire facilement avec l'écosystème Apple.

• Paul Such

  Ok. J'ai un antivirus donc je suis protégé.

• Bryan Umana

  Pas complètement. Le problème en fait c'est qu'un antivirus fonctionne principalement avec des bases de signature. Donc il est capable de détecter les virus déjà connus, en fait. Le problème, c'est qu'aujourd'hui, des nouveaux virus, il y en a plusieurs centaines de milliers qui sortent par jour. Merci l'intelligence artificielle, aujourd'hui c'est facile de créer automatiquement des variantes, en fait, de virus. Donc, un, c'est difficile pour les antivirus d'être exhaustifs, en fait, et de couvrir, d'avoir des signatures pour tout. Deux, ça évolue rapidement. Et trois, surtout, la chose que les gens ne réalisent pas, c'est que s'il y a un code malveillant qui a été développé... juste pour toi ou juste pour la société pour laquelle tu travailles, pour ça, il n'y a pas de signature généralement. Et donc ça, ça va passer tout droit, ça ne va pas être détecté par un antivirus conventionnel, classique. Donc aujourd'hui, il y a d'autres solutions qui viennent en complément, des EDR, des sandbox avec des mécanismes de détection comportementale qui vont compléter le travail de l'antivirus. Certains antivirus intègrent ça aussi d'ailleurs, mais l'antivirus tel qu'il existe, depuis pas mal d'années, qui est principalement basé sur un travail de signature, pas suffisant en tout cas aujourd'hui.

• Paul Such

  Je fais mes backups, mais je ne les ai jamais restaurés.

• Bryan Umana

  Généralement, ça c'est un problème, parce qu'on se rend compte que les backups n'ont pas fonctionné le jour où on en a besoin en fait. Donc ça vaut la peine, déjà les backups, de les tester de temps en temps, et surtout, un, de ne pas les avoir tous au même endroit, et Et deux, idéalement, d'en avoir une partie offline. Ça reste la meilleure option. Quand malheureusement, on s'est fait crypto-locker, c'est souvent le dernier recours, en fait, les backups. Donc, si les backups sont sur un disque qui est toujours connecté à la machine, généralement, les backups sont chiffrés aussi. Donc, attention que les backups restent accessibles, même si l'environnement a été chiffré.

• Paul Such

  Et là, pour faire un petit parallèle, que ce soit dans les grandes structures, donc entreprises ou bien tous les établissements publics, généralement on a tous vécu des exercices, tu sais, un faux incendie ou un faux XY événement où tout le monde se rassemble à l'endroit donné, qui a été expliqué, qui est sur le panneau de l'ascenseur, etc. on ne peut pas prendre la sanseurie, tout le monde joue cet exercice, et ça une fois par année, là typiquement, il faudrait aussi de temps en temps jouer ce jeu-là pour se rendre compte si tout est ok ou pas.

• Bryan Umana

  Complètement, on appelle ça du tabletop exercise, c'est quelque chose que Suisse Post fait par exemple, où on va simuler une crise en fait, et puis regarder comment les gens réagissent, et puis comparer avec comment ils auraient dû réagir. Ça permet de s'améliorer en fait, de se tester.

• Paul Such

  Est-ce que tu vois une autre croyance qu'on n'aurait pas citée là, ou la plus grande croyance qui serait dangereuse dans la sécurité ?

• Bryan Umana

  Peut-être d'une manière générale, c'est de penser qu'il y a toujours le nouvel outil qui va tout révolutionner et régler tous les problèmes. On voit qu'il y a des modes en cybersécurité. Ça fait suffisamment longtemps que je suis dans ce domaine pour... Pour pouvoir dire que c'est cyclique et qu'il y a des modes, et puis il y a toujours la nouvelle technologie qui est censée révolutionner et régler tous les problèmes. Alors que la base, c'est quand même une hygiène numérique de base, ce sont les mots de passe, c'est l'éducation des utilisateurs, c'est le patching d'une manière générale, ça c'est peut-être un thème dont on n'a pas parlé.

• Paul Such

  Patching mise à jour pour les gens. Patching mise à jour,

• Bryan Umana

  ce qui est un vrai problème pour les entreprises, à l'échelle d'un particulier. Tenir sa machine à jour, c'est relativement facile aujourd'hui. Il y a des mécanismes dans Windows, sur le Mac, sur Linux pour automatiser la mise à jour de la machine. Mais à l'échelle d'une société, mettre à jour les machines qui sont différentes, les imprimantes, les routers, les switches, tout ce qui est informatique industrielle, IoT, etc., c'est un enfer. Et donc, il y a très peu de sociétés qui le font correctement. Et souvent, il suffit d'un ou deux correctifs absents pour que ce soit le début d'une attaque d'un crypto-locker. voire d'une paralysie de la société.

• Paul Such

  Et si on imagine une PME suisse de 10 à 50 personnes, sans responsable cyber interne, si tu avais une journée pour réduire 80% du risque, qu'est-ce que tu fais concrètement ? Donc là, tu as évoqué des éléments, gestionnaire de mot de passe... Voilà, le minimum vital.

• Bryan Umana

  Le minimum vital, je pense que je vais commencer par régler ce problème. Alors, dans quel ordre ? Je ne sais pas. Mais en tout cas, sur une journée, ça me semble possible. Commencer par regarder où la société en est de son patching, en fait. Des correctifs de sécurité et vérifier que ce soit contrôlé. Généralement, ça permet de mettre en évidence des problèmes de processus, des manques d'outils, des problèmes d'inventaire. Donc, patching, d'une manière générale. En deux formations. Formation des utilisateurs où on va parler de mots de passe, où on va parler de tout ce qu'on a évoqué précédemment. Et puis peut-être en trois, vérifier qu'elles ont l'outillage minimum. Donc un gestionnaire de mots de passe, un firewall à peu près configuré, un antivirus sans lui faire une confiance aveugle. Mais on peut regrouper ça sous le fait d'avoir une hygiène numérique correcte. En fait, on se rend compte que ça ne fonctionne pas s'il n'y a pas un intérêt des utilisateurs et un intérêt de la direction. Si la sécurité, c'est juste une contrainte, si c'est quelque chose qui n'est pas porté par la direction, ça ne fonctionne pas d'une manière générale.

• Paul Such

  J'avais un élément qui m'a échappé. Oui, ça reviendra. Et quelle est l'erreur numéro une des PME ? PME ou autre ?

• Bryan Umana

  C'est difficile de savoir laquelle est la numéro une. Mais celle qui me vient en tout cas à l'esprit, c'est de considérer que la sécu est gérée par le fournisseur X ou Y. J'ai la société X qui s'occupe de mon IT. Je leur fais une confiance aveugle ? Ben non, ça vaut quand même le coup de contrôler de temps en temps que cette société fait son travail correctement. En tout cas... On ne peut pas avoir la même société qui exploite l'IT et qui s'auto-surveille. Ça, c'est quelque chose dont je suis fondamentalement convaincu. Il doit y avoir une séparation des responsabilités. C'est la même chose que dans le domaine de la finance, pour ceux qui se rappellent d'Andersen Consulting. Si c'est la même société qui fait les comptes et qui les audite, généralement, ça ne se passe pas bien. Là, c'est la même chose, en fait. On ne confie pas la surveillance de sa sécurité à la société qui exploite les systèmes. Sinon, il y a un conflit d'intérêts évident. Peut-être, c'est peut-être ça, à mon avis, la première. La deuxième, sinon, c'est les sociétés qui ont nommé un responsable sécurité et qui considèrent que c'est juste ton job à lui de faire...

• Paul Such

  De sécuriser la société. On revient à ce que je disais précédemment, c'est quelque chose qui doit être... La sécurité c'est transverse. Donc ça doit vraiment être vécu, porté par tout le monde, en particulier la direction en fait. Donc le responsable sécu il est là pour faire en sorte que ça se passe bien, pour faire tout ce qu'on a vu précédemment, mais c'est pas juste sa responsabilité à lui. Souvent c'est infusible en fait le responsable sécu et ça fonctionne pas. Donc pour une PME ou grosse PME... Je pense que c'est peut-être les deux erreurs les plus classiques en tout cas.

• Bryan Umana

  Ok. Ce que je voulais te demander avant, c'était la sensibilisation au phishing. Oui. Parce qu'on a parlé de tout ce qui est pentest, donc les tests d'intrusion, de pénétration. Est-ce que c'est un élément que tu mettrais en place ? Là, je prenais le cas d'une PME sans responsable cyber, etc.

• Paul Such

  Les tests d'intrusion, c'est un bon moyen de faire un état des lieux à un instant donné. Donc oui, il faut en faire un de temps en temps pour voir où on en est. Par contre, l'erreur souvent que font les sociétés, c'est qu'elles vont faire un test d'intrusion aujourd'hui, on va remonter peut-être 15 erreurs différentes ou 15 problèmes à corriger, et puis le prochain test d'intrusion, après, il est 5 ans plus tard. Mais ça, ça ne marche pas parce que... C'est quelque chose qui change tous les jours, le périmètre évolue tous les jours. J'ai fait un test d'intrusion hier, je fournis les résultats aujourd'hui, j'ai trouvé 15 vulnérabilités. Mais si demain, il y a un nouveau correctif de sécurité qui sort et qui concerne l'infrastructure de la société, peut-être que les résultats de mon test seraient de nouveau différents. Donc je crois beaucoup plus dans une surveillance continue qu'un test d'intrusion ponctuel. Donc les deux sont intéressants. Oui, ça vaut la peine de faire un test d'intrusion, de voir... Où on en est de sa sécu, c'est un état des lieux à un instant T. Mais je crois que c'est encore mieux de mettre en place une surveillance continue.

• Bryan Umana

  C'est intéressant, tu as mentionné que la cyber devait être portée par la direction. Toi qui sièges dans des conseils d'administration, dans des environnements qui sont très différents, la banque à la fintech ou bien au cloud, au cloud souverain. en parlant d'infomaniak. Comment est-ce qu'un conseil d'administration doit challenger une direction sur la cybersécurité sans non plus tomber dans le micromanagement ou l'opérationnel, étant donné qu'en tant que membre du board, tu ne dois pas être dans l'opérationnel ?

• Paul Such

  J'ai envie de répondre intelligemment, en fait. Ça doit se faire en bonne intelligence. On dit souvent qu'un membre de conseil d'administration, il a le nez dans les affaires et les mains dans le dos. Donc on ne doit évidemment pas faire d'opérationnel, poser les bonnes questions et avoir l'assurance raisonnable que le risque est maîtrisé. On est plutôt là pour challenger la direction et leur dire, mais est-ce que vous avez pensé à ça ? Comment vous faites ça ? Rassurez-nous, en gros, démontrez-nous que le risque est maîtrisé, mais on ne va pas le faire à leur place. Normalement, c'est un travail qui se fait en bonne intelligence. On est plutôt là pour surveiller que c'est fait correctement et s'assurer que le risque est maîtrisé.

• Bryan Umana

  Mais concrètement, ça se passe comment ? Ces entreprises pour lesquelles tu sièges, j'imagine qu'elles ont les trois prestataires de sécurité.

• Paul Such

  Des prestataires,

• Bryan Umana

  même souvent. Et là, toi, en tant qu'expert, est-ce que tu vas aller lire les rapports ? C'est ton rôle, ça, de regarder ? Et est-ce que concrètement, le management, l'entreprise a agi en conséquence ?

• Paul Such

  Souvent, alors ce n'est pas forcément de la... On ne lit pas tous les rapports, ce n'est pas ça qui est attendu. Mais par contre, on va avoir des tableaux de bord, on va avoir des indicateurs qu'on va surveiller. Et on va regarder ce qui est fait pour améliorer ces indicateurs, en fait. Encore une fois, s'assurer que le risque est contrôlé. Et c'est là où c'est intéressant, je pense, pour des sociétés où il y a un peu de technologie, d'avoir au moins une personne dans le conseil d'administration qui est technique pour être capable de valider que ce qui est présenté tient la route. On se rend compte qu'aujourd'hui, il y a beaucoup de conseils d'administration où on a des avocats, où on a des financiers, où on a des profils assez différents, mais rarement des gens de l'IT et encore plus rarement des gens de l'IT. avec une vraie vision cyber. Et pourtant, le conseil d'administration est in fine responsable. Je crois que ça fait du sens d'avoir quelqu'un qui est capable de challenger les chiffres au sens KPI qui sont présentés par la direction pour valider qu'il y a un fondement derrière et que ce n'est pas juste en carton ce qui est présenté.

• Bryan Umana

  C'est clair. Et donc là, toi, c'est la banque cantonale du canton de Fribourg ?

• Paul Such

  Oui.

• Bryan Umana

  Infomaniak, je suis désolé je me souviens plus de la troisième. Evoque. Evoque, merci. Qui est à Genève, c'est ça ?

• Paul Such

  Qui est à Lausanne.

• Bryan Umana

  À Lausanne. Je ne sais pas pourquoi je la voyais à Genève. Est-ce qu'il y a des questions qui reviennent assez souvent de ta part que tu poses aux CEOs de ces différentes structures ?

• Paul Such

  En fait, je les embête beaucoup sur les questions qu'on a vues précédemment. Moi, j'aime voir où on en est du patching. Alors souvent, après, on prend un référentiel. C'est un peu technique, mais ça peut être typiquement 27002 ou j'aime voir quels sont ISO 27002. Par exemple, pour voir où on en est sur chacun des points de contrôle, comment est-ce qu'on le couvre et puis ce qu'on veut améliorer. en fait. Donc... Mais c'est les points qu'on a vus précédemment, en fait. Je m'assure comment ces points sont traités, en fait. Je m'assure qu'ils soient traités. Le comment, généralement, il est laissé à la direction. Après, ça ne m'intéresse pas particulièrement de savoir quels outils de vulnerability management ils ont mis en place. Par contre, ça m'intéresse de voir que, quand il y a une nouvelle vulnérabilité, elle est identifiée, et puis qu'on est capable de la traiter dans un délai raisonnable. Ça, oui.

• Bryan Umana

  Parce que c'est vrai, finalement, en forme. Si on prend Infomaniak avec Marc, lui ça fait quand même, je ne sais plus maintenant, je dirais de tête, on est en 2026, ça doit faire en tout cas plus de 20 ans qu'il est chez Infomaniak. Donc Infomaniak qui est quand même une boîte de tech, donc il a tout ce côté tech aussi. Si on prend Evoque, une fine tech qui développe des logiciels pour les banques, tu as quand même ce côté tech. Par contre, à la BCF, là, on est dans un monde bancaire traditionnel. J'ai l'impression pas forcément hyper techno-orienté, ou en tout cas, d'après ce que je peux constater, parfois une direction pas forcément très tech, plutôt vraiment des financiers, mais un peu pur et dur. Qu'est-ce que ça change pour toi ? de parler avec un marque, comparé à... Je ne connais pas le directeur de la BCF.

• Paul Such

  Évidemment, c'est assez différent, puis on ne va pas avoir le même type d'échange. Par contre, toutes ces sociétés ont des prestataires. Dans tous les cas, ça permet de voir aussi la manière dont le travail est fait avec les prestataires. Et puis, on n'est pas là pour se substituer à la direction. Dans les conseils d'administration, il y a... des avocats, il y a parfois des financiers qui sont des compétences qui sont aussi dans la direction, c'est la même chose finalement pour la cybersécurité. Moi je suis très heureux quand il y a des interlocuteurs à la direction qui sont plus compétents que moi et encore plus passionnés et techniques que moi parce que c'est rassurant et c'est ça qu'on veut pour un conseil d'administration.

• Bryan Umana

  ok et puis est-ce que hum est-ce que Si on repart un peu dans le monde des PME, est-ce que tu as l'impression qu'elles se protègent mieux qu'il y a 3 ou 5 ans ? Est-ce que tu sens que ça bouge ou est-ce que finalement les gens s'en fichent un petit peu ?

• Paul Such

  C'est difficile. Je crois que ça va dans le bon sens, honnêtement. J'ai plutôt une vision optimiste. Ça va plutôt dans le bon sens. Je pense que les solutions cloud aident. C'est-à-dire pour une PME lambda, c'était plus difficile avant d'avoir sa solution on-premise installée sur le réseau de la société, maintenue par les informaticiens de la société, etc. que d'avoir un service type SaaS dans le cloud. Aujourd'hui, je pense qu'en termes de sécurité, c'est beaucoup mieux pour une société d'avoir son mail, son calendrier chez un prestataire comme Infomaniac que de l'avoir sur un serveur email géré par une personne dans la société. Donc ça, c'est quelque chose qui a pas mal évolué ces dernières années. Et de ce point de vue-là, le cloud apporte vraiment quelque chose. Après, il y a des problématiques de souveraineté, Mais pour la société lambda, j'ai l'impression, c'est pas qu'une impression d'ailleurs, le cloud a amené de la sécurité.

• Bryan Umana

  En parlant de souveraineté, on entend encore un peu parler du Patriot Act des US ou bien du Cloud Act. Est-ce que c'est encore un sujet en 2026 ? Est-ce qu'on l'exagère ? Qu'est-ce qu'on pense de tout ça ?

• Paul Such

  Alors non, ça reste un sujet. Aujourd'hui... On voit typiquement que certains modèles d'IA ont été bloqués par les États-Unis en disant non, mais ça, ça ne sera pas disponible à l'export. Moi, ça me fait un peu peur, ce type de comportement.

• Bryan Umana

  C'est anthropique, là, récemment. Anthropique, là, Claude, derrière.

• Paul Such

  Exact. Je pense que ça dépend, honnêtement, ça dépend du contexte de la société, du type de données dont on parle. Donc oui, il y a un risque. Je ne peux pas dire qu'il n'y a pas de risque. Par contre, il faut toujours relativiser. L'exemple que je donnais tout à l'heure, est-ce que c'est mieux pour une société d'avoir ses datas dans un cloud, même s'il n'est pas souverain, que de les avoir on-premise sur un serveur qui n'est pas tenu à jour, personne ne sait comment il marche ? J'ai l'impression que pour une société, encore une fois, lambda, je prendrais plutôt le risque de la souveraineté que le risque d'avoir un serveur mal maintenu chez moi. Après, on peut facilement répondre aussi à ça. Il y a des solutions aussi de cloud souverain aujourd'hui. Donc, quand on peut cumuler les deux, c'est encore mieux.

• Bryan Umana

  Bien sûr. Et puis, juste pour clarifier, tu parles d'on-premise, donc c'est en local.

• Paul Such

  Oui.

• Bryan Umana

  Et puis, moi, c'est vrai que j'ai parlé du Patriot Act et du Cloud Act sans forcément donner du contexte pour peut-être celles et ceux qui nous écoutent et qui ne connaissent pas directement ces éléments-là. Parce qu'il faut se dire, les auditeurs du podcast ne sont pas forcément tous dans l'IT, même si là au niveau cyber, je trouve que techniquement, on ne fait pas un truc méga expertise et autres. Mais n'empêche qu'il y a quand même On-Prem pour les gens qui ne sont pas du tout du IT, aucune idée de ce que c'est.

• Paul Such

  On-Premis, effectivement, c'est quand le serveur est installé sur... Quand le logiciel est installé sur une machine qui est sur le réseau de la société, donc physiquement dans les locaux de la société, sur site. Et puis le Cloud Act, Patriot Act, alors je ne suis pas un expert du domaine légal, mais ce sont des régulations qui permettent aux États-Unis d'accéder en fait à des données pour autant dans certaines conditions, soit que ce soit hébergé sur le sol américain, soit que ce soit manipulé par des employés américains. Encore une fois, vérifier dans les détails, je ne suis pas un expert du légal.

• Bryan Umana

  Bon, moi j'ai regardé juste pour la préparation de l'épisode, mais c'est très juste ce que tu dis. En fait, Patriot Act, ça a été mis en place suite aux attentats du 11 septembre 2001. Je crois,

• Paul Such

  oui.

• Bryan Umana

  Ça date maintenant. Puis ensuite, c'était effectivement pour pouvoir sortir les données des prestataires des États-Unis, n'importe où dans le monde, de manière assez facile. Et le Cloud Act, lui, est plus récent, mais je ne sais plus quand, 2016, 2014, quelque chose comme ça. Et en fait, j'ai appris pour la petite histoire, parce que je me disais, c'est marrant que le Cloud, dans ce contexte-là, c'est un acronyme pour Clarifying Lawful Overseas Use of Data Act. Et donc, quand j'ai vu ça, j'ai été surpris. Et puis en fait, en cherchant... Il s'avère qu'aux US, souvent, quand ils vont créer des lois, ils font en sorte que l'acronyme... C'est très US, en fait. Que l'acronyme reflète directement l'acte en question. Et là, c'est clairement pour tout ce qui est donné.

• Paul Such

  Ok.

• Bryan Umana

  Pour la petite histoire à propos de ces actes. Et donc, on parle de souveraineté. Pour toi, qu'est-ce que doit comprendre un dirigeant à propos de ces données, un dirigeant ou une dirigeante à propos de ces données, avant de les mettre dans les GAFAM, comparé à un cloud européen, voire suisse, comme infomaniak ?

• Paul Such

  1. Il y a un problème de savoir comment vont être utilisées ces données. C'est rare qu'on ait une transparence totale sur comment les données vont être utilisées, est-ce qu'elles vont être utilisées pour faire apprendre un modèle d'IA, ce qui peut quand même être un petit peu embêtant. 2. Il faut voir de quel type de données on parle. Il y a des cas où on n'a littéralement pas le droit d'aller mettre ces données de santé, personnel, etc. à l'étranger, en tout cas pas sous n'importe quelle condition. Et puis, il y a aussi physiquement où est-ce qu'elle se trouve. La plupart de ces solutions aujourd'hui ont des serveurs en Suisse. Si on regarde les Microsoft, les Amazon, les Google, ont des serveurs en Suisse, mais une partie du processing n'est pas toujours fait en Suisse. Les données sont en Suisse. Mais si on veut utiliser Copilot for Security ou tel composant de Microsoft, il y a une partie du processing qui n'est pas forcément faite en Suisse. Donc c'est une question qui est assez complexe en fait, qui demande une vraie réflexion. C'est de quelle fonctionnalité est-ce que j'ai besoin ? Quel sacrifice je suis prêt à faire ? Et puis quel risque est-ce que je prends ?

• Bryan Umana

  On n'a pas vraiment dit ce que faisait Swiss Post Cyber Security. Parce que moi, au tout début, quand j'ai repris contact avec toi et que j'ai vu comment ça avait évolué pour toi, j'ai cru que Swiss Post Cyber Security était simplement un département de la poste qui bossait pour la poste. Une business unit comme on pourrait en avoir dans n'importe quelle grosse entreprise. En fait, vous êtes un prestataire.

• Paul Such

  On est un prestataire et on ne fournit pas de service pour la poste en fait.

• Bryan Umana

  Pas du tout.

• Paul Such

  Non, en fait Swiss Post Cyber Sécurité c'est la fusion de Hack Knowledge et de Terre Active. Donc Hack Knowledge que j'ai créé en Suisse romande, Terre Active qu'on a racheté en Suisse alémanique.

• Bryan Umana

  Et quand tu dis on a racheté... Avec la poste. Avec la poste, ok. Ok d'accord, je comprends.

• Paul Such

  En fait la poste est devenue actionnaire majoritaire d'Hack Knowledge. et avait pour objectif de créer une entité qui puisse livrer des services comme prestataire de services dans le domaine de la cybersécurité. Sachant qu'il y a trois SOC déjà à La Poste. SOC c'est Security Operations Center, c'est une société qui surveille les événements de sécurité, les incidents pour prévenir ses clients. C'est une des activités principales aujourd'hui de Swiss Post Cyber Security. Mais La Poste avait déjà ça en fait en interne. Il y a déjà un SOC, il y a déjà un département qui surveille Poste Finance, il y a aussi un département qui surveille La Poste elle-même. Donc on a des échanges, on a des interactions avec eux. Mais nos clients sont les clients qu'on traitait déjà en fait avec Acknoledge et Teractive. Donc ce sont des banques, c'est des assurances, c'est des industries, c'est des hôpitaux, des cantons. Voilà, c'est ce type de clients-là.

• Bryan Umana

  Mais la Poste est quand même partie de vos clients.

• Paul Such

  Alors j'ai certaines filiales de la Poste qui font partie de nos clients, mais la Poste elle-même non. Elle a son propre soc, la Poste.

• Bryan Umana

  Parce qu'il disait qu'elle avait trois socs.

• Paul Such

  Oui, deux plus nous.

• Bryan Umana

  Voilà, ok. De plus,

• Paul Such

  le SOC de Poste Finance gère Poste Finance, le SOC de La Poste gère La Poste, Swiss Poste Cyber Sécurité gère tout le reste.

• Bryan Umana

  Ok, d'accord.

• Paul Such

  Si je dois simplifier.

• Bryan Umana

  Oui, je comprends mieux.

• Paul Such

  Donc aujourd'hui, on est 150 personnes, principalement des ingénieurs.

• Bryan Umana

  Principalement en Suisse ?

• Paul Such

  Alors, pour les clients suisses... Tous les ingénieurs sont résidents sur Sol Suisse. Donc on a deux sites, un en Nargovie et un sur le canton de Vaud. Et on a un site à l'étranger au Luxembourg pour les clients hors Suisse en fait.

• Bryan Umana

  Ok. Vous êtes combien au Luxembourg ?

• Paul Such

  Alors je vais dire une bêtise, ils ne vont pas être contents, de mémoire ils sont 14.

• Bryan Umana

  Ok. C'est précis 14. D'accord, intéressant. Et donc Swiss Post Cyber Security, pourquoi ce nom ? Pourquoi Swiss Post ?

• Paul Such

  La vraie réponse ? Parce qu'on n'a pas eu le choix. C'est vrai ?

• Bryan Umana

  C'était dans le deal ?

• Paul Such

  La Post veut être un acteur dans ce domaine-là, c'est logique qu'elle mette son nom dedans.

• Bryan Umana

  La Post veut être un acteur dans ce domaine-là ? Oui,

• Paul Such

  la Post a une volonté d'être un acteur dans le domaine de la cybersécurité. On n'aurait pas pu s'appeler Hack Knowledge parce que ça ne faisait pas de sens pour traiter les clients de Terre Active et ils l'auraient mal pris. Et de la même manière, ça ne faisait pas de sens d'appeler Terre Active pour traiter les clients d'Hack Knowledge. Donc on devait trouver un nom qui convienne à tout le monde, sachant que notre maison mère est La Poste. C'était assez naturellement que ça s'est fait.

• Bryan Umana

  Et puis bon, c'est clair que le nom est rassurant. En tout cas, en Suisse, tout le monde connaît La Poste. On sait comme, je vais les citer même si c'est un de tes concurrents, comme Swisscom, c'est quand même des noms qui rassurent et qui sont dans les mœurs de tout le monde. Donc c'est vrai que quand tu as un Swiss Post Cyber Security, tu te dis bah oui, moi je vais bosser avec eux.

• Paul Such

  En fait, une de nos volontés, c'est d'être capable de livrer le service partout en Suisse. Ce qui est possible aujourd'hui avec les deux sites qu'on a, ce qui n'était pas le cas avant, juste en tant qu'Achnoledge ou juste en tant que Terre Active. Et puis, on a une volonté aussi d'être local, d'être proche de nos clients, d'offrir une solution souveraine. Du coup, La Poste était un acteur assez naturel, en fait, pour ça.

• Bryan Umana

  Terre Active faisait la même chose, mais en Suisse alémanique.

• Paul Such

  À quelques détails près. Pas en utilisant les mêmes briques technologiques. Il y avait évidemment des petites différences dans la manière dont le service était livré. Mais le type de service, globalement, était le même.

• Bryan Umana

  Et 150, ça me paraît conséquent pour une boîte qui ne fait que de la cyber.

• Paul Such

  Alors, on est parmi les gros acteurs, en tout cas en Suisse. Après, c'est tellement vaste aujourd'hui comme domaine la cybersécurité que... On peut parler aussi bien de tests d'intrusion que de gérer un SOC, que de faire de la réponse à un incident, que de faire de l'intégration d'équipements de cybersécurité. Donc aussi, ça dépend de quoi on parle. Dans le domaine de l'intégration, typiquement, il y a des sociétés très grosses aujourd'hui dans ce domaine en Suisse. Dans le domaine du SOC, je pense qu'on est parmi les plus gros en tout cas aujourd'hui.

• Bryan Umana

  Et tu disais la poste est majoritaire, mais elle n'a pas 100%, elle n'étient pas 100% des actions. Toi, tu as encore des actions ?

• Paul Such

  Alors, La Poste détient toutes tes actions. Ah,

• Bryan Umana

  je détient toutes tes actions, ok. Oui. Ok. Donc, c'est deux vrais exits.

• Paul Such

  Oui.

• Bryan Umana

  Ok. D'accord. Oui, intéressant. Intéressant. Mais tu vois, c'est un acteur... Vous êtes un acteur que je ne connaissais pas comme ça. Comme dit, j'étais persuadé que vous étiez un département de La Poste pour La Poste.

• Paul Such

  Non, et c'est une bonne question parce que c'est vrai que c'est quelque chose... Une question qu'on a eu de la part des clients d'ailleurs au départ, qui nous disaient « mais désormais vous allez livrer le service pour la Poste, est-ce que vous allez encore avoir du temps pour nous ? » Je disais « non, non, mais pas du tout, on ne va pas livrer le service pour la Poste » . Donc c'est quelque chose qu'on n'avait honnêtement pas anticipé, parce que la Poste est d'abord rentrée via son fonds d'investissement, via Swiss Post Venture en tant qu'actionnaire minoritaire, et on avait encore le nom Hack Knowledge à ce moment-là. Et... Pour nous, ça s'est fait assez naturellement, puis c'était évident qu'on n'allait pas livrer le service pour la poste. Alors que c'est une question qui est tout à fait légitime, quand on se place du point de vue du client.

• Bryan Umana

  Et puis c'est intéressant, donc tu as quand même eu un CVC, comme on les appelle, un Corporate Venture Capital, donc un fonds d'investissement... d'entreprise, on va dire, Swiss Post Ventures, qui a d'abord investi. Donc, en quelque sorte, qui a tâté le terrain pour voir si ça pouvait matcher ou s'il y avait du potentiel.

• Paul Such

  Des deux côtés, d'ailleurs. C'était pour voir comment ça se passait d'une manière générale, des deux côtés.

• Bryan Umana

  Mais quand eux sont entrés, ils sont que entrés dans Acknowledge ?

• Paul Such

  Oui.

• Bryan Umana

  Ok. Et donc, c'est ensuite qu'est venu...

• Paul Such

  Acknowledge était la première étape, la première étape du... plan où on est aujourd'hui en fait. L'idée c'était vraiment de démarrer dans la cybersécurité avec AcnoNedge puis de faire d'autres acquisitions pour grossir et d'utiliser cette base en fait pour grossir.

• Bryan Umana

  Et donc là il y a toujours aussi ce souhait potentiel de racheter d'autres boîtes. De continuer de grossir. Ok. Et là donc pour Swiss Post Ventures, t'as fait comment ? Je te pose ces questions parce que comme tu sais, je suis dans une startup qui s'appelle Solarsplit. Donc on a toutes ces, tu sais, la valeur d'entreprise pour pouvoir faire des levées de fonds, etc. Donc là, en fait, tu étais sur ce même schéma-là. Finalement, tu as valorisé ta boîte. Mais est-ce que tu l'as valorisé comme une... PME ou plus comme une startup, quand je te dis ça, c'est que il y a maintenant bientôt 4 ans, on est dans l'aventure Solarsplit. Et moi, avant ça, je ne connaissais pas trop le monde des startups. Et tu vois les valos à 5, 10 ou plus millions, alors que tu n'as que un prototype entre guillemets, tu n'as pas encore des ventes, etc. Je ne connaissais pas. Parce que toi, Il y avait déjà tout ton bagage, mais en plus, tu étais rentable, tu avais toute une équipe, etc. Est-ce que tu as une valeur quand même qui est supérieure à ce qu'on pourrait faire ? Alors,

• Paul Such

  moi, j'ai beaucoup appris sur la première expérience avec SCRT, en fait, déjà. Et les méthodes de valorisation, généralement, il y en a plusieurs. On va utiliser soit un DCF, soit des multiples, soit des comparables. La vérité, elle se situe généralement parmi tout ça. Ce qui fait une vraie différence, c'est souvent le revenu récurrent. Si on arrive à démontrer qu'on a un revenu récurrent, évidemment la valorisation n'est pas la même que quand c'est du one time. Et puis si on a déjà des clients, si la société tourne déjà, évidemment la valorisation, ce n'est non plus pas la même. Comment est-ce que ça s'est fait ? C'est avant tout une histoire de personnes. En fait, là, pour le cas de Swiss Post, Ventures, j'ai été mis en contact avec Olivier qui se reconnaîtra et puis le fit a été très bon et je pense que ça ne se serait pas fait s'il n'y avait pas eu Olivier qui travaille pour un autre fonds d'investissement d'ailleurs maintenant

• Bryan Umana

  Paul, on va si ça te va, on va passer à une partie un peu plus scriptée oui Merci. Donc déjà, on a parlé d'IA pour tout ce qui est sécurité. Est-ce que toi, à titre personnel, tu utilises l'IA pour que ce soit améliorer ta productivité ou dans ta vie personnelle pour X ou Y éléments ?

• Paul Such

  J'en utilise principalement deux, en fait. La première, c'est Eurya, c'est celle d'Infomaniak, qui très honnêtement répond à 99% de mes besoins. Je cherche... Un restaurant de tel type à tel endroit, et je trouve que c'est incroyable, ça permet de gagner un temps fou, ou pour synthétiser quelque chose, enfin je trouve que le job est extrêmement bien fait. La deuxième que j'utilise, dans certains contextes professionnels, j'ai des licences copilotes, donc j'utilise aussi celle de Microsoft. Donc c'est les deux que j'utilise, Eurya et Copilote. J'ai eu l'occasion d'en tester d'autres, j'ai pu tester Cloud, j'ai pu tester Perplexity, mais les deux principales sont celles-là. Et vraiment, pour les personnes qui sont en Suisse, ce n'est même pas une pub déguisée pour un faux maniaque. Je trouve que Ria fait extrêmement bien le job.

• Bryan Umana

  Et c'est vrai que je l'ai... Bon, de toute façon, dans cet épisode, à un moment donné, il y aura des petites vidéos où je parle face caméra, en gros, pour mentionner le sponsor de cet épisode qui est un faux maniaque. et donc toi tu es dans le conseil administratif d'Infomaniak mais effectivement il n'y a pas de enfin Infomaniak est sponsor de l'épisode parce que moi je les aime je suis utilisateur avant même qu'il m'ait sponsorisé on avait fait un épisode avant même d'imaginer une collab etc donc je pense que c'est important de le mentionner et je trouve que Ria Voilà. se développe aussi ou s'améliore de plus en plus. Au tout début, je me souviens, quand j'ai commencé à l'utiliser, il y avait 2-3 petits bugs, comme toute solution qu'on lance, etc. Mais c'est des bugs, je sais, après, peut-être que c'était aussi mon réseau ou autre, mais il ne me semble pas que c'était ça. Ou je crois qu'il y a eu une phase où ils ne recherchaient pas forcément directement dans le web, mais ça c'était vraiment... au tout début aussi parce qu'il m'avait donné un mois avant un petit accès par contre je suis très content de voir le Révolution et de voir là des fois j'ai des échanges avec Thomas qui se reconnaîtra aussi et qui me dit qu'il a fait des trucs avec Hermès, Agent et je me réjouis de pouvoir tester aussi pour le synchro avec la K-Suite et puis automatiser les deux trois éléments mais effectivement euh Rien pour tous ces éléments, c'est largement suffisant. Et finalement, la majorité des gens utilisent dans tous les cas... Pas le 100% de tous les autres LLM ou autres. C'est comme le mobile, on utilise peut-être 10% de toutes les fonctionnalités qui sont possibles, alors qu'on veut tout le temps le meilleur, le nouveau, etc. Mais fondamentalement, ça ne sert pas à grand-chose.

• Paul Such

  Puis pour certains types de données, moi je suis beaucoup plus à l'aise honnêtement de les mettre dans Uria que d'aller les mettre dans un concurrent. Typiquement, je me suis amusé à utiliser l'IA pour améliorer mes entraînements sportifs. Donc je me suis amusé à poster des données limite médicales en fait, et ça fonctionne extrêmement bien d'ailleurs. C'est le meilleur coach que j'ai trouvé en fait aujourd'hui.

• Bryan Umana

  Intéressant.

• Paul Such

  Et donc, tu l'as utilisé comment là, concrètement ?

• Bryan Umana

  Concrètement, j'ai envoyé des données de résultats type VO2max, par exemple, dedans. J'ai envoyé certains de mes entraînements. J'ai envoyé certaines analyses médicales, des résultats d'analyse médicale, pour lui demander ce que je pouvais optimiser sur mes entraînements.

• Paul Such

  Ok.

• Bryan Umana

  Pour faire simple.

• Paul Such

  Ouais, ok. C'est vrai que j'ai entendu aussi, par exemple, post... Je ne sais pas moi, échographie, IRM ou peu importe. Là, c'était des podcasts des US que j'entendais, donc ce n'était pas Eurea. Mais qu'ils envoyaient les éléments à une IA avec le constat, l'analyse faite par le médecin et qui allait challenger ça et qui parfois arrivait à trouver des éléments très intéressants. Donc effectivement, en Suisse... On a la chance d'avoir un outil comme Eurea, donc autant l'utiliser un maximum et profiter de cet outil.

• Bryan Umana

  Oui, et puis moi j'ai déjà d'autres datas chez ce fournisseur-là, donc pour moi c'est naturel finalement d'utiliser ce système-là, plutôt que de multiplier les fournisseurs et d'aller mettre encore un petit peu de données à des endroits plus éparpillés, plus on prend de risques d'une manière générale.

• Paul Such

  C'est clair. Est-ce que... Tu m'as parlé du... Tu nous as parlé du Miracle Morning. T'as des routines ? Que ce soit matinale ou du soir ?

• Bryan Umana

  Est-ce que j'ai des routines ? Oui. Je suis plein d'habitudes d'une manière générale. A commencer par mes séances de sport en fait. Je donne quelques cours de sport. ce qui m'oblige en fait d'une manière générale à faire du sport dans la semaine et je sais que même si je suis fatigué même si j'ai la possibilité de mettre un meeting à ce moment là, c'est fixe c'est quelque chose que je vais faire et j'aurai pas le choix parce que j'ai des gens qui m'attendent du coup, donc je pense qu'on peut intégrer ça dans mes routines j'ai aussi plein de routines familiales où il y a des choses que je fais avec ma famille d'aller passer du temps en montagne d'aller faire de la rando, de prendre du temps pour cuisiner, c'est quelque chose qui Oui. qui est aussi important.

• Paul Such

  Mais ça, c'est quoi ? C'est hebdomadaire, par exemple ? Oui, oui. Temps de cuisiner, montagne, tout ça ?

• Bryan Umana

  Oui. On aime manger d'une manière générale, donc c'est quelque chose où on prend du temps pour faire des bons plats, en tout cas, pour faire des bons plats le week-end.

• Paul Such

  Quel type de cuisine ?

• Bryan Umana

  Alors, de tout, mais plutôt les gros plats. Ça peut être... Alors, on a un four à pizza, donc on fait régulièrement des pizzas, mais ça peut être un couscous, ça peut être l'hiver, une choucroute. un pot-au-feu, généralement des gros plats. Et puis mes repas également, je prends le temps généralement de manger correctement les trois repas. Je fais un vrai petit déjeuner. Je ne vais pas rentrer dans tous les détails mais oui.

• Paul Such

  La souveraineté digitale, ce n'est pas juste un concept vague, c'est un choix au quotidien. C'est pour ça que j'utilise des outils d'infomaniak depuis des années. Mail... agenda, drive, tout est hébergé en Suisse dans le respect de mes valeurs. Et ça, si on revient à les débuts chez SCRT, est-ce que c'était comme ça aussi ?

• Bryan Umana

  Ah non !

• Paul Such

  Là, c'était le fast-food ? Oui,

• Bryan Umana

  évidemment pas. Là, j'optimisais chaque minute de ma journée pour passer du temps sur les tâches que j'avais à faire pour le travail. que là, le fait d'avoir ces jalons dans la journée ou dans la semaine qui sont presque immuables, je sais que je dois composer mon travail autour de ces jalons-là. Typiquement, je joue dans un groupe de rock. Généralement, on se voit tous les lundis soirs à 20h30. Je sais que ma semaine est construite autour de ça.

• Paul Such

  Intéressant. C'est vrai, tu l'as mentionné rapidement, mais tu m'as raconté avant et je trouve... Je trouve excellent le fait que tu sois instructeur de sport dans des salles de fitness où finalement, comme tu l'as dit là, rapidement, ça t'oblige à déjà rester fit. Parce que tu dois donner ces classes. Un minimum. Voilà, exactement. Et donc, en fait, tu t'imposes ça pour pouvoir... Enfin, une sorte d'excuse. qui fait que tu dois être fit à chaque fois que tu vas. Et en plus, ça te fait faire du sport. Et puis,

• Bryan Umana

  c'est un plaisir. Honnêtement, 99% du temps, c'est un plaisir. Mais... Je sais comment on est fait. De temps en temps, j'aurai la possibilité d'avoir un rendez-vous ou un déplacement, peu importe, sur le créneau où j'ai ce sport d'habitude. Là, le fait d'avoir ça bloqué dans l'agenda, ce n'est pas possible. Donc ça m'oblige quelque part à le faire.

• Paul Such

  Je me rassure dans l'idée que je voulais justement m'imposer un entraînement les jeudis soirs. Je me suis dit que ce n'était pas possible, je n'arrivais pas à poser fixe les jeudis soirs un entraînement. On parle une fois par semaine, une heure et demie. Peu importe si j'ai un événement pro ou quoi, non, c'est la priorité cette session-là. Ça résonne.

• Bryan Umana

  Souvent, on dit « j'ai pas le temps » . En fait, c'est pas « j'ai pas le temps » , c'est pas ma priorité. C'est exactement ça.

• Paul Such

  Complètement. Et Paul, qui a été influent dans ta vie ?

• Bryan Umana

  Plein de monde. C'est difficile de répondre sans en vexer plein. Mais forcément, mes parents. Je crois qu'on reproduit en tout cas l'exemple familial. Forcément ma femme, j'ai la chance d'être marié depuis très longtemps, donc évidemment qu'elle a été influente sur moi. Des rencontres clés aussi, je pense à Emmanuel, mon premier associé dans SRT, puis qui est resté mon associé aussi sur Hack Knowledge. Et puis plein de collègues que j'ai croisés, puis avec qui je travaille encore. Je pense notamment au directeur des opérations de Swiss Post actuel, Manoé, que je connais depuis aussi très longtemps. qui a été apprenti chez SCRT. Ah ouais,

• Paul Such

  ok.

• Bryan Umana

  Il a démarré avec un apprentissage, aujourd'hui il est directeur des opérations de la société. Magnifique, oui. Donc il y a probablement plein d'autres personnes, mais c'est spontanément les premiers qui me viennent à l'esprit en tout cas.

• Paul Such

  Est-ce que tu as des recommandations de livres, de podcasts ou autres sources ?

• Bryan Umana

  De podcasts, je ne pourrais pas parler de cybersécurité sans parler de nos limites sécures. qui est le premier podcast francophone dédié à la cybersécurité avec des sujets très variés. Ça s'écoute facilement, même sans être un expert. Donc le premier qui me vient à l'esprit, c'est forcément No Limits Sécu. Après, dans les podcasts que j'écoute, j'écoute forcément des podcasts aussi liés au sport. Je fais pas mal de courses à pied, donc j'écoute dans la tête d'un coureur, par exemple, qui est assez intéressant. J'en ai d'autres que j'écoute du même type. Il y a évidemment ton podcast aussi que j'écoute. En fait, j'ai fait beaucoup de déplacements à vélo. Je fais tous mes déplacements professionnels à vélo, vélo plus train. Donc, c'est vrai que j'ai pas mal de temps quand je suis dans le train ou en vélo pour écouter des podcasts et je trouve que c'est un chouette moyen de s'instruire.

• Paul Such

  Ouais, c'est clair. Moi, j'ai découvert, j'ai plus son nom, mais justement pour préparer aussi l'épisode, je me suis un peu plongé dans la cyber. Et puis, j'ai découvert un YouTuber, il est des US. J'ai plus son nom, mais il a... une chaîne assez, je ne sais plus, 300 000 abonnés, quelque chose comme ça. C'est lui-même un hacker éthique aussi. Justement, je ne connais pas exactement son bagage, mais je trouve aussi très facile à écouter, même si on n'est pas du domaine, on n'est pas expert. Après, évidemment, quand il parle de on-prem, il ne va pas expliquer ce que c'est. Mais disons, si on a les bases de l'IT, ça s'écoute. très très facilement et puis il parle de de tout, il va par exemple citer des fantasmes ou des éléments qu'on pourrait imaginer qui sont très dangereux mais en fait ce genre d'éléments c'est intéressant mais donc j'écouterai, je ne connaissais pas du tout nos limites sécu je ne connaissais pas du tout et je le partageais aussi à mes collègues qui connaissent déjà Paul, j'ai instauré un concept, donc une question d'un ancien invité qui m'a posé pour un futur invité. Ils ne savent pas à qui ils vont poser cette question. Donc la question est la suivante. Quelle aurait été la question à laquelle tu n'aurais pas souhaité répondre et pourquoi ?

• Bryan Umana

  C'est vache comme question.

• Paul Such

  Je te donnerai son numéro.

• Bryan Umana

  Peut-être qu'on parlait d'entrepreneuriat, du fait que c'est prenant et qu'on doit y passer beaucoup de temps. Le fait d'y passer beaucoup de temps, on passe forcément à côté de certaines choses, ce qui peut créer des regrets. Peut-être à côté de quoi est-ce que je suis passé et quels seraient ces regrets ?

• Paul Such

  Et pourquoi ?

• Bryan Umana

  Parce que c'est des concessions qui ont dû être faites et c'est des regrets. Évidemment, ça veut dire qu'à un moment, j'ai peut-être mis plus la priorité sur mon travail, sur certaines choses, que sur des personnes, sur des thèmes qui auraient eu besoin de moi à ce moment-là.

• Paul Such

  Mais c'est des regrets...

• Bryan Umana

  Ce ne sont pas des regrets éternels.

• Paul Such

  Oui, justement. Est-ce que ce sont des éléments qui te hantent ? Ce sont des éléments...

• Bryan Umana

  Non, je vis bien avec. Et aujourd'hui, si c'était à refaire, je crois que c'était peut-être le bon choix. C'est difficile de répondre à ça. Mais ça reste des regrets.

• Paul Such

  Je suis en plein dedans.

• Bryan Umana

  Oui.

• Paul Such

  Et c'est... C'est difficile en fait parce que... Tu vois qu'on... Enfin, je sais que c'est pareil pour toi. Tu me l'as dit. Toi, tu as pu vivre et tu vis de ta passion. Donc, tu as créé une boîte parce que tu étais passionné. À propos d'un domaine précis, qui était la cybersécurité. Tu te lances, non pas en disant que tu allais gagner des millions, mais juste parce que tu as une idée, ou tu perçois des éléments sur le marché, que tu peux aider, que tu peux faire quelque chose, et que tu as une expertise. Et donc tu le fais, et puis tu y vas à fond, et puis comme ça, on va dire, sans trop te connaître. Tu as un esprit compétitif, tu aimes te dépasser. Donc tous ces éléments-là qui font que tu y vas. Je dis ça, c'est assez généralement le profil type des différents entrepreneurs, entrepreneuses qui ont vendu des boîtes, qui ont créé des boîtes, etc. Et puis en fait... arrive un enfant ou une femme ou un mari ou la famille, ses parents, tout ça. Et c'est pas qu'on n'a pas envie de passer du temps avec eux. C'est juste que t'as cette priorité qui est là. On se rend pas forcément compte non plus sur le moment. En tout cas, moi, je crois. Le temps est un peu intangible aussi. Tu vois pas trop le temps passer. C'est le principe d'une passion. Exactement. On a un truc, l'humain aussi, quand on n'est pas confronté à la mort de manière proche, je dis proche en termes de proximité, mais aussi en termes de temps, où en fait on a l'impression qu'on est... je ne sais pas si éternel c'est le bon mot, mais c'est dans 80 ans, 40 ans, peu importe, mais c'est dans tellement longtemps qu'au final j'aurai tout le temps de faire ci, de faire ça. Et puis on a ces objectifs qu'on se fixe et on se dit le jour où j'arriverai là, je ferai moins ci, ou justement je ferai plus de ça, je serai plus présent pour ma famille, etc. Et puis tout ça, c'est pas évident.

• Bryan Umana

  En fait, je crois que c'est un peu un pari. Quand on démarre, c'est dans l'objectif que ça fonctionne, entre autres, en se disant que ça risque de fonctionner, puis peut-être j'aurai plus de temps, j'aurai plus de moyens, j'aurai plus de facilité. C'est important, je pense, une fois qu'on a pu démarrer, de garder ça en tête et de se dire, ça y est, là maintenant, je l'ai le temps. J'ai suffisamment de moyens pour ne plus être à 150%. J'ai eu un élément qui a été un peu déclencheur pour ça. J'ai eu la chance d'avoir un très gros accident de vélo. Mon fils venait de naître et il y avait moins de 20 personnes à ce moment-là chez SCRT. J'ai l'axe de ma roue avant qui a cassé en descente en vélo. Gros trauma. plusieurs mois, littéralement, d'hôpital. 130 points au niveau du visage. Enfin, vraiment, gros carton. Et puis, ça a été difficile, mais la boîte a continué à tourner quand même, quand je n'étais pas là. Avec plein de choses, du coup, où on s'est dit, ça, il faut l'améliorer quand même, parce que c'était moi qui validais les salaires, c'était moi qui faisais tout. Donc là, ça remet beaucoup de choses, en fait, en question. Une des premières choses qu'on a fait suite à ça, c'était de passer la certification ISO 27001. Et à l'époque... Ce n'était pas fait pour du marketing, vraiment. Ce n'était pas pour dire on est certifié ISO 27000, on est sécurisé. Enfin si, ça l'était un peu, mais ça l'était surtout parce que ça nous a permis de mettre en place des process, de documenter, puis de faire en sorte que la société puisse mieux fonctionner, même avec son dirigeant qui n'est pas là. Et ça, ça a été assez instructif. Désagréable sur le moment, mais instructif.

• Paul Such

  Ouais, j'imagine.

• Bryan Umana

  Donc, pas perdre peut-être de vue que c'est peut-être temporaire. Oui, il y a un gros effort à donner au départ, mais avec l'espoir de pouvoir, si c'est bien fait, passer un peu plus de temps après. Et donc, on passe quand même à côté de certaines choses pendant qu'on fait cet effort.

• Paul Such

  Ouais, c'est clair. Paul, la dernière question que je pose à tous mes invités. Qu'est-ce que le succès pour toi ?

• Bryan Umana

  Waouh, c'est difficile. C'est difficile aussi de résumer. Le succès, c'est d'avoir quand même une vie à peu près épanouie, je pense. D'avoir le luxe de passer du temps sur ce qui me plaît. De pouvoir arrêter le jour où ça ne me plaît pas. Ça, je crois que c'est aussi un vrai luxe. Et puis d'être entouré des gens avec qui j'ai envie de travailler. Je crois que si je dois résumer, c'est les premières choses qui... C'est forcément pas exhaustif, mais c'est les premières choses qui me viennent à l'esprit. C'est un énorme luxe, en tout cas, de pouvoir choisir ce qu'on a envie de faire.

• Paul Such

  Merci Paul.

• Bryan Umana

  Merci beaucoup.

• Paul Such

  Est-ce que... Il y avait d'autres éléments que tu aurais souhaité mentionner, dont tu aurais voulu parler ?

• Bryan Umana

  Spontanément comme ça, je ne crois pas. On a parlé de plein de choses, mais je suis sur la cybersécurité, je peux en parler pendant longtemps. Je crois qu'on était déjà assez exhaustif.

• Paul Such

  D'ailleurs, je me demandais, tu n'es jamais allé à la RTS ? Si. Ah, tu es déjà allé ? Oui,

• Bryan Umana

  oui, oui.

• Paul Such

  Je ne t'ai pas trouvé.

• Bryan Umana

  Il y a plein d'anexotes. Je peux vous raconter des anecdotes amusantes là-dessus, mais la première fois que je suis passé à la RTS, c'était chez SCRT. Et j'étais dans mon bureau, et il y a notre assistante qui était à l'accueil, qui me dit, il y a M. Rochebin au téléphone qui veut vous parler. Je vous assure que c'est vrai, l'anecdote. Et je lui ai répondu, ouais, c'est ça. Puis quand c'est le Père Noël, tu me le passes. Et puis j'ai raccroché. Et il a re-rappelé une deuxième fois. C'était vraiment, en fait, Darius Rochebin qui avait appelé. pour m'interviewer sur une thématique de cybersécurité au téléjournal en fait. Mais la première fois c'était comme ça. Et la deuxième fois, je suis passé quelques fois au téléjournal, mais la deuxième fois, il m'avait appelé alors que j'étais en vacances ce jour-là. Je ne sais plus ce que je faisais, mais je faisais quelque chose avec mon fils. Et il voulait m'interviewer sur je ne sais plus quel sujet. Il m'a dit, il faut venir à 19h à Genève pour passer. Je lui ai dit, mais je suis avec mon fils, je suis en vacances. J'ai pas de costume, pas de chemise, je suis pas rasé, j'ai mon fils avec moi, ils m'ont dit on s'occupe de tout. Et donc je suis passé à l'antenne, il m'avait préparé visuellement avant, j'avais une veste de costume, la chemise en haut et j'étais en short en bas. Et pour mon fils, c'est un super souvenir parce qu'ils l'ont fait visiter du coup.

• Paul Such

  Ah magnifique.

• Bryan Umana

  Donc merci à des équipes de RTS, ça avait été très très sympa en tout cas.

• Paul Such

  Je t'ai posé cette question parce que effectivement lorsqu'on parlait de cyber je trouvais que c'était très clair ce que tu disais, je trouve que tu t'exprimes très bien, tu vulgarises facilement une thématique qui peut être très technique et compliquée et donc en fait je me suis dit il faudrait que tu ailles tous les X temps là-bas pour débriefer un petit peu parce que En fait, en réalité, t'es dans un domaine qui est crucial pour l'économie de manière générale. Et quand je dis ça... Je le dis parce que, tu vois, là on parle de cyber-sécurité. Si on prend la sécurité physique, donc que ce soit les agents, la police, etc., c'est un élément qui est crucial. Sans ça, il y aurait de très gros problèmes. En fait, dans la sécurité cyber, c'est pareil. Si on a nos entités publiques, Hôpitaux, peu importe, tous les domaines cruciaux, les fournitures d'électricité, etc., qui se font hacker, là, on va de la sécurité nationale, de la sécurité des gens. Et donc, en fait, tu es en quelque sorte un... Un policier, tu vois, de ce domaine-là. Donc en fait, c'est un élément que tout le monde devrait plus connaître.

• Bryan Umana

  Alors de l'éducation au sens large du terme dans ce domaine, je pense que c'est ultra important d'en faire. Après, il y a plein d'autres personnes qui le font très bien. Et il y a notamment en Suisse le NCSC, dont c'est le travail de travailler avec ces entités sensibles. D'ailleurs, peut-être des invités intéressants pour toi. Tu les connais ? Oui, j'en connais quelques-uns. Le NCSC, oui, probablement.

• Paul Such

  Mais le NCSC, ce n'est pas maintenant l'OF...

• Bryan Umana

  C'était Ex-Mélanie, en fait, avant.

• Paul Such

  Ah, d'accord. Parce que maintenant, il y a l'Office fédéral de la cybersécurité, l'OFCS.

• Bryan Umana

  Alors, c'est possible que le nom ait encore changé. Je l'ai oublié. C'est fort possible, oui. Mais en tout cas, il y a des gens qui sont actifs dans ce domaine-là. Puis les médias, moi, quand ils m'appellent pour me poser une question, si je peux y répondre, j'y réponds.

• Paul Such

  Après,

• Bryan Umana

  honnêtement, je n'ai pas couru. pas forcément couru derrière. Et puis j'ai toujours essayé d'éviter de faire du sensationnel. Je pense que c'est un des gros problèmes dans la sécu aujourd'hui. C'est souvent un thème qui est traité sur le fond de la peur. On cherche à faire peur. Je pense qu'on a plutôt intérêt à être rassurant. Sinon, les gens ne savent plus quoi faire si on leur fait peur sans arrêt.

• Paul Such

  C'est clair. Super Paul.

• Bryan Umana

  Merci.

• Paul Such

  Merci beaucoup. Juste avant... de terminer cet épisode j'ai le plaisir de t'offrir un cadeau qui est justement offert par la volonté du dé LVDD qui est un ami qui produit tous ses produits à base de piments piquants pour tes pizzas ce sera excellent mais pas que les pizzas les pâtes et autres l'huile d'olive vierge avec justement toutes ses épices et ses piments on les trouve chez Manor et en ligne sur son site internet.

• Bryan Umana

  Je connais le produit. Je l'utilise déjà sur mes pizzas. C'est avec grand plaisir.

• Paul Such

  Merci LVDD. Tu les as découvert comment ? J'adore en fait. C'est un ami que j'ai croisé ce matin. Excellent. Merci beaucoup Paul. Avec plaisir pour un débrief pour un prochain épisode.

• Bryan Umana

  Avec plaisir.

• Paul Such

  Ciao tout le monde, à bientôt. Merci d'avoir écouté l'épisode en entier et pour m'aider à continuer, je te demande une seule chose, abonne-toi au podcast sur ta plateforme préférée, sur Spotify ou Apple Podcast par exemple et sur Youtube. N'oublie pas de donner ton avis en le notant avec la meilleure note possible et de le partager autour de toi, c'est ce qui m'aide à continuer. Rendez-vous mi-août pour un nouvel épisode et en attendant, je te souhaite un très bel été. Ciao ciao !