Blogue · Analyses datées et sourcées
Le blogue Sentrix
Analyses courtes et datées sur les menaces, les obligations réglementaires et la pratique de la conformité, par l'équipe Sentrix, avec leurs sources.
dernier le 2 novembre 2026Flux RSS
À la uneAnalyse · Identité4 min de lecture
Hameçonnage vocal au soutien technique : l'alerte AL26-028
Le Centre canadien pour la cybersécurité signale de faux appels du soutien technique, surtout dans le secteur juridique. Vérifier, réinitialiser, protéger.
Lire l'article →
01
Analyse
Une menace ou une actualité, ce qu'elle change pour une organisation réglementée, et ce que nous en pensons.
02
Décryptage réglementaire
Une exigence ou une échéance, expliquée en clair, avec la façon de s'y préparer.
03
Terrain
Une leçon d'un mandat, anonymisée, avec ce que nous referions et ce que nous éviterions.
Le blogue publie ce que l'équipe apprend au contact des menaces, des référentiels et des auditeurs : une menace qui change la donne, une échéance réglementaire à préparer, une leçon de terrain. Chaque article est daté, cite ses sources primaires et finit par ce que nous en pensons chez Sentrix. Pour les avis officiels en continu, la page Veille fait le reste.
Tous les articles
Analyse · Vulnérabilités6 min de lecture
KEV, octobre 2026 : 25 failles exploitées en 17 jours
Du 14 au 30 octobre 2026, la CISA a ajouté 25 CVE au catalogue KEV : pare-feu, VPN, outils de collaboration, Siemens, Plex. Tri par usage, alertes canadiennes.
En savoir plus →
Analyse · Exposition4 min de lecture
Plex au catalogue KEV : le logiciel de la maison au travail
Le 20 octobre 2026, la CISA a inscrit 4 failles de Plex Media Server au catalogue KEV. Ce que le serveur multimédia d'un employé change pour l'accès à distance.
En savoir plus →
Analyse · Vulnérabilités4 min de lecture
Brotli : une faille critique dans une bibliothèque partout
Alerte AL26-027 : une faille critique de Google Brotli, exploitée et inscrite au KEV, touche Node.js, .NET, Envoy et d'autres. Où la trouver, comment suivre.
En savoir plus →
Analyse · Chaîne logicielle5 min de lecture
GitHub Actions : des workflows qui volent les secrets
GhostAction et Gheist ont injecté des workflows voleurs de secrets dans des milliers de dépôts GitHub en octobre 2026. Les chiffres des sources et quoi faire.
En savoir plus →
Décryptage · SOC 25 min de lecture
Changer de plateforme GRC en plein cycle SOC 2
OneTrust retire Tugboat Logic. Changer d'outil GRC en plein cycle SOC 2 : ce que l'auditeur atteste, la période d'observation, l'export des preuves.
En savoir plus →
Décryptage · Risques tiers5 min de lecture
Plan de sortie d'un fournisseur SaaS : le prévoir à l'avance
Le retrait de Tugboat Logic le rappelle : un fournisseur SaaS peut fermer un produit. Export, conservation, suppression, transition, préavis : quoi exiger.
En savoir plus →
Décryptage · LPRPDE5 min de lecture
Mesures de sécurité : les décisions d'octobre du CPVP
WestJet, Loblaw, Navigate360 : 3 dossiers du Commissariat en octobre 2026. Ce qu'ils disent sur la sensibilité, les fournisseurs et le registre des atteintes.
En savoir plus →
Décryptage · Vie privée6 min de lecture
Code des enfants du Commissariat : ce qu'il attend
Le Commissariat a publié le 20 octobre 2026 son Code des enfants : consentement parental, réglages protecteurs, pas de profilage. Lien avec la Loi 25.
En savoir plus →
Décryptage · NIST CSF4 min de lecture
NIST CSF 2.0 : les guides publiés en 2026, en pratique
En 2026, le NIST a publié des guides de démarrage rapide du CSF 2.0 : risque et main-d'œuvre, références informatives, IA. Comment s'en servir avec ISO 27001.
En savoir plus →
Analyse · Exposition19 min de lecture
PHP2Shell, ce que le correctif ne règle pas
Images figées, panneaux d'hébergement, appareils, Windows sans binaire corrigé. Là où PHP2Shell reste ouvert après la mise à jour, et comment l'inventorier.
En savoir plus →
Analyse · Exposition3 min de lecture
Patch Tuesday d'octobre 2026 : une faille Windows exploitée
Le 13 octobre 2026, Microsoft a corrigé une faille de Windows Shell déjà exploitée, qui contourne Mark of the Web. Priorités, preuves de correctif et angle MSP.
En savoir plus →
Analyse · Identité4 min de lecture
FortiBleed : des identifiants volés, pas une faille
Le 6 octobre 2026, le FBI et le Secret Service ont décrit FortiBleed : identifiants FortiGate volés, comptes ajoutés, victimes verrouillées. Quoi faire.
En savoir plus →
Analyse · Exposition3 min de lecture
Ivanti Connect Secure : ce que l'outil d'intégrité rate
Depuis le 3 octobre 2026, une chaîne de failles donne root sur Ivanti Connect Secure, en mémoire. Correctif du 13 octobre, faille encore ouverte, quoi chercher.
En savoir plus →
Analyse · Exposition3 min de lecture
PAN-OS : l'interface de gestion, encore elle
Le 14 octobre 2026, Palo Alto a signalé l'exploitation d'une faille de l'interface de gestion de PAN-OS qui donne root. Versions corrigées et quoi faire.
En savoir plus →
Analyse · Exposition3 min de lecture
AhsayCBS : la console de sauvegarde devient la cible
Depuis le 7 octobre 2026, deux failles d'AhsayCBS, console de sauvegarde surtout utilisée par les MSP, sont exploitées. Correctif, compromission, quoi faire.
En savoir plus →
Analyse · Exposition4 min de lecture
NetScaler : trois failles exploitées en huit jours
Du 27 septembre au 4 octobre 2026, trois failles NetScaler sont entrées au catalogue KEV. Versions corrigées, cadence de correctif, inventaire de bordure.
En savoir plus →
Analyse · Exposition4 min de lecture
FortiMail : une faille exploitée avant le correctif
Du 1er au 5 octobre 2026, une faille FortiMail exploitée n'avait qu'un contournement. Décision de risque tracée, recherche de compromission, angle MSP.
En savoir plus →
Terrain · Exposition4 min de lecture
Zammad et TeamCity : les outils TI comme porte d'entrée
Un service d'assistance Zammad compromis chez DIVD, un TeamCity exploité par des rançongiciels : les outils de l'équipe TI détiennent les clés. Quoi faire.
En savoir plus →
Analyse · Identité4 min de lecture
ShinyHunters : une arrestation, et ce qui ne change pas
Un chef présumé de ShinyHunters a été arrêté aux Pays-Bas. Les méthodes du groupe, comptes SSO, tiers et plateformes SaaS, restent ouvertes aux autres.
En savoir plus →
Analyse · Sensibilisation4 min de lecture
Mois de la cybersécurité 2026 : ce que les chiffres disent
59 % des Canadiens touchés par un incident, 42 % sûrs de reconnaître l'IA. Le thème 2026, les quatre semaines et une mesure par semaine pour l'organisation.
En savoir plus →
Décryptage · Cybersystèmes5 min de lecture
Cybersystèmes essentiels : ce que la loi change
Sanctionnée le 15 juin 2026, pas encore en vigueur : la loi sur les cybersystèmes essentiels impose programme, déclaration en 72 h au plus et suivi des tiers.
En savoir plus →
Décryptage · Loi 255 min de lecture
Loi 25 : sanctions administratives et amendes pénales
Loi 25 : sanction administrative jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial, amende pénale jusqu'à 25 M$ ou 4 %. Qui décide, et dans quel ordre agir.
En savoir plus →
Menaces · Municipalités5 min de lecture
Municipalités et rançongiciels : une cible qui revient
Pourquoi les municipalités et les organismes publics locaux reviennent dans les attaques par rançongiciel, ce que l'adversaire y cherche et quoi faire d'abord.
En savoir plus →
Décryptage · Santé5 min de lecture
Renseignements de santé au Québec : la loi et la sécurité
En vigueur depuis le 1er juillet 2024, la loi québécoise sur les renseignements de santé encadre gouvernance, sécurité, incidents et contrats des fournisseurs.
En savoir plus →
Analyse · Conformité5 min de lecture
SOC 2 ou ISO 27001 : lequel d'abord pour un SaaS
Rapport d'attestation SOC 2 ou certification ISO/IEC 27001 : ce que chacun prouve, ce que la Loi 25 exige de toute façon et l'ordre à suivre pour un SaaS.
En savoir plus →
Décryptage · Défense5 min de lecture
PCCC ou CMMC : vendre aux deux chaînes de défense
Le PCCC canadien et le CMMC américain partagent une famille de normes, pas une révision. Niveaux, reconnaissance entre les deux programmes et ordre de départ.
En savoir plus →
Analyse · Rançongiciels5 min de lecture
Rançongiciels : ce que le Centre canadien prévoit
Opportunistes, motivés par le gain, organisés en rançongiciel-service : ce que le Centre canadien pour la cybersécurité dit des adversaires d'ici 2027.
En savoir plus →
Décryptage · Fraude5 min de lecture
Hameçonnage et fraude : les chiffres canadiens
Statistique Canada, Centre antifraude, Centre pour la cybersécurité : ce que mesurent les chiffres officiels sur la fraude et l'hameçonnage, et leurs limites.
En savoir plus →
Analyse · Cyberassurance5 min de lecture
Cyberassurance : ce que les assureurs exigent
MFA, sauvegardes, EDR, correctifs, plan de réponse, fournisseurs : ce qu'une proposition de cyberassurance fait déclarer, et comment bâtir la preuve une fois.
En savoir plus →
Analyse · Identité5 min de lecture
Clés d'accès : déployer sans mot de passe
Clé d'accès synchronisée ou liée à l'appareil, ce qu'en dit le NIST SP 800-63B, et pourquoi l'inscription et la récupération décident du succès du déploiement.
En savoir plus →
Décryptage · NERC CIP5 min de lecture
NERC CIP : treize normes et le calendrier jusqu'en 2029
Les treize normes NERC CIP en une ligne chacune, les échéances vérifiées de 2026 à 2029, les sanctions et les recoupements avec NIST CSF et ISO 27001.
En savoir plus →
Décryptage · NERC CIP5 min de lecture
NERC CIP au Canada : une norme, cinq calendriers
Au Canada, une norme NERC CIP n'oblige qu'une fois adoptée par la province. Québec, Ontario, Alberta, Colombie-Britannique, Nouveau-Brunswick, dates à l'appui.
En savoir plus →
Décryptage · CRA5 min de lecture
Cyber Resilience Act : 24 heures pour déclarer
Depuis le 11 septembre 2026, le Cyber Resilience Act impose 24 h, 72 h et 14 jours aux fabricants qui vendent dans l'UE. Une horloge de plus, un seul PSIRT.
En savoir plus →
Analyse · Exposition5 min de lecture
28 vulnérabilités exploitées en treize jours : signal KEV
Du 8 au 24 septembre 2026, la CISA a ajouté 28 CVE à son catalogue KEV, surtout des équipements de bordure. Délai de 3 jours, alertes canadiennes, angle CTEM.
En savoir plus →
Terrain · Risques tiers5 min de lecture
Quatre 8-K en deux semaines : l'accès légitime détourné
Quatre 8-K et deux actes du Commissariat en septembre 2026 convergent : un accès légitime détourné. Matérialité, clauses à exiger d'un tiers, référentiels.
En savoir plus →
Analyse · Identité4 min de lecture
Identités non humaines : l'angle mort de vos revues d'accès
Comptes de service, clés API, jetons et agents IA : la première porte d'entrée des attaquants. Pourquoi vos revues d'accès les ratent et par où commencer.
En savoir plus →
Décryptage · NIS24 min de lecture
NIS2 : ce que la transposition change pour vos fournisseurs
NIS2 oblige les entités essentielles et importantes à gérer le risque de leur chaîne d'approvisionnement. Ce qu'un fournisseur nord-américain doit préparer.
En savoir plus →
Décryptage · Loi 255 min de lecture
Loi 25 : quand l'EFVP est obligatoire et comment la faire
L'évaluation des facteurs relatifs à la vie privée est exigée par la Loi 25 dans des cas précis. Ce que dit la CAI sur son contenu et sa documentation.
En savoir plus →
Décryptage · PCCC4 min de lecture
PCCC niveau 1 : se préparer à l'autoévaluation
Le niveau 1 du Programme canadien de certification en cybersécurité repose sur une autoévaluation annuelle fondée sur l'ITSP.10.171. Ce qu'il faut préparer.
En savoir plus →
Décryptage · ISO 270014 min de lecture
ISO 27001:2022 : ce que l'auditeur vérifie maintenant
La période de transition vers ISO/IEC 27001:2022 est close. Ce qui a changé par rapport à 2013, les 93 contrôles de l'annexe A et ce que l'auditeur regarde.
En savoir plus →
Décryptage · DORA4 min de lecture
DORA : ce que le registre des informations vous demande
DORA impose aux entités financières un registre de tous leurs contrats TIC. Ce que ce registre contient et ce que les banques demandent à leurs fournisseurs.
En savoir plus →
Analyse · Conformité5 min de lecture
SOC 2 Type 1 ou Type 2 : lequel vos clients demandent
Le Type 1 décrit les contrôles à une date, le Type 2 prouve leur fonctionnement sur une période. Ce que les clients demandent réellement et comment planifier.
En savoir plus →
Analyse · Vulnérabilités5 min de lecture
Prioriser les correctifs avec le catalogue KEV et l'EPSS
Le CVSS dit la gravité, pas l'urgence. Comment le catalogue KEV de la CISA et l'EPSS de FIRST changent l'ordre des correctifs, et ce que le BOD 26-04 impose.
En savoir plus →
Analyse · Exposition4 min de lecture
CTEM : les cinq étapes expliquées
Cadrage, découverte, priorisation, validation, mobilisation : ce que chaque étape du CTEM produit, et ce qui le distingue de la gestion des vulnérabilités.
En savoir plus →
Terrain · Rançongiciels4 min de lecture
Rançongiciels : la sauvegarde qui tient
Immuabilité, copie hors ligne, tests de restauration : trois leçons de terrain sur les sauvegardes qui ont tenu face à un rançongiciel, et celles qui ont cédé.
En savoir plus →
Analyse · Identité5 min de lecture
MFA résistante à l'hameçonnage : FIDO2 et passkeys
Pourquoi les codes SMS et les notifications push ne suffisent plus, ce que la CISA et le NIST appellent une MFA résistante à l'hameçonnage, et par où commencer.
En savoir plus →
Analyse · Chaîne logicielle4 min de lecture
SBOM : ce qu'il faut demander à un fournisseur
Une SBOM n'est utile que si elle est complète, lisible par machine et livrée à chaque version. Ce que les éléments minimaux CISA et NTIA permettent d'exiger.
En savoir plus →
Terrain · TGV5 min de lecture
TGV : les leçons du groupe Performance
Sept contrôles, PF01 à PF07, une même preuve attendue par le Bureau de certification : des mesures, pas des estimations. Ce que nous voyons dans les dossiers.
En savoir plus →
Décryptage · Risques tiers4 min de lecture
Questionnaires fournisseurs : répondre une fois, réutiliser
SIG de Shared Assessments, CAIQ de la Cloud Security Alliance : ce que ces questionnaires demandent, et comment bâtir une base de preuves qui répond aux deux.
En savoir plus →
Terrain · Incidents4 min de lecture
Exercice sur table : ce qui ressort toujours
Un scénario, des rôles nommés, une matinée : l'exercice sur table révèle chaque fois les mêmes écarts entre le plan de réponse aux incidents et la réalité.
En savoir plus →
Terrain · Infonuagique5 min de lecture
Les mauvaises configurations cloud que nous voyons
Microsoft 365, Entra ID, AWS : les mêmes réglages manquent d'une évaluation à l'autre. Ce que nous trouvons, et pourquoi partir des benchmarks CIS.
En savoir plus →
Décryptage · IA5 min de lecture
Gouvernance de l'IA : ISO 42001 et NIST AI RMF expliqués
ISO/IEC 42001 et le NIST AI RMF 1.0 encadrent l'usage de l'IA en entreprise. Ce que chacun exige, comment ils se complètent et par quelles actions commencer.
En savoir plus →
Décryptage · Vie privée5 min de lecture
LPRPDE : signaler une atteinte aux mesures de sécurité
Quand déclarer une atteinte au Commissariat à la protection de la vie privée du Canada, comment évaluer le risque réel de préjudice grave et tenir le registre.
En savoir plus →
Décryptage · Finance5 min de lecture
BSIF B-13 : ce que le conseil et le régulateur attendent
La ligne directrice B-13 du BSIF fixe les attentes des institutions financières en risque technologique et cyberrisque. Trois domaines, preuves, questions.
En savoir plus →
Décryptage · Défense5 min de lecture
CMMC 2.0 : niveaux, règle finale et calendrier réel
Les trois niveaux du CMMC 2.0, la règle finale 32 CFR partie 170, les phases d'application dans les contrats du DoD et la suspension de la phase 2 en 2026.
En savoir plus →
Questions fréquentes
- Que trouve-t-on ici ?
- Trois formats, toujours datés et sourcés : l'analyse d'une menace ou d'une actualité et ce qu'elle change pour une organisation réglementée ; le décryptage d'une exigence ou d'une échéance réglementaire et la façon de s'y préparer ; et des retours de terrain, anonymisés, tirés de nos mandats. Chaque article cite ses sources primaires et donne notre lecture, signée Sentrix.
- Comment suivre les nouveaux articles ?
- Par le flux RSS du blogue, en français ou en anglais, ou en suivant Sentrix sur LinkedIn où chaque article est publié. La page Veille complète le blogue : elle réunit les avis officiels du Québec, du Canada, des États-Unis et de l'Europe, mis à jour toutes les trente minutes, quand le blogue prend le temps d'analyser.
