Merci à Sherweb pour les excellentes présentations au MSP Masterclass: Security à Montréal, notamment à Roddy Bergeron, CISSP, CCSP, CSAP, et Guillaume Boisvert, ainsi qu’à tous les participants pour les échanges et les perspectives partagées.

L’organisation était impeccable et la journée parfaitement orchestrée. Un événement riche en contenu et en discussions sur un sujet essentiel: la cybersécurité. Dans un monde numérique en constante évolution, ce n’est plus une priorité… c’est une responsabilité.

J’y étais. Le 22 octobre 2025, Montréal. Vancouver et Calgary ont eu la même tournée plus tard. Les tables rondes, les deux écrans, CyberMSP Community en français et en anglais. C’est la salle, pas une photo de banque.

La page de Sherweb est encore là: MSP Masterclass: Security — Montréal. Leur promesse, sans la voix brochure: des stratégies que tu peux utiliser la même semaine, de la conformité que tu peux défendre, du packaging sans pitch produit, une salle de MSP qui auront encore un tenant jeudi. Je ne réécris pas leur agenda. J’écris ce qui a survécu au train.

À quoi servait vraiment la journée

Une journée sécu mal tenue enseigne le contraire de ce qu’elle raconte. Ici, on pouvait écouter. On pouvait être en désaccord sans faire un numéro. Les menaces existent. Elles n’ont pas besoin d’être mises en scène pour qu’un MSP fasse son travail.

Roddy Bergeron, Cybersecurity Technical Fellow. Guillaume Boisvert, innovation produit. Les badges aident à parler. Ils n’opèrent pas. J’ai déjà appris ça. La journée l’a recalé: MFA vraiment exigée, secrets hors des endroits stupides, vendors qu’on peut quitter, un humain qui dit non.

La pyramide, sans le costume

Il y avait une pyramide au mur. Certification et formation en bas. Attestation. Accréditation. Standard setting en haut. La lecture honnête est laid: la plupart des shops vivent dans les deux étages du bas et achètent le vocabulaire du haut. Un badge n’est pas un contrôle. Un contrôle, c’est une MFA qui bloque, un backup que tu as restauré, un vendor dont tu peux sortir, un admin qui n’est plus une habitude.

Je ne suis pas sorti architecte Microsoft. Je suis sorti avec une liste de non plus courte. Non à un tenant qui traite encore la MFA comme optionnelle. Non à une app tierce qu’on ne peut pas expliquer. Non à un copilot qui veut la boîte mail comme si le courriel était une démo. Le dire à voix haute dans une salle rend ces non moins chers le vendredi.

Le risque fournisseur est un choix que tu as gardé

Tu as choisi le vendor, ou tu l’as hérité puis tu l’as gardé. Garder, c’est une décision. Savoir ce qu’il peut écrire, ce qu’il voit, comment tu sors, comment tu restaures s’il tombe. S’il sourit et ne peut pas répondre, tu n’as pas un partenaire. Tu as une cage avec un account manager.

Un devoir, ce n’est pas la panique. C’est la liste plate: MFA, restore, clés, qui écrit, un vendor dont tu sors, un tenant que tu expliques. La sécu excitante, c’est d’habitude une démo. Les démos ne pagent pas. Les incidents, oui.

Merci encore à Roddy, Guillaume, Marc-André Fontaine et l’équipe Sherweb, et aux gens qui ont posé des questions d’opérateurs. Je mesure la journée comme un cours: est-ce qu’une fenêtre a rétréci. Si un tenant est plus dur le mois prochain, ça a servi. Si on a seulement une photo de salle, non. On a la photo. Il nous reste la fenêtre.