C’est en janvier 2003 que Patrick Boucher, aujourd’hui président de l’entreprise, fonde Gardien Virtuel, une entreprise dédiée à répondre aux besoins grandissants des compagnies canadiennes en matière de sécurité informatique. L’objectif de Gardien Virtuel est de permettre à ses clients d’être bien conseillés face à la sécurité afin qu’ils puissent prendre des décisions éclairées grâce à une analyse indépendante, scientifiquement validée, exhaustive et personnalisée. « Quelle fierté que de voir mon entreprise s’épanouir et croître depuis une décennie. Quand je pense à nos humbles débuts où nous donnions des conseils de sécurité à nos parents et amis et que maintenant nous avons sur notre liste des clients prestigieux comme le gouvernement, des banques et des multinationales, je ne peux m’empêcher que d’être fier face au chemin parcouru, » déclare Patrick Boucher.

La compagnie, constituée d’une douzaine d’employés travaillant à son siège social de Laval, opère partout en province et compte des clients dans tous les domaines d’activités. « Notre regard se tourne maintenant vers 2023. Nos stratégies commerciales sont en place et avec un peu de chance, nous serons une multinationale d’ici là, » ajoute M. Marco Estrela, vice-président aux ventes et marketing de la compagnie.

FAITS SAILLANTS

• Janvier 2003 : Patrick Boucher fonde l’entreprise Gardien Virtuel Inc.
• Décembre 2008 : L’entreprise atteint un chiffre d’affaire de plus d’un million de dollars pour la première fois.
• Avril 2009 : Gardien Virtuel devient la première entreprise service-conseil au Canada à devenir certifiée ISO 27001.
• Avril 2010 : L’entreprise prend de l’expansion et doit déménager d’un local de 600 pieds carrés à un condo de 3000 pieds carrés sur le boulevard de l’Avenir à Laval, tout près du nouveau métro Montmorency.
• Mai 2010 : Gardien Virtuel lance son service de surveillance réseau 24/7, TGV.
• Janvier 2013 : Gardien Virtuel fête son dixième anniversaire.

À PROPOS DE GARDIEN VIRTUEL

Fondée en 2003, Gardien Virtuel est une entreprise qui propose une gamme complète de services permettant à l’entreprise d’identifier et de solutionner tous les problèmes afférents aux systèmes informatiques de ses clients. Gardien Virtuel peut ainsi effectuer divers mandats tels que tests de sécurité (interne/externe), audits de sécurité, analyses de risques, rédactions de politiques de sécurité et plusieurs autres. À la fine pointe du savoir dans son champ d’expertise, Gardien Virtuel a démontré son savoir-faire en étant la première firme de service-conseil au Canada à recevoir la prestigieuse certification ISO 27001, soit le plus haut niveau d’accréditation de son industrie au monde.

———————————

It’s become fashionable to assume that all cybercriminality these days is about money. In other words, attacks that aren’t likely to be worth anything aren’t likely.

It’s also fashionable to assume that the attackers are increasingly and exclusively after rich and fruitful targets, such as multinationals and governments. In other words, if you’re a little guy, you’re off the radar and can stay safe online simply by keeping your head down. Sure, cracking into systems just for the fun of it – the lulz – was briefly popular a couple of years ago, thanks to the appositely-named Lulzsec crew, but a bunch of arrests seemed to put paid to all of that. But those arrests didn’t stamp out cracking for the sake of it. There’s still plenty of gratuitous, « because it’s there » digital break-and-enter going on.

Even if you run a tiny website and don’t have much to hide, you (and your customers) are nevertheless at risk from criminals, like the apppositely named @JokerCracker, who openly gives his reason for hacking as, « It’s just a personal challenge. » JokerCracker has announced a number of hack-and-reveals over the past few days. That’s where he digs around on your website for holes, probably using automated tools to find what software you’re running, and what vulnerabilities he can most easily exploit.

Once he knows a likely way of tricking your webserver into dumping one or more of its databases, instead of simply answering one of your pre-arranged queries, he’ll extract what he can, and upload anything that looks like Personally Identifiable Information (PII) to a public drop site, where data-theft voyeurs can grab it at will. The final step is a tweet to let the world know. A sad example over the weekend was his hack of a boutique Australian babycare site. He only made off with about 900 records, perhaps because that’s the whole database collected by the site owner. (Only email, screen name and passwords were leaked. Your full name, your child’s name and birthday, requested on signup, didn’t appear in the dump. That’s a small mercy, I suppose.)

The passwords, as you may have guessed already, weren’t hashed or obscured at all. They were all stored in plain text.

•     If you are a user of a website that gets hacked this way, and you shared your password with any other sites, change those passwords immediately, and stop re-using passwords.
•     If you’re the owner of a website that gets hacked this way, consider publishing a warning on your main page and alerting your users.
•     If you’re the operator of any sort of web site or similar online property, don’t keep plaintext passwords.
•     If you think a site is storing plaintext passwords, consider withdrawing from it until it stops doing so.

Note that the last point implies that you can easily tell whether a site is doing the right thing with your passwords.

Fortunately, many sites publish, or will tell you if you ask, how they deal with password storage and reset. But others won’t, and often that’s because they know they have bad news, or don’t even realise the importance of the question. In that case, you may be able to find out simply by trying a password reset. If you get back a password reset link, they probably haven’t been storing your password in plaintext. But if you get your old password back in an email, then clearly the site must have been storing it. Babycare Advice, for what it’s worth, doubles up on its insecure behaviour because doesn’t use HTTPS during its login phase; worse still, it doesn’t even use HTTP « challenge-response » password verification, which at least prevents your password going out unencrypted. Your password is there, in the clear, waiting to be sniffed. Web site users, be vigilant. If you think a site is not treating your PII with the respect it deserves, even for so-called casual or throwaway logins, then consider working, shopping or playing somewhere else. Web site operators, don’t be happy with the security standards of ten, five or even two years ago. Show that you care about PII and help to build and maintain the trust of your customers.

Source: Paul Ducklin, 21 janvier 2013, Naked Security

Par: Émilie Laperrière

La divulgation des mots de passe d’usagers sur LinkedIn, les menaces contre l’Élysée et le Pentagone ou la mort faussement annoncée de Jean Charest sur le site web du Devoir : les cyberattaques se sont multipliées cette année. Patrick Boucher est la pour les contrer. Rencontre avec un pirate qui vous veut du bien. [Pour lire la suite de l'article cliquez le JPG "GV dans La Presse, 22 décembre 2012" dans notre section Documents.]