Le leadership en cybers\u00e9curit\u00e9 est soumis \u00e0 une pression croissante, car le volume des menaces augmente, les environnements technologiques deviennent plus complexes et l'intelligence artificielle transforme \u00e0 la fois les op\u00e9rations commerciales et le travail de s\u00e9curit\u00e9. Pour les CISO et les directeurs de la s\u00e9curit\u00e9, la question ne se limite plus \u00e0 la capacit\u00e9 technique. Il s'agit d'un d\u00e9fi de gouvernance, de r\u00e9silience, de personnel et de responsabilit\u00e9 des dirigeants.<\/p>\n
Les r\u00e9sultats d'une r\u00e9cente enqu\u00eate montrent que 68% des professionnels de la cybers\u00e9curit\u00e9 et de l'informatique estiment que leur travail est plus difficile qu'il y a deux ans. Plus de la moiti\u00e9 d'entre eux font \u00e9tat d'une complexit\u00e9 et d'une charge de travail accrues, tandis que 52% indiquent que les cybermenaces sont devenues plus accablantes. Ces pressions modifient la mani\u00e8re dont les organisations structurent leur direction en mati\u00e8re de cybers\u00e9curit\u00e9, notamment par le recours accru \u00e0 des RSSI \u00e0 temps partiel ou virtuels.<\/p>\n
Pour les d\u00e9cideurs, le message est clair : les \u00e9quipes de cybers\u00e9curit\u00e9 ont besoin de plus que de nouveaux outils. Elles ont besoin d'une autorit\u00e9 plus claire, d'un alignement ex\u00e9cutif plus solide, d'une meilleure visibilit\u00e9 sur l'adoption des technologies et de mod\u00e8les op\u00e9rationnels r\u00e9alistes capables de suivre le rythme des changements pilot\u00e9s par l'IA.<\/p>\n
Le RSSI moderne doit g\u00e9rer le risque de ran\u00e7ongiciel, la s\u00e9curit\u00e9 du cloud, l'exposition de l'identit\u00e9, les d\u00e9pendances tierces, les obligations r\u00e9glementaires, la pr\u00e9paration aux incidents, le reporting au conseil d'administration, les exigences en mati\u00e8re d'assurance cybern\u00e9tique, et d\u00e9sormais l'adoption de l'IA d'entreprise. Dans de nombreuses organisations, ces responsabilit\u00e9s continuent de s'\u00e9tendre plus rapidement que les budgets, le personnel ou les droits de d\u00e9cision.<\/p>\n
Les longues semaines de travail, la propri\u00e9t\u00e9 fragment\u00e9e et le soutien organisationnel limit\u00e9 poussent certains CISO exp\u00e9riment\u00e9s \u00e0 s'\u00e9loigner des postes permanents en entreprise. La pression est particuli\u00e8rement aigu\u00eb lorsque les unit\u00e9s commerciales adoptent de nouvelles technologies sans impliquer suffisamment la s\u00e9curit\u00e9 t\u00f4t dans la planification, l'architecture, l'approvisionnement ou l'examen des risques.<\/p>\n
Cela cr\u00e9e un sch\u00e9ma familier :<\/p>\n
R\u00e9sum\u00e9 pour la direction :<\/b> Le stress des CISO n'est pas seulement un probl\u00e8me de main-d'\u0153uvre. Il est souvent le sympt\u00f4me d'une gouvernance cybern\u00e9tique faible, de processus de prise de d\u00e9cision technologique peu clairs et d'un engagement insuffisant de la direction.<\/p>\n L'intelligence artificielle est aujourd'hui l'une des forces les plus importantes qui transforment les op\u00e9rations de cybers\u00e9curit\u00e9. Elle cr\u00e9e deux pressions oppos\u00e9es pour les responsables de la s\u00e9curit\u00e9.<\/p>\n D'une part, l'adoption de l'IA en entreprise introduit de nouveaux risques. Les employ\u00e9s et les unit\u00e9s commerciales peuvent utiliser des outils d'IA g\u00e9n\u00e9rative, des plateformes SaaS bas\u00e9es sur l'IA ou des fonctionnalit\u00e9s d'IA int\u00e9gr\u00e9es sans examen de s\u00e9curit\u00e9. Ce probl\u00e8me de \u201cshadow AI\u201d ressemble aux vagues pr\u00e9c\u00e9dentes d'adoption du cloud non d\u00e9clar\u00e9e, o\u00f9 les \u00e9quipes activaient des services ou des fonctionnalit\u00e9s sans en informer les fonctions de cybers\u00e9curit\u00e9, de gestion des risques ou de conformit\u00e9.<\/p>\n Le r\u00e9sultat est une visibilit\u00e9 r\u00e9duite sur :<\/p>\n Pour les secteurs r\u00e9glement\u00e9s tels que la banque, l'assurance, la sant\u00e9, le secteur public, l'\u00e9nergie et les infrastructures critiques, ce manque de visibilit\u00e9 peut entra\u00eener des expositions en mati\u00e8re de protection des donn\u00e9es, d'audit, contractuelles, op\u00e9rationnelles et r\u00e9glementaires. Dans les organisations technologiques et SaaS, l'utilisation incontr\u00f4l\u00e9e de l'IA peut \u00e9galement affecter le d\u00e9veloppement de logiciels, la gestion des donn\u00e9es clients, la gestion des secrets et la confiance dans la plateforme.<\/p>\n D'un autre c\u00f4t\u00e9, les \u00e9quipes charg\u00e9es de la cybers\u00e9curit\u00e9 voient un fort potentiel dans les outils de s\u00e9curit\u00e9 bas\u00e9s sur l'IA. Les personnes interrog\u00e9es ont manifest\u00e9 un vif int\u00e9r\u00eat pour l'utilisation de l'IA afin d'all\u00e9ger la charge op\u00e9rationnelle : 37% utilisent d\u00e9j\u00e0 des solutions d'IA pour traiter les probl\u00e8mes de cybers\u00e9curit\u00e9, et 46% suppl\u00e9mentaires pr\u00e9voient de le faire.<\/p>\n Les domaines les plus courants o\u00f9 les \u00e9quipes souhaitent un soutien par IA comprennent :<\/p>\n Utilis\u00e9e de mani\u00e8re appropri\u00e9e, l'IA peut aider les \u00e9quipes de s\u00e9curit\u00e9 \u00e0 trier les alertes, \u00e0 r\u00e9sumer les incidents, \u00e0 acc\u00e9l\u00e9rer les tests de contr\u00f4le, \u00e0 am\u00e9liorer la priorisation des vuln\u00e9rabilit\u00e9s et \u00e0 r\u00e9duire la production de rapports manuels. Mais elle doit \u00eatre g\u00e9r\u00e9e avec soin. Une IA mal int\u00e9gr\u00e9e, entra\u00een\u00e9e sur des donn\u00e9es faibles ou d\u00e9ploy\u00e9e sans supervision humaine peut cr\u00e9er une fausse confiance, des signaux manqu\u00e9s ou des probl\u00e8mes de conformit\u00e9.<\/p>\n Point de d\u00e9cision\u00a0:<\/b> Les organisations devraient consid\u00e9rer l'IA \u00e0 la fois comme une priorit\u00e9 pour le d\u00e9veloppement commercial et comme une priorit\u00e9 en mati\u00e8re de gouvernance de la s\u00e9curit\u00e9. Bloquer l'IA enti\u00e8rement est rarement r\u00e9aliste, mais une adoption non g\u00e9r\u00e9e cr\u00e9e des angles morts inacceptables.<\/p>\n Des actions en justice tr\u00e8s m\u00e9diatis\u00e9es impliquant des cadres de s\u00e9curit\u00e9 ont suscit\u00e9 des inqui\u00e9tudes quant \u00e0 la responsabilit\u00e9 personnelle des RSSI. Cependant, de r\u00e9cents r\u00e9sultats de sondages sur les effectifs sugg\u00e8rent que la responsabilit\u00e9 n'est pas actuellement la principale source de stress pour les RSSI. La pression quotidienne plus importante provient de la n\u00e9cessit\u00e9 de suivre les nouvelles initiatives technologiques de l'entreprise, en particulier l'IA, tout en g\u00e9rant l'augmentation des exigences en mati\u00e8re de menaces et de conformit\u00e9.<\/p>\n Cette distinction est importante pour les conseils d'administration et les comit\u00e9s de direction. Les protections en mati\u00e8re de responsabilit\u00e9, l'indemnisation et la couverture des dirigeants sont importantes, mais elles ne r\u00e9solvent pas le probl\u00e8me op\u00e9rationnel sous-jacent. Un RSSI ne peut pas \u00eatre efficace si la s\u00e9curit\u00e9 est trait\u00e9e comme une fonction d'approbation a posteriori plut\u00f4t que comme une partie int\u00e9grante de la gouvernance des affaires et de la technologie.<\/p>\n Les organisations devraient donc se concentrer sur le soutien structurel :<\/p>\n Point cl\u00e9 :<\/b> R\u00e9duire l'\u00e9puisement professionnel des CISO n\u00e9cessite plus que des messages de bien-\u00eatre. Cela n\u00e9cessite de changer la fa\u00e7on dont les d\u00e9cisions relatives aux risques cyber sont prises dans toute l'entreprise.<\/p>\n Le nombre d'organisations disposant d'un RSSI \u00e0 temps plein a diminu\u00e9, tandis que le recours \u00e0 des RSSI \u00e0 temps partiel a augment\u00e9. Les donn\u00e9es de l'enqu\u00eate indiquent que le nombre d'entreprises disposant d'un RSSI \u00e0 temps plein est pass\u00e9 de 76% \u00e0 63%, tandis que le recours \u00e0 des RSSI \u00e0 temps partiel est pass\u00e9 de 6% \u00e0 15%.<\/p>\n Cela ne signifie pas n\u00e9cessairement que la demande de leadership en cybers\u00e9curit\u00e9 diminue. Dans de nombreux cas, c'est le contraire qui est vrai. De plus en plus de petites et moyennes organisations ont d\u00e9sormais besoin de conseils strat\u00e9giques en mati\u00e8re de s\u00e9curit\u00e9 car les clients, les r\u00e9gulateurs, les assureurs, les partenaires et les conseils d'administration attendent de plus en plus une hygi\u00e8ne cybern\u00e9tique d\u00e9montrable.<\/p>\n Les CISO fractionnaires ou virtuels peuvent aider les organisations qui sont confront\u00e9es \u00e0 un risque cybern\u00e9tique important mais qui ne peuvent pas justifier ou financer un responsable de la s\u00e9curit\u00e9 ex\u00e9cutif \u00e0 temps plein. Ce mod\u00e8le peut \u00eatre particuli\u00e8rement utile pour :<\/p>\n Cependant, le leadership fractionn\u00e9 n'est pas une \u00e9chappatoire \u00e0 la responsabilit\u00e9. Il ne fonctionne que lorsque l'organisation fournit l'autorit\u00e9, l'acc\u00e8s aux parties prenantes, l'influence budg\u00e9taire et le soutien de la direction.<\/p>\n Les d\u00e9cideurs en cybers\u00e9curit\u00e9 devraient r\u00e9pondre \u00e0 ces pressions en renfor\u00e7ant le mod\u00e8le op\u00e9rationnel, et non en ajoutant simplement de nouvelles t\u00e2ches \u00e0 des \u00e9quipes d\u00e9j\u00e0 surcharg\u00e9es.<\/p>\n Cr\u00e9ez un processus de gouvernance de la s\u00e9curit\u00e9 de l'IA d'entreprise qui inclut la cybers\u00e9curit\u00e9, le juridique, la confidentialit\u00e9, la conformit\u00e9, les achats, l'informatique, la gouvernance des donn\u00e9es et les dirigeants d'entreprise.<\/p>\n Au minimum, les organisations devraient d\u00e9finir\u00a0:<\/p>\n Les \u00e9quipes de s\u00e9curit\u00e9 ne devraient pas \u00eatre limit\u00e9es aux approbations tardives. Elles ont besoin de visibilit\u00e9 pendant la planification, la s\u00e9lection des fournisseurs, la conception de l'architecture, la revue des contrats et le d\u00e9ploiement.<\/p>\n Ceci est particuli\u00e8rement important pour les plateformes cloud, les applications SaaS, les syst\u00e8mes d'identit\u00e9, les outils d'IA, l'acc\u00e8s \u00e0 distance, les plateformes de donn\u00e9es, les syst\u00e8mes de paiement et les environnements de technologie op\u00e9rationnelle.<\/p>\n Les \u00e9quipes de s\u00e9curit\u00e9 devraient \u00e9valuer les outils bas\u00e9s sur l'IA l\u00e0 o\u00f9 ils peuvent r\u00e9duire la charge manuelle, en particulier dans la d\u00e9tection, l'\u00e9valuation, les tests, le reporting et l'analyse des risques. Mais la mise en \u0153uvre devrait inclure la validation, l'examen humain, la gouvernance et les m\u00e9triques.<\/p>\n Les crit\u00e8res d'\u00e9valuation pratiques incluent :<\/p>\n Les organisations devraient d\u00e9terminer si elles ont besoin d'un CISO \u00e0 temps plein, d'un CISO fractionn\u00e9, d'un CISO adjoint, d'un responsable de programme de s\u00e9curit\u00e9 ou d'une combinaison d'expertise interne et externe.<\/p>\n Le bon mod\u00e8le d\u00e9pend de l'exposition au risque, des obligations r\u00e9glementaires, de la complexit\u00e9 op\u00e9rationnelle, du budget, de la maturit\u00e9 et des attentes de la direction. Une banque fortement r\u00e9glement\u00e9e, un r\u00e9seau hospitalier, un fournisseur d'\u00e9nergie ou un op\u00e9rateur d'infrastructure critique n\u00e9cessiteront g\u00e9n\u00e9ralement une direction interne plus profonde qu'une organisation plus petite construisant des capacit\u00e9s fondamentales.<\/p>\n Les RSSI ont besoin de soutien pour communiquer les risques en termes commerciaux. Les dirigeants devraient s'attendre \u00e0 ce que les rapports de s\u00e9curit\u00e9 abordent :<\/p>\n<\/a>L'IA accro\u00eet \u00e0 la fois le risque et l'opportunit\u00e9<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
\n
<\/a>Les pr\u00e9occupations relatives \u00e0 la responsabilit\u00e9 demeurent, mais la pression op\u00e9rationnelle est le probl\u00e8me le plus important<\/h2>\n
\n
\n
\n
\n
\n
\n
<\/a>Les CISO fractionnaires deviennent de plus en plus courants<\/h2>\n
\n
\n
\n
\n
\n
\n
<\/a>Ce que les leaders de la s\u00e9curit\u00e9 devraient prioriser<\/h2>\n
<\/a>1. \u00c9tablir la gouvernance pour l'adoption de l'IA<\/h3>\n
\n
\n
\n
\n
\n
\n
<\/a>2. Int\u00e9grer la s\u00e9curit\u00e9 plus t\u00f4t dans les d\u00e9cisions technologiques<\/h3>\n
<\/a>3. Utiliser l'IA pour r\u00e9duire la charge op\u00e9rationnelle avec soin<\/h3>\n
\n
\n
\n
\n
\n
\n
\n
\n
<\/a>4. R\u00e9\u00e9valuer le mod\u00e8le de leadership en cybers\u00e9curit\u00e9<\/h3>\n
<\/a>5. Traduire le risque cyber en impact commercial<\/h3>\n
\n
\n
\n
\n
\n