CISO : on m'a donné le titre. Personne ne m'a appris le métier.

Histoire vraie.

Un homme que j'ai formé ce printemps était responsable de la sécurité informatique dans une entreprise logistique depuis quatre ans. Pare-feux, EDR, correctifs, tickets d'incidents. Son domaine, qu'il maîtrisait bien. Puis la société a été rattrapée par NIS 2, les assureurs ont commencé à poser des questions, et le conseil d'administration a décidé qu'il leur fallait un CISO. Ils ont regardé autour d'eux et ont choisi la personne la plus évidente. Lui.

Nouveau titre. Même bureau. Un agenda qui s'est soudainement rempli de choses sans aucun rapport avec la technologie.

À sa première réunion du conseil, il a présenté quarante slides sur des métriques de vulnérabilités. Couverture de correctifs. Délai moyen de détection. Comptage de CVE. Il y avait travaillé deux semaines. Six minutes après le début, le directeur financier l'a interrompu avec une seule question : « Alors, on est en sécurité ou pas ? »

Il n'avait pas de réponse. Non pas parce qu'il ne connaissait pas son environnement. Il le connaissait mieux que quiconque. Parce que la question n'était pas technique. La question portait sur le risque, exprimé en conséquences, assumé par quelqu'un prêt à signer son nom sous un jugement. Et rien dans ses quinze ans de carrière ne l'avait jamais contraint à faire cela.

Il m'a confié que le retour à son bureau après cette réunion avait été le trajet le plus long de sa vie professionnelle.

Si vous avez déjà porté un titre sécurité dans une salle pleine de dirigeants et senti le sol se dérober sous vous, vous savez exactement de quoi je parle. Les détails changent. Le sentiment, non.

La promotion est réelle. La formation ne suit jamais.

Voici la réalité sur le fait de devenir CISO : presque personne n'arrive par la grande porte.

Vous étiez le meilleur ingénieur sécurité, alors on vous a fait manager. Vous étiez le manager qui ne laissait rien tomber, alors quand le régulateur, l'assureur ou le questionnaire client a exigé un « responsable sécurité désigné », votre nom est allé dans la case. Un jour vous configurez des contrôles. Le lendemain vous en êtes responsable, devant un conseil d'administration, un auditeur, et si les choses tournent vraiment mal, un régulateur avec votre nom dans le dossier.

Et entre ces deux jours, il n'y a pas de formation. Pas de passation. Personne ne s'assoit avec vous pour vous dire : voici comment construire un programme de sécurité plutôt qu'un empilement d'outils. Voici comment parler à des personnes qui raisonnent en euros et en trimestres. Voici ce qu'un auditeur ouvre en premier. Voici comment prendre une décision de risque que vous pouvez défendre deux ans plus tard.

Les compétences qui vous ont valu le titre ne sont pas celles que le poste exige. Ce n'est pas une insulte. C'est la conception même du parcours professionnel. L'échelle technique se termine là où le poste de direction commence, et le secteur suppose simplement que vous trouverez la différence en improvisant.

La plupart des gens improvisent. Pendant des années. Certains s'en sortent. Ceux qui n'y arrivent pas sont ceux dont le nom figure dans le rapport d'incident.

Cinq aspects du poste que personne ne vous enseigne

J'ai formé beaucoup de responsables sécurité, et j'occupe moi-même ce poste. Les mêmes cinq lacunes apparaissent à chaque fois, non pas parce que ces personnes sont incapables, mais parce que personne ne leur a jamais enseigné la couche dirigeante du rôle.

Traduire la sécurité en langage de conseil d'administration.

Le conseil d'administration ne se préoccupe pas des CVE. Il se préoccupe de savoir si l'entreprise peut prendre des commandes, payer les salaires et rester hors des journaux. « Nous avons 3 400 vulnérabilités non corrigées » ne leur dit rien. « Si ce système tombe, nous cessons de livrer pendant trois jours et voici ce que ça coûte » vous permet d'obtenir un budget. L'écart entre ces deux phrases est la principale raison pour laquelle les budgets sécurité meurent en comité, et aucune certification technique au monde ne vous apprend à le combler.

Piloter un programme, pas une collection d'outils.

La plupart des fonctions sécurité sont de l'archéologie : des couches d'outils et d'habitudes déposées par celui qui était en charge à l'époque. Un programme, c'est différent. Il a un périmètre, des objectifs, une méthode de risque, des contrôles choisis pour des raisons précises, de la mesure, et une boucle qui l'améliore. Les auditeurs sentent la différence en une heure. Les régulateurs aussi. Si vous ne pouvez pas dessiner votre programme sur une seule page, vous n'en avez pas. Vous avez un inventaire.

Prendre des décisions de risque avec votre nom dessus.

« Nous acceptons ce risque » est la phrase qui sépare le CISO de l'ingénieur sécurité. Quelqu'un doit décider quels risques sont traités, lesquels sont acceptés, et être capable de défendre cette décision quand elle vieillit mal. La plupart des nouveaux CISO évitent soit la décision (tout est « élevé », rien n'est signé) soit la prennent de façon informelle, sans rien coucher par écrit. Les deux versions se terminent de la même façon : mal, devant quelqu'un qui prend des notes.

Diriger les incidents plutôt que les travailler.

Quand l'incident survient, votre rôle n'est plus le terminal. C'est la salle. Décider quand notifier le régulateur, parce que NIS 2 et GDPR ont des délais, et ils sont plus courts que vous ne le pensez. Décider ce qu'on dit aux clients, et quand. Éviter que le PDG ne panique ou, pire, ne se taise. La réponse technique a un runbook. La réponse de direction est la partie que tout le monde improvise, et c'est elle qui se retrouve dans le rapport post-incident.

Survivre à un examen permanent.

La saison des audits était autrefois une saison. Maintenant c'est un climat : audits de certification, audits de surveillance, audits clients, questionnaires d'assureurs, DORA, NIS 2, et un conseil d'administration qui lit des articles sur des violations au petit-déjeuner. Si vos preuves n'existent que dans les deux semaines de panique précédant chaque audit, vous n'avez pas d'assurance. Vous avez du théâtre. Le travail consiste à construire la machine qui produit des preuves toute l'année, de sorte que les contrôles deviennent ennuyeux. Le bon type d'ennui.

Rien de tout cela n'est exotique. C'est le vrai poste. Simplement, personne ne l'enseigne, parce que tout le monde suppose que vous l'avez appris avant d'obtenir le titre. Ce n'est pas le cas. Pas plus pour moi. Ni pour personne.

Ce que cinq jours vous apportent réellement

Permettez-moi d'être direct sur ce qu'est cette formation et ce qu'elle n'est pas.

Vous ne repartirez pas avec dix ans de cicatrices de dirigeant. Ça ne s'obtient que d'une seule façon. Ce avec quoi vous repartez, c'est la structure qu'il m'a fallu des années d'audits, d'incidents et de réunions de conseil pour assembler, présentée dans l'ordre, pour que vous cessiez d'improviser le rôle le plus important de votre carrière.

Vous saurez à quoi ressemble un programme de sécurité complet, de bout en bout, pour voir exactement ce qui manque à votre organisation. Vous aurez une approche du risque que vous pouvez défendre : devant un conseil, devant un auditeur, devant vous-même à 2 h du matin. Vous saurez comment la conformité, l'architecture, les contrôles, les incidents et la mesure s'articulent en un seul système plutôt qu'en cinq anxiétés parallèles. Vous saurez ce que les personnes en face de vous (auditeurs, régulateurs, dirigeants) recherchent réellement, pour pouvoir préparer plutôt que jouer la comédie. Et vous aurez une certification de niveau direction qui atteste que rien de tout cela n'est auto-déclaré.

C'est la différence entre porter le titre et faire le travail.

C'est à ça que servent les 5 jours

Du 10 au 14 août. Du lundi au vendredi. En ligne, en direct, en anglais. Une cohorte limitée à six personnes, parce qu'à sept la conversation meurt et les anecdotes restent dans mon carnet.

Chaque ligne commence par « comment ». Le « quoi » se trouve dans tous les documents de référence que vous avez un jour parcourus en diagonale. Le « comment » est ce pour quoi vous payez.

Qui enseigne cette formation

Moi. Christophe. CISO en activité, fondateur de Cyber Academy, PECB Gold Trainer.

Je n'enseigne pas ce rôle depuis un manuel, parce que j'y retourne le lundi matin. Quand j'explique comment présenter le risque à un conseil, c'est parce que j'ai vu les yeux des administrateurs se voiler devant mes slides et que j'ai dû apprendre ce qui accroche vraiment. Quand j'explique le leadership en incident, c'est parce que j'ai été la personne qui décide si le régulateur est appelé ce soir ou demain matin. Quand quelqu'un dans la formation dit « mon conseil ne s'intéresse tout simplement pas à ça », je ne lui donne pas la réponse d'examen. Je lui dis ce que je dirais lors de sa prochaine réunion de conseil, parce que j'ai dû le dire dans les miennes.

Deux cents audits. Une centaine de mises en œuvre. Des années dans le fauteuil que cette formation porte dans son nom. Vous apprenez le métier auprès de quelqu'un qui l'exerce.

La garantie

Suivez la formation. Passez l'examen. Si vous n'êtes pas reçu, nous remboursons vos frais de formation.

Aucune condition cachée au-delà de terminer le programme et passer l'examen. Nous appelons ça Certified or Refunded, et nous le pensons. La méthode fonctionne, le taux de réussite le prouve, et si vous investissez une semaine de votre temps et l'argent de votre entreprise, vous méritez un prestataire qui mise sur le même résultat que vous.

Les détails

• Formation : PECB Chief Information Security Officer, Certified
• Dates : 10 au 14 août 2026
• Format : En ligne, en direct. Interactif. Non enregistré.
• Langue : Anglais
• Taille de la cohorte : 3 à 6 participants
• Examen : Examen PECB de 3 heures le jour 5, frais inclus
• CPD : 31 crédits
• Rattrapage gratuit : Dans les 12 mois
• Tarif : 2 499 €
• Garantie : Certified or Refunded

À vous de jouer

Si vous venez d'hériter du titre et que vous improvisez le poste, c'est ici que l'improvisation s'arrête.

Si vous faites ce travail depuis des années sans la certification, c'est la preuve de niveau direction que vous n'êtes pas auto-déclaré.

Si vos réunions de conseil vous donnent l'impression de vous exprimer dans une langue étrangère, c'est ici que vous apprenez la traduction.

Et si vous savez qu'un incident ou un audit approche, ce qui est toujours le cas, c'est ainsi que vous l'affrontez avec un programme plutôt qu'une prière.

Réservez votre place dans la cohorte d'août.

Des questions ? Écrivez-moi directement. Pas d'équipe commerciale. Pas de chatbot. Juste moi.