CISO Chief Information Security Officer.

Ce dont le CISO est réellement responsable

Le CISO est le dirigeant responsable de la stratégie de sécurité de l'information, et l'accent porte sur le mot responsable. Comme le résume la shortDefinition, le métier relève de la gouvernance, pas de la mise en œuvre. Un CISO ne configure pas les pare-feux et n'écrit pas les règles de détection ; il décide où l'organisation dépense son budget de sécurité limité, quels risques elle traite et lesquels elle accepte, et comment elle répond lorsqu'un incident survient. Les livrables quotidiens de la fonction sont un registre des risques, une feuille de route de programme, un plan de réponse aux incidents et un ensemble de rapports destinés au conseil d'administration, pas un terminal.

Cette distinction compte parce que le leadership en sécurité est souvent compris à tort comme un poste d'ingénierie senior. Ce n'en est pas un. Le CISO se situe à la frontière entre les équipes techniques qui font fonctionner les contrôles et les dirigeants qui les financent et en assument les conséquences. La partie la plus difficile du métier, comme le note la shortDefinition, est la traduction en conseil d'administration : transformer une réalité technique tentaculaire en un petit nombre de décisions qu'un conseil peut réellement prendre. Un CISO incapable d'expliquer le risque résiduel en termes métier ne peut pas faire ce travail, aussi solide soit sa formation technique.

Responsabilité sous NIS 2 et DORA

Pendant des années, la fonction de CISO a porté la responsabilité sans grande redevabilité formelle. Cela a changé. La shortDefinition est explicite : sous NIS 2 et DORA, la redevabilité est désormais personnelle. NIS 2, la directive européenne sur la sécurité des réseaux et de l'information, fait remonter la supervision de la cybersécurité jusqu'à l'organe de direction des entités concernées et rend cet organe responsable de l'approbation et de la supervision des mesures de gestion des risques de sécurité.

DORA, le Digital Operational Resilience Act, fait l'équivalent pour le secteur financier de l'UE, plaçant fermement la redevabilité en matière de résilience opérationnelle au niveau de l'organe de direction. L'effet pratique est que « la fonction sécurité fait de son mieux » n'est plus une posture défendable ; un dirigeant nommément désigné doit assumer les décisions de risque par écrit.

C'est pourquoi un CISO moderne consacre tant de temps à la documentation et à la cadence de reporting. Valider le risque résiduel, informer le conseil sur le paysage des menaces et prouver que les mesures de gestion des risques ont été approuvées au bon niveau ne sont plus des compléments de bonne pratique. C'est ainsi que l'organisation démontre qu'elle a respecté ses obligations légales. La fonction est passée de « diriger l'équipe sécurité » à « rendre la gouvernance défendable ».

En quoi le CISO diffère des fonctions voisines

Le CISO est souvent confondu avec les personnes et les fonctions qui l'entourent. Un responsable de la sécurité ou un propriétaire de programme certifié CISM dirige le programme de sécurité et peut faire rapport au CISO ; le CISO définit la stratégie et en porte la redevabilité exécutive. Un responsable de SOC est propriétaire des opérations de détection et de réponse ; le CISO est propriétaire de la décision sur le niveau de capacité de détection que l'organisation financera et sur ce qu'elle fera lorsque le SOC fait remonter un incident majeur. Et lorsque l'organisation exploite un SMSI ISO 27001, le CISO en est généralement le sponsor exécutif plutôt que l'opérateur quotidien.

Un binôme qu'il vaut la peine de distinguer nettement est le CISO et le Délégué à la protection des données. Ils se recoupent sur les incidents impliquant des données personnelles, mais ce sont des métiers différents. Le DPO est une fonction de conformité et de contrôle dotée d'une indépendance protégée par la loi ; le CISO est un dirigeant qui porte la stratégie de sécurité et est évalué sur elle. Dans beaucoup d'organisations, ils collaborent en permanence et rendent compte par des lignes différentes, précisément parce que le DPO doit pouvoir contester l'activité, y compris la fonction sécurité.

Pour les praticiens en route vers ce siège, le cadrage honnête est que la fonction de CISO récompense le jugement et la communication plus que les outils. Le socle technique est présupposé ; ce qui fait recruter les gens et les rend efficaces, c'est la capacité à porter le risque, à informer un conseil et à rendre la redevabilité défendable sous des cadres comme NIS 2 et DORA.