Que fait concrètement un Chief Information Security Officer (CISO) dans une organisation ?

Un Chief Information Security Officer (CISO) est responsable de la posture de sécurité de l'information de l'organisation à un niveau exécutif. Le rôle est centré sur la gouvernance, la supervision des risques, l'assurance de conformité et la décision stratégique, plutôt que sur la gestion des outils ou de l'infrastructure de sécurité technique.

Dans l'environnement réglementaire actuel, les CISO doivent démontrer une prise en charge claire des risques de sécurité, en particulier au titre de réglementations telles que le RGPD, la directive NIS2 et DORA. Les incidents de sécurité ne sont plus considérés comme des défaillances informatiques isolées, mais comme des défaillances de gouvernance aux conséquences juridiques, financières et réputationnelles potentielles.

Concrètement, un CISO définit et supervise le programme de sécurité de l'information, y compris les politiques, les processus de management des risques, les structures de gestion des incidents et les indicateurs de performance. Il veille à ce que les contrôles de sécurité soient alignés sur les priorités métier et à ce que les risques résiduels soient explicitement acceptés par le niveau de management approprié.

Un CISO fait aussi office d'interface principale entre les équipes techniques et la direction générale. Cela suppose de traduire les vulnérabilités techniques en risque métier, de conseiller les dirigeants sur les décisions d'investissement et de préparer un reporting de sécurité adapté aux conseils d'administration, aux régulateurs et aux auditeurs.

Dans de nombreuses organisations, le CISO ne gère pas directement toutes les équipes de sécurité. Le rôle repose plutôt sur l'influence, l'autorité de gouvernance et la coordination transverse entre l'informatique, le juridique, la conformité et les métiers.