Marché · Cybersécurité
Cybersécurité : d’une expertise technique à une responsabilité de direction
La sécurité numérique a longtemps été traitée comme une spécialité technique au sein des équipes d’infrastructure. Elle est aujourd’hui discutée en comité de direction : la dépendance aux systèmes d’information, l’exposition aux attaques et les exigences réglementaires européennes en font un risque d’entreprise à part entière.
01
Un risque désormais porté par la direction
Une interruption du SI peut arrêter la production, la facturation ou la relation client. Les dirigeants attendent donc du RSSI qu’il traduise l’exposition technique en risques compréhensibles, priorisés et chiffrables à l’échelle de l’entreprise.
Les cadres réglementaires européens, comme la directive NIS 2 pour les entités concernées ou DORA dans le secteur financier, renforcent la responsabilité des organes de direction et formalisent les attentes en matière de gouvernance, de gestion des incidents et de maîtrise des prestataires.
02
Le RSSI change de posture
- Il construit une feuille de route pluriannuelle, alignée avec la stratégie et le budget.
- Il rend compte à la direction et parfois au conseil, avec des indicateurs de risque plutôt que des listes d’outils.
- Il pilote des équipes internes, des prestataires de détection et des audits externes.
- Il arbitre en continu entre niveau de protection, coût et fluidité pour les métiers.
03
Des équipes qui se spécialisent
À mesure que la fonction grandit, elle se découpe en responsabilités distinctes. Le Cybersecurity Manager conduit les programmes et la conformité. Le Head of SOC organise la surveillance, la détection et la réponse aux incidents, souvent avec un ou plusieurs prestataires. Le VOC ou la gestion des vulnérabilités organise l’identification et la correction des failles.
L’Expert NetSecOps protège les réseaux et les flux, au croisement de l’exploitation et de la sécurité. Dans les entreprises qui vendent des produits numériques, le Product Security Officer intègre la sécurité dans le cycle de développement plutôt qu’en contrôle final.
04
Sécurité et engineering : un rapprochement nécessaire
Les architectures cloud, l’automatisation des déploiements et la multiplication des dépendances logicielles déplacent une partie de la sécurité vers les équipes de développement et de plateforme. Les profils capables de dialoguer avec les développeurs, d’automatiser des contrôles et de proposer des solutions plutôt que des interdictions sont particulièrement recherchés.
05
Les points de vigilance pour les entreprises
- Ne pas recruter un RSSI sans lui donner un accès réel à la direction ni un budget identifié.
- Distinguer clairement le pilotage de la sécurité de son exploitation quotidienne.
- Vérifier l’expérience de gestion de crise, pas seulement les certifications.
- Anticiper la dépendance aux prestataires de détection et la réversibilité des contrats.
Pour aller plus loin
Les métiers concernés
Questions fréquentes