Le leadership en cybersécurité est entré dans une nouvelle ère. L’image traditionnelle du CISO comme gardien hautement technique des pare-feux et des systèmes antivirus a laissé place à un rôle plus vaste et plus stratégique : un leader d’affaires qui doit influencer les dirigeants, orienter les priorités de l’entreprise et aider les organisations à s’adapter sous pression.

C’était le message central d’une conversation entre Margarita Rivera, CISO chez Carnival Corporation, et Prashant Mascarenhas, vice-président principal et chef mondial des Solutions en cybersécurité chez HCLTech. Leur discussion portait sur le contenu du « playbook du CISO moderne » et sur la façon dont les responsables de la sécurité peuvent rester efficaces alors que le risque devient plus complexe, plus interconnecté et évolue beaucoup plus rapidement.

Les deux leaders ont abordé le sujet à partir de parcours professionnels différents, mais sont arrivés à la même conclusion : le risque cybernétique est un risque d’affaires, la résilience est plus importante que jamais et les équipes de sécurité doivent passer d’opérateurs réactifs à facilitateurs proactifs.

Du spécialiste technique au traducteur d’affaires

Le parcours professionnel de Rivera aide à comprendre pourquoi le rôle de CISO a tellement changé. Elle a commencé avec un bagage en gestion avant de plonger plus profondément dans la technologie, une trajectoire qui semblait autrefois inhabituelle, mais qui est finalement devenue une force.

« Ce que je ne réalisais pas, c’est que… cette base en administration des affaires, la compréhension des résultats financiers, du retour sur investissement et du risque… et la capacité réelle de dialoguer avec l’entreprise allaient constituer cet élément différenciateur », a-t-elle déclaré.

Cette capacité à traduire les détails techniques en conséquences commerciales est maintenant indispensable. Le CISO d’aujourd’hui doit toujours avoir une aisance technique suffisante pour diriger ingénieurs, architectes et équipes de sécurité, mais il doit aussi avoir la crédibilité nécessaire au conseil d’administration.

« La cybersécurité est un enjeu d’affaires. Ce n’est pas un problème informatique, » affirme Rivera.

Mascarenhas a partagé ce point de vue côté services et solutions. Ayant commencé comme ingénieur et travaillé en infrastructure, en architecture et en sécurité, il affirme que le défi n’est pas simplement de faire fonctionner les systèmes, mais de s’assurer qu’ils fonctionnent de façon utile pour l’entreprise.

« L’entreprise doit pouvoir fonctionner. Elle doit pouvoir utiliser les outils. Les utilisateurs doivent pouvoir accomplir ce dont ils ont besoin efficacement, sans que les politiques de sécurité ne soient vraiment restrictives, » dit-il.

Cet équilibre entre protection et convivialité est au cœur du rôle du CISO moderne. La sécurité doit réduire le risque sans devenir un obstacle à la façon dont l’entreprise opère, innove et se développe.

Le paysage des risques n’a pas changé, mais la vitesse oui

Un des thèmes les plus marquants de la discussion est que bon nombre des défis fondamentaux en cybersécurité ne sont pas nouveaux. La gestion des vulnérabilités, les correctifs, l’identité, la détection et la réponse demeurent essentielles. Ce qui a changé, c’est la rapidité.

« Je pense que le principal facteur différenciateur, c’est la vélocité, » dit Rivera.

Cette accélération est en partie alimentée par l’AI, qui a amplifié les capacités offensives et défensives. Les attaquants peuvent agir plus rapidement, automatiser davantage et étendre leurs exploits plus efficacement. Dans le même temps, les défenseurs disposent de meilleures analyses, d’une détection plus rapide et d’outils plus adaptatifs.

Pour Rivera, cela signifie que les leaders de la sécurité ne peuvent plus se permettre d’être uniquement réactifs. « Nous devons devenir beaucoup plus proactifs dans notre approche et vraiment tirer parti des technologies disponibles et mettre l’AI au service du bien, car nous savons déjà que les acteurs malveillants l’exploitent à mauvais escient, » dit-elle.

Mascarenhas est d’accord, surtout sur le rôle du jugement humain dans une opération de sécurité enrichie par l’AI. « Il faut toujours un humain dans la boucle, car il apporte le contexte, » dit-il. L’AI peut améliorer le temps de détection et accélérer la réponse, mais elle n’élimine pas le besoin de personnes qui comprennent le contexte d’affaires, les nuances opérationnelles et l’intention.

Il souligne également le risque dans la chaîne d’approvisionnement et l’adoption de technologies parallèles comme des préoccupations majeures. Ce qui était autrefois du « shadow IT » est devenu quelque chose de plus vaste, englobant SaaS, outils d’AI et dépendances numériques non gouvernées. Les responsables de la sécurité doivent maintenant envisager les risques au-delà de leur propre infrastructure et s’attaquer à un écosystème de menace en expansion.

L’identité est maintenant le périmètre

S’il y a un domaine où les deux intervenants ont été les plus pressants, c’est bien l’identité.

Rivera soutient que le modèle périmétrique sur lequel les équipes de sécurité s’appuyaient autrefois est révolu. L’adoption du Cloud, du SaaS et de technologies décentralisées a rendu les frontières traditionnelles beaucoup moins pertinentes. Dans cet environnement, l’identité devient le plan de contrôle.

« Le seul outil qu’on possède, c’est l’identité, » dit-elle.

Mascarenhas va encore plus loin dans le contexte de l’AI et de l’automatisation. « Depuis longtemps, on sait que l’identité devient le périmètre du point de vue de la sécurité. C’est la première ligne de défense. Je pense que, désormais, dans le monde de l’AI, c’est votre seule ligne de défense, » explique-t-il.

Cela amène de la complexité. Les équipes de sécurité gèrent désormais non seulement les identités humaines, mais aussi les identités non humaines, les comptes machines et les agents AI agissant avec des rôles délégués. Les questions d’intention, d’accès, de ségrégation des tâches et de gouvernance deviennent plus complexes lorsque des systèmes autonomes entrent en jeu.

Le défi, comme le souligne Rivera, est que beaucoup d’organisations peinent encore à maîtriser les bases de la gestion des identités humaines. L’avenir arrive alors que les fondamentaux ne sont pas encore entièrement sous contrôle.

Favoriser l’innovation sans perdre les garde-fous

Une tension récurrente de la discussion portait sur la façon de soutenir l’innovation rapide, en particulier autour de AI, sans introduire de risques inacceptables.

Rivera décrit cet équilibre comme « un art et une science », et utilise une analogie tirée de la Formule Un. « En F1, les voitures veulent aller le plus vite possible, mais comment s’assurer qu’elles intègrent les mesures de sécurité pour permettre au conducteur d’aller aussi vite que possible, » dit-elle. « Comment intégrer ceintures de sécurité et structures déformables pour permettre à l’entreprise d’y aller à fond sans… nécessairement se blesser ou nuire à l’organisation ? »

L’analogie reflète un changement dans la manière dont la sécurité doit fonctionner : les contrôles doivent être intégrés dans la façon dont l’entreprise avance, plutôt qu’ajoutés plus tard comme contrainte.

Mascarenhas présente la même idée en termes de gouvernance : « Établir des garde-fous, puis gouverner leur application. »

Il insiste également sur la dimension éthique de l’adoption de l’AI. Une AI responsable, la reddition de comptes, la protection des données et le développement durable de la main-d’œuvre doivent tous faire partie de la conversation sur la sécurité. Ensemble, ces considérations déterminent dans quelle mesure les organisations peuvent adopter et déployer l’AI avec confiance.

Rivera ajoute que la visibilité est essentielle. Les équipes de sécurité doivent savoir ce qui est construit, comment l’AI est utilisée et où le risque entre dans l’environnement. Cela exige non seulement des contrôles techniques, mais aussi de la formation et de la sensibilisation à travers l’organisation. Dans bien des entreprises, l’enthousiasme pour l’AI devance la prise de conscience sobre des risques associés.

S’adresser aux conseils d’administration dans le langage des affaires

Pour les deux leaders, une des compétences déterminantes du CISO moderne est la capacité de communiquer avec la haute direction dans des termes qui ont un impact commercial.

Rivera explique que les indicateurs de sécurité traditionnels échouent souvent auprès des cadres, car ils ne se rattachent pas clairement aux résultats d’affaires. « Je ne commence pas une conversation en disant qu’on a corrigé dix mille vulnérabilités dans l’environnement, » explique-t-elle. Au contraire, le cadrage le plus efficace consiste à relier les activités cyber à la protection des revenus, la continuité opérationnelle et les priorités stratégiques.

« Si je dis que nous avons corrigé 60 % des systèmes générateurs de revenus, ça interpelle un peu plus, » précise-t-elle.

Mascarenhas fait écho à ce point. Les responsables de la sécurité doivent aligner leur message sur les priorités d’affaires : fusions, croissance, expansion, résilience et autorisations d’opérer. Quand les demandes d’investissement sont présentées comme des mises à niveau technologiques abstraites, elles paraissent comme des doléances. Présentées comme un moyen d’assurer la continuité d’affaires et de réduire le risque commercial, elles deviennent plus faciles à comprendre et à appuyer pour les conseils d’administration.

Il appelle cela la « narration alignée aux affaires », et suggère que cela deviendra l’une des compétences de leadership les plus importantes en cybersécurité.

Le talent, l’amélioration des compétences et la puissance de l’adaptabilité

Aucune discussion sur l’avenir du leadership en cybersécurité ne serait complète sans parler de talents. Les deux intervenants reconnaissent la difficulté à bâtir des équipes capables de suivre le rythme de l’AI, de la transformation identitaire, des risques liés à l’informatique quantique et des modèles d’exploitation évolutifs.

Rivera affirme clairement que l’apprentissage ne peut jamais cesser. « Si vous ne développez pas vos compétences, si vous n’apprenez pas, vous deviendrez aussi obsolète que les technologies que l’on a connues il y a des années, » dit-elle.

Elle décrit une stratégie délibérée d’investissement dans les individus, combinant développement interne, recrutement externe sélectif et leadership par l’exemple. Elle continue elle-même à étudier, y compris des formations sur la création d’applications d’intelligence artificielle générative, car comprendre comment les systèmes sont construits l’aide à anticiper la façon dont ils pourraient être attaqués.

Mais peut-être que le point le plus mémorable de Rivera concerne la stratégie elle-même. Dans un environnement en évolution rapide, les plans statiques perdent vite leur valeur. « Le temps d’arriver à la troisième année, voire à la deuxième, votre feuille de route ne vaut plus rien, » affirme-t-elle.

Sa réponse n’était pas d’abandonner la planification, mais de remplacer la rigidité par l’adaptabilité. « La puissance du pivot est incroyablement importante, » dit-elle. « La seule façon d’assurer une réelle résilience, c’est d’avoir la capacité de pivoter et de s’améliorer en continu. »

Le CISO moderne : façonner l’avenir sécuritaire des entreprises

La discussion pointe vers un mandat élargi du CISO, alliant cadres de contrôle et défense technique à la résilience, la compréhension des affaires, les partenariats et l’adaptabilité stratégique.

Les responsables de la sécurité ont toujours besoin de bases solides. Ils doivent bien gérer l’identité, l’hygiène, la visibilité et la réponse. Mais ils doivent aussi anticiper, communiquer clairement, permettre l’innovation et rester agiles à mesure que technologies et menaces évoluent.

Ce mandat élargi place le CISO au cœur de la façon dont l’entreprise avance vers l’avenir en toute sécurité.