Le leadership en cybersécurité est entré dans une nouvelle ère. L’image traditionnelle du CISO comme gardien hautement technique des pare-feux et des antivirus a laissé place à quelque chose de plus vaste et stratégique : un leader d’affaires qui doit influencer la haute direction, définir les priorités de l’entreprise et aider les organisations à s’adapter sous pression.

C’est le message central qui est ressorti d’une conversation entre Margarita Rivera, CISO chez Carnival Corporation, et Prashant Mascarenhas, vice-président principal et chef mondial des solutions, cybersécurité, HCLTech. Leur discussion s’est centrée sur le contenu du « playbook du CISO moderne » et sur la manière dont les leaders en sécurité peuvent rester efficaces alors que le risque devient plus complexe, connecté et évolutif.

Les deux leaders ont abordé la question selon des parcours professionnels différents, mais sont arrivés à la même conclusion : le risque cyber est un risque d’affaires, la résilience est plus importante que jamais et les équipes de sécurité doivent évoluer d’opérateurs réactifs à facilitateurs proactifs.

D’expert technique à traducteur d’affaires

Le parcours de Rivera elle-même aide à expliquer pourquoi le rôle du CISO a tant changé. Elle a commencé avec une formation en gestion avant de plonger dans la technologie, un chemin autrefois non conventionnel, mais qui s’est finalement révélé être une force.

« Ce que je ne réalisais pas, c’est que... cette base en administration des affaires, comprendre les résultats, comprendre le retour sur investissement, comprendre le risque... et vraiment pouvoir communiquer avec le secteur d’affaires allait devenir le facteur distinctif, » explique-t-elle.

Cette capacité à faire le pont entre la technique et les conséquences commerciales est désormais indispensable. Les CISO d’aujourd’hui doivent toujours posséder une certaine aisance technique pour diriger les ingénieurs, architectes et équipes de sécurité, mais doivent aussi être crédibles en salle du conseil.

« La cybersécurité est un enjeu d’affaires. Ce n’est pas un enjeu TI, » affirme Rivera.

Mascarenhas partage ce point de vue du côté des services et des solutions. Ingénieur de formation, ayant travaillé en infrastructure, architecture et sécurité, il estime que le défi n’est pas simplement de faire fonctionner les systèmes, mais de s’assurer qu’ils fonctionnent d’une manière qui serve l’entreprise.

« L’entreprise doit pouvoir fonctionner. Elle doit pouvoir utiliser les outils. Les utilisateurs doivent pouvoir faire ce qu’ils ont à faire efficacement sans que les politiques de sécurité ne soient restrictives, » dit-il.

Cet équilibre entre protection et facilité d’utilisation est au cœur du rôle moderne du CISO. La sécurité doit réduire les risques sans devenir un frein aux activités, à l’innovation et à la croissance de l’entreprise.

Le paysage des risques n’a pas changé, mais la vitesse oui

Un des thèmes les plus frappants de la discussion est que plusieurs défis clés en cybersécurité ne sont pas nouveaux. La gestion des vulnérabilités, les correctifs, l’identité, la détection et la réponse demeurent des fondations. Ce qui a changé, c’est la vitesse.

« Je pense que le principal facteur distinctif, c’est la vélocité, » affirme Rivera.

Cette accélération est en partie propulsée par l’AI, qui a amplifié autant les capacités offensives que défensives. Les attaquants peuvent agir plus rapidement, automatiser davantage et amplifier les attaques plus efficacement. Parallèlement, les défenseurs ont accès à de meilleures analyses, une détection accélérée et des outils plus adaptatifs.

Pour Rivera, cela signifie que les chefs en sécurité ne peuvent plus se contenter d’être réactifs. « Nous devons adopter une approche beaucoup plus proactive et vraiment tirer parti des technologies qui existent et utiliser l’AI à bon escient, car nous savons déjà que les acteurs malveillants s’en servent pour nuire, » dit-elle.

Mascarenhas est d’accord, surtout sur le rôle du jugement humain dans une opération de sécurité enrichie par l’AI. « Il faut encore un humain dans la boucle, car il amène le contexte, » dit-il. L’AI peut améliorer le temps de détection et accélérer la réponse, mais n’élimine pas le besoin de personnes qui comprennent le contexte d’affaires, les nuances opérationnelles et l’intention.

Il souligne également le risque lié à la chaîne d’approvisionnement et à l’adoption de technologies fantômes. Ce qui n’était que du « shadow IT » est devenu plus vaste, couvrant SaaS, outils AI et dépendances numériques non régies. Les leaders en sécurité doivent aujourd’hui penser au-delà de leur propre infrastructure et gérer un écosystème de risque en expansion.

L’identité est désormais le périmètre

S’il y a un domaine où les deux intervenants ont manifesté de l’urgence, c’est bien l’identité.

Rivera soutient que le modèle basé sur le périmètre, sur lequel les équipes de sécurité comptaient il y a quelques années, est révolu. Le Cloud, SaaS et l’adoption de technologies décentralisées ont rendu les frontières traditionnelles beaucoup moins pertinentes. Dans cet environnement, l’identité devient la couche de contrôle.

« Le seul outil qu’il nous reste, c’est l’identité, » dit-elle.

Mascarenhas va encore plus loin dans le contexte de l’AI et de l’automatisation. « Depuis longtemps, on [comprend que] l’identité devient le périmètre du point de vue de la sécurité. C’est la première ligne de défense. Je pense que dans le monde de l’AI, c’est désormais la seule ligne de défense, » affirme-t-il.

Cela introduit une nouvelle complexité. Les équipes de sécurité ne gèrent plus seulement des identités humaines, mais aussi des identités non humaines, des comptes machines et des agents AI dotés de privilèges délégués. Les questions d’intention, d’accès, de séparation des tâches et de gouvernance se compliquent avec l’arrivée de systèmes autonomes.

Le défi, selon Rivera, est que de nombreuses organisations luttent encore avec les bases de la gestion de l’identité humaine. Le futur arrive alors que les fondamentaux ne sont pas encore maîtrisés.

Permettre l’innovation sans perdre les garde-fous

Une tension récurrente de la discussion portait sur la façon de soutenir l’innovation rapide, en particulier autour de AI, sans créer de risque inacceptable.

Rivera qualifie ce juste équilibre « d’art et de science », en prenant l’exemple de la Formule 1. « En F1, les voitures veulent aller le plus vite possible, mais comment s’assurer qu’elles intègrent des mesures de sécurité qui permettent au pilote d’aller aussi vite que possible ? » dit-elle. « Comment intégrer des ceintures de sécurité et des structures déformables pour permettre à l’entreprise d’avancer le plus rapidement possible sans... nécessairement se mettre, ou mettre l’entreprise, en danger? »

L’analogie illustre un changement dans la façon dont la sécurité doit fonctionner : les contrôles doivent être intégrés à la dynamique de l’entreprise, plutôt qu’ajoutés ultérieurement comme contrainte.

Mascarenhas présente le même point en termes de gouvernance : « Mettez des garde-fous, puis gérez les garde-fous. »

Il insiste aussi sur la dimension éthique de l’adoption de l’AI. Une AI responsable, la reddition de comptes, la protection des données et un développement durable de la main-d’œuvre doivent tous être intégrés à la discussion sur la sécurité. Ensemble, ces considérations déterminent dans quelle mesure une organisation peut déployer et élargir l’utilisation de l’AI en toute confiance.

Rivera ajoute que la visibilité est essentielle. Les équipes de sécurité doivent savoir ce qui se construit, comment l’AI est utilisée et où le risque fait son entrée. Cela demande non seulement des contrôles techniques, mais aussi de l’éducation et de la sensibilisation à travers l’organisation. Dans plusieurs entreprises, l’enthousiasme pour l’AI dépasse la compréhension réaliste des risques.

Parler aux conseils d’administration le langage des affaires

Pour les deux leaders, une des compétences clés du CISO moderne est de pouvoir communiquer avec la haute direction en des termes qui ont une valeur commerciale concrète.

Rivera explique que les mesures traditionnelles de sécurité échouent souvent au niveau exécutif, car elles ne sont pas directement liées aux résultats d’affaires. « Je ne vais pas discuter en disant... nous avons corrigé dix mille vulnérabilités dans l’environnement, » dit-elle. Selon elle, la meilleure approche est de relier les actions en cybersécurité à la protection des revenus, la continuité opérationnelle et les priorités stratégiques.

« Si je dis qu’on a corrigé 60% des systèmes générant des revenus, ça a plus de résonance, » mentionne-t-elle.

Mascarenhas fait un constat semblable. Les leaders en sécurité doivent arrimer leur message avec les priorités d’affaires, telles que les fusions, la croissance, l’expansion, la résilience et le droit d’opérer. Quand les demandes d’investissement sont présentées comme de simples mises à niveau techniques, elles ressemblent à des plaintes. Lorsqu’elles sont reliées à la continuité d’affaires et à la réduction du risque commercial, elles sont plus faciles à comprendre et à appuyer par les conseils.

Il qualifie cette capacité de « storytelling aligné sur les affaires » et estime qu’elle deviendra l’une des compétences de leadership les plus importantes en cybersécurité.

Talents, perfectionnement et le pouvoir du pivot

Aucune discussion sur l’avenir du leadership en cybersécurité n’est complète sans aborder la question des talents. Les deux intervenants reconnaissent la difficulté de bâtir des équipes qui suivent le rythme de l’AI, de la transformation de l’identité, du risque quantique et des nouveaux modèles opérationnels.

Rivera insiste sur l’importance de l’apprentissage continu. « Si vous ne perfectionnez pas vos compétences, vous n’apprenez pas, vous risquez d’être aussi dépassé que les technologies que nous avons vues disparaître, » dit-elle.

Elle décrit une stratégie délibérée d’investissement dans les personnes, combinant le développement interne, l’embauche sélective à l’externe et le leadership par l’exemple. Elle-même poursuit des études, incluant des cours sur la construction d’applications d’AI générative, car comprendre comment les systèmes sont bâtis l’aide à anticiper leurs vulnérabilités.

Mais le point le plus marquant de Rivera porte sur la stratégie elle-même. Dans un environnement en évolution rapide, les feuilles de route statiques perdent vite leur valeur. « En arrivant à la troisième année, voire même la deuxième, votre planification ne tient plus la route, » dit-elle.

Sa réponse n’est pas d’abandonner la planification, mais de remplacer la rigidité par l’adaptabilité. « La capacité de pivoter est cruciale, » souligne-t-elle. « La seule façon d’obtenir une réelle résilience est d’avoir la capacité de pivoter et d’améliorer continuellement. »

Le CISO moderne : Façonner l’avenir sécuritaire des entreprises

La discussion met en évidence un mandat élargi pour le CISO, combinant cadres de contrôle, défense technique, résilience, aisance en affaires, partenariats et adaptabilité stratégique.

Les leaders en sécurité doivent toujours posséder de solides fondamentaux : bien gérer identité, hygiène, visibilité et réponse. Mais ils doivent aussi anticiper, communiquer clairement, permettre l’innovation et rester agiles à mesure que les technologies et les menaces évoluent.

Ce mandat élargi place le CISO au cœur de la capacité de l’entreprise à avancer en toute sécurité vers l’avenir.