L’essor des CISOs dans la haute direction : influence croissante au sein de la direction d’entreprise

Info Cloud

X (Twitter) Facebook Pinterest LinkedIn Email

Évolution du rôle du Chief Information Security Officer (CISO) : un acteur clé dans les conseils d’administration

Le rôle du Chief Information Security Officer (CISO) connaît une transformation rapide, devenant une figure essentielle dans la prise de décisions stratégiques au sein des organisations. Selon le CISO Report 2025, produit par Splunk Inc. en collaboration avec Oxford Economics, les CISOs renforcent leur influence au sein des C-suites et des conseils d’administration à l’échelle mondiale.

Le rapport indique qu’82 % des CISOs interrogés rapportent directement au CEO, une augmentation significative par rapport au 47 % en 2023. De plus, 83 % d’entre eux participent régulièrement aux réunions du conseil, ce qui témoigne d’un changement structurel dans la gouvernance de la cybersécurité. Cependant, des défis persistent quant à l’alignement des stratégies et à la présence d’experts en sécurité au sein des conseils.

Cybersécurité et stratégie d’entreprise : le nouveau rôle du CISO

Face à l’augmentation des cyberattaques et à des réglementations plus strictes, les entreprises accroissent l’importance accordée à la sécurité numérique. Selon Michael Fanning, CISO de Splunk, ce nouveau rôle implique que les CISOs doivent comprendre le fonctionnement de l’entreprise au-delà de leur contexte technologique, en traduisant les investissements en sécurité en termes de retour sur investissement (ROI) et de résilience numérique.

Malgré cette reconnaissance croissante de la cybersécurité comme un facteur clé de succès, une lacune de connaissances persiste entre les CISOs et les conseils d’administration. Seulement 29 % des CISOs interrogés indiquent que leur conseil comprend au moins un membre ayant une expertise en cybersécurité, ce qui pourrait limiter l’efficacité de la prise de décision dans ce domaine.

Conseils d’administration avec expertise en cybersécurité : un impact positif

Le rapport souligne que les conseils incluant des membres ayant une expérience en cybersécurité entretiennent de meilleures relations avec les équipes de sécurité et affichent une plus grande confiance dans la posture de sécurité de l’organisation.

Les chiffres parlent d’eux-mêmes :

80 % des conseils avec un CISO estiment qu’il existe un alignement clair sur les objectifs stratégiques de cybersécurité, contre 27 % des conseils sans CISO.
60 % de ces conseils rapportent une communication efficace sur les avancées et réalisations en matière de sécurité, contre seulement 16 % pour les conseils sans CISO.
50 % des conseils avec un CISO considèrent que le budget alloué à la sécurité est adéquat, comparé à 24 % dans les conseils sans CISO.

En outre, les CISOs ayant de solides relations avec les conseils d’administration rapportent une meilleure collaboration avec d’autres départements clés, tels que les opérations informatiques (82 % contre 69 % des autres CISOs) et l’ingénierie (74 % contre 63 % des autres CISOs).

Priorités et défis : l’écart entre CISOs et conseils

Alors que CISOs et conseils s’accordent sur l’importance de la cybersécurité, certaines différences persistent concernant les priorités stratégiques. Parmi celles-ci :

L’innovation avec les technologies émergentes : 52 % des CISOs la considèrent comme une priorité, contre 33 % des membres du conseil.
La formation du personnel de sécurité : 51 % des CISOs la jugent critique, alors que 27 % des conseils partagent cette opinion.
La contribution aux initiatives de croissance des revenus : 36 % des CISOs la soulignent, contre 24 % des conseils.

De plus, les conseils s’attendent à ce que les CISOs développent leurs compétences en leadership d’entreprise, mais 53 % des CISOs estiment que leurs responsabilités ont augmenté en complexité depuis qu’ils ont pris leurs fonctions. Les principales divergences dans les compétences prioritaires incluent :

Vision d’ensemble : 55 % des conseils la jugent essentielle, contre 40 % des CISOs.
Intelligence émotionnelle : 45 % des conseils, contre 35 % des CISOs.
Communication efficace : 52 % des conseils, contre 47 % des CISOs.
Connaissance des réglementations et conformité : 44 % pour les conseils, alors que 57 % des CISOs la considèrent déjà comme cruciale.

Conformité réglementaire : une préoccupation croissante

Le renforcement des réglementations en matière de cybersécurité et de protection des données accentue la pression sur les CISOs. Cependant, le rapport révèle un désalignement dans l’appréciation de la conformité réglementaire au sein des organisations :

Seulement 15 % des CISOs considèrent l’état de conformité comme un indicateur clé de performance (KPI), contre 45 % des conseils d’administration.
21 % des CISOs admettent avoir été sous pression pour ne pas signaler un problème de conformité.
59 % des CISOs ont déclaré qu’ils seraient prêts à agir en tant que lanceurs d’alerte si leur organisation ignorait les exigences réglementaires.

Cette déconnexion entre CISOs et conseils pourrait compromettre l’intégrité organisationnelle et augmenter le risque de sanctions réglementaires.

Budgets insuffisants : un risque latent

Un des principaux problèmes auxquels sont confrontés les CISOs est le manque de soutien financier pour les initiatives de sécurité.

Seulement 29 % des CISOs estiment avoir des budgets adéquats pour atteindre leurs objectifs de sécurité, contrairement à 41 % des conseils d’administration qui pensent que les allocations sont suffisantes.
64 % des CISOs s’inquiètent de ne pas faire suffisamment face au contexte actuel des menaces et réglementations.
18 % des CISOs ont affirmé qu’ils n’ont pas pu soutenir une initiative commerciale au cours des 12 derniers mois en raison de coupes budgétaires.
64 % des CISOs ont signalé que le manque d’investissement en sécurité a conduit à un cyberattaque.

Les coupes dans le budget ont eu des conséquences tangibles sur les stratégies de cybersécurité, se traduisant par des impacts négatifs tels que :

Réduction des outils et solutions de sécurité (50 %).
Gel des recrutements en sécurité (40 %).
Diminution ou élimination des formations en sécurité (36 %).

L’impact de ces mesures est manifeste : 94 % des CISOs ont été victimes d’une cyberattaque perturbatrice, avec 55 % les ayant subies occasionnellement et 27 % fréquemment.

Conclusion : le CISO comme pilier stratégique

Le rapport de Splunk et Oxford Economics souligne que le rôle du CISO a évolué, passant d’un expert technique à un leader stratégique bénéficiant d’une voix au sein de la haute direction. Cependant, des défis demeurent à relever pour maximiser leur impact dans l’entreprise :

✔ Une meilleure représentation des experts en cybersécurité dans les conseils pour améliorer la prise de décision.
✔ Alignement des priorités entre CISOs et conseils en matière d’innovation technologique et de formation à la sécurité.
✔ Attribution budgétaire adéquate pour la sécurité afin d’éviter des risques opérationnels et réglementaires.
✔ Renforcement de la conformité réglementaire comme élément constitutif de la stratégie de l’entreprise.

Alors que les menaces électroniques augmentent et que les réglementations dans le secteur se renforcent, les CISOs continueront à gagner en importance dans les C-suites et au sein des conseils d’administration. Les entreprises qui réussissent à intégrer la cybersécurité dans leur stratégie commerciale seront mieux préparées à relever les défis de l’économie numérique.