Les cyberattaques font depuis longtemps partie du quotidien des entreprises, des autorités et des infrastructures critiques. Selon le Centre national pour la cybersécurité (NCSC), 49 380 incidents ont été signalés en 2023 – soit environ 30 % de plus que l’année précédente. Les hôpitaux, les communes et de nombreuses PME ont été touchés.
Pourquoi toutes les entreprises n’ont pas de CISO
Malgré l’augmentation des risques, de nombreuses entreprises ne disposent toujours pas d’une fonction de CISO. La Security Priorities Study 2024 de CSO montre que seuls 45 % des entreprises nord-américaines ont nommé un CISO. Les PME en particulier ont du mal à consacrer les ressources nécessaires à une direction de la sécurité. Selon une étude de l’ENISA, cela concerne également l’Europe.
Les entreprises dotées d’un CISO associent de manière prouvée leur conseil d’administration plus étroitement aux questions de sécurité – comme le confirme le rapport State of the CISO 2024 d’IANS.
Une question politique : où placer le CISO
Le rattachement organisationnel en dit long sur la manière dont une entreprise prend au sérieux les risques cyber. Si le CISO relève du CIO, la sécurité est souvent considérée comme un coût informatique. S’il est rattaché au CSO, la cybersécurité est vue comme une composante de la sécurité physique. Le signal le plus clair est donné lorsque le CISO rend compte directement au CEO ou au conseil d’administration – comme le prévoit la directive européenne NIS-2.
Champs d’action sous réelle pression
Le rôle du CISO va de la prévention à la gouvernance, jusqu’à la gestion de crise. Des exemples suisses illustrent l’urgence : la commune de Rolle (VD) a été paralysée pendant des semaines en 2021 après une attaque par ransomware (Le Temps). Avec la loi révisée sur la protection des données (revLPD), des obligations de transparence plus strictes s’appliquent depuis septembre 2023. Et le piratage MOVEit à l’été 2023 a montré la vulnérabilité des chaînes d’approvisionnement mondiales.
Profil de compétences : plus que de la technique
Un CISO doit savoir relier technologie et stratégie. La FINMA exige des établissements financiers qu’ils mettent en place une gestion systématique des risques TIC au niveau de la direction. Des certifications internationalement reconnues comme CISSP, CISA ou CCSP sont également très répandues en Suisse et témoignent d’une expertise et d’une formation continue.
Des exigences différentes selon les secteurs
Le rôle du CISO varie selon les secteurs. Dans la santé, les hôpitaux sont une cible privilégiée des ransomwares (ENISA). Dans la finance, les banques doivent déclarer les risques cyber dans leur système de contrôle interne (Rapport annuel FINMA 2023). Les PME, quant à elles, se concentrent souvent sur la mise en œuvre de mesures de base comme l’authentification multifacteur, avec des moyens limités.
Modèles flexibles : CISO as a Service et CISO on Demand
Toutes les entreprises ne peuvent pas se permettre un CISO à plein temps. C’est pourquoi beaucoup optent pour le CISO as a Service (CISOaaS) ou le CISO on Demand. Selon l’étude Cynomi 2024, plus de 70 % des fournisseurs de sécurité managée constatent une demande croissante pour ces modèles. Sachant que 99 % des entreprises suisses sont des PME, ces modèles offrent une solution pragmatique.
Conclusion
Le CISO est bien plus qu’un spécialiste technique. Il est un traducteur entre technologie, risque et stratégie – et donc indispensable à toute entreprise. Qu’il soit intégré à la direction ou disponible sous forme de service : la question n’est pas de savoir si une entreprise peut se permettre un CISO, mais si elle peut se permettre de ne pas en avoir.
CISO as a Service – votre prochain pas
Toutes les entreprises n’ont pas les ressources pour occuper en permanence un poste de CISO. C’est précisément là qu’intervient notre offre CISO as a Service. Vous avez accès à des experts en sécurité expérimentés, qui soutiennent votre entreprise
