Speaker #0Votre CISO peut-il vraiment influencer les décisions ? Est-ce qu'il est là pour piloter votre stratégie de sécurité de l'information, ou bien pour être compliant, conforme, et dire avec fierté « Hey, nous avons un ou une CISO » . Imaginez une entreprise qui recrute un CISO, c'est le Chief Information Security Officer en fait, le Saint Graal, beaucoup d'appelés, mais très peu d'élus. Et si ce poste fait rêver, comme dans l'armée ? Il doit se comporter comme un général, mais est encore trop souvent perçu comme soldat ou bouc émissaire. Trois mois plus tard, il découvre qu'un contrat cloud stratégique a été signé sans lui, donc pas de classification du fournisseur. Oups, NIS2. Oups, ISO 27001 aussi. Et puis, probablement que la direction pense que le Vendor Lock In est le nom d'un nouvel algorithme de chiffrement PQC, et que la clause de réversibilité est... je te laisse deviner. Un nouveau produit arrive en production vendredi, et là, la direction lui demande pourquoi personne n'a évalué les risques. Pourtant, sur l'organigramme, tout avait l'air en ordre. Alors dans cet épisode, je te décortique où, selon moi, devrait être placé le CISO. Et les red flags. Bienvenue dans Compliance Without Coma, le podcast qui parle de cybersécurité, de gouvernance et d'ISO 27001 sans te plonger dans le coma. Je suis Fabrice De Paepe et depuis plus de 20 ans j'accompagne des organisations à construire des systèmes de management qui fonctionnent vraiment. Et aujourd'hui, je vais décortiquer la position du CISO et identifier quelle serait sa meilleure place dans l'entreprise. Alors notre CISO, on lui donne un titre avec un beau petit C devant. Ou un C majuscule, c'est toi qui vois. Mais il n'est pas au board. On lui donne un ordinateur, quelques politiques à mettre à jour et une mission. Sécuriser l'entreprise. On ne lui donnera pas de pilules pour dormir, ni pour avoir son plus beau plumage, car notre CISO doit aussi être un oiseau de nuit. Doit aimer les cernes et la caféine, etc. Tiens, ça vient peut-être de là, le C de CISO. Pour les cernes et la caféine. C'est pas de chief, en fait. Alors on dit souvent que dans toute nouvelle fonction, il y a les fameux 90 jours pour réussir sa prise de poste. Et encore un livre, tiens. Mais imagine, tu es CISO. Tu viens d'arriver dans ta boîte. Que fais-tu en premier ? Et je ne te parle pas d'une société qui est déjà ISO 27001 ici. Les trous, tu vas devoir les trouver toi-même. Top chrono, tu as 90 jours. Le Board t'a présenté à tout le monde dans la société. Tu es la victime consentante qui va subir. Qui va subir quoi ? La pression du board, la pression des auditeurs, des manques de budget. Et tu risques de constater que tu es le cheap information security officer. Et de toute façon, ce sera ta faute si ça ne marche pas. Alors, où faut-il placer le CISO ? Sous le directeur informatique ? Sous le directeur des risques ? Parfois, il n'existe même pas. Directement sous le CEO ? Directement sous le CTO ? Mais là, en binôme alors. Et surtout, une fois qu'on l'a placé, est-ce qu'on lui permet réellement de faire son travail ? Alors souvent, je le vois sous le directeur informatique, le DSI manager ou le CIO. En l'état, j'ai un problème avec ça. Car est-ce que je te parle de sécurité informatique ? Non. Tu sais, les virus et les pare-feux. Non, non, non, je ne te parle pas de ça. Je te parle de sécurité de l'information. Donc, si tu es en dessous du DSI, ton plafond de verre est déjà atteint. C'est le principe de Peter. Et si malgré tout, c'est le cas, et que tu as une structure très hiérarchisée, red flag. Là, la seule porte de sortie que je vois dans ce cas, c'est de créer un comité de pilotage de la sécurité de l'information. Un Steerco, un Steering Committee. Et dans ce comité, tu joues des pieds et des mains pour faire descendre quelqu'un de la direction qui n'en a peut-être rien à faire de la sécurité de l'information, justement. Et tu te fais proclamer chairman de ce comité. Tout cela validé, bien entendu, par le management. Ça peut marcher, je l'ai déjà vu. Maintenant, même structure, mais j'ajoute le DAF, le Directeur Admin et Financier, ou le CFO, au-dessus du CIO. Tu as l'image ? Et là, ça devient déjà bien plus compliqué, car tu vas, à un moment donné, produire des documents qui ennuient les VIP de ton organisation. Dis, depuis que tu m'as mis l'antivirus, je ne peux plus travailler. En fait, je peux avoir accès à Internet sans VPN depuis ma tablette ? Et tu vas aussi leur demander de dépenser de l'argent en plus pour ça. Je te rappelle que c'est une des choses les plus difficiles à faire percevoir en sécu de l'info. Est-ce que je dépense de l'argent ? Ouh, ça c'est négatif dépenser de l'argent. Ou bien, est-ce que j'investis dans la sécurité de l'entreprise ? Afin qu'elle puisse faire encore plus de business et de profit. Dans l'effet comptable, c'est la même chose, sauf peut-être pour l'invest. Mais cela reste une dépense. Donc, Quelle est ta capacité à vendre tes idées ? Je ne parle pas de ta capacité à toi, ni de tes compétences, mais est-ce que tu peux vendre cela dans ton organisation en fonction de ton poste, et surtout de ta situation dans l'organigramme ? Sinon, tu n'es pas un CISO, comme ils voudraient te le faire croire. Tu es ISO, pour Information Security Officer, ou référent sécurité. Un rôle de conseiller, en fait. Tu conseilles le général, mais tu n'es pas général. Ça, c'est compliqué. car tu dois demander de l'argent au CIO. Oh, encore un budget IT. Et qui doit demander de l'argent ? Au CFO. Il y aura de la friction sur les ondes. Et là, tu t'en sortiras pas avec quelques feuilles d'aluminium pour isoler le bruit. Et aussi, je l'ai déjà vu sous le directeur des risques, c'est-à-dire le CRO, le Chief Risk Officer. Eh bien, ça peut le faire. Ça peut le faire parce que le CRO est censé avoir une vue transversale sur les risques organisationnels. Donc plutôt orienté ISO 31000 que ISO 27005. Mais finalement, c'est à toi de venir ajouter ton framework et à ta lignée. Mais là, au moins, tu as un interlocuteur de choix, puisqu'à ce coma, vous allez tous les deux parler risque, sans faire peur. Et tu devras non seulement connaître l'appétit du risque de l'entreprise, ça c'est très utile, ça va t'éviter de tirer dans le vide, mais si c'est une banque, bon, on sait qu'il est faible, mais surtout... tu vas devoir connaître la capacité du risque. Et la capacité du risque, c'est le niveau maximal de la perte financière que ton organisation peut supporter objectivement. Et ça, c'est sans compromettre son niveau de vie, ses engagements essentiels, sa résilience. Il faut bien que quelqu'un se mouille. Et là, c'est pour la direction. C'est elle qui va valider ou invalider cette décision. Mais ça, à toi d'en parler. Donc tu as besoin pour ça, pour t'aligner ou d'aligner ton discours. Tu dois discuter avec le CRO. Et si le CRO est au board, ou au comdir, ou au dircom, ou au comité de direction, tu vas pouvoir lui souffler tes idées. Et ça, c'est pas du whistleblowing. Mais de toute façon, remonte-les comme un risque. Si les risques sont acceptés, tu dors tranquille. T'es pas accountable de leurs risques. Tu es responsible. Tu pourrais aussi créer ton SAB. Le fameux Security Advisory Board que tu ne trouveras nulle part dans aucun framework. Mais non, parce qu'il est de moi. mais ça c'est plus une instance opérationnelle qui va te permettre de collecter les KPI, de revoir les actions en cours, le suivi des risques et des non-conformités, etc. Et là, pas besoin de la direction, tu le pilotes avec le CISO, ou si c'est toi le CISO, mais le responsable de chaque équipe vient, et on discute des projets, et tu rapportes ceci à la direction. Et alors, tu pourrais également avoir le CISO directement sous le CTO. Un avantage, c'est que vous allez parler technique tous les deux. L'inconvénient, le CTO risque de parler produit, alors que toi, tu dois sécuriser toute la boîte. Si ça n'est pas de... On parle pas que produit, on parle pas que du scope ISO. Tu peux également être directement sous le CEO. Encore jamais vu, en tout cas ici. Je vais dire en Europe, mais pourquoi pas. À creuser, tiens. Mais pour moi, être CISO, c'est un peu une sorte d'évangéliste. Mais des temps modernes. Un peu comme un Charlie Chaplin dans les temps modernes, lui, c'était des boulons. Nous, c'est risque, incident, sensibilisation. De temps en temps, je vous l'avais bien dit, et en boucle, risque, incident, sensibilisation. C'est-à-dire qu'on a toujours notre bâton de pélerin là, mais aujourd'hui, je te parlerai plutôt du terme influenceur. Oui, je sais, vu comme ça, ça peut être vu comme négatif, mais influenceur, il y a influence dedans, influencer. C'est aussi influencer positivement la vie des gens. La vie d'un produit, la sécurité d'une société. Mais aujourd'hui, on n'a plus le temps de faire 200 km à pied, les menaces IA vont à la même vitesse que la lumière. Ben oui, elles passent par la fibre, donc tout va trop vite. Donc je vois le CISO avec des skills d'influenceur. Je n'irai pas jusqu'à mettre le CISO dans les parties intéressées du SMSI, parce qu'il a une position interne avant tout, mais c'est un peu ça. Donc si tu engages un CISO et que tu lui donnes aucun pouvoir, à quoi il sert ? Bon. Et dans Dora, je le place où mon CISO ? Tu vas voir que c'est un mix de ce qu'il y a au-dessus, en fait. En tout cas, c'est une fonction qui doit comprendre le business. Cela suppose de comprendre comment l'entreprise fonctionne, comment elle gagne de l'argent ou remplit sa mission. Quels services doivent rester disponibles ? Ah, ça, je sens la petite BIA qui pointe le bout de son nez. Et non, ce n'est pas uniquement restaurer une appli. Ça, c'est pour l'IT. Quels engagements elle prend envers ses clients, la société ? Et quels risques elle peut accepter ? Je te renvoie à ma discussion avec le CRO, en fait. Mais prenons une institution financière. Le sujet, ce n'est pas uniquement de corriger une vulnérabilité, c'est aussi de comprendre si elle menace les paiements, l'accès aux comptes, la confidentialité des dossiers ou la capacité à reprendre une activité interrompue. Je ne te parle même pas du RGPD. Et depuis un petit temps, en Belgique, les banques devraient rembourser les fraudes de phishing. Je dis « devraient » , car cela risque encore de bouger. Le CISO a son droit de regard sur les services achats, mais n'a pas le temps. Donc il va, ou devrait, regarder si le process TPRM, pour Third Party Risk Management, est bien réalisé, pour être lui-même conforme aux différentes exigences. Le CISO doit traduire cette situation en choix compréhensible, voir et identifier quelles sont les conséquences possibles, quelles sont les options, quels sont les coûts et quel risque qu'il restera. Ça, on appelle ça un risque résiduel, en fait. Donc rien de neuf. Mais attention, parce qu'aligner la sécurité sur le business ne signifie pas dire oui à tout. Il faut aussi pouvoir contester une décision, rappeler une obligation, et faire remonter un risque que personne ne veut regarder. Et le CISO ne devient pas, en tout cas de par son titre, propriétaire de tous les risques de l'entreprise. Non, non, non, sinon, c'est le fusible. Les dirigeants et les responsables métiers doivent assumer leurs décisions dans le cadre des délégations prévues. Mais dans la finance, que demande réellement Dora ? Dora ne dit pas « placez systématiquement votre CISO sous le CEO » . L'article 5, par contre, confie à l'organe de direction la responsabilité du cadre de gestion du risque informatique. Donc, le comment est un mix de ce que je t'expliquais déjà en ouverture. Et dans ce régime général, l'article 6 prévoit notamment une fonction de contrôle, disposant d'un niveau d'indépendance approprié pour éviter les conflits d'intérêts, ainsi qu'une séparation appropriée entre gestion des risques informatiques, contrôle et audite interne. Ce sont les lignes de défense, ça. Normal, on est dans le corporate management et la finance, et tout ce qui est banque. Donc, grosse structure, rien de neuf. Ce qui me dérange, c'est de nouveau le terme informatique et risque informatique. C'est-à-dire qu'on est purement sur la technologie. Une fuite de données peut très bien ne pas être informatique. Quid ? Donc il y a également des exceptions, il y a un régime simplifié qui existe selon les entités DORA. Je ne vais pas descendre dans le cas par cas ici par contre. Et l'article 6 aussi demande d'expliquer comment le cadre de gestion du risque informatique soutient la stratégie et les objectifs de l'entité financière. Mais perso, encore une fois, j'ai toujours un problème avec ce mot informatique. qui risque in fine de renvoyer mon CISO en dessous du CIO. Et si je regarde l'alignement business, il est bien présent dans le texte. Mais aucun organigramme unique ne remplace l'analyse des responsabilités réelles. Donc concrètement, je commencerais par demander, que fait votre CISO ? Dirige-t-il les opérations de Sécu ? Est-ce qu'il définit les règles ? Est-ce qu'il a le contrôle sur leur application ? Pas les mobile apps, l'application des règles. Et est-ce qu'il évalue les risques ? Est-ce qu'il a plusieurs fonctions ? Le titre seul ne répond à aucune de ces questions. Et pour organiser cela, le modèle des trois lignes de défense de l'IIA apporte un repère. On a les activités opérationnelles qui gèrent les risques, les fonctions de deuxième ligne apportent l'expertise, l'accompagnement, la surveillance et le challenge, et l'audit interne apporte une assurance indépendante. Ce sont des rôles à distinguer, pas simplement trois étages à dessiner. Un schéma possible dans une institution financière serait donc de placer les opérations de sécurité dans la filière informatique, le contrôle du risque informatique dans une filière risque suffisamment indépendante et l'audit interne à part. C'est une possibilité d'organisation. Je ne te dis pas que c'est une prescription universelle. Mais mon point d'attention serait plutôt le suivant. Si le CISO doit contrôler des décisions informatiques, est-ce qu'il peut les contester ? S'il vient trop tard, on est foutu. Et qui évalue indépendamment les activités dont il est lui-même responsable. Et pour NIS2 ? On en parle partout de NIS2. Alors là... On risque encore même d'en parler très longtemps. D'abord parce que certains CEO ne sont pas au courant qu'ils peuvent directement être mis dans la sauce par NIS2. Mais on attend. On attend, on verra bien, quand les différents organismes de régulation nationaux auront terminé leur chasse aux sorcières. Peut-être que cela changera aussi de ce coma. En attendant, justement, on n'attend pas pour être conforme NIS2, c'est tout de suite. Avec NIS2, du coup, même prudence, parce que la directive ne fixe pas un rattachement hiérarchique universel du CISO. Son article 20 prévoit que les organes de direction des entités concernées approuvent les mesures de gestion des risques, cyber, et supervisent leur mise en œuvre. Là, on est un peu plus loin qu'informatique, on est monté sur cybersécurité. Donc il prévoit également leur formation et un mécanisme de responsabilité selon le cadre applicable. Il faut ensuite regarder la transposition nationale et les éventuelles règles sectorielles. La conséquence pratique en fait que j'en tire, elle est simple. Recruter un CISO ne permet pas à la direction de se désintéresser du sujet. Si elle doit prouver et superviser, elle a besoin d'une information exploitable, elle a besoin d'arbitrage très explicite et d'un suivi. Un tableau de bord envoyé dans une boîte mail ne suffit pas à démontrer qu'une discussion a eu lieu. Alors, sous qui le placer le CISO au niveau de NIS2 ? Je regarderais d'abord plusieurs configurations, avec leurs avantages et leurs points de vigilance. Sous le CIO, le directeur informatique, le CISO peut être proche des équipes, des architectures et des projets. Ça peut faciliter l'exécution. Le risque apparaît lorsqu'il doit remettre en question les choix de la personne qui fixe ses priorités, son budget et son évaluation. Il est trop bas dans l'organigramme. Donc mon conseil serait de clarifier son mandat, prévoir un mécanisme d'escalade et organiser les contrôles indépendamment. si c'est nécessaire, et un lien fonctionnel dessiné en pointillé doit correspondre à un accès réel. Tu le vois mon steering committee ? Et alors on peut le mettre sous le CRO, tu sais le fameux directeur des risques. Donc là le CISO peut bénéficier d'une vision globale des risques et d'un meilleur recul sur les opérations informatiques. Le piège serait de devenir excellent dans des tableaux de risques, mais trop éloigné des systèmes et des équipes qui doivent agir. Donc mon conseil à ce coma est de préserver des échanges réguliers avec l'architecture, les opérations, les responsables produits et les projets. Tu le vois tout doucement se dessiner l'agenda du CISO qui se remplit ? Donc, sous le CEO, on est toujours dans NIS2, sous le CEO, le CISO peut avoir une visibilité stratégique et un accès aux arbitrages. Mais ce rattachement ne produit aucun miracle si le CEO ne lui consacre jamais du temps. Mon conseil alors est d'obtenir une cadence d'échange et de décision concrète, un budget, une priorité, un responsable, une échéance. Sous le CTO ? ou le COO plutôt, le directeur des opérations, le lien avec la continuité des services peut être fort. Donc mon conseil serait, alors de vérifier que le périmètre couvre aussi les enjeux qui dépassent la disponibilité, donc on a confidentialité et intégrité, mais également obligations contractuelles, et les risques liés à l'information. Donc dans tous les cas, je distinguerais trois choses. Qui est responsable hiérarchique ? Devant quelle instance ? Une rencontre ? Et vers qui il peut escalader à des accords majeurs ? Et attention ! NIS2, c'est toute la société, pas seulement l'IT. Donc si tu le mets sous le CIO, il va y avoir un souci. C'est pas non plus seulement l'un ou l'autre produit. Donc si tu le mets sous le CTO, tu vas avoir un autre souci. Donc en fait, il faut être capable de parler stratégie business à un moment ou l'autre, et pas uniquement sécurité de l'information. Aussi, que disent les autres référentiels ? Bon déjà, l'ISO 27001 n'en parle pas. Le NIST ? Pour le Cybersecurity Framework, lui, il va donner une place explicite à la gouvernance avec sa fonction Govern. Outsch, ça fait penser très politique, ça. Donc, le NIST insiste notamment sur les responsabilités, les autorités et les ressources. Pour notre sujet, cela pousse à vérifier si les responsabilités attribuées au CISO sont accompagnées d'une capacité réelle à agir. Tu ne peux pas dissocier responsabilité d'autorité. Et on revient au même CISO, où... ISO mal payés à qui on fait miroiter le poste CISO, si tu veux. Ce cadre, en fait, ne fournit pas un supérieur hiérarchique unique à recopier. Donc, up to you. On a également COBIT qui apporte un autre angle relié les objectifs de l'entreprise aux objectifs de gouvernance et de management de l'information et des technologies. On y trouve notamment la gestion des risques, tiens, ça me dit quelque chose, de la sécu, des fournisseurs et des relations. C'est Isaca, hein ? Et donc, on peut parler du CISM également, leur certification. Le CISM consacre quatre chapitres sur comment aligner la sécurité de l'information sur les objectifs métiers. Donc moi je retiens une question utile pour le CISO. À quel objectif de l'entreprise répond chacune de ces priorités de sécurité ? En fait, est-ce qu'on ne devrait pas prévoir explicitement un alignement entre cybersécurité et business ? Ce n'est pas toujours le cas. Un comité réunissant régulièrement des représentants de ces deux mondes ainsi qu'un reporting direct du CISO au CA, au conseil d'administration ou au comité exécutif. Ça, je le vois encore rarement cette dernière... de ce côté de l'Atlantique en tout cas. Donc également, on irait pour directement présenter les risques aux dirigeants. Ce n'est pas nécessairement leur être rattachés hiérarchiquement. Et cette fonction, c'est possible que tu ne la vois pas dans un organigramme, mais cette distinction est importante. Et ce que je regarde aussi souvent dans les entreprises pour lesquelles je travaille, avec lesquelles je travaille, c'est pour estimer la position du CISO dans l'entreprise, je regarde où est son nom, un peu dans tous les documents. quelles sont ses connexions dans l'entreprise, avec qui le CISO travaille-t-il réellement ? Et s'il parle uniquement à l'informatique, comment apprend-il qu'un fournisseur critique va être remplacé ? Parce qu'on ne parle pas que d'autres fournisseurs informatiques. Comment est-ce qu'il sera au courant qu'une acquisition est envisagée, qu'un métier promet une disponibilité particulière à un client ? Il le saura en bout de chaîne ? Là, il y a un twist. Donc, je regarderai ses relations avec la direction. Les métiers, les risques, les achats, le juridique, les ressources humaines, le DPO, forcément, on fait tous du RGPD. La partie légale aussi, mais surtout les équipes techniques. Mais plutôt, je ne vais pas chercher à connecter tout le monde à tout le monde en permanence. Le any-to-any peut vite remplir les agendas sans améliorer les décisions. Donc je vais en fait chercher surtout les connexions qui permettent d'intervenir au bon moment, avec les achats, avant que le fournisseur soit sélectionné, avec les projets. Avant que l'architecture soit figée, avec les métiers, avant qu'un engagement difficile à tenir soit promis au client, avec la direction, avant qu'un risque important soit accepté par défaut. Être consulté après la signature permet souvent de documenter le problème. Fine. Être consulté avant permet parfois de l'éviter. Également, je regarde son agenda. C'est un indice. C'est un indice, mais ce n'est pas un verdict. C'est-à-dire qu'un CISO... Sans échange régulier avec les métiers ou les décideurs, mérite qu'on s'interroge. Est-il connu dans la boîte ? Est-il sollicité ? A-t-il accès aux informations dont il a besoin ? Mais également, attention à l'autre effet pervers, un agenda saturé ne prouve pas davantage son efficacité. Il risque même de ne plus pouvoir avancer du tout. Et s'il doit participer à chaque réunion et approuver personnellement chaque détail, il devient ton bottleneck, le point de blocage. Et l'organisation devient dépendante de sa disponibilité, de son énergie, de sa santé. Et je proposerais aussi une cadence adaptée à la taille et au risque. Des échanges opérationnels ciblés, un point régulier avec les métiers, un comité qui arbitre les priorités et un accès aux dirigeants en cas de besoin. Par défaut, tu as déjà ton steering. J'espère pour toi. Ces fréquences sont à construire, ce ne sont pas des obligations universelles. Surtout à la sortie d'une réunion, qu'est-ce qui a changé ? Une décision ? Une responsabilité clarifiée ? Une mesure financée ou un risque explicitement accepté par la bonne personne ? C'est cela que je regarderai. Et je vais te donner un exercice, tiens, à faire dès demain. Prends les trois dernières décisions importantes de ton organisation. Un contrat, un lancement de produit et une externalisation, par exemple. Et pour chacune, pose-toi cinq questions. À quel moment la sécurité est-elle intervenue ? Tu verras bien si c'est en shift left, en mode run, oups, on éteint, ou déjà un peu tard, mais tu as encore le temps de rectifier. Est-ce qu'elle avait accès aux informations nécessaires ? A-t-elle présenté des options compréhensibles ? Qui a décidé d'accepter le risque restant, le risque résiduel ? Et qui suit les engagements pris ? Ensuite, regarde si le fonctionnement dépend d'une personne qui connaît tout le monde, et passe son temps à relancer. Je vous rappelle que, je vous l'avais bien dit, n'oubliez pas de me mettre en copie. Ou s'il repose sur des responsabilités et des mécanismes durables. Parce qu'un bon CISO doit aussi construire une organisation capable de fonctionner lorsqu'il est absent. On l'engage pour la confiance, mais est-ce qu'on lui en donne les moyens ? Ça c'est autre chose. Alors, où placer le CISO ? Ma position, là où en fait il peut comprendre les enjeux, influencer les décisions assez tôt. Faire remonter les désaccords et exercer son mandat avec l'autorité et l'indépendance nécessaires. Le rattachement compte aussi. Les moyens comptent. Et les habitudes de décision comptent tout autant. Donc dans ton organisation, à quel moment appelle-t-on le CISO ? Quand on étudie les options, quand on a déjà choisi ou quand les problèmes arrivent ? C'est là un bon indicateur de l'influence qu'a le CISO. Et si cet épisode t'a fait peur sur le métier de CISO, c'est pas volontaire. Et c'est pas un métier qu'on doit prendre à la légère. Tu dois savoir dans quoi et vers quoi tu t'engages. Tu dois aimer les sprints, les treks et les marathons. Et la pression. C'est presque avoir des routines militaires en fait. Et être capable de tenir sur la durée. être politicien, technologue, sur le qui-vive, grand tacticien, et tu vois, je ne t'ai même pas encore parlé de certif. Tu dois être conscient de l'univers autour de l'entreprise, et de plus en plus, car la géopolitique aussi vient lécher les bords de ton SMSI. Alors, est-ce que tu cries au loup et on ne t'écoute plus ? Ou bien tu es une personne qui peut embrasser le changement, qui a mis des points d'alerte un peu partout, dans ta toile d'araignée, et donc tu es capable d'être alerté à tout moment ? N'oublie pas de dormir. Mais tu peux être aussi entrepreneur. Et là, tu mets des « et partout » . « Ah, c'est génial, vous avez créé ce nouveau produit, et on va faire ceci, et je vais vous aider à faire ça, et je vais sécuriser votre produit. » Ou alors, tu es plutôt gestionnaire, et tu fais des « oui, mais » . « Ah, oui, tu as lancé tel produit. Oui, mais alors, il faut faire ça. » Et alors là, tu risques d'être vu comme une contrainte par le business. Donc la difficulté, elle est là. C'est une balance, et j'ai pas de recette miracle. Comment garder un équilibre vie privée aussi, vie professionnelle quand on est CISO ? Good luck. Et garder ta santé mentale. Merci Hana pour cette idée sur la santé mentale des CISO, je vais la creuser. Merci également à Raphaël, tiens, pour l'idée de ce podcast, et la position du CISO dans une entreprise financière. J'espère que j'ai pu éclairer un peu plus ta réflexion. Si tu me découvres, si tu connais un CISO, n'hésite pas à partager cet épisode avec un ou une CISO, en devenir également, ou des personnes en reconversion, et parlons stratégie, tiens. Merci d'être toujours plus nombreux à rejoindre les Coma Breakers. On se retrouve vendredi prochain, déjà, pour un nouvel épisode de Compliance Without Coma. D'ici là, prends soin de toi, Coma Breaker.
