Gouvernance
Voir le RSSI comme un leader, pas un fusible
Par Laurent Delattre, publié le 31 juillet 2026
À l’ère des menaces multiples, augmentées par l’IA et les agents autonomes, et alors que la surface d’attaque ne cesse de s’étendre, le rôle du RSSI doit être considéré comme stratégique, plus seulement technique. Pourtant, à mesure que le risque cyber s’invite à l’agenda du conseil d’administration, bon nombre d’entre eux demeurent isolés, pris par des tensions contradictoires et tenus responsables de ce qu’ils ne maîtrisent pas.
Pourtant dans les faits, nos RSSI sont les leaders de la gestion crise cyber. Pourquoi sont-ils déconsidérés le reste du temps ?
Par Raphaël Marichez, CSO France et Europe du Sud, Palo Alto Networks
Lorsqu’une cyberattaque frappe, c’est vers le RSSI que les dirigeants se retournent. Le temps de la crise, il devient une sorte de dirigeant de l’ombre : dans la tempête, il prend des décisions pour son entreprise, il arbitre entre l’essentiel et l’urgent, il rassure les équipes, le conseil d’administration, les clients et les fournisseurs, en sachant que chaque minute perdue peut aggraver les dégâts et mettre à mal le plan de résilience et le rétablissement. Une fois l’orage passé, il doit rendre des comptes sur l’incident qu’il vient de gérer, parfois jusqu’à voir sa responsabilité engagée, tout en devant empêcher le suivant. Son influence sur les décisions stratégiques, elle, se réduit à nouveau.
Ce cercle vicieux a un coût. En France, une étude du CESIN le mesure : un RSSI sur deux se déclare stressé, un sur quatre en stress élevé, et 7 % se disent proches du burn-out. Plus alarmant encore : 58 % reconnaissent avoir validé des politiques de sécurité contraires à leur jugement professionnel, par évitement du conflit. Avec une durée moyenne en poste de seulement entre 18 et 26 mois, le modèle actuel n’est pas tenable. Le temps est venu de reconnaître le RSSI pour ce qu’il est devenu de facto : un dirigeant et non un rôle technique.
Cela passe par trois leviers :
1 – Équilibrer la structure des responsabilités.
La charge ne peut reposer sur les épaules d’une seule personne. On juge encore le RSSI à l’absence d’incident plutôt qu’à la qualité de la préparation de l’entreprise. Or, “red teaming”, exercices sur table et simulations allègent la pression en entraînant et expérimentant la répartition des rôles avant la crise. Encore faut-il ne pas retomber en mode routine une fois l’orage passé : la vraie résilience suppose une participation au plus haut niveau de gouvernance d’entreprise, un investissement dans le leadership autant que dans les certifications, et un modèle de « RSSI partagé », avec responsabilité distribuée, adjoints et plans de succession. La résilience devient alors un état de l’organisation, elle ne repose pas sur un individu.
2 – Investir dans la diplomatie stratégique.
Le succès d’un RSSI tient à ses alliances. Le « diplomate » fait passer la conversation du « non » au « comment », en alignant les objectifs de sécurité sur les priorités du comité exécutif. L’enjeu est concret : 73 % des RSSI français perçoivent un écart entre les attentes de leur organisation et leur capacité réelle d’action, et 77 % ressentent du stress lors des audits. Sécurité et croissance doivent former un même tissu : intégrer la sécurité dès la conception des produits et des outils d’IA évite d’en faire un obstacle à franchir trop tard, quand le coût de correction a déjà explosé.
3 – Exploiter l’IA pour accélérer.
Les attaques assistées par IA ne dorment jamais et opèrent en millisecondes. La réponse n’est pas la fuite en avant, mais de positionner l’humain au bon endroit : automatiser le tri et l’investigation de routine libère les équipes du bruit opérationnel ; réduire le nombre d’outils déconnectés supprime angles morts et frictions dans la compréhension des événements. En parallèle, participer à la gouvernance de l’IA ne doit pas devenir une nouvelle source d’épuisement. Le RSSI doit aider son organisation à adopter l’IA sans laisser filer le shadow AI sans contrôle. L’adoption de l’IA est l’opportunité pour le RSSI de « briller sur ses fondamentaux » : zero trust, moindre privilège et authentification robuste en tête, apportant les conditions de la confiance pour l’innovation.
Et maintenant, quelle est la prochaine étape ?
Reconnaître le burn-out des RSSI et s’organiser pour le prévenir n’est pas qu’un geste social : c’est évidemment une obligation pour une entreprise cyber-résiliente, et le socle d’un avantage compétitif. C’est ainsi que l’on retient ses meilleurs défenseurs, en passant d’une culture du bouc émissaire à une culture de résilience partagée. Plus largement, c’est la marque des organisations qui tiendront dans la durée : celles qui savent reconnaître à la fois les risques cachés et les tensions humaines, devenues une responsabilité commune. Le signal encourageant existe déjà. En France, le niveau de stress des RSSI a reculé de dix points depuis 2021 et 85 % d’entre eux disent désormais bien vivre l’adrénaline de la crise. La preuve qu’avec des structures de responsabilités plus équilibrées, davantage de considération et une bonne vision technologique, la tendance peut s’inverser. À condition de ne pas attendre la prochaine crise pour s’en souvenir.
À LIRE AUSSI :
À LIRE AUSSI :
À LIRE AUSSI :
