Pendant longtemps, la cybersécurité a été considérée comme une responsabilité essentiellement technique, portée par les équipes informatiques et les responsables de la sécurité.

Cette vision ne correspond plus à la réalité des organisations d’aujourd’hui.

Les conséquences d’une cyberattaque dépassent désormais largement le périmètre des systèmes d’information : elles affectent la réputation de l’entreprise, sa conformité réglementaire, sa valorisation financière et, parfois même, sa capacité à poursuivre ses activités.

Cette évolution transforme profondément la manière dont les entreprises doivent envisager la responsabilité en matière de cybersécurité. Si les RSSI identifient les risques et proposent des stratégies pour les réduire, ils ne décident ni des budgets, ni des arbitrages métier, ni du niveau de risque que l’organisation est réellement prête à accepter.

La cybersécurité est devenue un sujet de gouvernance autant qu’un sujet technologique.

Affaire Coupang : quand la responsabilité remonte jusqu’à la direction

En décembre dernier, Park Dae-jun, directeur général des opérations sud-coréennes de Coupang, a démissionné. Une fuite de données avait exposé les informations personnelles de près de 34 millions de clients, soit quasiment l’ensemble de la base d’utilisateurs de l’entreprise. Park Dae-jun a déclaré quitter ses fonctions afin d’assumer la « lourde responsabilité » de cette violation de données.

Sa démission est intervenue après que les enquêteurs du gouvernement sud-coréen ont conclu qu’il ne s’agissait ni d’une attaque inédite ni d’un événement impossible à empêcher. Un ancien ingénieur, qui connaissait les faiblesses du système, était simplement revenu par une porte virtuelle que l’entreprise avait oublié de fermer. Les autorités ont qualifié cet incident de défaillance managériale plutôt que technique. La responsabilité a été attribuée au dirigeant de l’entreprise, et non au RSSI.

Autrement dit, cette affaire illustre la manière dont une défaillance peut remonter toute la chaîne hiérarchique jusqu'à engager directement la responsabilité de la direction générale. Dans ce type de situation, le regard du conseil d'administration ne s'arrête plus aux seuls responsables de la sécurité.

Les limites du rôle du RSSI

Pendant des années, les dirigeants ont eu le réflexe de tenir le RSSI pour responsable lorsqu'un incident de sécurité survenait. Après tout, c'est lui qui pilote la stratégie de cybersécurité de l'entreprise. Pourtant, ce raisonnement atteint rapidement ses limites.

Le RSSI ne prend pas les décisions qui déterminent réellement le niveau d'exposition de l'organisation. Il ne définit pas les budgets. Il ne décide pas du niveau de risque que l'entreprise est prête à accepter. Il ne peut pas imposer aux différentes directions métiers d'appliquer des politiques de sécurité lorsque celles-ci poursuivent d'autres priorités. Son rôle consiste à présenter les risques ainsi que les différentes options de réduction au comité de direction. C'est ensuite à celui-ci de décider de la marche à suivre.

Les conséquences d'un incident cyber sont le reflet de ces décisions. Si une organisation sous-investit dans sa cybersécurité, ce n'est pas un échec du RSSI. C'est un choix de gouvernance. Lorsqu'une violation survient, la responsabilité devrait logiquement suivre le pouvoir de décision. Dans la plupart des organisations, ce pouvoir appartient au directeur général.

La défaillance cyber comme faute de gestion

Pendant longtemps, les conseils d'administration ont considéré les violations de données comme un problème informatique. Cela a toujours été une erreur. Et pour beaucoup d'entreprises, cette perception demeure encore aujourd'hui.

Pourtant, lorsque les conséquences financières et réputationnelles deviennent impossibles à contenir, cette distance disparaît. Une fuite touchant des dizaines de millions de clients ne crée pas uniquement un problème juridique : elle dégrade durablement l'image de l'entreprise, influence sa valorisation boursière et attire immédiatement l'attention des autorités de régulation. Toutes ces conséquences relèvent de la responsabilité du dirigeant.

De la même manière que les conseils d'administration posent aujourd'hui davantage de questions avant qu'un incident ne survienne, les régulateurs se montrent désormais beaucoup plus précis après une cyberattaque. Dans les affaires les plus médiatisées, les autorités considèrent de plus en plus les défaillances de cybersécurité non comme un simple manque de chance, mais comme le symptôme possible d'une négligence de gouvernance.

Cette pression redéfinit progressivement les attentes vis-à-vis du rôle du RSSI. Sa mission consiste à fournir à la direction une vision claire des risques ainsi que des arbitrages qu'ils impliquent. Les décisions qui suivent relèvent ensuite de la responsabilité de l'entreprise. Sans impulsion au plus haut niveau, les stratégies de cybersécurité restent souvent au stade des recommandations.

Aligner les bonus des dirigeants sur la sécurité globale

Intégrer cette notion de responsabilité dans le fonctionnement d'une organisation est loin d'être simple et demeure très inégal selon les entreprises. Une grande partie du sujet dépend de la manière dont la performance des dirigeants est évaluée et récompensée.

Lorsque les objectifs du directeur général sont principalement liés à la croissance du chiffre d'affaires et tiennent peu compte des résultats en matière de cybersécurité, cela influence naturellement les priorités de toute l'organisation.

Dans les rares entreprises où la responsabilité cyber est clairement intégrée à la gouvernance, le changement commence généralement par les attentes fixées à la direction plutôt que par des mesures techniques. Les conseils d'administration ne pilotent pas les opérations de sécurité au quotidien, mais leur influence s'exerce à travers la façon dont les risques sont discutés, les arbitrages évalués et les actions attendues de la direction dans la durée.

L'enjeu n'est pas tant de désigner un coupable que de clarifier où se situe la responsabilité ultime lorsque des risques connus ne sont pas traités.

Lorsqu'une enquête gouvernementale conclut qu'une violation de données majeure résulte avant tout d'une défaillance de gouvernance, et qu'un directeur général démissionne pour en assumer la responsabilité, cela traduit une évolution discrète mais profonde de la manière dont les responsabilités sont désormais attribuées. Dans ces situations, il devient évident qu'un problème de gouvernance ne peut être résolu par une simple correction technique, ni être porté par la seule fonction sécurité.

Le vrai rôle de la direction générale

Les organisations changent rarement parce que les risques sont bien compris. Elles évoluent généralement lorsque les conséquences de leurs décisions deviennent impossibles à ignorer. En cybersécurité, ce lien reste encore l'exception plus que la règle. Mais lors des incidents les plus graves, il devient de plus en plus difficile de l'éluder. La pression réglementaire, les réactions des marchés et l'attention du public convergent désormais de plus en plus vers la direction générale.

L'évolution des menaces, le renforcement des exigences réglementaires et l'impact financier croissant des cyberincidents rendent cette clarification indispensable. Le rôle du RSSI n'est pas d'assumer seul le risque cyber de l'organisation, mais de fournir à la direction la visibilité nécessaire pour prendre des décisions éclairées.

La véritable question n'est donc plus de savoir qui sera tenu responsable après une cyberattaque, mais comment les entreprises organisent aujourd'hui le partage de cette responsabilité. Car lorsqu'un risque devient stratégique pour l'activité de l'entreprise, sa gouvernance doit, elle aussi, devenir stratégique.

*John Kindervag est Chief Evangelist chez Illumio

Photo : © DR