The Sixth Voice of the CISO Data Shows Cyber Risk Has Moved Inside the Workflow

La cybersécurité au cœur des flux de travail : l’évolution du rôle du RSSI

L’analyse des cinq dernières années révèle une mutation profonde du paysage des menaces : la cybersécurité ne se joue plus uniquement au périmètre, mais s’est déplacée à l’intérieur même des outils de travail (cloud, SaaS, outils collaboratifs, IA). Le rôle du RSSI est devenu plus complexe, exigeant une gestion globale de la gouvernance plutôt qu’une simple posture défensive.

Points clés :

• Déplacement du centre de gravité : La sécurité est désormais indissociable de la productivité. Le risque est intégré dans les flux de travail où interagissent identités, données et systèmes automatisés.
• La gouvernance de l’IA : L’usage de l’IA générative est passé de l’expérimentation à l’intégration opérationnelle. 78 % des RSSI estiment que l’IA représente un risque sécuritaire, mais les stratégies de blocage deviennent obsolètes face à l’imbrication de ces outils dans les processus métiers.
• Le facteur humain : Identifié par 79 % des RSSI comme la principale vulnérabilité, le risque humain ne doit plus être traité uniquement par la formation. 93 % des pertes de données matérielles impliquent des employés (malveillants, négligents ou compromis), soulignant la nécessité d’une approche systémique basée sur le comportement.
• Alignement avec le conseil d’administration : Si la visibilité du RSSI a augmenté, les attentes sont jugées excessives (77 %). Le dialogue doit désormais se traduire en risques commerciaux (valorisation, continuité, réputation) plutôt qu’en indicateurs purement techniques.

Vulnérabilités :

• Facteur humain : Prépondérance des menaces internes (utilisateurs malveillants, erreurs humaines, employés sur-habilités).
• Ombres de l’IA : Risques liés à la gestion des données, aux permissions inappropriées et aux décisions automatisées par des agents IA.
• Complexité opérationnelle : Déficit de ressources (79 % des RSSI manquent de moyens dédiés pour gérer les risques liés à l’IA).

Recommandations :

• Gouverner par le contexte : Passer d’une politique de blocage à une gouvernance contextuelle (qui accède à quoi, pour quel usage, et avec quel impact sur la décision).
• Gestion du cycle de vie des accès : Surveiller étroitement le risque humain lors des changements de rôle, des expansions de privilèges et des départs.
• Adapter le reporting : Aligner les communications avec la direction sur les conséquences business (résilience, confiance client, conformité) plutôt que sur le volume des attaques.
• Sécurité intégrée : Traiter les applications SaaS, les systèmes d’IA et les identités comme une seule et même “fabrique de risque” plutôt que comme des domaines de contrôle isolés.

Source