En mars, Troy Stairwalt a démissionné de son poste de CISO pour l'État du Wisconsin, après l'échec de la demande de budget biennal en cybersécurité de l'État à obtenir le soutien nécessaire à l'examen législatif, et la suppression des financements fédéraux de plusieurs programmes de cybersécurité.
Fin mai, personne n'avait encore été recruté pour remplacer le responsable de la sécurité des systèmes d'information, bien que le Département de l'Administration de l'État espère pourvoir le poste prochainement, selon un porte-parole.
Ce type de vacance dans la direction de la cybersécurité, même sur une courte période, est sans doute plus fréquent qu'on ne le pense — d'autant que la durée moyenne du mandat d'un CISO est estimée à seulement 18–26 mois, selon un 2023 rapport, bien en deçà des 4,9 années en moyenne pour les autres postes de direction.
L'impact de ces durées de mandat sur les nouvelles obligations réglementaires et les exigences de conformité, qui ont connu une croissance exponentielle au cours des deux dernières années, reste difficile à évaluer. Une chose est néanmoins certaine : le départ d'un CISO peut survenir à tout moment, laissant l'entreprise sans cap en matière de sécurité et plus exposée à un large éventail de menaces, ce qui rend un plan de succession du CISO indispensable pour toute organisation.
Le cabinet de recrutement de cadres Heidrick & Struggles, dans son 2024 Global Chief Information Security Officer Organization and Compensation Survey, a constaté que parmi les 416 CISO interrogés dans le monde au cours de l'été 2024, un peu moins de la moitié (47 %) ne disposaient pas d'un successeur interne en mesure de prendre le relais en cas de départ inattendu — ce qui pourrait s'avérer particulièrement coûteux compte tenu de la forte concurrence sur le marché des talents en cybersécurité.
« Ne soyez pas pris au dépourvu », déclare Paul Perry, leader de la pratique de conseil en risques chez Warren Averett, un fournisseur de services technologiques, comptables et autres services aux entreprises. « Et s'ils gagnaient à la loterie et ne se présentaient pas au travail le lendemain ? »
Votre plan de succession pour le CISO : la réponse à l'évolution des exigences de conformité et aux nouvelles réglementations
Au-delà d'un gain à la loterie, plusieurs facteurs peuvent contribuer au départ d'un CISO – comme l'élargissement du périmètre du job et la multitude de sources de pression qui en découlent.
"Ne soyez pas pris au dépourvu."Paul Perry, leader de la pratique de conseil en risques, Warren Averett
De nombreux responsables de la cybersécurité assument désormais de nouvelles responsabilités telles que la gestion des risques liés à l'intelligence artificielle, la gouvernance des données, et la planification stratégique des équipes de sécurité, tout en devant maîtriser un nombre croissant de réglementations en matière de confidentialité des données et d'exigences de conformité. Les nouvelles règles standardisées de la SEC en matière de divulgation cyber, par instance.
Adoptées en 2023 et entrant en vigueur de fin 2023 à fin 2024, ces règles imposent la divulgation des incidents de cybersécurité significatifs dans les quatre jours ouvrables suivant la détermination du caractère significatif de l'incident, ainsi que la divulgation annuelle de la gestion des risques de cybersécurité, de la stratégie et de la gouvernance. Cela signifie que les CISO doivent garantissez que les déclarations appropriées sont effectuées dans les délais et que les évaluations nécessaires sont réalisées pour maintenir leurs organisations en conformité. C'est une charge supplémentaire à un moment où ils cherchent à intégrer de nouvelles formes d'IA et d'automatisation dans leurs mécanismes de sécurité globaux.
[Lire aussi : Témoignage de CISO – de la gestion des violations à la stratégie d'entreprise]
Dans le même temps, les CISO sont de plus en plus attendus pour rendre compte à leurs conseils d'administration et Engage avec eux. Si cela peut apporter des avantages tels qu'une meilleure prise de conscience des menaces et un financement accru des programmes de sécurité, cela peut également poser des défis de communication lorsque le conseil d'administration manque de connaissances techniques.
Points de pression : pourquoi un plan de succession pour les CISO peut réduire le stress (du moins pour les conseils d'administration)
La charge de travail croissante des CISO, combinée à une pression grandissante pour garantissez la sécurité des entreprises, peut mener à l'épuisement professionnel – et aux démissions.
« La pression constante pour se défendre contre des cybermenaces en évolution contribue à un stress et un épuisement professionnel importants chez les CISO », déclare Anthony Nyberg, directeur du Center for Executive Succession à la Darla Moore School of Business de l'Université de Caroline du Sud.
« Tous les postes de direction sont sources de stress, mais les CISO font face à des défis plus directs, avec une pression en temps réel bien plus forte lorsque quelque chose tourne mal », précise Nyberg. « Le nombre d'appels téléphoniques d'urgence en pleine nuit est sans doute plus élevé pour les CISO que pour la plupart des autres fonctions. »
Les CISO se trouvent dans la position difficile de devoir anticiper les menaces, d'être tenus responsables en cas de problème, et de recevoir peu ou pas de reconnaissance lorsque tout se passe bien, souligne Nyberg. « Il est difficile de montrer aux gens ce que vous avez accompli lorsque votre rôle est d'empêcher les mauvaises choses de se produire », dit-il.
[Lire aussi : 4 priorités de leadership essentielles pour les CISO à l'ère de l'IA]
Dans ce contexte, il est facile de comprendre pourquoi un CISO pourrait être tenté par l'une des nombreuses opportunités qu'offre le marché de la cybersécurité. Les entreprises doivent donc s'y préparer. Pour garantissez une transition en douceur lors du départ d'un CISO, les organisations doivent envisager les bonnes pratiques suivantes :
1. Élaborer un plan de succession formel
Il est essentiel de disposer d'un plan de succession formel qui identifie les remplaçants potentiels du CISO actuel et propose la meilleure façon d'assurer la transition. Un plan bien structuré favorise la continuité du leadership et réduit les perturbations des Security Operations, selon Nyberg.
"Si le plan de succession est en permanence en place, les leaders peuvent identifier les formations complémentaires dont les futurs CISO auront besoin pour être efficaces le moment venu."Anthony Nyberg, directeur du Center for Executive Succession à la Darla Moore School of Business de l'Université de Caroline du Sud
« De nombreuses entreprises ne disposent pas de plans de succession formels pour bon nombre de leurs postes de direction, en particulier peu après qu'une personne a pris ses fonctions », déclare Nyberg. « Si les CISO occupent leur poste moins longtemps que d'autres, la probabilité de disposer d'un plan de succession solide en temps voulu est plus faible. »
2. Identifier et former des candidats internes
Il peut être difficile de trouver des successeurs qualifiés pour le poste de CISO dans des délais raisonnables, selon Nyberg. « Ce phénomène s'observe dans de nombreux postes de direction : il existe tout simplement un manque de talents, et cela est d'autant plus vrai dans un domaine – la cybersécurité – qui évolue de façon aussi rapide et profonde », précise-t-il.
Investir dans le développement des talents en interne permet de constituer un vivier de successeurs potentiels, familiers de la culture et des systèmes de l'organisation, selon Nyberg. « Il s'agit d'un élément clé de la planification de la succession, qui contribue à réduire une partie du risque lié au départ du CISO », ajoute-t-il. « Si le plan de succession est en place de façon permanente, les leaders peuvent identifier les formations complémentaires dont les futurs CISO auront besoin pour être efficaces. »
Les collaborateurs en poste doivent également être informés du plan : la direction peut leur communiquer les compétences requises pour devenir CISO et les encourager à les développer en vue d'une future candidature.
3. Nommer un CISO adjoint
« Cherchez un leader senior en cybersécurité qui souhaite progresser et, après concertation avec le CISO, nommez-le CISO adjoint en l'intégrant aux réunions de direction [afin qu'il] puisse acquérir de l'expérience », conseille Doug Saylors, responsable de la pratique cybersécurité au sein du cabinet mondial de recherche et de conseil en technologie ISG.
« Cherchez un leader senior en cybersécurité qui souhaite progresser et, après concertation avec le CISO…, intégrez-le aux réunions de direction [afin qu'il] puisse acquérir de l'expérience. »Doug Saylors, responsable de la pratique cybersécurité, ISG
« Cela permet au collaborateur et à l'équipe de direction d'apprendre à se connaître, et donne au collaborateur la possibilité de déterminer s'il souhaite réellement occuper un poste de CISO », précise Saylors. « Plus important encore, si aucun poste n'est disponible au moment où l'adjoint est prêt à devenir CISO, aidez-le à en trouver un en dehors de l'entreprise. Cela crée un sentiment de loyauté, et il pourra revenir lorsque le besoin s'en fera sentir. »
En l'absence de candidats internes qualifiés pour le poste de CISO, les entreprises peuvent envisager un recrutement externe, éventuellement sur une base partielle en tant que consultant. Elles peuvent également faire appel à un CISO virtuel, un expert en cybersécurité qui assure un leadership de niveau CISO de façon flexible, à distance et souvent dans le cadre d'un contrat.
4. Engage le conseil d'administration et la direction générale
L'implication de la direction dans la planification de la succession souligne l'importance stratégique de la cybersécurité et garantissez l'alignement avec les objectifs de l'organisation, selon Nyberg.
« Nous savons qu'il est essentiel que les postes de direction soient impliqués sur le plan stratégique, et cela signifie également que lorsque les CEO choisissent un CISO, ils doivent réfléchir de façon stratégique aux défis futurs », déclare Nyberg.
5. Maîtrisez la posture de sécurité actuelle
Les organisations doivent garantissez que les cadres supérieurs et le conseil d'administration comprennent la posture de cybersécurité actuelle de l'entreprise ainsi que les lacunes existantes, selon Saylors.
« Trop souvent, les lacunes sont ignorées parce que le CISO parvient à maintenir les choses "sécurisées" en prenant des mesures extraordinaires qui ne sont généralement ni documentées ni comprises », déclare Saylors. « Dans ce cas, le départ d'un CISO expose l'organisation de façon inutile. Des réunions mensuelles avec le RSSI pour aborder ces sujets de façon constructive garantissent que les autres membres de l'équipe et les dirigeants savent quoi faire si le RSSI venait à partir de façon inattendue."
En résumé : Selon les statistiques récentes, un RSSI reste en moyenne dans son job environ deux ans, voire moins. Mais les entreprises ne devraient pas se retrouver dans l'embarras : en suivant ces bonnes pratiques, une organisation peut avoir un nouveau RSSI prêt à prendre le relais pour assurer une transition en douceur, quel que soit le moment où l'ancien responsable cybersécurité part.
