Quelle place pour le RSSI, aujourd’hui et encore plus demain ?

Le devoir de dire « oui mais »

Et si l’ancien patron de l’Agence nationale pour la sécurité des systèmes d’information (Anssi) encourageait les RSSI à dire « non » il y a encore quatre ans, le pragmatisme semble avoir pris le dessus. Ainsi, pour Jamal Dhamane, sur des sujets comme le Cloud, « on ne se demande plus s’il faut y aller ou pas, mais comment y aller ». Le pouvoir de dire « non » cède ainsi la place au devoir de dire « oui mais ».

Nicolas Pellegrin apparaît sur une ligne comparable, estimant nécessaire de « casser les frontières entre les différents services » et, surtout, d’accepter le « changement de culture » induit par le numérique, avec par exemple l’effacement de la ligne classique distinguant vie privée/professionnelle. Un changement qui suppose d’apprendre en avançant : « on n’a pas la maturité. On n’est pas prêt. Mais ce n’est pas grave, on va avancer ; il faut juste se le dire ». Et c’est sans compter avec des habitudes d’immédiateté de plus en plus ancrées et qui font peser une pression considérablement accrue sur les exigences de disponibilité.

Pour le RSSI de la Française des Jeux, c’est bien simple : demain, le RSSI doit être un business partner de chacun des métiers de l’entreprise. « Si vous ne discutez pas souvent avec les ressources humaines, les finances, le juridique, les divisions… il va falloir vous demander si vous pouvez continuer comme ça ». Car ceux qui prennent les décisions affectant la sécurité du système d’information, « en définitive, ce sont les métiers ».

Revoir la hiérarchie ?

Dans cette perspective se pose naturellement la question du positionnement du RSSI dans l’organigramme. Dans 73 % des cas, il reste rattaché à la DSI. Même est-ce bien pertinent ? Pour Jamal Dhamane, « plus l’entreprise est mature, plus le RSSI est rattaché ailleurs ». Et d’estimer que « le RSSI doit être placé là où il sera le plus efficace », et autonome : « il y a plus d’autonomie et de proximité avec les métiers lorsque le RSSI n’est pas rattaché à la DSI ».

De son côté, Nicolas Pellegrin estime que « ce qui compte, c’est moins le statut sur le papier que la responsabilité que l’on porte, la légitimité, les questions que l’on pose et les réponses que l’on apporte ». Le positionnement du RSSI dans l’organigramme apparaît alors moins important. Mais la personnalité individuelle du RSSI semble, du coup, susceptible de jouer un rôle particulièrement décisif. Et justement, pour Nicolas Pellegrin, le RSSI « doit être convaincant », ne serait-ce que pour faire passer le message selon lequel la sécurité ne relève pas exclusivement de lui.

Une chose est sûre, pour le responsable de la sécurité des systèmes d’information d’Essilor, le RSSI a besoin d’être mieux considéré en France. Et cela passe d’abord par lui : « pour cela, il faut parler avec les métiers de leurs problèmes ; prendre de la hauteur ; changer de langage, de vocabulaire ». Concrètement : « parler de perte de chiffre d’affaires, de déficit d’image. Là, vous aurez leur oreille ».

En définitive, le RSSI doit donc s’appréhender comme « un métier transverse, qui a beaucoup de choses à faire et doit parler à beaucoup d’interlocuteurs ». Dont, probablement, de nouveaux profils comme le CDO – Chief Digital Officer, en charge de la transformation numérique – et le DPO – Data Protection Officer, avec des missions plus centrées sur la sécurité des données –, autant de nouveaux acteurs, « nouveaux partenaires pour le RSSI ». Même si, en ce qui concerne la protection des données, pour Jamal Dhamane, c’est peut-être encore le RSSI qui est aujourd’hui « le mieux placé pour en parler ». L’illustration d’un autre défi : définir les missions, le périmètre d’intervention de chacun, dans ce nouveau concept de l’entreprise dite digitale.