La cybersécurité n'existe pas en vase clos. Une équipe de sécurité peut identifier une vulnérabilité critique, signaler un tiers à risque ou repérer un écart de conformité.  

Mais quelqu'un au sein de l'organisation doit tout de même décider de la marche à suivre. Le projet peut-il aller de l'avant ? Combien en coûtera-t-il pour remédier au risque dès maintenant ? Que se passe-t-il si l'organisation attend ? Quel pourrait être l'impact d'une décision de sécurité sur les clients, les opérations ou les revenus ? 

Ces questions exigent à la fois une expertise technique et une vision stratégique de l'entreprise. C'est là qu'intervient le Business Information Security Officer (BISO). Le rôle de BISO (parfois abrégé en BSO) est un concept et un poste relativement récents, mais il aide une organisation à s'orienter vers une sécurité proactive pour suivre le rythme effréné de la technologie et l'essor de l'IA.  

Qu'est-ce qu'un BISO ?

Un BISO est un responsable de la cybersécurité qui travaille en étroite collaboration avec une unité opérationnelle (business unit), une fonction, un groupe de produits ou une région donnée pour aligner la cybersécurité sur les priorités de l'entreprise. 

On décrit souvent ce rôle comme une passerelle entre la cybersécurité et l'activité métier. Cela fait partie du poste, mais c'est sous-estimer ce qu'accomplit un BISO efficace. 

Un BISO doit posséder des connaissances fondamentales tant en sécurité qu'en gestion d'entreprise. Il doit comprendre les concepts de cybersécurité tels que les menaces, la gestion des vulnérabilités, la protection des données, la conformité et la réponse aux incidents, tout en appréhendant les enjeux opérationnels et commerciaux tels que les revenus, les opérations, les clients, les investissements technologiques et la tolérance au risque. 

Cette double compétence permet au BISO de procéder à une évaluation stratégique équilibrée entre les exigences de sécurité et l'impact sur l'activité. 

Par exemple, un BISO peut aider une entreprise à répondre aux questions suivantes :

• Combien ce risque pourrait-il nous coûter si nous ne le traitons pas ? 

• Quel est l'avantage de mettre en œuvre la mesure de sécurité dès maintenant ? 

• Que se passe-t-il si nous la mettons en œuvre plus tard ? 

• Pouvons-nous réduire le risque sans ralentir inutilement les activités de l'entreprise ? 

• Qui doit être impliqué dans la prise de décision ? 

Le rôle du BISO n'est pas nécessairement d'avoir réponse à tout. Il consiste à savoir quelles questions poser, à comprendre les compromis nécessaires et à réunir les bonnes personnes pour parvenir à une décision éclairée. 

Le rôle du BISO dans la sécurité proactive 

Les organisations développent des produits, adoptent des services cloud, déploient l'IA, intègrent des plateformes tierces et font évoluer leurs processus métier plus rapidement que jamais. Si la sécurité n'est pas intégrée très tôt à ces initiatives, les organisations risquent de découvrir des problèmes de sécurité ou de conformité après y avoir investi un temps et des capitaux considérables. 

C'est là qu'un BISO peut faire une réelle différence. 

Un BISO peut intervenir dès le lancement d'un produit, d'un projet, d'une acquisition ou d'une initiative technologique, veillant ainsi à ce que les exigences de sécurité soient prises en compte dès le départ plutôt que d'être greffées à la dernière minute. 

Cela permet d'éviter le scénario bien connu où un projet est sur le point d'être lancé lorsque la sécurité identifie une faille qui nécessite une refonte, des investissements supplémentaires ou un retard. 

Le BISO aide à positionner la sécurité comme un atout stratégique, tout en contribuant à accélérer le développement de l'entreprise.  

En ce sens, le BISO fait office de référence en matière de sécurité au sein du métier, tout en aidant les dirigeants à comprendre comment les décisions de sécurité influent sur leurs objectifs.

BISO contre CISO 

Un BISO est différent d'un Chief Information Security Officer (CISO ou RSSI). 

Un CISO est généralement responsable de la stratégie globale et du programme de cybersécurité d'une organisation. Un BISO opère au plus près du terrain, en appliquant cette stratégie au sein d'un secteur particulier de l'organisation. 

Ces deux rôles doivent se compléter. 

Le CISO peut établir les priorités, les politiques et les programmes de sécurité à l'échelle de l'entreprise. Le BISO aide à déterminer comment appliquer ces priorités dans un environnement opérationnel spécifique et fait remonter les besoins et préoccupations du métier à l'équipe de sécurité. 

Une manière pertinente de concevoir cette distinction est de considérer que le CISO adopte une vue d'ensemble transversale et globale, tandis que le BISO diffuse la sécurité en profondeur au cœur des activités métiers.

Pourquoi votre organisation a-t-elle besoin d'un BISO ? 

Les décisions de cybersécurité ont un impact croissant sur les opérations fondamentales de l'entreprise. Les services cloud, les fournisseurs tiers, l'IA, les produits numériques et les systèmes de données complexes peuvent tous introduire des risques difficiles à appréhender de manière isolée. 

Un BISO apporte le contexte opérationnel nécessaire à ces décisions. 

Prenons l'exemple d'une vulnérabilité affectant deux systèmes différents. L'un pourrait prendre en charge une application interne non essentielle. L'autre pourrait soutenir un service client stratégique. La vulnérabilité technique peut sembler identique sur le papier, mais l'impact sur l'activité sera radicalement différent. 

Un BISO efficace aide l'organisation à percevoir cette différence et à prioriser les actions en conséquence. 

Ce rôle aide également les organisations à répondre aux exigences réglementaires et de conformité. Selon le secteur d'activité et la région géographique, un BISO peut avoir à maîtriser les exigences découlant de réglementations et de cadres tels que le RGPD, les réglementations du secteur financier ou d'autres règles applicables en matière de confidentialité et de cybersécurité. Le BISO peut traduire ces obligations en actions concrètes pour l'entreprise et coordonner les réponses aux conclusions d'audit et aux lacunes identifiées. 

L'objectif n'est pas la conformité pour la conformité. Il s'agit de comprendre ce que l'organisation doit faire, quels sont les risques résiduels et comment ces exigences s'intègrent dans les opérations quotidiennes de l'entreprise.

Que fait un BISO ? 

Les responsabilités précises varient selon les organisations, mais on attend généralement d'un BISO efficace qu'il :

• Aligne la cybersécurité sur les priorités de l'entreprise. Comprenne les objectifs poursuivis par l'entreprise et identifie les enjeux de sécurité susceptibles d'influer sur ces objectifs. 

• Gère la sécurité au rythme des affaires. Implique la sécurité suffisamment tôt pour éviter les mauvaises surprises de dernière minute, tout en aidant l'entreprise à faire avancer ses projets sans ralentissement. 

• Traduise le cyber-risque en langage métier. Explique les risques techniques en termes de coûts, d'opérations, d'impact client, d'obligations réglementaires et de conséquences potentielles pour l'activité. 

• Intègre la sécurité au cœur des activités métiers. Incorpore les exigences de sécurité dans les produits, les projets, les processus et les décisions technologiques, plutôt que de traiter la sécurité comme une simple étape de validation finale. 

• Navigue parmi les exigences réglementaires. Comprenne les lois, réglementations, normes et attentes d'audit applicables, et les traduise en actions opérationnelles concrètes. 

• Aide à gérer les risques liés aux tiers. Collabore avec les équipes métier et de sécurité pour évaluer les risques posés par les fournisseurs et les partenaires. 

• Clarifie la responsabilité des risques. Aide à déterminer qui est responsable de la prise et de l'acceptation des décisions relatives aux risques. 

• Soutienne la réponse aux incidents. Apporte sa connaissance des priorités et des dépendances de l'entreprise lors de la gestion des incidents de sécurité et des décisions de reprise d'activité. 

• Développe des connexions organisationnelles. Entretienne des relations étroites avec la cybersécurité, l'informatique, le service juridique, la protection de la vie privée, la conformité, la gestion des risques, l'architecture, les achats et la direction opérationnelle. 

Cette dernière responsabilité est primordiale.  

Un BISO doit être une personne hautement connectée au sein de l'organisation, sachant exactement à qui s'adresser lorsqu'un problème dépasse le cadre d'un seul service. Le BISO n'a pas besoin d'être un expert dans chaque discipline de la sécurité. Sa valeur repose en grande partie sur sa capacité à savoir où se trouve l'expertise et à intégrer les bonnes personnes dans la discussion. 

Un BISO aide l'entreprise à prendre de meilleures décisions 

Ne voyez pas le BISO comme un commercial de la sécurité, un coordinateur de la conformité ou une simple personne qui traite les demandes de dérogation. 

Ce rôle prend toute son efficacité lorsque le BISO dispose de la crédibilité et de la latitude nécessaires pour challenger aussi bien l'équipe de sécurité que les responsables métiers lorsque c'est nécessaire. 

Parfois, la bonne décision de sécurité créera des frictions ou des retards. Cela fait partie de la gestion des risques. 

Le travail du BISO n'est pas de faciliter artificiellement chaque décision de sécurité. Il s'agit de s'assurer que ces décisions soient éclairées, transparentes et assumées. 

La plupart des décisions de sécurité exigent un certain niveau de compromis entre les impératifs commerciaux et les exigences de sécurité. Un BISO aide l'organisation à appréhender ces arbitrages avant qu'ils ne se transforment en problèmes. 

À mesure que les technologies progressent rapidement, ce rôle devient de plus en plus crucial. La sécurité ne peut pas toujours attendre la fin d'un projet pour se demander si une solution est sûre, conforme ou résiliente. 

Le BISO intègre la sécurité plus en amont dans la discussion, afin que l'entreprise puisse avancer rapidement sans découvrir des failles de sécurité une fois le projet déjà bien engagé. 

En fin de compte, la valeur d'un BISO ne se mesure pas au nombre de fois où il dit oui ou non. 

Elle se mesure à sa capacité à aider l'organisation à prendre de meilleures décisions concernant la sécurité, les risques et la dynamique de l'entreprise. 

Cet article a été rédigé avec le concours du groupe de travail BISO de la NCA. Pour en savoir plus sur le groupe de travail BISO et découvrir comment y participer, contactez Max McKenna à l'adresse max@staysafeonline.org. 

FAQ sur les BISO 

Que signifie l'acronyme BISO ? 

BISO signifie Business Information Security Officer. Un BISO relie la stratégie de cybersécurité aux priorités, aux risques et aux opérations d'une unité opérationnelle ou d'une fonction spécifique de l'entreprise. 

Quelle est la différence entre un BISO et un CISO ? 

Un CISO supervise généralement l'ensemble de la stratégie de cybersécurité de l'organisation, tandis qu'un BISO travaille en étroite collaboration avec les unités opérationnelles pour mettre en application cette stratégie dans leur environnement propre et faire remonter le contexte commercial et opérationnel vers l'équipe de sécurité. 

Toutes les organisations ont-elles besoin d'un BISO ? 

Pas nécessairement. Les structures de taille modeste ou moins complexes n'ont pas forcément besoin d'un BISO dédié. Ce rôle devient particulièrement précieux à mesure que les entreprises gagnent en complexité, adoptent de nouvelles technologies, font face à des exigences réglementaires accrues ou ont besoin d'un alignement plus étroit entre la sécurité et les activités métiers. 

Pourquoi le BISO est-il important pour la cybersécurité ? 

Un BISO aide les organisations à intégrer la sécurité plus tôt dans les décisions technologiques et stratégiques, à comprendre le cyber-risque dans un contexte commercial, à naviguer parmi les exigences réglementaires et à maintenir la dynamique opérationnelle de l'entreprise tout en maîtrisant les risques de sécurité.