À quoi ressemblera le rôle du RSSI en 2029

Wolfgang Goerlich a fait carrière dans le domaine de la sécurité et est RSSI depuis sept ans.

Comme de nombreux responsables de la sécurité de longue date, Goerlich a été témoin de nombreux changements au sein de la profession. Il se prépare à en savoir plus.

« À l’avenir, je vois le rôle croissant du RSSI, celui de donner le ton en matière d’innovation, de participer aux discussions au sein du conseil d’administration et des dirigeants, pour les conseiller sur la manière de prendre des risques intelligents et calculés avec la technologie, y compris l’IA », déclare Goerlich, qui est maintenant RSSI du secteur public et membre du corps professoral d’IANS Research.

Goerlich y voit la prochaine étape pour un rôle qui n’a cessé d’évoluer depuis sa création en 1995.

« On est passé du « département du non » au « ralentissons » pour finir par « prenons des risques plus intelligents en fonction de notre compréhension de ceux-ci » », ajoute-t-il. « Est-ce vraiment excitant ? Être celui qui dit : ‘Vous voulez prendre plus de risques ? Laissez-nous vous aider. Nous pouvons vous aider à prendre des décisions plus judicieuses.' »

Goerlich n’est pas le seul à faire de telles observations. D’autres pensent également que les responsabilités assignées au RSSI type changeront dans les années à venir.

Malgré un large consensus sur le changement, les prévisions varient quant à la manière dont ce changement se manifestera en termes de rôles et de responsabilités du RSSI. À l’image de la planification stratégique traditionnelle sur trois ans dans de nombreuses organisations, les responsables de la sécurité voient une gamme de possibilités pour le poste de RSSI évoluer d’ici 2029. Quoi qu’il en soit, tous conviennent que les RSSI de demain devront travailler à un rythme plus rapide, faire face à plus de menaces et assumer plus de responsabilités stratégiques qu’aujourd’hui.

La recherche confirme cette perspective.

« Le rôle du RSSI est en train d’être redéfini en temps réel », indique un rapport KPMG de 2026 sur l’évolution du rôle du RSSI. « Alors que les plateformes numériques, l’intelligence artificielle (IA) et les écosystèmes tiers accélèrent le rythme du changement, on attend de plus en plus des responsables de la sécurité qu’ils permettent une réponse rapide tout en assumant la responsabilité des risques au niveau de l’entreprise. »

Le rapport poursuit en disant : « Le RSSI moderne opère à la croisée d’immenses opportunités technologiques et de risques sans précédent. Cela nécessite une évolution fondamentale du rôle du RSSI lui-même. »

Le RSSI comme « facilitateur stratégique »

KPMG propose des idées sur l’avenir, écrivant que le futur RSSI doit évoluer « de celui d’un pur technologue à celui d’un chef d’entreprise et, surtout, d’un conteur capable de traduire des menaces complexes dans un contexte commercial ». Ils doivent devenir « un facilitateur stratégique de l’innovation sécurisée, dont la mission est d’aider l’entreprise à évoluer rapidement, de manière fiable et sûre ».

Certains RSSI servent déjà de facilitateurs stratégiques pour l’innovation sécurisée, les chercheurs et les responsables actuels de la sécurité déclarant s’attendre à ce qu’un plus grand pourcentage de postes de RSSI assument ce travail dans les années à venir.

Goerlich connaît déjà ce changement, ayant été chargé de constituer une équipe d’innovation comprenant des professionnels de l’architecture et de l’ingénierie ainsi que des praticiens de la sécurité.

De plus, ses recherches à l’IANS l’ont mis en contact avec d’autres RSSI qui dirigent ou co-dirigent l’innovation. Les PDG et les conseils d’administration reconnaissent de plus en plus que le fait d’avoir de la sécurité dans ces rôles de direction accélère – plutôt que ne ralentit – l’innovation, car « la sécurité sait comment les aider à prendre des risques », dit-il.

En fait, Goerlich estime que davantage de RSSI seront responsables du risque d’entreprise en général, en plus du cyber-risque, d’ici 2029.

Cela dit, Goerlich ne s’attend pas à ce que ce soit une vérité universelle. Le rôle du RSSI variera d’une organisation à l’autre en 2029, comme c’est le cas aujourd’hui, dit-il, avec certains plus axés sur le risque et d’autres plus tactiques.

Les responsables de la sécurité « s’auto-sélectionneront dans la bonne organisation en fonction de leur tempérament, de leurs compétences et de leur curriculum vitae », dit-il.

« Facilitateur de la stratégie commerciale »

Diana Kelley, RSSI chez Noma Security, a une vision similaire de l’avenir. « Le plus grand changement qui se produit est que les RSSI passent davantage du rôle de défenseur et de conformité à celui de facilitateur de la stratégie commerciale. »

Elle ajoute : « Il s’agit davantage de savoir comment dynamiser l’entreprise, comment comprendre stratégiquement ce que fait l’entreprise afin de pouvoir la rendre plus résiliente. Cela se produit déjà. Nous avons déjà vu certains RSSI devenir des responsables de la confiance stratégique et des partenaires stratégiques en matière de risque. »

D’un autre côté, Kelley pense également que, grâce en grande partie à l’IA, les RSSI devront affiner leurs compétences techniques pour le travail qui les attend. « Je ne veux pas dire que les RSSI ont besoin d’avoir les mains sur le clavier, mais ils doivent être capables d’interroger techniquement et architecturalement ce que l’organisation fait avec la technologie afin de pouvoir dire : « C’est ainsi que nous pouvons gouverner et contrôler cela au moment de l’exécution » », explique-t-elle.

En fait, Kelley suggère qu’à l’avenir, il pourrait y avoir deux types différents de responsables de la sécurité dans une organisation : l’un axé sur le renforcement des défenses et l’autre axé sur le risque et la résilience.

Expansion vers le risque et la confiance

Edna Conway, responsable de la sécurité de longue date, estime également que le rôle du RSSI continuera à évoluer.

En tant que telle, elle pense que le titre devrait être celui de responsable de la sécurité et de la confiance ou celui de responsable de la sécurité et des risques. Elle en sait quelque chose : elle a elle-même été responsable de la sécurité et des risques pour Azure Infrastructure chez Microsoft de 2020 à 2023.

Cependant, Conway, aujourd’hui PDG d’EMC Advisors et directeur des opérations et des risques du groupe TPO, n’est pas sûr que tout cela se produira d’ici 2029.

« Environnement dynamique » qui stimule l’évolution des RSSI

Ali Waezzadah, RSSI chez iCOUNTER, considère « l’environnement dynamique » d’aujourd’hui – de l’évolution de l’infrastructure informatique à la géopolitique en passant par l’économie – comme le moteur de la prochaine évolution du poste.

Plus précisément, il envisage un changement (et une augmentation) du travail autour de la gestion des équipes, de la sécurisation de la technologie, du soutien à l’orientation et de la stratégie de l’entreprise et de la garantie du respect des normes réglementaires, de sécurité et de gouvernance.

Le parcours et l’expérience des agents de sécurité évoluent, affirme-t-il. Les nouvelles technologies sont déployées de plus en plus rapidement. Les adversaires développent constamment de nouvelles techniques. L’environnement réglementaire est en pleine évolution. Et l’entreprise elle-même continue d’expérimenter et de réviser ses stratégies à intervalles plus rapprochés. « Ce sont ces éléments qui obligeront le RSSI à s’adapter », ajoute-t-il.

Tout cela remodèle régulièrement à la fois les actions quotidiennes du RSSI et les missions qui relèvent de son titre. Cela oblige les responsables de la sécurité à être plus agiles que jamais, explique Waezzadah.

« D’ici 2029, ils devront prêter attention à davantage de choses », prédit-il. « Comment et ce que les RSSI doivent protéger évoluent rapidement, et ils doivent être bien mieux préparés à un paysage dynamique. Ils doivent être plus agiles et flexibles. »

« Architecte stratégique des résultats commerciaux »

Bien entendu, le changement n’est pas nouveau pour les RSSI, car ils ont vu leur mandat s’élargir au cours des dernières décennies, explique John White, RSSI de terrain pour la société de technologie de sécurité Torq.

Les années à venir exigeront que les RSSI construisent et gèrent une opération capable d’évoluer à une vitesse fulgurante, conséquence de l’utilisation de l’IA par l’organisation et ses adversaires, explique White. Pour ce faire, les RSSI doivent créer et gérer un nouveau type de service de sécurité, dans lequel les agents exécutent et où les travailleurs humains définissent et supervisent les résultats.

« Le modèle de sécurité traditionnel auquel nous sommes habitués ne sera plus suffisant pour faire face à ce qui nous attend, et le rôle du RSSI évoluera vers un rôle plus agile, orienté produit et vers une personne capable de rassembler rapidement des équipes holistiques pour élaborer des réponses », dit-il, ajoutant que les RSSI auront besoin de solides compétences en matière de risque et d’un sens des affaires pour faire tout cela.

Dans un article en ligne, il écrit : « Le RSSI du futur proche est moins un technologue en chef qu’un architecte stratégique des résultats commerciaux, concevant des équipes homme-machine qui réinventent le modèle opérationnel cible en réponse à la fois aux risques et aux opportunités.

RSSI comme orchestrateur

Andrew Obadiaru, RSSI chez Cobalt, une société de services de sécurité, estime également que « d’ici 2029, le RSSI sera encore plus un leader commercial qu’un leader technique ».

« La sécurité sera de plus en plus mesurée par la rapidité avec laquelle les organisations peuvent identifier, valider et réduire les risques », dit-il. « Le RSSI sera chargé de permettre à l’entreprise d’adopter l’IA en toute sécurité, de gérer les risques liés à la chaîne d’approvisionnement logicielle et de garantir que l’organisation puisse valider en permanence sa posture de sécurité dans un environnement où les attaquants opèrent à la vitesse des machines.

En conséquence, Obadiaru estime que le rôle du RSSI « consiste moins à posséder une technologie de sécurité qu’à orchestrer la sécurité au niveau de l’ingénierie, de l’informatique, des produits, des services juridiques, des achats et de l’équipe de direction ».

Il s’attend à ce que trois priorités principales dominent ce rôle à l’avenir : valider en permanence l’exposition organisationnelle plutôt que de s’appuyer sur des évaluations ; garantir que l’IA est adoptée en toute sécurité dans toute l’entreprise ; et accélérer la remédiation.

Les RSSI devront également agir plus rapidement. « En conséquence, les RSSI passeront moins de temps à examiner les résultats techniques individuels et plus de temps à élaborer des processus de prise de décision automatisés, des pratiques d’ingénierie résilientes et des modèles de gouvernance qui permettent aux organisations de réagir en toute sécurité à la vitesse d’une machine », déclare Obadiaru.

Et ils devront changer leur modèle opérationnel. « La sécurité a toujours consisté à gérer l’incertitude. Ce qui change, c’est la vitesse à laquelle l’incertitude se développe », dit-il. « L’IA accélère simultanément la découverte de vulnérabilités, le développement de logiciels et l’innovation des attaquants. Cela signifie que le RSSI doit évoluer de la gestion de programmes de sécurité à la gestion de systèmes de sécurité adaptatifs. »

Cependant, il estime que la mission fondamentale restera la même.

« La responsabilité du RSSI reste de protéger la capacité de l’organisation à fonctionner en comprenant les risques, en les communiquant efficacement et en aidant l’entreprise à prendre des décisions éclairées », ajoute-t-il. « La technologie évolue, mais le leadership, la confiance, un bon jugement et une communication claire restent des exigences constantes. »