Je n'arrive plus à écouter les podcasts de CISO

Hier j'en ai lancé un, je l'ai coupé au bout de huit minutes. Je connaissais déjà tout. Et le pire, c'est que je sais exactement pourquoi c'est comme ça, parce que je suis souvent de l'autre côté du micro.

Pourquoi les podcasts de CISO se ressemblent-ils tous ?

Je n'arrive plus à les écouter. Hier, un podcast de CISO m'est passé sous les yeux, j'ai lancé, et au bout de quelques minutes j'ai coupé. Pas parce que la personne était mauvaise, je n'en sais rien d'ailleurs. Parce que je connaissais déjà chaque réponse avant qu'elle arrive. La sécurité qui accompagne le business sans le freiner, l'intégration au plus tôt, le secure by default, l'IA qui assiste sans remplacer avec l'humain quelque part dans la boucle, et l'inévitable point d'inflexion où nous serions tous. Dix-huit ans que je fais ce métier, et j'entends ce texte mot pour mot depuis dix-huit ans.

« Restez léger, restez pédagogique » : le brief avant d'enregistrer

Le truc, c'est que je sais d'où ça vient. Je suis de l'autre côté du micro plus souvent qu'à mon tour, on me booke sur ces formats. Et il y a toujours, avant d'enregistrer, ce moment où on vous envoie les questions à l'avance et où on vous glisse que ce sera léger, pédagogique, qu'il faut rester accessible. En clair, ne dites rien qui puisse gêner le sponsor dont le logo s'affichera à la fin. Personne n'est bête dans cette histoire. Tout le monde a peur, et tout le monde a de bonnes raisons d'avoir peur.

Que risque vraiment un CISO qui parle franchement ?

Parce que le jour où un CISO dit une chose précise et vraie, une faille qu'il a choisi de laisser ouverte faute de moyens, un budget qu'on lui a refusé, une boîte qu'il a quittée parce qu'on lui demandait de signer ce qu'il ne voulait pas signer, il donne des munitions. À un avocat, à un conseil d'administration, à un futur recruteur qui tapera son nom dans Google. La phrase creuse, au moins, ne se retourne jamais contre lui. Je comprends le calcul, et je le trouve désespérant.

Ce courrier d'avocat n'est pas une figure de style. En octobre 2022, Joe Sullivan, l'ancien patron de la sécurité d'Uber, est devenu le premier responsable sécurité condamné au pénal pour avoir dissimulé une fuite de données ; il a écopé de trois ans de mise à l'épreuve, d'une amende de 50 000 dollars et de deux cents heures de travaux d'intérêt général. Un an plus tard, en octobre 2023, la SEC américaine attaquait nommément le CISO de SolarWinds, Tim Brown, une première pour un directeur de la sécurité poursuivi à titre personnel à raison de ses déclarations publiques. La justice a fini par démonter l'essentiel du dossier, la SEC abandonnant ses dernières charges en novembre 2025, mais le message, lui, était déjà passé : ce que vous dites de votre sécurité peut se retourner contre vous, sous serment.

Les chiffres disent le reste. Dans le baromètre Voice of the CISO 2024 de Proofpoint, 61 % des responsables sécurité britanniques se déclaraient inquiets d'une mise en cause personnelle, et 67 % refuseraient un poste sans assurance dirigeants. Une enquête BlackFog de fin 2024 va plus loin : 70 % des décideurs sécurité interrogés disent que les affaires du type SolarWinds ont dégradé leur image du métier, et un tiers y voient une situation sans issue, sanctionnés en interne s'ils signalent une faille, poursuivis en externe s'ils la taisent. Difficile, devant ces chiffres, de reprocher à un CISO sa prudence.

Je donne des munitions à chaque fois, et je le fais exprès

Moi je donne des munitions à chaque fois, et je le fais exprès. Il m'arrive de répondre à côté de la question facile, de dire devant une salle que tel référentiel que tout le monde encense ne sert à rien dans le contexte dont on parle, de raconter une décision que je n'assume qu'à moitié. Et à chaque fois c'est la même mécanique, la salle qui refroidit, le modérateur qui enchaîne un peu trop vite, et trois jours plus tard le commentaire qui m'explique que je suis trop négatif, pas assez constructif. Je ne suis pas réinvité partout, et je m'en passe.

Seulement, autant être honnête sur ce que ça me coûte. Je suis CISO, donc je porte ce risque comme les autres, le siège, le conseil, le courrier d'avocat qui finit parfois par arriver. Mais je ne suis pas que ça. Je forme, j'audite, j'écris, je conseille ailleurs. Quand je dis une chose qui dérange, je ne mise pas tout sur une seule case, et c'est cette dispersion qui m'achète une part de ma liberté de ton, pas un quelconque courage. Le CISO dont c'est l'unique poste, l'unique employeur, l'unique revenu, lui, engage bien plus sur une seule phrase. Je ne vais pas faire comme si nous étions logés à la même enseigne.

Le problème vient-il d'un manque de courage individuel ?

Parce que le vrai problème n'est pas individuel. Ce n'est pas une histoire de courageux d'un côté et de lâches de l'autre. Les gens les mieux placés pour dire des choses utiles, ceux qui sont dans le siège, en pleine décision, avec tout le contexte, sont précisément ceux à qui l'écosystème a appris à se taire. Le juridique, le marketing, le sponsor, la marque employeur, la prudence de carrière, tout cela filtre la parole jusqu'à ce qu'elle n'apprenne plus rien à personne. Au bout, il n'y a pas une bande de médiocres bavards face à une élite silencieuse. Il y a une discipline entière qui a rendu coûteux le fait de parler vrai, et qui s'étonne ensuite que ses conférences endorment tout le monde.

Pourquoi je ne ferai jamais un bon invité de podcast

Alors non, je ne ferai jamais un bon invité de podcast. Pas par bravoure, je viens d'expliquer que ma liberté de ton tient surtout à ce que je ne mise pas tout sur un seul siège. Simplement, je n'ai aucune formule rassurante à caser avant le générique, et je me plante trop souvent en public pour faire illusion. L'épisode d'hier, je l'ai coupé au bout de huit minutes. C'est sans doute la chose la plus honnête que j'aie faite de la journée.

Sources

• Condamnation de Joe Sullivan, ancien CSO d'Uber, pour dissimulation d'une fuite de données : SecurityWeek, mai 2023.
• Poursuites de la SEC contre le CISO de SolarWinds Tim Brown, puis abandon des dernières charges en novembre 2025 : Jones Day, décembre 2025 et Harvard Law School Forum on Corporate Governance, décembre 2025.
• Inquiétude sur la responsabilité personnelle, assurance dirigeants et burnout : baromètre Voice of the CISO 2024 de Proofpoint, via Raconteur, juillet 2024.
• Effet des poursuites sur la perception du métier et « situation sans issue » : enquête BlackFog, via Security Boulevard, décembre 2024.