CDO et CISO : quelles places dans l’organisation ?

Cet article a été initialement publié dans la lettre d’information cybersécurité de CGI Business Consulting.

La transformation digitale implique une évolution du système d’information. Centré initialement sur les traitements, ce sont désormais les données qui y sont au cœur. Le besoin de gouvernance de la donnée au sein des entreprises prend aujourd’hui tout son sens. Il se matérialise par la création de nouvelles fonctions comme le CDO dont l’acronyme signifie aussi bien Chief Data Officer que Chief Digital Officer :

• le CDO data est chargé de mettre en place et de faire appliquer une stratégie de gouvernance des données ;
• le CDO digital a lui pour objectif de valoriser les données détenues par son organisation, en définissant de nouveaux services (big data, open data, deep learning, etc.). Cette activité ne peut s’exercer que si une gouvernance des données a été mise en place préalablement.

Aujourd’hui, le CISO assure la protection de ces données. Si nous prenons les besoins de classification et donc de protection de ses données, il existe des synergies potentielles entre CISO et CDO data sur ces activités. Le CISO est donc un client naturel, comme le CDO digital, des travaux réalisés par le CDO data.

Les fonctions de CISO et CDO data ne pourraient-elles pas être affectées à la même structure afin de faciliter la gouvernance dans l’entreprise ? Deux stratégies émergent :

• positionner le CISO en dehors de la DSI (métiers, fonctions corporate). Il peut dans ce cas couvrir les fonctions de CDO data. Il doit alors disposer de compétences dans la gouvernance des données et la transformation digitale ;
• positionner le CISO au sein de la DSI. Il a alors un rôle plus opérationnel et doit composer avec un autre acteur qui assurera la conformité sur l’usage des données dans l’entreprise.

Enfin, il existe des cas de CDO digital et data. Dans ce cas, les entreprises prennent le risque d’un problème de gouvernance en matière de conformité : on ne peut être à la fois juge et partie sur l’utilisation des données, notamment personnelles.