Entre exigences réglementaires, montée des risques cyber et accélération des usages de l’intelligence artificielle, le rôle du CISO connaît une profonde transformation. Chez Foyer Group, Antoine Leblais accompagne cette évolution en plaçant la gouvernance, la quantification du risque et la sensibilisation au cœur de sa stratégie de cybersécurité.

 

Qu’est-ce qui vous a amené, au fil de votre carrière, vers la cybersécurité ?

Cela s’est fait progressivement, presque naturellement. À l’origine, je viens du monde de l’informatique appliquée aux jeux de hasard, aux casinos et aux loteries. J’ai travaillé plusieurs années dans cet univers à Monaco avant de partir au Chili pour ouvrir une succursale dédiée au support des casinos locaux, puis j’ai pris la charge des opérations de la loterie nationale.

À cette époque, je travaillais surtout sur des problématiques IT et opérationnelles assez classiques. Mais dans le cadre d’un renouvellement de contrat avec la loterie de New York, le groupe pour lequel je travaillais a décidé d’imposer une certification ISO 27001 à l’ensemble de ses entités. J’ai été chargé de porter ce projet au Chili, en 2011. 

 

 

A l’époque, une telle démarche de certification devait être assez rare, non ?

Oui. Très peu d’organisations disposaient déjà d’une vraie maturité sur ces sujets. Nous avons finalement été les deuxièmes, au sein du groupe, à obtenir la certification ISO 27001. C’était une vraie fierté, mais cela a surtout été un déclic. Je me suis rendu compte que la cybersécurité allait devenir un enjeu central pour les entreprises dans les décennies à venir. Pas uniquement parce que les menaces augmentaient, mais parce que les organisations allaient devenir de plus en plus dépendantes de la technologie.

Ce qui m’a immédiatement intéressé, c’est le caractère extrêmement transversal du sujet. La cybersécurité ne se limite pas à de la technique. Elle touche à la gouvernance, à la conformité, à la gestion des risques, aux enjeux réglementaires, à la stratégie d’entreprise… et surtout à l’humain.

 

 

Comment avez-vous vu évoluer la fonction de CISO ces dernières années ?

Lorsque j’ai commencé, la cybersécurité était encore très fortement rattachée à l’IT. Le rôle consistait essentiellement à protéger les infrastructures, sécuriser les réseaux, gérer les accès ou mettre en place des outils de protection. Aujourd’hui, le rôle du CISO est devenu beaucoup plus stratégique. On parle désormais de gouvernance globale du risque, de résilience opérationnelle, de continuité d’activité, de conformité réglementaire ou encore d’aide à la décision.

 

« L’IA et sa mise en oeuvre changent profondément la nature des risques . »

 

Chez Foyer, nous sommes justement en train de finaliser une transformation importante autour du modèle des trois lignes de défense. Cela implique une séparation beaucoup plus forte entre les équipes qui opèrent la sécurité et celles qui contrôlent les risques et évaluent les dispositifs mis en place. Le rôle du CISO consiste donc désormais à challenger, analyser, arbitrer et objectiver les risques plutôt qu’à uniquement déployer des solutions techniques certes indispensables, mais dont la responsabilité incombe à la première ligne de défense. 

 

 

À quoi est due cette évolution ?

Elle est directement liée à l’intensification des menaces. Aujourd’hui, un incident cyber peut avoir des impacts majeurs sur le fonctionnement d’une entreprise : interruption d’activité, atteinte à la réputation, sanctions
réglementaires, pertes financières ou encore perte de confiance des clients. Le cyber est devenu un sujet business à part entière.

Dans cette dynamique, DORA a agi en accélérateur. La réglementation exige de dépasser la logique de mises en oeuvre de bonnes pratiques au profit d’une approche plus structurée et contraignante. Cela a profondément
renforcé la gouvernance, la gestion documentaire, le contrôle des fournisseurs critiques, la formalisation des processus ou encore la gestion des risques. Il faut tout documenter. Mais il faut aussi veiller à ce que la documentation soit utile. Une politique de sécurité de trente pages que personne ne lit n’a aucun intérêt. L’enjeu consiste donc à produire des règles compréhensibles, concrètes et appropriables par les équipes. 

 

 

Dans quelle mesure la notion de risque est centrale ?
Et comment la rendre tangible ?

La quantification des risques est un sujet qui va nous occuper fortement. Aujourd’hui, les directions générales et les conseils d’administration attendent autre chose qu’un tableau avec du vert, de l’orange et du rouge. Ils veulent comprendre ce que représente réellement un risque cyber pour l’entreprise. Quel serait l’impact financier d’un incident majeur ? Combien coûterait une interruption d’activité ? Quel serait le coût d’une compromission de données ou d’une indisponibilité prolongée ? À partir de quel niveau faut-il investir davantage ?

Nous travaillons donc sur des approches de quantification du risque afin de pouvoir objectiver les arbitrages et prendre des décisions beaucoup plus éclairées.

 

« L’enjeu est de produire des règles compréhensibles, concrètes et appropriables par les équipes. »

 

 

En même temps, l’évaluation des risques est au coeur des métiers de l’assurance… 

Oui, parce que nous avons historiquement une forte culture du risque. Mais paradoxalement, le cyber-risque reste très difficile à modéliser. Sur des risques traditionnels comme l’automobile ou l’habitation, nous disposons de décennies de statistiques et de modèles extrêmement matures. En cybersécurité, les menaces évoluent en permanence et beaucoup d’incidents restent invisibles parce que les entreprises victimes ne communiquent pas toujours dessus. 

Nous devons donc nous appuyer sur des approches beaucoup plus dynamiques, mêlant threat intelligence, données terrain, analyses de tendances et modélisation théorique. Mais cette évolution est fondamentale. Le rôle du CISO consiste désormais aussi à traduire un risque technique en impact business compréhensible par les organes de décision, afin de permettre d’effectuer les bons arbitrages.

 

 

Dans quelle mesure l’intelligence artificielle bouleverse le paysage cyber ?

Profondément. Ce qui est probablement le plus impressionnant, c’est la vitesse à laquelle tout évolue. Il y a encore un an, les discussions tournaient essentiellement autour de ChatGPT ou des assistants conversationnels. Aujourd’hui, nous parlons déjà d’agents IA capables d’exécuter des tâches, de prendre des décisions ou encore de générer du code à très grande vitesse. Cela change profondément la nature des risques.

 

 

Quels sont les principaux risques à vos yeux ?

Le premier sujet, ce sont évidemment les hallucinations. Lorsqu’un assistant conversationnel produit une réponse erronée, cela reste généralement maîtrisable. En revanche, lorsqu’un agent IA agit de manière autonome sur un processus métier, les conséquences peuvent devenir beaucoup plus sérieuses.

Dans le secteur de l’assurance, on pourrait imaginer un agent chargé d’évaluer un remboursement, d’analyser des données sensibles ou de prendre certaines décisions automatisées. Si cet agent interprète mal une situation ou agit de manière imprévisible, les impacts peuvent devenir financiers, réglementaires ou réputationnels.

Il y a aussi toutes les questions liées à la qualité du code généré automatiquement, aux dépendances technologiques, à la gouvernance des modèles, au Shadow AI ou encore à la souveraineté des solutions utilisées.
Aujourd’hui, avec le « vibe coding », on peut produire énormément de code en très peu de temps. C’est formidable en matière de productivité, mais cela soulève immédiatement d’autres questions :
est-ce que ce code est sécurisé ? testé ? maintenable ? Est-ce qu’il n’introduit pas des vulnérabilités invisibles ou des backdoors ? Entre gains de productivité ou sécurité, comment arriver à un
juste équilibre ?

Avec l’IA, des projets qui demandaient auparavant plusieurs centaines de jours de développement peuvent potentiellement être réalisés beaucoup plus vite. Et forcément, cela rebat complètement les cartes sur la manière de concevoir, développer et industrialiser les solutions. Mais cette accélération pose immédiatement une question fondamentale : est-ce qu’on veut simplement aller vite… ou est-ce qu’on veut aller vite et bien ?

Pour moi, tout l’enjeu est là. Si demain l’IA nous permet un gain de productivité théorique de 100, il est probablement plus raisonnable d’accepter un facteur 50 et de réinvestir une partie de ce gain dans des garde-fous : revue de code, tests de sécurité, validation humaine, pentests externes, contrôle des modèles ou encore gouvernance des usages.

 

 

Comment éviter que la sécurité ne devienne un frein à l’innovation ?

C’est probablement l’un des grands équilibres à trouver aujourd’hui. L’objectif n’est surtout pas de bloquer l’innovation. Chez Foyer, nous avons de fortes ambitions autour de l’IA et nous travaillons activement sur ces sujets. Mais il faut mettre des garde-fous. Pour moi, aller vers l’IA sans cadre reviendrait un peu à mettre un adolescent au volant d’une Formule 1 sans harnais ni limitation. La puissance est énorme, mais les risques le sont aussi. Nous avons  donc mis en place un comité multidisciplinaire qui rassemble cybersécurité, juridique, compliance, data protection, achats et équipes IT afin d’évaluer chaque projet IA avant sa mise en production. 

L’objectif consiste à accompagner les usages, pas à les bloquer. Mais il faut comprendre précisément les risques avant de déployer
certaines solutions.

 

 

Sans oublier que les attaquants aussi ont recours à l’IA ?

Énormément. Le social engineering existait déjà auparavant, mais l’IA lui donne désormais une puissance considérable. Produire un deepfake crédible d’un dirigeant ou automatiser des campagnes d’arnaque devient extrêmement simple et peu coûteux.

Des cybercriminels qui devaient auparavant mobiliser des équipes entières peuvent désormais s’appuyer sur des agents IA capables d’interagir automatiquement avec des victimes potentielles. On change complètement d’échelle.

 

 

À côté de la multitude de technologies, l’humain apparaît de plus en plus comme l’élément clé d’une approche de sécurité…

Vous avez raison. Le facteur humain reste absolument central. Le premier rempart, c’est l’humain. Mais le premier risque aussi. Pendant longtemps, les attaques reposaient principalement sur des mécanismes techniques : malware, phishing, exploitation de vulnérabilités… Aujourd’hui, un attaquant cherchera rarement à casser la porte techniquement. Il manipulera plutôt quelqu’un afin qu’il l’ouvre pour lui. Le social engineering est devenu le sujet numéro un. Les attaquants jouent sur l’urgence, la pression psychologique, l’émotion ou la confiance. Et avec l’IA générative et les deepfakes, ces mécanismes deviennent encore plus crédibles et plus difficiles à détecter.

 

 

Cela signifie-t-il que la sensibilisation devient plus importante que la technologie ?

Les deux sont indispensables, mais la technologie seule ne suffira jamais. C’est pour cela que nous investissons énormément dans la sensibilisation et la pédagogie. Il faut expliquer les risques avec des exemples simples et
compréhensibles par tous.

 

 

À vous entendre, les défis ne font qu’augmenter…

Oui, clairement. Les risques évoluent en permanence. Les méthodes changent sans arrêt. La géopolitique influence directement la menace cyber. Aujourd’hui, un CISO doit aussi comprendre les dynamiques internationales, suivre l’actualité géopolitique, anticiper les effets de certaines tensions ou décisions politiques sur le paysage cyber.

Quand on voit certains événements internationaux ou certaines tensions géopolitiques, on sait que cela peut avoir des répercussions quasi immédiates sur les attaques ou les tentatives d’intrusion auxquelles les entreprises font
face. Tout est devenu beaucoup plus interconnecté et mouvant.

Et cela crée forcément une forme de pression permanente.

 

 

Vous arrivez encore à dormir sereinement ?

Honnêtement… pas vraiment. Parce qu’il faut avoir l’humilité de reconnaître qu’on ne contrôle pas tout. Les risques émergent extrêmement vite, notamment autour de l’intelligence artificielle, et personne n’a aujourd’hui toutes les réponses. 

Tout évolue en permanence. C’est à la fois stimulant intellectuellement… et assez angoissant. Parce qu’il faut sans cesse se réinventer, adapter les méthodes, revoir les modèles de protection et anticiper des risques qui n’existaient
parfois même pas quelques mois auparavant.

Mais c’est aussi ce qui rend ce métier passionnant. On apprend en permanence. Et surtout, il faut garder une conviction forte : la technologie doit rester au service de l’humain, avec ses forces et ses faiblesses. Au final, la cybersécurité reste avant tout une affaire de compréhension, de culture et de responsabilité collective.La médiane était de trois jours. Cela montre qu’un vecteur perçu comme ancien reste exploitable. Pour un CISO, cela signifie
qu’il ne faut pas négliger ces scénarios dans son analyse de risques.

 

 

Si vous deviez résumer les grands défis actuels d’un CISO au Luxembourg, comment le feriez-vous ? 

Je dirais : régulation, innovation et compétences. La régulation impose un cadre structurant. L’innovation, notamment avec l’IA, avance à une vitesse inédite. Et les compétences sont le socle de tout le reste. Le CISO doit naviguer entre ces trois dimensions. Il doit toujours protéger, accompagner, anticiper, encadrer et remettre en perspective. La cybersécurité n’est plus un centre de coût technique, elle est un levier stratégique de confiance, de résilience et de compétitivité.