Le parcours de Ryan Davis, responsable de la sécurité des informations (CISO) chez New Charter Technologies, a commencé par une passion précoce pour les ordinateurs dans les années 1980, avant l'ère d'Internet. Cette passion, qui a débuté par le démontage de systèmes et la compréhension de leurs mécanismes de fonctionnement, s'est transformée plus tard en une carrière professionnelle dédiée à la protection des infrastructures numériques. Davis estime que son passé de « hacker » durant sa jeunesse n'était pas motivé par la malveillance, mais par une pure curiosité technique, ce qui lui a fourni une base solide pour comprendre comment défendre les systèmes aujourd'hui.
Des laboratoires du MIT au siège du leadership
Davis a entamé sa carrière professionnelle au laboratoire Lincoln du Massachusetts Institute of Technology (MIT Lincoln Laboratory), un centre spécialisé dans l'application de technologies avancées pour résoudre des problèmes de sécurité nationale. Il y a été plongé dans l'univers de l'assurance de l'information et de l'audit interne pendant cinq ans, avant de rejoindre en 2012 la société Veracode, spécialisée dans la sécurité des logiciels. Chez Veracode, il a gravi les échelons, passant de gestionnaire de programmes de sécurité à architecte logiciel, pour finalement accéder au poste de responsable de la sécurité des informations en 2019, où il a réussi à faire croître une équipe de sécurité d'une seule personne à 15 experts.
Davis a ensuite rejoint la société NS1, acquise par IBM, avant d'occuper son poste actuel chez New Charter Technologies, un groupe soutenu par des sociétés de capital-investissement qui gère des fournisseurs de services gérés (MSP) à travers l'Amérique du Nord.
Le responsable de la sécurité en tant que catalyseur d'entreprise
Davis estime que le titre de « responsable de la sécurité des informations » peut parfois être trompeur ; le véritable rôle ne se limite pas à la protection des données, mais s'étend à la protection de la continuité des activités et à la garantie de leur résilience. Il affirme qu'un leader de la sécurité performant aujourd'hui doit combiner deux qualités : un technicien compétent et un homme d'affaires avisé.
Pourquoi cette transformation du rôle est-elle importante ?
Davis souligne qu'un responsable de la sécurité qui ne comprend pas les moteurs de l'entreprise aura du mal à communiquer avec la direction exécutive. Il déclare : « Si vous ne parvenez pas à parler le langage des affaires, vous finirez par parler au-dessus de la tête du reste de l'équipe exécutive ». La capacité à expliquer des questions techniques complexes dans un langage compréhensible par les dirigeants financiers et administratifs est la compétence qui sépare le succès de l'échec dans ce poste.
Constitution des équipes et intelligence émotionnelle
En ce qui concerne la constitution des équipes de sécurité, Davis s'éloigne des modèles traditionnels, affirmant qu'une équipe est la somme de ses parties complémentaires. Lors du recrutement, Davis recherche la diversité des personnalités et des compétences ; il ne se contente pas d'experts techniques introvertis qui préfèrent coder toute la journée, mais cherche à les intégrer avec des profils dotés de solides compétences relationnelles (soft skills) capables d'interagir avec les autres départements de l'entreprise.
Il insiste sur le fait que la diplomatie est la caractéristique personnelle la plus importante que doit posséder un responsable de la sécurité, car le travail exige un équilibre délicat entre l'imposition de restrictions de sécurité et la facilitation du flux de travail, ce qui ne peut être atteint qu'en instaurant la confiance et une transparence absolue avec l'équipe et la haute direction.
Faire face à la réalité de l'épuisement professionnel
Davis ne cache pas les défis psychologiques associés au travail dans le secteur de la cybersécurité, qualifiant l'épuisement professionnel de « réalité incontestable ». Il reconnaît avoir vécu des expériences professionnelles atteignant 100 heures par semaine, ce qui a affecté sa vie personnelle et sa santé.
Qu'est-ce qui change concrètement dans la gestion du stress ?
Davis conseille de s'efforcer d'atteindre un équilibre, non seulement pour la santé mentale, mais aussi pour la qualité du travail de sécurité lui-même. Il affirme que la confiance dans les systèmes, les architectes et l'équipe est la clé ; le responsable qui tente de répondre à chaque alerte de sécurité tout au long de la nuit ne pourra pas tenir sur la longue durée. Il conclut en affirmant qu'une gestion réussie de la sécurité commence par la gestion de soi et l'évitement de l'état d'urgence permanent qui conduit à l'épuisement des compétences.