Quand on parle de cybersécurité, on pense souvent aux outils, aux contrôles et aux scénarios techniques. Pourtant, Chris Wheeler insiste sur un point plus fondamental : la confiance au cœur du rôle de CISO. Selon lui, c’est ce qui permet de transformer la sécurité en levier business, et de faire fonctionner une organisation quand les exigences augmentent.
Son parcours relie la rigueur militaire à la réalité des entreprises modernes : recherche de menaces, analyse, intelligence, puis leadership jusqu’au poste de CISO. Dans cet article, il explique comment la confiance se construit, comment un leader apprend à enseigner, et pourquoi la résilience passe aussi par l’équilibre et une approche fondée sur le risque.
De la Navy à la cybersécurité : apprendre à diriger
La dimension leadership apparaît très tôt dans son histoire. En rejoignant la Navy en 2010, Chris Wheeler décrit une formation qui mêle un cadre exigeant et des apprentissages concrets. Il a notamment passé plusieurs années dans des opérations liées au numérique, à une époque où la Navy parlait alors d’information warfare.
Ce qui le marque, c’est un exercice spécifique : la consigne était de tenir le réseau pendant une semaine tout en empêchant une équipe rouge menée par l’NSA d’y entrer. L’évaluation portait sur des indicateurs concrets comme la disponibilité du réseau, les capacités de détection et de “rejet”, ainsi que l’analyse forensique.
Mais au-delà de la technique, le service militaire lui inculque une logique de responsabilité. Il évoque une maxime importante : « c’est monter ou partir ». Dans la pratique, très vite après l’école, il se retrouve à diriger une division d’une quinzaine de marins à bord d’un navire. Cette expérience lui fait comprendre que le leadership n’est pas seulement une posture : c’est une mission au quotidien.
Le monde commercial oblige à adapter le leadership
Transposer cette approche dans l’entreprise n’est pas automatique. Wheeler souligne trois réalités qui changent le jeu : l’évolution technologique à une vitesse élevée, la complexité croissante des réseaux, et le fait que le rôle du leader sécurité exige aussi des compétences d’analyse business.
Son point de départ est simple : une seule personne ne peut pas maîtriser, en même temps, l’ensemble du périmètre (IT, cybersécurité et processus métier). Il en tire une conception plus distribuée du leadership.
Pour lui, un leader doit être capable de comprendre “le tout”, mais surtout de savoir comment transmettre : où se spécialiser, quand intervenir personnellement, et à quel moment accompagner l’équipe pour qu’elle avance de façon autonome. La logique de la Navy, centrée sur la responsabilité et la cohésion, lui sert de boussole dans ce passage.
Confiance au cœur : la condition pour conseiller le business
Si Wheeler devait résumer le trait le plus déterminant pour un CISO, il parlerait de confiance au cœur. Il ne s’agit pas d’un slogan : c’est un mécanisme à double sens.
D’un côté, le CISO doit diffuser la confiance au sein de l’entreprise. Sans elle, les dirigeants métier n’acceptent pas les recommandations stratégiques en cybersécurité, surtout lorsqu’elles touchent à la maximisation de la performance ou aux arbitrages d’investissement.
De l’autre côté, le CISO a besoin de confiance envers ses pairs et l’organisation elle-même. Mais Wheeler met aussi l’accent sur un troisième niveau : la confiance envers les membres de l’équipe sécurité qu’il recrute.
Comme il le dit, il est impossible pour un CISO de tout savoir. La clé devient alors de savoir quelles questions poser et à qui les poser. Dans une organisation, la confiance se traduit donc par la capacité à s’appuyer sur les bonnes personnes, au bon moment.
Recruter et bâtir une équipe à l’ère de l’IA
La confiance ne se décrète pas : elle se construit avec le recrutement, l’organisation du travail et les méthodes. Wheeler observe que l’expertise technique seule ne suffit plus comme critère unique.
Il cite l’essor de l’IA générative comme un facteur de démocratisation de l’automatisation. Autrement dit, on n’a plus forcément besoin d’être un programmeur formé pour utiliser et exploiter des mécanismes d’automatisation, et il n’est pas toujours nécessaire d’avoir un profil d’ingénieur sécurité “classique” pour contribuer aux opérations.
Ce que l’on cherche davantage, ce sont des profils tournés vers l’avenir, capables d’intégrer l’IA dans leur travail et de l’utiliser de manière utile. Cela renforce la logique d’équipe : la priorité devient la capacité à apprendre, à s’adapter et à coopérer.
Enfin, Wheeler insiste sur l’importance de l’intelligence émotionnelle et des compétences sociales. Pour que la sécurité soit durable, l’équipe doit reposer sur une relation de confiance entre pairs et envers le leader.
Le rôle de la “feuille de route” : mentors, conseils et pratique
Sur une trajectoire de carrière, on avance mieux avec des repères. Wheeler compare cela à des panneaux sur une route : ils évitent de se perdre et accélèrent l’arrivée.
Dans son cas, les repères prennent souvent la forme de mentors et de conseils. Il distingue deux catégories : des conseils philosophiques et des conseils pratiques.
Conseils philosophiques : maîtriser les fondations mathématiques
Le conseil le plus “philosophique” qu’il retient : on ne peut pas être expert si l’on ne connaît pas les mathématiques de son métier. Ici, il ne s’agit pas seulement de comprendre l’architecture IT, mais aussi les principes qui gouvernent la sécurité.
Il recommande notamment d’améliorer la quantification du risque : estimer raisonnablement une probabilité, exprimer l’incertitude et relier, de plus en plus, ces éléments à des termes financiers. Ce mouvement reflète le besoin croissant d’un CISO capable de faire l’interface entre sécurité et analyse business.
Wheeler rappelle aussi un point réaliste : l’objectif n’est pas d’empêcher tous les incidents (ce serait irréaliste), mais de limiter les attaques contre ce qui compte pour l’entreprise et de préserver la continuité d’activité.
Il évoque par ailleurs une dynamique autour de la gouvernance : davantage de briefings destinés au board, et l’idée que la compréhension du risque doit être communicable en termes de probabilité, d’incertitude et d’impact financier.
Conseils pratiques : construire un home lab
Sur le plan concret, Wheeler cite un conseil très direct : bâtir un home lab. La forme peut varier : aujourd’hui, l’expérimentation ne se limite plus au matériel IT.
Ce qu’il valorise, c’est l’attitude de curiosité. Tester les technologies et les processus que l’on est chargé de sécuriser, sans attendre d’avoir un contexte parfait, développe un réflexe utile. Il ajoute que les outils d’IA générative rendent aussi possible de simuler, d’explorer et d’essayer des concepts au-delà de l’infrastructure physique.
Éviter le perfectionnisme et cultiver l’empathie
Wheeler parle aussi des pièges psychologiques. Dans la sécurité traditionnelle, il existe parfois un “complexe du perfectionniste”. Il peut se répercuter dans les interactions avec les employés et les partenaires business.
Or, un CISO orienté risque sait que la perfection n’est pas maintenable, même avec des budgets importants. Décider du risque à partir d’absolus (“perfection” à tout prix) rend l’arbitrage difficile, notamment quand on cherche des mesures quantifiées et informées financièrement.
Pour guider son équipe, il préfère encourager des comportements : être un partenaire empathique, chercher un équilibre entre vie personnelle et professionnelle, et éviter l’épuisement. Sa recommandation reste simple : prendre des congés, garder du temps pour la famille, et continuer un hobby. Le travail sera là, mais la réalité de la complexité croissante rend l’attention à soi encore plus nécessaire.
Météo orageuse : l’agentic AI et les garde-fous
Il s’inquiète du rythme d’adoption de l’agentic AI, mais pas uniquement pour des raisons liées aux acteurs malveillants. Son approche vise surtout à rester au même niveau d’adoption tout en maintenant une posture sécurisée et résiliente.
Selon lui, la demande vient d’en haut et d’en bas. Les boards et les investisseurs poussent à l’adoption, tandis que les développeurs et les “power users” la demandent également de manière bottom-up. Cette double pression crée un besoin d’alignement et de cadre.
Son équipe mène une initiative de “secure enablement”. Le principe reprend des thèmes qu’il juge centraux : écouter les employés, instaurer la confiance, expérimenter en personne et établir des garde-fous fondés sur le risque.
Il souligne que, même si de nouvelles catégories de contrôles apparaissent, beaucoup s’enracinent dans une architecture de zero trust. Pour cela, l’investissement augmente notamment autour de l’IAM, de l’inventaire et de la catégorisation des données, ainsi que de l’automatisation à l’échelle.
Au-delà de la technologie : une équation complète
Au final, la vision de Wheeler est claire : une cybersécurité performante ne tient pas uniquement dans la technique. Il affirme que la réussite repose sur la compréhension des fondations mathématiques de la discipline, et sur la capacité à relier plusieurs dimensions.
Sa “formule” résume l’idée : technologie + principes de sécurité + compréhension business + empathie envers les personnes. Dans cette équation, la confiance au cœur agit comme le ciment qui rend le tout opérationnel : confiance entre le CISO et le board, confiance envers les pairs, et confiance envers l’équipe qui exécute au quotidien.
Pour celles et ceux qui aspirent à évoluer dans le métier, le message est donc moins technique qu’il n’y paraît : apprenez les bases, pesez le risque, instruisez votre équipe, et construisez une culture où les gens osent agir — parce qu’ils savent qu’on les soutient.
