Pour rassurer, Microsoft crée un poste de RSSI adjoint pour l'Europe

La semaine dernière, Microsoft a mené une opération déminage après les tensions commerciales entre l’Europe et les Etats-Unis. Brad Smith, président de Microsoft est monté au créneau en rappelant que la société continuera à protéger les données européennes face aux lois américaines y compris à portée extraterritoriale. « Si nécessaire, nous sommes prêts à saisir la justice » et cette obligation d’ester en justice sera écrite dans les contrats passés avec les gouvernements et les institutions européennes. Dans l’ensemble des engagements pris par Microsoft, il y a la nomination d’un CISO (chief security officer) adjoint pour l’Europe.

Une RSSI adjointe nommée temporairement

Il sera nommé par le CISO de Microsoft Igor Tsyganskiy, sans qu’aucune date ne soit précisée. Le dirigeant a indiqué séparément sur Linkedin qu’il avait confié le poste à l’actuelle CISO adjointe basée aux Etats-Unis, Ann Johnson, avant de préciser par la suite qu’elle occuperait ce poste « temporairement ». Contactée par nos confrères de CSOonline, Ann Johnson n’a pas répondu aux questions sur son éventuel déménagement en Europe pour cette mission, ni sur le caractère temporaire. Elle a renvoyé l’ensemble des questions aux relations publiques de Microsoft qui se sont abstenues de tout commentaire.

Toujours dans son message sur Linkedin, Igor Tsyganskiy explique le conseil de gouvernance de la cybersécurité créé en 2024 est composé de « notre RSSI mondial et des responsables adjoints de la sécurité de l'information (RSSI adjoints) représentant chacun de nos services technologiques. Ce conseil supervise les cyber-risques, les défenses et la conformité de l'entreprise à travers les régions et les domaines. » M. Tsyganskiy a aussi écrit que « le RSSI adjoint pour l'Europe sera responsable de la conformité avec les réglementations actuelles et émergentes en matière de cybersécurité en Europe, notamment la loi sur la résilience opérationnelle numérique, le Digital Operational Resilience Act (DORA), la directive NIS 2 et la loi sur la résilience cybernétique Cyber Resilience Act (CRA) ». Il ajoute que « ces lois auront un effet transformateur non seulement sur les marchés de l'UE, mais aussi dans le monde entier », et que « Microsoft est activement engagée dans la préparation de ce qui nous attend. »

L’impact de la politique de Donald Trump sur la cybersécurité

Dans sa déclaration de mercredi, Microsoft a indiqué que « la nomination d'un RSSI adjoint pour l'Europe reflète l'importance et l'influence mondiale des réglementations européennes en matière de cybersécurité et l'engagement de l'entreprise à répondre à ces attentes et à les dépasser pour donner la priorité à la cybersécurité dans toute la région », ajoutant que « ce nouveau poste sera directement rattaché au RSSI de Microsoft ». Cette décision met également en évidence les fortes craintes des responsables informatiques et des fonctionnaires européens que l'administration Trump puisse exercer une influence significative sur les entreprises de cybersécurité.

Ces craintes ont été intensifiées par l'ordre de Donald Trump de retirer les habilitations de sécurité de SentinelOne et de l'ancien fonctionnaire de Trump, Chris Krebs, suite aux commentaires que ce dernier a faits sur les résultats de l'élection. L'incertitude économique liée aux droits de douane et aux mesures de rétorsion est un facteur encore plus important.

Rattraper le temps perdu

Michela Menting, directrice de recherche en sécurité numérique chez ABI Research, basée en France, a confié que lorsqu'elle a appris la création de ce poste par Microsoft, « elle a été surtout surprise qu'il n'y en ait pas déjà un ». « Le RGPD est en place depuis un certain temps et le fait que Microsoft se décide seulement maintenant à nommer un RSSI adjoint européen est préoccupant », a estimé la dirigeante. « On dirait qu’ils essayent de rattraper leur retard. » Elle trouve que c’est tout à fait à l’image des efforts minimes déployés par Microsoft en Europe au fil des ans, ajoutant que « l’entreprise doit à présent montrer qu’elle fait vraiment le maximum ». L’un des défis de la société, et donc de la personne qui occupera cette nouvelle fonction, consistera à convaincre les dirigeants européens que l’entreprise est en train de changer. La création du poste de RSSI adjoint pour l'Europe « n'est pas liée au fait qu'ils y croient réellement, mais parce qu'ils ne veulent pas perdre ce marché, c'est aussi simple que cela », a commenté Mme Menting. « Microsoft s’en est tenu au strict minimum, ce qui explique pourquoi l’entreprise est toujours en procès en Europe. »

Pascal Matzke, vice-président et directeur de recherche de Forrester, basé en Allemagne, n'a pas été impressionné par cette nomination. La création d'un poste de RSSI adjoint pour l'Europe « est une bonne chose, mais il faudra voir si cela se traduit par le maintien en Europe des nouvelles innovations » a-t-il fait remarquer. « Ils auraient pu indiquer un financement spécifique pour le co-développement, mais ils ne l'ont pas fait ». Phil Brunkard, conseiller exécutif à l'Info-Tech Research Group UK, pense pour sa part que la création de ce poste est « une façon de dire à Bruxelles que Microsoft est désormais prêt à respecter les règles du jeu en Europe ».