Vous démarchez un CISO. Le Canada exige un dirigeant principal de la sécurité.

Le titre qui n'apparaît qu'une fois

Le gouvernement du Canada publie l'annuaire de ses fonctionnaires en données ouvertes — 194 647 dossiers, chacun portant un titre de poste en anglais et, pour 184 607 d'entre eux, en français (Shared Services Canada, 2026). Je l'ai téléchargé le 14 août 2026 et j'ai fouillé chaque champ de titre, dans les deux langues, à la recherche de l'acheteur autour duquel se construit le message de la cybersécurité fédérale.

Un seul dossier porte le titre Chief Information Security Officer. Il se trouve au Secrétariat du Conseil du Trésor du Canada, et le titre complet est Chief Information Security Officer of the GC — celui du gouvernement du Canada, non celui d'un ministère (Shared Services Canada, 2026).

Ce n'est pas, comme je l'ai d'abord supposé, la preuve que l'acheteur en sécurité fédérale est injoignable. C'est la preuve que la catégorie s'adresse à un poste que le Canada n'organise pas comme elle l'imagine.

L'idée maîtresse. La Politique sur la sécurité du gouvernement exige de chaque administrateur général qu'il désigne un dirigeant principal de la sécurité — et non un CISO — « chargé d'assurer le leadership, la coordination et la surveillance des activités de gestion de la sécurité ministérielle » (Treasury Board of Canada Secretariat, 2019, art. 4.1.1). Ce titre est publié : 38 dossiers répartis dans 28 des 141 organisations racines de l'annuaire. Le titre de CISO n'apparaît qu'une fois. L'exécutif responsable de la sécurité existe donc, il est nommé et il est joignable — et il réunit la sécurité matérielle, celle du personnel et celle de l'information dans un mandat unique. Votre produit est évalué par un généraliste, en concurrence avec des contrats de gardiennage et des programmes de filtrage, et non par un spécialiste de la sécurité de l'information Sagentix GTM Methodology, 2026.

Le contrôle, avant la conclusion

Un décompte de un est le résultat le plus dangereux dans ce type d'analyse, parce qu'une recherche défectueuse et un titre véritablement absent produisent exactement la même sortie. Avant que ce nombre puisse être publié, il fallait démontrer que la recherche fonctionne.

La même recherche, inchangée, a été exécutée sur d'autres titres de direction de forme grammaticale identique, dans le même champ :

Titre recherché (les deux langues officielles)	Dossiers	Organisations
Dirigeant principal des finances (CFO)	98	62
Dirigeant principal de l'information (CIO)	50	38
Dirigeant principal de la vérification	19	19
Dirigeant principal des données	14	14
Chief Privacy Officer	3	3
Chief Information Security Officer	1	1

(Shared Services Canada, 2026)

La sonde renvoie 98 dirigeants principaux des finances et 50 dirigeants principaux de l'information par le même chemin de code. Le CISO unique est donc une propriété de l'annuaire, et non de ma recherche.

Un second contrôle que j'ai failli manquer : une recherche en anglais seulement trouve une organisation de la classe CISO; une recherche bilingue en trouve trois. La Société canadienne d'hypothèques et de logement publie Head, Information Security / Chef, Sécurité de l'information, et Patrimoine canadien publie Head, Physical and Information Security / Chef, Sécurité physique et de l'information (Shared Services Canada, 2026). Fouillez un annuaire bilingue dans une seule langue et vous manquez les deux tiers de ce qu'il contient.

Le rôle que la politique nomme réellement

Voici la correction qui recadre tout, et je la fais parce que ma propre première recherche portait sur le mauvais terme.

La Politique sur la sécurité du gouvernement de 2009 employait l'expression agent de sécurité ministériel, et cette expression — comme sa forme anglaise Departmental Security Officer — n'apparaît qu'une seule fois dans tout l'annuaire. La chercher ne vous apprend rien, sinon que le terme est désuet.

La politique en vigueur est entrée en vigueur le 1er juillet 2019, remplaçant la version de 2009, et a été modifiée à compter du 6 janvier 2025 (Treasury Board of Canada Secretariat, 2019). Son exigence se lit ainsi : les administrateurs généraux sont responsables de « Désigner un dirigeant principal de la sécurité devant rendre des comptes à l'administrateur général ou au comité de direction ministériel, chargé d'assurer le leadership, la coordination et la surveillance des activités de gestion de la sécurité ministérielle » (Treasury Board of Canada Secretariat, 2019, art. 4.1.1).

Cherchez ce titre et le portrait s'inverse : 38 dossiers répartis dans 28 organisations, dont l'Agence des services frontaliers du Canada, Affaires mondiales Canada, l'École de la fonction publique du Canada, le Conseil de la radiodiffusion et des télécommunications canadiennes, Patrimoine canadien, Pêches et Océans Canada et l'Agence canadienne d'inspection des aliments (Shared Services Canada, 2026). Des dirigeants principaux de la sécurité, des dirigeants principaux adjoints, et des directeurs généraux qui cumulent la désignation avec un poste hiérarchique.

L'acheteur était publié depuis le début. Je cherchais un titre issu d'une politique remplacée il y a sept ans — précisément le défaut d'actualité contre lequel cette série ne cesse de prévenir, survenu dans mon propre brouillon.

Pourquoi plus de la moitié des titres de sécurité semblent du bruit

Fouillez l'annuaire largement pour le personnel dont le titre mentionne la sécurité et vous trouvez 737 dossiers (Shared Services Canada, 2026). Décomposez-les :

Catégorie	Dossiers	Part
Cybersécurité / sécurité des TI / de l'information	340	46,1 %
Sécurité matérielle, du personnel, maritime, aérienne ou des transports	198	26,9 %
Sécurité sans qualificatif (type de rôle indéterminable d'après le titre)	197	26,7 %
Ambigu (correspond aux deux)	2	0,3 %
Total	737	100 %

(Shared Services Canada, 2026)

Un fournisseur qui filtre sur le mot-clé conclut que plus de la moitié de la liste est du bruit et l'écarte. Cette lecture est fausse, et coûteusement. Sous un mandat tous risques confié au dirigeant principal de la sécurité, les rôles matériels, de personnel et de filtrage ne constituent pas un autre marché — ils sont la même fonction de sécurité, dans la même ligne hiérarchique, en concurrence pour le même budget de programme. Ce 26,9 % n'est pas une contamination. C'est le reste du travail de votre acheteur.

Ce que cela change dans le message

Si l'exécutif responsable est un généraliste qui rend des comptes à l'administrateur général, l'argumentaire habituel de la catégorie est mal visé de trois façons précises.

Le cadrage par l'acteur malveillant porte le moins. Le portefeuille d'un dirigeant principal de la sécurité est dominé par des obligations prescrites et vérifiées — filtrage, mesures matérielles, évaluation et autorisation de sécurité. Se positionner sur un récit de menace revient à concurrencer un calendrier de conformité, et à perdre.

La dépense concurrente n'est pas un autre outil de sécurité. C'est un contrat de gardiennage, un arriéré de filtrage, la mise à niveau d'une installation. Justifier le coût face à une plateforme rivale répond à une question que cet acheteur ne se pose pas.

Le spécialiste est un évaluateur technique, non l'acheteur économique. Les 340 dossiers en cybersécurité et sécurité des TI sont réels et ils comptent — ils évalueront le produit. Dans la plupart des organisations, ils ne détiennent pas le mandat que la politique confie au dirigeant principal de la sécurité.

Rien de tout cela ne plaide pour un dossier technique plus faible. Cela plaide pour un dossier technique adressé à quelqu'un dont la responsabilité couvre trois domaines et dont l'autorité remonte à l'administrateur général Sagentix GTM Methodology, 2026.

Comment cela s'inscrit dans ma façon de travailler

Sagentix conseille en stratégie de mise en marché. L'entreprise ne livre pas de services de cybersécurité, d'évaluation de conformité ni de certification — SOC 2, CMMC et ISO 27001 en font partie — et rien ici ne constitue un conseil en sécurité — le sujet est de savoir à qui un fournisseur de sécurité peut s'adresser, non comment une organisation devrait se sécuriser.

Chaque mandat de phase 01, veille de marché, construit le persona à partir de l'instrument qui le crée et de l'annuaire, plutôt qu'à partir des idées reçues de la catégorie, parce qu'un persona défini par l'habitude sectorielle est un plan visant un titre de poste qui peut ne pas exister dans le marché que vous démarchez Sagentix Phase 01 Market Intelligence, 2026. Le système de livraison complet s'étend sur 6 à 8 semaines, s'appuie sur plus de 727 artefacts organisés, et est facturé entre 4 000 $ CA et 50 000 $ CA selon la portée — avec une garantie de remboursement sur la phase 1 (sous réserve des conditions).

L'habitude sous-jacente est gratuite : lisez l'instrument qui crée le rôle avant d'écrire au rôle.

Trois façons d'agir

Trouvez l'instrument, puis le titre. Pour tout acheteur réglementé, repérez la politique, la directive ou la loi qui crée la responsabilité que vous démarchez, et tirez-en le titre — en vérifiant si l'instrument a été remplacé ou modifié. J'ai cherché un terme de 2009 dans une politique de 2019 et obtenu un résultat nul qui ressemblait à un constat. Cela coûte un après-midi et c'est l'option que je prendrais en premier.

Réorientez le message, pas la liste. La liste est bonne — 28 organisations publient l'exécutif. Éprouvez votre présentation actuelle auprès d'un lecteur qui détient aussi la sécurité matérielle et celle du personnel, et voyez ce qui lui parle encore.

Faites réaliser une veille de marché structurée lorsque le persona sous-tend quelque chose — un plan d'embauche, un découpage de territoire, un chiffre déjà présenté à un conseil d'administration. C'est un mandat de phase 01, et il vient en dernier parce que les deux premières options sont gratuites.

L'acheteur en sécurité fédérale ne se cache pas. Son travail diffère de ce que suppose votre présentation, et la politique qui a créé ce poste le dit en une phrase.

Quel instrument définit l'acheteur dans votre plan — et à quand remonte la dernière vérification qu'il n'avait pas été remplacé ?

References

• Shared Services Canada. (2026). Government of Canada Employee Contact Information (GEDS) [Data set]. Government of Canada. Open Government Licence – Canada.
• Treasury Board of Canada Secretariat. (2019). Policy on Government Security (effective 1 July 2019; amended 6 January 2025). Government of Canada.

Contient de l'information visée par la Licence du gouvernement ouvert – Canada.