Conformité
RSSI
Aussi appeléResponsable de la sécurité des systèmes d’informationCISORSSI externalisévCISO
En résumé
Le responsable de la sécurité des systèmes d’information : la personne qui définit la politique de sécurité, pilote la gestion des risques, coordonne la réponse aux incidents et rend compte à la direction. Dans les structures de taille modeste, la fonction est parfois confiée à un prestataire à temps partagé.
RSSI, en détail
Le RSSI ne gère pas les serveurs : il fixe les règles, arbitre les priorités, mesure l’avancement et rend compte. Ses livrables sont une politique, une feuille de route, un registre de risques, un tableau de bord et un plan de gestion de crise. Son rattachement compte : placé sous la direction informatique, il arbitre contre les intérêts de sa propre hiérarchie, dont la priorité est la disponibilité et les délais ; rattaché à la direction générale, il a le recul nécessaire.
On le distingue du directeur des systèmes d’information, qui fait fonctionner le système, et du délégué à la protection des données, qui veille au respect de la réglementation sur les données personnelles. Les trois se coordonnent, et les lignes directrices européennes sur le délégué alertent sur les conflits d’intérêts quand une même personne décide des moyens d’un traitement et en contrôle la conformité. Dans une PME, un RSSI à temps partagé occupe la fonction quelques jours par mois.
Qu’est-ce que cela change pour vous ?
Sans RSSI identifié, les décisions de sécurité se prennent par défaut, au gré des urgences. Un responsable nommé, avec une lettre de mission et un accès à la direction, évite que les risques s’accumulent sans que personne ne les porte.
La confusion fréquente
Nommer RSSI la personne la plus compétente techniquement sans lui donner de pouvoir d’arbitrage ni d’accès à la direction. Elle fait alors du travail technique, et la gouvernance reste vacante.
Qui peut vous accompagner ?
- RSSI externalisé : la prestationUne fonction sécurité tenue de bout en bout, sans poste à temps plein.
- Audit organisationnel : la prestationSavoir où en est la sécurité de l’organisation, au-delà de ses outils.
Aller plus loin
- ArticleRSSI externalisé : missions, coût et limites du temps partagéCe que fait un RSSI à temps partagé, ce qui fait varier son coût, quand il vaut mieux embaucher, et les limites à écrire dans le contrat avant de signer.
- ArticleAudit de sécurité informatique : déroulé, livrables et prixCe qu’est un audit de sécurité informatique, les cinq étapes d’une mission, les livrables à exiger et ce qui fait varier le prix, avec les montants d’entrée de chaque type d’audit.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- ConformitéSMSI : définitionLe système de management de la sécurité de l’information : l’ensemble des règles, rôles, processus et contrôles par lesquels une organisation gère ses risques de sécurité de façon continue, avec revue de direction et amélioration.
- ConformitéPSSI : définitionLa politique de sécurité des systèmes d’information : le document de référence, approuvé par la direction, qui fixe les objectifs de sécurité, les règles applicables, les rôles et les responsabilités.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
- DéfensePlan de réponse à incident : définitionLe document, testé par des exercices, qui décrit qui fait quoi quand un incident de sécurité survient : qualification, décisions d’isolement, préservation des preuves, communication, notification aux autorités, reprise d’activité.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début