RSSI externalisé
Responsable de la sécurité des systèmes d'information exercé par un prestataire, à temps partagé, pour les organisations sans RSSI interne.
Définition complète
Le RSSI externalisé (ou RSSI à temps partagé, parfois appelé vCISO) exerce la fonction de responsable de la sécurité des systèmes d'information pour le compte d'une organisation, quelques jours par mois, dans le cadre d'un contrat de prestation.
Ses missions sont celles du RSSI décrites par le Panorama des métiers de l'ANSSI : piloter la démarche de cybersécurité, définir ou décliner la politique de sécurité et veiller à son application, conseiller et alerter la direction, s'assurer que les solutions de protection et de détection sont en place, et contribuer au pilotage des incidents et des crises. L'ANSSI précise que, selon la taille de l'organisation, le RSSI joue un rôle opérationnel ou encadre une équipe.
Cette formule répond à la situation de nombreuses PME : les enjeux de sécurité existent, mais un poste à temps plein ne se justifie pas. Elle suppose un interlocuteur interne (dirigeant ou référent) qui relaie les décisions, car le prestataire conseille et pilote, sans décider à la place de la direction.
Sources : ANSSI, Panorama des métiers de la cybersécurité ; ANSSI, La cybersécurité pour les TPE/PME en treize questions
Exemple concret
Une PME de services à domicile de 150 salariés doit répondre aux questionnaires de sécurité de ses clients publics. Elle fait appel à un RSSI externalisé deux jours par mois : état des lieux, PSSI, plan d'action sur un an, choix d'un prestataire de sauvegarde, puis un point mensuel avec la directrice générale. Après douze mois, l'authentification multifacteur est généralisée et un exercice de crise a été mené.
Comment se protéger
- Définir des objectifs mesurables et un volume de jours adapté à la taille de l'entreprise
- Désigner un référent interne qui suit les actions entre deux interventions
- Organiser un point régulier avec la direction, qui arbitre et valide
- Préciser le rôle du RSSI externalisé en cas d'incident (astreinte ou non)
- Vérifier l'indépendance vis-à-vis des solutions qu'il recommande
- Prévoir la restitution de la documentation en fin de contrat
Questions fréquentes
Cela dépend de la taille et de l'exposition de l'entreprise. Beaucoup de PME démarrent avec quelques jours par mois, plus intenses la première année pour établir l'état des lieux et le plan d'action.
Le prestataire informatique exploite et dépanne les systèmes. Le RSSI pilote la sécurité, fixe les règles et contrôle leur application, y compris par le prestataire. Confier les deux rôles au même acteur crée un conflit d'intérêts.
Termes liés
NIS2
Directive européenne renforçant la cybersécurité des organisations.
PSSI (politique de sécurité)
Document de référence qui fixe les règles et objectifs de sécurité du système d'information, validé par la direction.
RSSI
Responsable de la Sécurité des Systèmes d'Information.
Test d'intrusion (pentest)
Attaque simulée et autorisée, menée par des auditeurs, pour trouver les failles exploitables d'un site, d'un réseau ou d'une application.
Vous avez besoin d'un expert en RSSI externalisé ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.