RSSI externalisé à Paris et en petite couronne : un devis clair en 2 minutes

Une fonction de pilotage, pas une présence permanente

Le RSSI, pour responsable de la sécurité des systèmes d’information, est la personne qui fixe les règles de sécurité, arbitre les priorités et rend compte à la direction. Externaliser cette fonction consiste à la confier à un professionnel extérieur, qui intervient selon un rythme convenu à l’avance, sur place et à distance. Sa mission est de piloter : il ne surveille pas le réseau en continu et n’exploite pas le système au quotidien.

Ce que le RSSI pilote

Le travail s’organise autour de quelques livrables. Un état des lieux situe l’entreprise : organisation, accès, sauvegardes, prestataires, incidents passés. Une analyse des risques identifie ce qui compte pour l’activité et classe les scénarios qui la menaceraient par gravité. Un plan d’action regroupe des chantiers priorisés, dont chacun a un responsable et une échéance choisie par l’entreprise. Une politique de sécurité adaptée à la taille de la structure fixe les règles communes. Le RSSI prépare aussi les réponses aux questionnaires des donneurs d’ordre et des assureurs, et suit ce que font les prestataires : infogérant, éditeur de la protection des postes, service de surveillance.

Ce qui le distingue des fonctions voisines

Une DSI externalisée pilote l’ensemble du système d’information : choix techniques, budget, projets. Un SOC surveille en continu les événements de sécurité et alerte en cas d’anomalie. Le RSSI externalisé ne remplace ni l’un ni l’autre. Il se situe du côté de la décision : il fixe les règles, vérifie qu’elles sont appliquées et dit à la direction ce qui reste exposé. Les deux autres fonctions lui fournissent des éléments de travail, il leur donne un cadre.

Le sujet remonte rarement en tant que tel. Il apparaît à travers des situations concrètes :

• Un questionnaire de sécurité envoyé par un client : personne dans l’entreprise n’a le temps ni la légitimité pour y répondre, alors que la réponse engage l’entreprise.
• Une direction qui ne sait pas où en est la sécurité : les informations existent, mais elles sont éparses et aucune synthèse régulière ne les rassemble.
• Un infogérant qui contrôle seul son propre travail : celui qui exploite le système est aussi chargé de juger s’il est bien sécurisé.
• Des chantiers lancés puis abandonnés : sans pilote désigné, les actions de sécurité s’arrêtent dès que l’urgence du quotidien revient.
• Un incident qui a révélé l’absence de procédure : on découvre après coup qui devait prévenir qui, et qui décidait de couper un accès.
• Un assureur qui demande qui est responsable de la sécurité : la question appelle une fonction identifiée et des éléments documentés, pas seulement le nom d’un prestataire.
• Un responsable informatique seul : absorbé par l’exploitation, il n’a plus le temps de prendre du recul sur les risques.
• Une réglementation sectorielle qui attend une gouvernance : l’entreprise doit pouvoir montrer qui pilote la sécurité et comment les décisions sont prises.

Une mission de RSSI externalisé commence par une phase de mise en place, puis se poursuit par un pilotage régulier. Le rythme est fixé dans le contrat et dépend de la taille du système d’information et du niveau de maturité de départ.

Avant la mission

Le cadrage porte sur le périmètre : sites, applications, prestataires déjà en place, contrats qui touchent à la sécurité. Le RSSI réunit les documents existants, rencontre les personnes qui exploitent le système et établit un état des lieux. La direction valide ensuite l’objectif : ce qui doit être protégé en priorité, et ce qui peut attendre.

Pendant la mission

L’analyse des risques et le plan d’action sont rédigés puis présentés en comité de sécurité. Chaque chantier reçoit un responsable, une échéance choisie par l’entreprise et un critère simple pour savoir s’il est terminé. Le RSSI suit les prestataires : il vérifie que ce qui est prévu au contrat est réellement fait, et signale les écarts par écrit.

Après la mise en place

Le pilotage se maintient par des comptes rendus réguliers, rédigés sans jargon, qui présentent l’avancement, les risques restants et les décisions attendues de la direction. Le plan d’action est revu à chaque comité. Sans ce rendez-vous fixe, les chantiers finissent par glisser et le plan perd sa valeur.

Le prix dépend du temps de présence, de la taille du système d’information, de l’ampleur du plan d’action et du nombre de prestataires à piloter. Au-delà du montant, trois points permettent de comparer deux propositions.

Le temps de présence doit être décrit par ce qu’il recouvre : réunions, analyse sur place, rédaction des livrables, relecture des rapports des prestataires. Un temps trop faible se réduit vite à des réunions, et les chantiers restent sans suivi.

L’indépendance compte autant. Un RSSI fourni par l’infogérant ou par l’éditeur d’une solution contrôle son propre travail. Il faut demander s’il existe un lien commercial avec les prestataires qu’il doit évaluer, et comment un désaccord est signalé.

Enfin, vérifiez le mandat. Sans lettre de mission signée par la direction, le RSSI n’a pas de prise réelle sur les arbitrages : il peut recommander, mais personne ne tranche. La proposition doit dire qui reçoit les comptes rendus et qui décide.

• Confier le rôle à l’infogérant : il contrôle alors son propre travail. La parade consiste à séparer, dans la gouvernance écrite, la fonction de pilotage de la fonction d’exploitation.
• Acheter du temps de présence sans objectifs : le RSSI passe ses journées en réunions et les livrables n’arrivent pas. La parade est de fixer par écrit les livrables attendus et leur échéance.
• Ne pas donner de mandat : le RSSI propose, la direction n’arbitre pas, rien ne bouge. La parade est une lettre de mission et un comité dont les décisions sont consignées.
• Improviser le rôle pendant un incident : chacun appelle qui il peut, et la décision de couper un accès tarde. La parade est de définir avant tout incident qui coordonne, qui décide et qui informe les clients.
• Ne rendre compte qu’à l’équipe informatique : les arbitrages de sécurité restent techniques et la direction ignore les risques restants. La parade est un compte rendu adressé à la direction, lisible sans jargon.

Quel temps le RSSI consacre-t-il à l’entreprise, et comment se répartit-il entre réunions, analyses, rédaction et suivi des prestataires ? La réponse doit se traduire en programme écrit, pas seulement en enveloppe.

Le RSSI est-il indépendant de l’infogérant et des éditeurs de solutions ? Demandez s’il existe un lien commercial avec l’un d’eux, et qui tranche en cas de désaccord.

Quels livrables sont remis : analyse des risques, plan d’action, comptes rendus, suivi des décisions ? Chacun doit avoir un format et une fréquence définis dans le contrat.

Quel est son rôle si un incident de sécurité survient ? Il doit figurer dans la proposition : coordination, relation avec le prestataire, information interne, décisions soumises à la direction.

Pour démarrer, décrivez votre situation dans le formulaire de demande de devis : un spécialiste du RSSI à temps partagé vous recontacte.