#RSSI à temps partagé : ce que ça couvre, ce que ça coûte, et quand ce n'est pas la bonne réponse

Le déclencheur est rarement une prise de conscience. C'est un questionnaire de sécurité envoyé par un gros client, une exigence de certification apparue dans un appel d'offres, un incident qu'on a mal géré, ou une échéance réglementaire. Quelqu'un pose alors la question : est-ce qu'il ne nous faudrait pas un RSSI ?

Vient ensuite l'arithmétique. Un responsable de la sécurité des systèmes d'information expérimenté représente un coût annuel chargé qui dépasse largement les cent mille euros, sur un marché où les profils disponibles sont rares et où une PME de cent personnes ne peut pas garantir un poste stimulant à plein temps. La plupart des organisations de cette taille n'ont ni le budget, ni le volume de travail, ni la capacité d'attirer le profil.

Le RSSI à temps partagé, aussi appelé RSSI externalisé ou RSSI à temps partiel, répond à cette impasse. Comme toute réponse commode, elle est vendue plus large qu'elle ne l'est. Cet article décrit ce que le dispositif produit concrètement, comment le dimensionner, ce qu'il coûte, et les trois situations où il ne faut pas y aller.

#Ce que fait un RSSI, et pourquoi c'est un métier de pilotage

Première clarification, parce que c'est la source de la plupart des déceptions : un RSSI n'administre pas. Il ne configure pas le pare-feu, ne déploie pas les correctifs, ne gère pas les comptes. Ces tâches relèvent de l'exploitation, en interne ou chez un infogéreur.

Le RSSI décide, arbitre et rend des comptes. Son travail se résume à cinq activités.

Connaître ce qu'on protège. Inventaire des actifs, des données, des traitements, des dépendances externes. Sans cette base, tout le reste est de l'improvisation coûteuse : on ne peut pas protéger un périmètre qu'on n'a pas décrit.

Évaluer et hiérarchiser les risques. Traduire une menace en probabilité et en impact métier, produire une liste ordonnée et chiffrée, et surtout dire ce qu'on ne traitera pas cette année. Un RSSI qui ne sait pas dire non à une dépense n'est pas un RSSI.

Écrire et faire vivre le cadre. Politique de sécurité, procédures d'accès, gestion des incidents, plan de continuité. Le livrable n'est pas le document, c'est le fait qu'il soit appliqué et révisé.

Piloter les fournisseurs. L'infogéreur, l'hébergeur, l'éditeur de l'ERP, le prestataire de sauvegarde. Vérifier ce qui est contractuellement couvert, ce qui ne l'est pas, et challenger les réponses. C'est souvent là que le temps partagé rapporte le plus vite.

Rendre compte à la direction. Un tableau de bord court, des indicateurs stables, une décision par comité. C'est cette activité que la directive NIS2 vient renforcer en imposant à l'organe de direction d'approuver les mesures et d'en superviser la mise en œuvre.

#Ce que le temps partagé change, en bien et en moins bien

Le principe est simple : un RSSI expérimenté intervient un à quatre jours par mois, sur un contrat pluriannuel, pour une organisation qui n'a pas le volume d'un poste à plein temps.

Les avantages sont réels et faciles à énoncer. Le coût est proportionné au besoin. L'expérience est immédiatement disponible, sans délai de recrutement de six à neuf mois. Le profil intervient dans plusieurs contextes, donc il a vu passer des situations qu'une organisation seule ne rencontre jamais. Et le dispositif est réversible : on peut monter en charge, redescendre, ou basculer vers un recrutement interne quand la maturité le justifie.

Les limites méritent d'être dites aussi clairement, parce qu'elles décident du succès.

Le RSSI à temps partagé ne fait pas. Il définit, priorise et vérifie. Si personne en interne n'exécute, et si l'infogéreur n'est pas mandaté pour le faire, le plan d'action reste un document. C'est la première cause d'échec du dispositif, et de loin.

Il n'est pas joignable en permanence. Sur un incident majeur un vendredi soir, un contrat de deux jours par mois ne fournit pas une astreinte. La gestion de crise se prévoit à part : soit avec une clause dédiée, soit avec un dispositif de détection et de réponse continu.

Il a besoin d'un interlocuteur interne. Une personne, même à temps très partiel, qui porte le sujet entre deux interventions, relance et sait qui fait quoi. Sans ce relais, chaque visite recommence à zéro.

Il produit ses effets sur la durée. Les six premiers mois servent à cadrer, inventorier et prioriser. Une organisation qui espère un résultat visible en six semaines sera déçue.

#Combien de jours par mois

Le dimensionnement est le sujet le plus mal traité dans les propositions commerciales. Quelques repères issus de la pratique.

Un jour par mois convient à une petite structure déjà outillée, qui a besoin d'un cadre minimal, d'un avis sur les décisions structurantes et d'un point trimestriel en direction. C'est un format de maintien, pas de construction.

Deux jours par mois est le format le plus fréquent pour une PME de cinquante à deux cents personnes en régime établi : suivi du plan d'action, revue des accès, pilotage de l'infogéreur, comité de sécurité, réponse aux questionnaires clients.

Trois à quatre jours par mois correspondent à une phase de construction : préparation d'une certification, mise en conformité réglementaire, refonte du dispositif après un incident. On redescend ensuite à deux jours.

Au-delà de quatre jours, la question du recrutement interne se pose sérieusement. Le temps partagé perd son avantage économique et l'organisation a probablement atteint la taille qui justifie un poste.

Un signal simple pour vérifier le bon dimensionnement : si le RSSI passe l'essentiel de son temps à découvrir l'existant plutôt qu'à décider, le nombre de jours est insuffisant ou l'interlocuteur interne manque.

#Ce que ça coûte

Le marché français se situe globalement entre 1 200 et 2 000 euros hors taxes par jour d'intervention pour un profil senior, ce qui place un contrat courant entre 2 500 et 7 000 euros par mois selon le nombre de jours.

Chez M-KIS, l'offre de RSSI à temps partagé démarre à 1 500 euros hors taxes par mois, sur un engagement de douze mois. Nos tarifs sont publiés, comme l'ensemble de notre catalogue.

Trois points comptent davantage que le montant.

Ce qui est inclus dans le jour. Le temps de préparation, la rédaction des livrables et la réponse aux sollicitations entre deux interventions sont-ils dans le forfait ou facturés en plus ? La différence peut représenter trente pour cent du budget réel.

La propriété des livrables. Politique, analyse de risques, registre : ces documents doivent vous rester, dans un format exploitable, et pas vivre dans l'outil du prestataire. C'est ce qui rend le changement de prestataire possible.

La clause de sortie. Ce qui vous est rendu, sous quel format, en combien de temps. Un dispositif de gouvernance dont on ne peut pas sortir proprement est un risque de dépendance, ce qui est un comble pour une fonction dont le métier est de traiter les risques fournisseurs.

#Les trois cas où ce n'est pas la bonne réponse

Autant le dire, y compris quand cela revient à ne pas vendre la prestation.

Quand le vrai besoin est de l'exécution. Si le diagnostic est déjà posé, que le plan d'action existe et que ce qui manque, ce sont des bras pour appliquer les correctifs, segmenter le réseau ou déployer l'authentification multifacteur, il faut une prestation d'ingénierie ou renforcer l'infogérance. Un RSSI produirait un second document au-dessus du premier.

Quand l'objectif est une certification à date fixe. Un accompagnement ISO 27001 est un projet avec un périmètre, des jalons et une date d'audit. Il se pilote en mode projet, avec une charge concentrée. Le RSSI à temps partagé prend le relais après, pour faire vivre le système de management. Confondre les deux produit un calendrier qui glisse. C'est le rôle d'un audit d'écart ISO 27001 puis d'un accompagnement dédié.

Quand la direction ne veut pas arbitrer. C'est le cas le plus difficile et le plus fréquent. Si la sécurité est une case à cocher pour rassurer un client, sans intention de financer les mesures ni de trancher les priorités, aucun RSSI, interne ou externe, ne produira de résultat. Il produira des rapports. Le dispositif suppose une direction qui accepte de décider, y compris de ne pas faire, et de l'assumer par écrit.

#Comment savoir si vous en avez besoin

Six questions. Si vous ne savez pas répondre à trois d'entre elles, le sujet de la gouvernance est ouvert.

1. Quelle est la liste de vos trois principaux risques numériques, classés par impact métier ?
2. Qui a validé, et à quelle date, votre politique de sécurité ?
3. Que couvre exactement votre contrat d'infogérance en matière de sécurité, et qu'est-ce qu'il ne couvre pas ?
4. Quand a eu lieu le dernier test de restauration réussi de vos sauvegardes ?
5. Combien de comptes à privilèges existent, et qui les a revus la dernière fois ?
6. Qui appelez-vous, dans quel ordre, si vos serveurs sont chiffrés demain matin ?

Ces questions sont aussi celles qui reviennent dans les questionnaires de sécurité clients et dans les grilles d'audit. Savoir y répondre a une valeur commerciale directe, avant même d'avoir une valeur de conformité.

#RSSI à temps partagé et NIS2

La directive NIS2 ne crée pas d'obligation de nommer un RSSI. Elle impose en revanche que l'organe de direction approuve les mesures de gestion des risques et supervise leur mise en œuvre, et que ses membres suivent une formation. En pratique, cela suppose que quelqu'un prépare ces décisions, produise les éléments de supervision et tienne les preuves.

Dans une PME, c'est exactement la charge que couvre un RSSI à temps partagé, et c'est un argument budgétaire recevable en direction. Le sujet de la formation des dirigeants est traité dans notre article sur la formation NIS2 des organes de direction, et l'état de la réglementation française dans notre mode d'emploi du ReCyF.

#Pour aller plus loin

• Offre RSSI à temps partagé
• Audit d'écart ISO 27001
• Les 93 contrôles de l'Annexe A ISO 27001:2022
• Combien coûte une certification ISO 27001 pour une PME
• Diagnostic NIS2

Pour savoir si le temps partagé est adapté à votre situation, ou si un autre format répond mieux à votre besoin, l'Équipe M-KIS propose un échange de 30 minutes sans engagement. Nous disons aussi quand ce n'est pas la bonne réponse.