Pour les entreprises qui ont besoin d’un avis d’expert en matière de sécurité, sans pour autant recruter un collaborateur à temps plein

Un RSSI à temps partagé qui fixe les règles et prend les décisions difficiles

Le modèle à temps partiel fonctionne lorsque vous disposez d’une personne sur place capable de prendre les décisions du mardi et que vous avez besoin d’un cadre supérieur pour définir les règles, prendre les décisions difficiles et faire preuve de crédibilité auprès du conseil d’administration, des auditeurs et de vos principaux clients. Cela ne fonctionne pas pour un RSSI à temps partagé à moindre coût. J’ai déjà écrit un article expliquant comment choisir entre ces deux options, et je préfère que vous le lisiez et que vous preniez une décision contraire à la mienne plutôt que de recruter un poste à temps partiel pour une fonction qui nécessite un poste à temps plein.

Discutez d’un poste de direction Fonctionnement

À quoi ressemble le travail à temps partiel avec moi ?

Un nombre fixe de jours par mois, convenu à l’avance, avec un adjoint désigné à vos côtés qui gère les affaires courantes. Au cours de ces journées : le programme bénéficie d’une orientation et d’un plan ; les acceptations de risques se voient attribuer un responsable et une date d’expiration ; le processus de gestion des incidents bénéficie de décideurs désignés et d’une simulation ; le conseil d’administration reçoit de ma part un briefing sur lequel il peut se prononcer par écrit ; et les questionnaires de sécurité de vos clients reçoivent une réponse de la part d’une personne dont la signature a du poids. Entre ces journées, je reste joignable pour les décisions qui ne peuvent attendre, et nous convenons à l’avance de la nature de celles-ci.

Ce que je ne fais pas dans le cadre d’une mission à temps partiel, c’est gérer heure par heure votre réponse aux incidents, m’occuper des évaluations de performance de votre équipe ou assister à toutes les réunions d’architecture. Si vous avez besoin de ces services, vous avez besoin d’un responsable à temps plein, et je ne manquerai pas de vous le dire.

Les autorités de régulation s’en moquent généralement, pourvu que quelqu’un soit désigné

La « Safeguards Rule » de la FTC et la réglementation financière de l’État de New York autorisent toutes deux que le responsable de la sécurité désigné soit un prestataire de services, à condition que votre organisation conserve la responsabilité et qu’un cadre supérieur supervise cet accord. Les sociétés cotées en bourse doivent préciser qui gère les risques cybernétiques et quelle est son expertise. Un RSSI à temps partagé répond à toutes ces exigences si le poste est effectif. Ce n’est pas le cas s’il s’agit simplement d’un nom inscrit sur un formulaire.

Dans quels cas cela fonctionne-t-il le mieux ?

Les entreprises comptant moins de quelques centaines de collaborateurs, hors des secteurs les plus fortement réglementés, et disposant d’un responsable informatique ou d’ingénierie compétent. Les entreprises dont le RSSI a besoin d’assurer la continuité sans devoir recruter précipitamment. Les entreprises qui ont besoin que le programme soit mis en place, documenté et transféré, avec la possibilité de recruter pour un poste désormais défini. Et les entreprises confrontées à un événement spécifique, à un audit client, à un renouvellement d’assurance, à un conseil d’administration qui commence à poser des questions, pour lesquelles l’avis d’un cadre expérimenté pendant une période déterminée vaut mieux qu’un recrutement permanent.

D'où cela vient-il ?

Trente ans d’expérience à la pointe de la sécurité, dont une vingtaine consacrés à la réponse aux incidents et aux opérations sur le terrain, ainsi qu’une longue carrière en tant qu’expert en la matière auprès d’organisations allant des start-ups aux gouvernements nationaux. La majeure partie de ce travail est couverte par un accord de confidentialité. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.

Ce que j’ai écrit à ce sujet.

Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.

Travaux connexes.

Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.

Un Responsable de la sécurité de l'information (RSSI) par intérim qui assure la continuité pendant que vous recrutez le bon candidat. Une responsabilité totale en matière de sécurité pendant une période définie, afin que le processus de recrutement puisse prendre le temps nécessaire pour trouver le bon candidat.
Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.

Discutez d’un poste de direction.

Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.

Discutez d’un poste de direction Trois façons de travailler avec moi

Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.

PDG et directeurs des opérations d’entreprises en pleine croissance qui ont besoin d’un responsable de la sécurité avant de pouvoir justifier l’embauche d’un responsable à temps plein.
Conseils d’administration qui souhaitent disposer d’une expertise crédible et indépendante en matière de sécurité, à temps partiel.
Organisations entre les RSSI qui ont besoin que la fonction continue de fonctionner pendant qu’ils recrutent.