RSSI virtuel
La plupart des organisations de taille moyenne atteignent un stade où la sécurité a dépassé le stade d’une « tâche secondaire gérée par le service informatique », mais ne justifie pas encore le fait de recruter un cadre à temps plein percevant un salaire à six chiffres. C’est précisément à cette lacune que répond le poste de RSSI virtuel : leadership continu en matière de sécurité, stratégie, hiérarchisation des risques, communication avec le conseil d’administration et les clients, supervision des programmes, sans les coûts liés à un poste à temps plein.
Ce qu’un engagement de vCISO n’est pas, c’est un technicien à temps partiel qui se présente pour appliquer des correctifs aux serveurs quelques heures par mois. La valeur réside dans le jugement et la responsabilité au niveau de la direction : il s’agit d’une personne capable de s’asseoir face à votre conseil d’administration ou à un client clé et de s’exprimer de manière crédible sur les risques, capable de déterminer ce qui doit réellement être fait en priorité parmi une centaine de priorités concurrentes, et qui est responsable de l’amélioration effective du programme au fil du temps, et non pas seulement de la production de rapports.
Voici à quoi cela ressemble concrètement
Je m’intègre pleinement à vos discussions de direction, je ne suis pas un consultant externe appelé ponctuellement pour une mission ponctuelle. Cela implique de bien comprendre votre activité afin de hiérarchiser les investissements en matière de sécurité en fonction de vos moyens financiers réels et des besoins concrets de votre entreprise en matière de protection, et non pas de me contenter d’une simple liste de contrôle générique de maturité. Cela signifie également de prendre en charge la feuille de route de sécurité, de traduire les risques techniques en décisions sur lesquelles votre direction et votre conseil d’administration peuvent réellement agir, et d’être la personne responsable de l’orientation du programme.
Selon votre situation, cela peut signifier mettre en place un programme de sécurité pratiquement à partir de zéro, mettre de l’ordre dans un ensemble d’outils et de politiques ad hoc qui se sont accumulés sans stratégie sous-jacente, ou bien apporter une supervision expérimentée à une équipe interne qui dispose des compétences techniques mais manque d’une personne au niveau stratégique pour orienter la manière dont ces compétences sont mises en œuvre. Dans tous les cas, il s’agit d’une relation continue, et non d’une intervention ponctuelle, car un responsable de la sécurité qui se manifeste une seule fois puis disparaît ne change en réalité pas le fonctionnement quotidien d’une organisation.
À qui s'adresse ce document ?
Si vous devez rendre des comptes à un conseil d’administration, à une autorité de régulation ou à un client majeur concernant votre posture de sécurité et que vous ne disposez actuellement d’aucune personne capable d’aborder ce sujet de manière crédible, si vos efforts en matière de sécurité vous semblent dispersés faute de personne pour en définir l’orientation générale, ou si vous n’êtes pas encore prêt à recruter un RSSI à temps plein mais qu’il est clair que la sécurité ne peut plus être considérée comme un simple projet secondaire du service informatique, cela mérite que nous en discutions.
Découvrez comment nous pourrions collaborer dans le cadre d’une mission de vCISO à long terme.