Guide pour MSP et infogéreurs
Construire une offre de RSSI externalisé pour un MSP ou infogéreur
Une équipe qui administre l'informatique d'un client peut identifier des problèmes de sécurité. Proposer un accompagnement de RSSI externalisé demande cependant un mandat, des compétences de conseil et une relation de gouvernance distincts du support technique.
Choisir ce que l'offre couvre réellement
Décrivez les activités livrées : état initial, registre des risques, recommandations, suivi des actions et présentation à la direction. Précisez la fréquence des échanges et les interlocuteurs attendus. Distinguez conseil, mise en œuvre technique, audit indépendant et réponse à incident ; chacune de ces activités peut exiger un contrat ou des compétences différents.
Si le MSP exploite aussi les systèmes qu'il évalue, rendez cette double fonction visible. Le client doit pouvoir comprendre qui propose une mesure, qui la met en œuvre et qui vérifie le résultat. Le guide ANSSI sur l'externalisation et la sécurité aide à poser les questions de maîtrise côté client.
Un paquet de livrables vérifiables
Mandat et état initial
Indiquez les entités couvertes, les exclusions, les parties prenantes et les informations encore manquantes. Le diagnostic est une base de travail, pas une certification.
Registre des risques
Pour chaque risque, gardez le contexte, le responsable, la décision et la prochaine revue. Le client conserve ses arbitrages de gestion.
Plan d'action
Donnez à chaque action un propriétaire et un état observable. Séparez les travaux vendus par le MSP des recommandations formulées dans la mission de conseil.
Revue de direction
Présentez les changements, les décisions bloquées et les choix demandés. Une liste exhaustive de vulnérabilités ne remplace pas cette discussion.
Vérifier la capacité avant de vendre
Nommez le professionnel qui assumera le rôle de RSSI, son relais en cas d'absence et la personne qui contrôle la qualité des livrables. Faites un essai sur une mission pilote : l'équipe peut-elle expliquer un risque à la direction, suivre un arbitrage et transmettre le dossier à un autre consultant ? Si la réponse dépend d'une seule personne, resserrez l'offre avant de l'étendre.
Le modèle de RSSI à temps partagé décrit la cadence de conseil. Pour gérer plusieurs missions, consultez les critères d'une plateforme RSSI externalisé.
Où GetCybr intervient
GetCybr est un logiciel de suivi multi-clients pour les prestataires : évaluations, risques, preuves, actions et rapports peuvent être organisés dans un même flux. Le MSP ou son partenaire fournit le professionnel qui réalise la mission de RSSI externalisé. Le logiciel ne prend pas les décisions du client et ne remplace pas le consultant.
Pour les activités impliquant des données personnelles, la CNIL explique comment identifier les rôles de chacun ; le contrat doit refléter le traitement effectivement réalisé.
Examiner l'adéquation de GetCybr à votre offre (page en anglais)