Guide pour prestataires
Plateforme RSSI externalisé : organiser le travail sur plusieurs clients
Un cabinet qui assure des missions de RSSI externalisé a besoin d'une méthode réutilisable, sans confondre standardisation et décisions prises pour chaque client. Voici les éléments à vérifier avant de choisir un logiciel de pilotage.
Partir du mandat, pas du tableau de bord
Le mandat précise ce que le RSSI externe observe, recommande, suit et présente. Avant de configurer un outil, identifiez le responsable de chaque décision, les interlocuteurs métier, les systèmes couverts et les livrables attendus. Une plateforme peut garder une trace cohérente du travail ; elle ne peut pas définir seule l'appétence au risque du client.
Pour chaque client, consignez un périmètre distinct : entités, actifs, prestataires, obligations retenues et fréquence de revue. Les tâches communes peuvent suivre le même modèle, mais les preuves et arbitrages doivent rester propres à l'organisation. L'ANSSI rappelle les enjeux de maîtrise de l'externalisation dans son guide dédié.
Quatre questions à poser à une plateforme
Séparation des clients
Les utilisateurs, documents et rapports d'un client sont-ils isolés ? Vérifiez les droits d'accès avec des cas réels : consultant partagé, sous-traitant et contact côté client.
Traçabilité des preuves
Une preuve doit garder sa source, sa date, son propriétaire et son état de validation. Sa réutilisation dans plusieurs revues doit rester explicite.
Décisions et risques
Un registre utile relie constat, impact, responsable, traitement choisi et date de réexamen. L'outil doit rendre visible une décision différée, pas la masquer.
Livrables au bon niveau
Le comité de direction a besoin de décisions et de tendances ; les équipes techniques ont besoin d'actions vérifiables. Testez les deux restitutions.
Essayer sur une mission représentative
Choisissez un client avec des documents imparfaits et plusieurs responsables. Faites parcourir à votre équipe une séquence complète : cadrage, collecte, revue, risque, décision et rapport. Notez ce qui demande encore une feuille de calcul, un message séparé ou une ressaisie. Testez aussi l'export des données et le départ d'un consultant.
Si vous construisez l'offre de service en parallèle, lisez notre guide sur l'offre de RSSI externalisé pour infogéreurs. Pour structurer la présence d'un consultant dans la durée, voyez le modèle de RSSI à temps partagé.
Où GetCybr intervient
GetCybr est un logiciel pour les prestataires qui gèrent des évaluations, risques, preuves et rapports sur plusieurs clients. Le professionnel assure la mission de RSSI externalisé : il examine les résultats, conseille le client et porte la relation de service. Le logiciel ne remplace ni son jugement ni les responsabilités de la direction du client.
Pour préparer les rôles entre prestataire et client lors d'un traitement de données, consultez aussi la fiche de la CNIL sur les rôles RGPD.
Échanger sur l'utilisation de GetCybr pour vos missions (page en anglais)