Méthode de mission
RSSI à temps partagé : rendre la mission utile entre deux réunions
Le temps partagé donne à une organisation accès à un professionnel de la sécurité selon une cadence convenue. Pour le cabinet qui fournit ce service, le défi est de maintenir les décisions et les actions dans la durée, même lorsque le consultant n'est pas sur place.
Définir le rôle et les décisions dès le départ
Écrivez le périmètre de la mission : conseil à la direction, suivi des risques, coordination des plans d'action, préparation des revues et relation avec les prestataires techniques. Précisez ce qui relève du RSSI, de la direction du client et de l'équipe informatique. Un titre de fonction ne suffit pas à répartir les responsabilités.
Documentez aussi les limites : traitement des incidents, disponibilité hors des rendez-vous, pouvoir de validation et modalités d'escalade. La bibliothèque de guides de l'ANSSI peut servir de point de départ aux échanges de gouvernance ; adaptez ensuite le mandat au contexte du client.
Une cadence simple, avec une sortie attendue
Au démarrage
Recueillir les objectifs métier, les documents disponibles et les risques déjà connus. Produire un état initial qui sépare faits établis et éléments à vérifier.
À chaque revue
Reprendre les décisions ouvertes, examiner les preuves nouvelles et attribuer un responsable aux actions. Envoyer un compte rendu court après la réunion.
Périodiquement
Présenter à la direction les risques prioritaires, les changements de contexte et les arbitrages attendus. Réviser le mandat lorsque l'organisation évolue.
Éviter la mission qui se résume à un rapport
Un rapport remis puis oublié ne crée pas de suivi. Reliez chaque recommandation à un responsable, à une décision et à une prochaine date de revue. Gardez la trace des risques acceptés : le consultant peut exposer les conséquences, tandis que le client prend la décision selon sa gouvernance.
Si plusieurs consultants interviennent, transmettez le raisonnement derrière les priorités, pas uniquement le statut des cases. Le choix d'une plateforme pour missions de RSSI externalisé peut aider à conserver cet historique. Un infogéreur qui lance l'activité peut commencer par le guide sur l'offre de RSSI externalisé pour MSP.
Où GetCybr intervient
GetCybr est un logiciel qui aide le prestataire à organiser évaluations, preuves, risques, actions et restitutions par client. Le RSSI à temps partagé reste une personne qualifiée, fournie par le cabinet ou le prestataire : elle interprète les informations, recommande et anime les décisions. Le logiciel ne fournit pas cette personne.
Lorsque la mission implique un prestataire de traitement, clarifiez les rôles à l'aide de la fiche de la CNIL sur le responsable de traitement et le sous-traitant.
Discuter du suivi de vos missions avec GetCybr (page en anglais)