RSSI externalisé ou RSSI à temps plein ?

Quel que soit son titulaire, le rôle de RSSI porte le programme de sécurité de l’information : les appréciations des risques et les plans de traitement, les politiques et leurs revues, la continuité d’activité, le suivi des vulnérabilités et des incidents, la préparation des audits et le reporting à la direction. Ni l’ISO 27001 ni NIS2 n’exigent le titre de RSSI. Elles exigent que les responsabilités soient attribuées et que la direction approuve et supervise les mesures.

• Le rôle doit être tenu, mais la charge ne remplit pas un poste à temps plein.
• Vous ne trouvez pas ou ne gardez pas un profil sécurité senior.
• Vous préparez une première certification ou un nouveau texte comme NIS2 ou DORA.
• Votre RSSI est débordé et a besoin de renforts sur les revues des risques, les politiques ou les audits.
• Vous voulez des profils complémentaires, risques, continuité et audit, plutôt qu’une seule personne.

• Des décisions de sécurité se prennent chaque jour dans de nombreuses équipes et sur plusieurs sites.
• Il y a une équipe sécurité à recruter, diriger et faire grandir.
• La direction ou un superviseur attend un dirigeant interne nommé.
• Le rôle demande une connaissance fine de vos systèmes et de votre culture qui ne se construit qu’en interne.

Beaucoup d’organisations combinent les deux : un RSSI à temps plein qui fixe la direction, avec des experts externes qui mènent une partie du travail récurrent.

Un RSSI externalisé se dimensionne en général selon le périmètre plutôt qu’en effectif : les référentiels suivis, le nombre d’entités et de sites, la fréquence des revues et la part du travail confiée aux experts. Un RSSI à temps plein représente un salaire de cadre et un temps de recrutement, et a souvent encore besoin d’outils et d’aide externe pour les audits.

Avec le service RSSI externalisé, des experts suisses mènent les revues des risques, l’analyse d’impact sur l’activité et les revues des politiques dans Operate, suivent la remédiation et préparent vos audits dans Assure, le tout dans votre espace Acuna GRC. Vous voyez chaque revue au moment où elle a lieu, et vos propriétaires de risques et approbateurs gardent les décisions. Si vous avez déjà un RSSI, les mêmes experts peuvent travailler avec lui. Voir le RSSI externalisé.