Mais au fait c'est quoi un RSSI ?
Le constat est sans appel ! Dans son rapport de l'état de la menace 2021, L'ANSSI - L'Agence Nationale de la Sécurité de Systèmes d'Information - a déclaré avoir eu connaissance de "1082 intrusions avérées dans des systèmes d’information en 2021, pour 786 en 2020."
Cela représente une hausse de 37 % des intrusions avérées pour l'année 2021 par rapport à 2020
On a vu apparaître une professionnalisation des acteurs malveillants avec l'émergence de solutions par abonnement tel que les Ransomware As A Service qui permet à un groupe d'individus de pouvoir louer un ransomware pour une durée déterminée ou encore la mise à disposition par des sociétés peu scrupuleuses de solutions d'hébergements pour les cybercriminels tel que les Bullet Proof Hosters.
La finalité est souvent la même : l'appât du gain, la destabilisation et l'espionnage.
C'est dans ce contexte que le Responsable de la Sécurité des SI intervient (RSSI) et nous allons voir ses principales missions.
Les principales missions du RSSI
Pour moi, il est possible de décrire trois grandes catégories de missions chez le RSSI :
- Définir et déployer
- Auditer et conseiller
- Sensibiliser et former
Ces trois missions visent à répondre aux enjeux de la triade CIA (CIA Triad)
Adrien
Définir les organisations et déployer les mesures
Au quotidien, le RSSI doit rester à la page de ce qu'il se passe dans le monde, ainsi il doit assurer la veille technologique et réglementaire.
Il doit ensuite :
- Définir et déployer la politique de sécurité de son organisation
- Définir et déployer les prescriptions comme les normes et les réglementations
- Contribuer à la sensibilisation et à la formation des salariés de son entreprise
Enfin, il supervise l'intégration des changements organisationnels, techniques et humains.
Auditer et devoir de conseil
Le deuxième rôle du RSSI concerne l'évaluation et le conseil. En effet, il doit évaluer et limiter les risques sur les équipements numériques de son entreprise ; et pour cela, il préconise des moyens de cybersécurité.
Il évalue les risques des systèmes en amont de la mise en place des moyens de cybersécurité mais également en aval ! Ainsi, il va réaliser des évaluations régulièrement afin de contrôler la bonne intégration des référentiels, s'assurer que les salariés appliquent les principes de sécurité édictés dans les différentes politiques de sécurité et autres notes d'organisation.
En dernier lieu, le RSSI assure un conseil dans le domaine de la sécurité du SI auprès de l'équipe de direction, et il participe au traitement des incidents de sécurité et à la gestion de crise cybersécurité.
Sensibiliser et former
Le dernier rôle, qui est peut-être le plus important malgré les apparences, c'est la sensibilisation et la formation. Il ne sert à rien de construire un rempart avec des tours de guet si le garde oublie de fermer la porte d'entrée !
La principale vulnérabilité pour les particuliers comme pour les entreprises reste l'être humain. Il existe différents types de vecteurs d'attaques et la plupart se focalisent sur les négligences et la méconnaissance des individus.
Adrien
Il est donc très important que le RSSI passe un temps certain à sensibiliser les salariés de l'entreprise sur les risques et les règles d'hygiène en informatique. Et n'oubliez pas les partenaires amenés à travailler dans votre entreprise physiquement ou en distanciel - via des emails ou par téléphone.
Il doit également s'atteler à la formation des salariés qui travaillent spécifiquement sur les équipements numériques et encore plus lorsque ces derniers sont critiques !
En bref
Le RSSI est la pierre angulaire de la sécurité du SI de l'entreprise avec trois grandes catégories de missions :
- Définir et déployer la politique de sécurité de son organisation
- Définir et déployer les prescriptions comme les normes et les réglementations
- Contribuer à la gouvernance et à l'organisation de la sécurité des SI de son entreprise
Enfin, sachez qu'il existe des RSSI spécialisés dans des domaines spécifiques comme le domaine sécuritaire, le domaine du SI conventionnel ou encore le domaine industriel comme c'est le cas pour moi.
💌 Vous aimez l'article que vous avez lu ?
Pensez à vous inscrire et découvrez d'autres articles seulement visibles pour la communauté ! Et en bonus, un nouvel article chaque dimanche ! 😀