Gouvernance cybersécurité et rôle du RSSI : mandat, pilotage et indicateurs

Le RSSI, responsable de la sécurité des systèmes d’information, porte la définition de la politique de sécurité, l’analyse des risques numériques, le pilotage des dispositifs de protection et de détection, et la relation avec les instances de direction. Son efficacité dépend moins de sa compétence technique que de son mandat : rattachement hiérarchique, autonomie budgétaire et capacité à arbitrer. Cette page traite la gouvernance cyber comme un sujet d’organisation, à l’heure où la réglementation européenne engage directement la responsabilité des dirigeants, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce que la gouvernance cybersécurité ?

Définition. La gouvernance cybersécurité désigne l’ensemble des instances, des rôles et des processus par lesquels une organisation définit son niveau de risque acceptable, alloue les moyens correspondants, contrôle l’application des mesures et rend compte de leur efficacité aux organes de direction.

Elle se distingue de l’opérationnel : le SOC détecte et répond, la gouvernance décide de ce qui est protégé, à quel coût, et de ce qui ne l’est pas.

Le rôle du RSSI

Ce que recouvre la fonction

• Définir la politique de sécurité et les règles qui en découlent.
• Conduire l’analyse de risque et maintenir la cartographie des risques numériques.
• Piloter les dispositifs de protection, de détection et de réponse, en coordination avec les équipes d’exploitation.
• Assurer la conformité aux exigences applicables et produire les preuves associées.
• Gérer la crise et organiser les exercices.
• Sensibiliser et former, y compris les instances dirigeantes.
• Rendre compte au comité de direction et, selon les organisations, au conseil d’administration.

La question du rattachement

C’est le sujet qui détermine tout le reste. Un RSSI rattaché à la DSI est proche des équipes techniques mais se trouve en situation d’auditer sa propre direction : arbitrer entre un délai de livraison et une exigence de sécurité devient un conflit interne. Un rattachement à la direction générale, à la direction des risques ou au secrétariat général préserve cette indépendance, au prix d’un éloignement des équipes techniques.

Aucun modèle n’est universellement supérieur. Ce qui n’est pas acceptable, c’est un rattachement qui prive le RSSI de la capacité de faire remonter un désaccord au niveau où il se tranche.

RSSI, DSI, DPO : la répartition

Ces trois fonctions se recoupent sans se confondre. La gestion d’un incident touchant des données personnelles les mobilise simultanément, avec des délais réglementaires distincts. C’est précisément le scénario à répéter en exercice.

Les outils de la gouvernance

La politique de sécurité

La PSSI formalise les règles applicables. Sa valeur ne tient pas à son volume mais à trois conditions : une approbation par la direction générale, une déclinaison en règles opérationnelles applicables, et une révision périodique. Une PSSI approuvée puis oubliée pendant cinq ans ne protège de rien et ne prouve rien.

L’analyse de risque

La méthode EBIOS Risk Manager, portée par l’ANSSI, structure la démarche autour des événements redoutés, des scénarios stratégiques et opérationnels, et du traitement du risque. Son intérêt principal pour un RSSI est de sortir du registre technique : elle formule le risque en termes d’impact métier, ce qui le rend arbitrable par une direction générale.

Les référentiels

La norme ISO 27001 définit un système de management de la sécurité de l’information : périmètre, analyse de risque, mesures, contrôle, amélioration continue. La certification n’est exigée par aucun texte français, mais elle réduit fortement l’effort de mise en conformité réglementaire, l’essentiel des processus attendus y figurant déjà. Voir notre section conformité NIS2.

Rendre compte : les indicateurs qui parlent à un COMEX

C’est le point où la plupart des dispositifs échouent. Présenter un nombre d’alertes traitées ou un taux de correctifs appliqués à un comité de direction ne produit aucune décision, parce que ces chiffres ne se rattachent à aucun enjeu que le comité pilote.

Ce qui fonctionne :

• Exposition : nombre de systèmes critiques exposés sur Internet, et évolution sur douze mois.
• Capacité de reprise : délai constaté lors du dernier test de restauration réel, pas le délai contractuel.
• Délai de détection sur le dernier exercice de simulation.
• Couverture des dispositifs : part du parc réellement couverte par la détection, part des comptes à privilèges sous contrôle.
• Dette de remédiation sur les équipements exposés, avec le délai moyen constaté.
• Position réglementaire : écarts identifiés au regard des obligations applicables, et trajectoire de traitement.
• Résultat du dernier exercice de crise, avec les décisions qui n’ont pas pu être prises faute de procédure.

La règle : un indicateur qui n’appelle aucune décision de la part du comité n’a pas sa place dans la présentation. Trois indicateurs qui déclenchent un arbitrage valent mieux que quinze qui décrivent une activité.

Ce que la réglementation change pour la fonction

La directive NIS2 impose aux organes de direction d’approuver les mesures de gestion des risques, d’en superviser la mise en œuvre et de suivre une formation. Leur responsabilité peut être engagée, et l’autorité compétente peut, dans les cas les plus graves, interdire temporairement l’exercice de fonctions dirigeantes.

Cette évolution déplace la nature du dialogue. Le RSSI ne demande plus un budget pour réduire un risque technique abstrait : il documente une exposition juridique personnelle pour les mandataires sociaux, et fait valider un niveau de risque accepté. Le sujet devient arbitrable au bon niveau, ce qu’aucune argumentation technique n’avait permis jusqu’ici.

Conséquence pratique : formaliser et faire signer les décisions d’acceptation de risque. C’est à la fois une pièce de conformité et la meilleure protection du RSSI.

Structurer la fonction dans une organisation de taille intermédiaire

Toutes les organisations n’ont pas les moyens d’un RSSI à temps plein entouré d’une équipe. Les configurations observées :

• RSSI à temps partagé, mutualisé entre plusieurs entités d’un groupe.
• RSSI externalisé, avec un référent interne désigné pour la décision.
• Fonction portée par la DSI, avec un comité de sécurité associant direction générale et métiers pour préserver l’arbitrage.

Dans les trois cas, le point non négociable est le même : une personne identifiée, un mandat écrit, et une instance où les arbitrages se tranchent. L’absence de titulaire clairement désigné est le premier écart relevé lors des diagnostics de conformité.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.