RSSI : rôle, périmètre et rattachement du responsable de la sécurité des systèmes d'information
Le RSSI, responsable de la sécurité des systèmes d'information, définit la politique de sécurité d'une organisation, pilote le niveau de risque numérique accepté et s'assure que les mesures décidées sont effectivement appliquées. Il ne gère pas l'exploitation quotidienne des outils de sécurité, qui relève des équipes techniques et du centre opérationnel. Cette distinction, souvent floue dans les organisations de taille intermédiaire, détermine la capacité réelle de la fonction à peser sur les décisions. Cette page rassemble ce que la rédaction d'ITPro.fr publie à l'intention des responsables sécurité, dans le prolongement de notre hub cybersécurité d'entreprise.
Ce que recouvre réellement la fonction
Quatre activités structurent le poste. La définition de la politique de sécurité et des règles qui en découlent. L'appréciation du risque, qui consiste à nommer les scénarios redoutés en termes d'activité et à arbitrer ce que l'organisation accepte de subir. Le pilotage des chantiers de réduction du risque, conduits par d'autres équipes. Et la préparation de la crise, qui est la seule partie du métier dont la qualité se mesure le jour où tout le reste a échoué. Le RSSI qui passe ses journées à administrer des outils n'exerce pas cette fonction, il occupe un poste d'ingénieur sécurité avec un titre différent.
Le renouvellement d’un parc IT peut rapidement faire grimper les dépenses. Inventaire incomplet, postes surdimensionnés, manque de standardisation, perte de valeur du matériel et achats réactifs : découvrez les cinq…
Le rattachement hiérarchique détermine le pouvoir réel
Un RSSI rattaché à la direction des systèmes d'information se trouve en situation de juge et partie : il doit signaler les écarts d'une direction dont il dépend pour son évaluation et son budget. Ce montage reste majoritaire et il fonctionne tant que les arbitrages ne sont pas douloureux. Le rattachement à la direction générale, à la direction des risques ou au secrétariat général change la nature du poste, parce qu'il permet de porter un désaccord jusqu'au niveau où il se tranche. Ce choix d'organisation pèse davantage sur l'efficacité de la fonction que le budget qui lui est alloué, et il est développé dans notre rubrique gouvernance cyber et pilotage de la sécurité.
Ce que la réglementation européenne a changé pour le métier
La directive européenne sur la résilience des réseaux et des systèmes d'information engage la responsabilité des organes de direction et leur impose une obligation de formation. Cette évolution déplace le centre de gravité du métier : la sécurité cesse d'être un sujet technique délégué pour devenir un sujet de gouvernance dont le conseil répond. Pour le RSSI, la conséquence pratique est double. Son accès aux instances de direction cesse d'être une faveur. Et la qualité de son reporting devient un enjeu pour les dirigeants eux-mêmes, ce qui change la nature de la conversation. Le périmètre exact des entités concernées est traité dans notre rubrique NIS2, DORA et RGPD.
Passez à la cybersécurité proactive, transformez la collecte et l’analyse des logs en un bouclier dynamique contre les cybermenaces. Découvrez comment mettre en place une approche SIEM modulaire, évolutive et…
Les indicateurs qui tiennent devant une direction générale
Le nombre d'alertes traitées, le nombre d'attaques bloquées et le volume de courriels filtrés ne disent rien d'utile à un dirigeant : ils mesurent une activité, pas une exposition. Les indicateurs qui résistent à l'examen décrivent une couverture ou un délai. Le taux d'équipements effectivement couverts par la détection, le délai moyen de correction des vulnérabilités critiques, la part des sauvegardes dont la restauration a été testée dans l'année, le taux de signalement par les collaborateurs lors des exercices de simulation. Chacun se rattache à un scénario de risque nommé, ce qui permet d'expliquer ce qu'un budget supplémentaire achèterait. Les dispositifs sous-jacents sont détaillés dans nos rubriques EDR et gestion des vulnérabilités et des CVE.
Budget, temps partagé et tension sur le recrutement
Le marché reste tendu et les entreprises de taille intermédiaire peinent à recruter un profil expérimenté à temps plein. Deux réponses se sont installées : le RSSI à temps partagé, mutualisé entre plusieurs organisations, et la montée en compétence d'un profil interne accompagné par un prestataire. Les deux fonctionnent à une condition, que le mandat soit écrit et que l'accès aux instances de décision soit acquis. Un RSSI à temps partagé sans mandat clair produit des rapports que personne n'exploite. La préparation de crise, qui reste la part la moins déléguable du poste, est développée dans notre rubrique cyber résilience.
Ce que vous trouverez sur ITPro.fr
Questions fréquentes
Quel est le rôle d'un RSSI ?
Le RSSI définit la politique de sécurité de l'organisation, apprécie le niveau de risque numérique et arbitre ce qui est accepté, pilote les chantiers de réduction de ce risque et prépare la gestion de crise. Il ne conduit pas l'exploitation quotidienne des outils de sécurité, qui relève des équipes techniques et du centre opérationnel de sécurité.
Quelle est la différence entre un RSSI et un DSI ?
Le DSI dirige l'ensemble du système d'information : infrastructures, applications, projets, budget et équipes. Le RSSI porte la sécurité de ce système et doit pouvoir signaler un écart, y compris lorsque cet écart résulte d'une décision de la DSI. Les deux fonctions poursuivent des objectifs qui entrent régulièrement en tension, ce qui justifie leur séparation.
Quelle est la différence entre un CISO et un RSSI ?
Aucune sur le fond. CISO, pour Chief Information Security Officer, est l'appellation anglo-saxonne de la fonction désignée en France par RSSI. Le terme CISO est employé dans les groupes internationaux et tend à désigner un périmètre plus large, incluant parfois la sécurité physique et la continuité d'activité.
À qui le RSSI doit-il être rattaché ?
Le rattachement à la direction générale, à la direction des risques ou au secrétariat général permet de porter un désaccord jusqu'au niveau où il se tranche. Le rattachement à la DSI, plus fréquent, place le RSSI en situation de juge et partie sur les écarts qu'il doit signaler.
Quel est le salaire d'un RSSI ?
La rémunération varie fortement selon la taille de l'organisation, le secteur, le périmètre réel du poste et la région. Les enquêtes de rémunération publiées chaque année par l'Apec et par les cabinets spécialisés dans les métiers du numérique constituent la référence la plus fiable, les écarts entre une PME régionale et un groupe soumis aux obligations européennes de résilience étant considérables.
Comment devenir RSSI ?
Les parcours les plus fréquents passent par une expérience d'ingénieur sécurité, d'architecte ou d'administrateur système, complétée par une formation en gestion des risques. Les certifications professionnelles reconnues facilitent l'accès au poste mais ne s'y substituent pas : la fonction suppose une capacité à arbitrer et à argumenter devant une direction, qui ne s'acquiert qu'en exercice.
