PME sans responsable sécurité
De vingt à trois cents salariés, avec un informaticien polyvalent ou un prestataire infogérance. La sécurité y est traitée par à-coups, au rythme des incidents et des demandes clients.
RSSI externalisé
Un responsable sécurité, sans l'embaucher
La plupart des PME n'ont pas de responsable de la sécurité des systèmes d'information, et n'ont pas le volume pour en recruter un. La sécurité reste alors sans pilote : des outils achetés, des audits classés, des décisions reportées. Le RSSI externalisé comble ce manque pour une à deux journées par mois, avec un interlocuteur unique qui connaît votre contexte et rend des comptes.
1 à 2 jours par mois, sur site et à distance
Un interlocuteur unique, le même d'un mois à l'autre
+25 ans d'expérience en infrastructure et en audit
Pour qui
Quand la sécurité n'est le métier de personne
Le besoin est presque toujours le même : quelqu'un doit décider, suivre et répondre. Ce rôle existe dans votre entreprise, il n'est simplement attribué à personne.
Entreprises sous obligation
Entité concernée par NIS2, fournisseur à qui un donneur d'ordre réclame ISO 27001 ou AirCyber, sous-traitant interrogé sur l'article 32 du RGPD. Il faut un référent identifié.
Après un incident ou un audit
Un rançongiciel, une fraude au virement, un rapport d'audit avec quarante recommandations. Le plan d'action existe ; ce qui manque, c'est quelqu'un pour le tenir dans la durée.
Les déclencheurs
Pourquoi les PME s'y mettent maintenant
Le besoin n'est pas nouveau, mais depuis deux ans il arrive par la porte d'à côté : un texte, un client, un assureur, un incident. Dans les quatre cas, la question posée est la même : qui, chez vous, en répond ?
NIS2 engage la direction
La directive NIS2 rend les dirigeants responsables de la mise en œuvre des mesures, avec obligation de formation. Une responsabilité ne se délègue pas, mais elle s'exerce mal sans quelqu'un pour préparer les décisions et en garder la trace.
Vos clients vous auditent
Questionnaires fournisseurs de quarante pages, clauses de sécurité dans les contrats, demande d'un test d'intrusion daté ou d'un certificat ISO 27001. Y répondre au fil de l'eau coûte plus cher que de tenir le dossier à jour.
L'assurance cyber pose des conditions
Sauvegardes hors ligne, authentification à plusieurs facteurs, correctifs appliqués, plan de reprise : les assureurs les vérifient avant de couvrir, et les réexaminent après sinistre. Déclarer ce qu'on ne fait pas se paie au moment où l'on en a besoin.
Après un incident, il faut tenir la suite
Un rançongiciel ou une fraude au virement laisse un plan d'action de plusieurs dizaines de points. Six mois plus tard, l'urgence est retombée et la moitié n'a pas été traitée. C'est exactement ce que la fonction sert à éviter.
L'accompagnement
Piloter, suivre, vérifier
Trois missions, exercées en continu plutôt qu'en mission ponctuelle. C'est la continuité qui fait la différence avec une prestation de conseil.
Pilotage de la sécurité
Analyse de risques tenue à jour, feuille de route priorisée, arbitrages budgétaires, politique de sécurité et procédures, sensibilisation des équipes, relation avec votre prestataire informatique.
Suivi ISO 27001 et NIS2
Préparation et tenue du système de management, revue de direction, indicateurs, gestion documentaire, préparation des audits de certification et réponse aux questionnaires de vos clients.
Audits réguliers
Audit d'infrastructure annuel, surveillance continue de l'exposition, tests d'intrusion selon les évolutions, et vérification que les correctifs sont réellement appliqués.
Gestion des incidents
Procédure de réaction écrite et éprouvée, point de contact en cas d'incident, notification à l'autorité compétente dans les délais, retour d'expérience et correction des causes.
Au quotidien
Ce que vous cessez de porter
Dans une PME, ces tâches n'appartiennent à personne et retombent sur le dirigeant, le DAF ou l'informaticien maison, toujours en plus du reste. Elles changent de main.
Les questionnaires de vos clients
Nous les remplissons, avec les preuves à l'appui, et nous signalons les réponses qui vous engagent. Les écarts récurrents remontent dans la feuille de route plutôt que de rester des cases cochées à l'optimisme.
L'arbitrage des devis
Un prestataire propose une solution à 15 000 € : répond-elle à un risque réel chez vous, et à quel rang ? Nous donnons un avis motivé, indépendant du vendeur, et nous disons aussi quand la réponse ne coûte rien.
La documentation d'audit
Politiques, procédures, registres, comptes rendus de revue : ce qu'un auditeur ou une autorité réclame, tenu à jour en continu plutôt que reconstitué dans l'urgence trois semaines avant la visite.
Le suivi des correctifs
Un audit produit des recommandations ; encore faut-il que quelqu'un vérifie qu'elles sont appliquées. Nous relançons, nous contrôlons, et nous rendons compte de ce qui reste ouvert et pourquoi.
La veille utile
Pas une revue de presse : les quelques alertes qui concernent vos logiciels, vos accès et votre secteur, traduites en une action ou en un « rien à faire » argumenté.
La décision en situation d'incident
Qui coupe quoi, qui prévient qui, à quel moment on notifie la CNIL ou l'autorité compétente. Les décisions sont prises à froid, écrites, et rejouées une fois par an pour qu'elles tiennent le jour venu.
Le format
Une à deux journées par mois
Un rythme régulier vaut mieux qu'un gros effort annuel. Le volume se règle au démarrage et s'ajuste : davantage pendant une certification, moins en régime de croisière.
-
État des lieux
Un premier mois plus dense : analyse de risques, audit d'infrastructure, inventaire de l'existant et des obligations qui vous concernent. Il en sort une feuille de route chiffrée.
-
Rythme mensuel
Une à deux journées, sur site et à distance : avancement de la feuille de route, arbitrages, suivi des correctifs, points avec votre prestataire informatique.
-
Point trimestriel
Un tableau de bord présenté à la direction : risques majeurs, avancement, incidents, budget. Court, écrit, et compréhensible sans vocabulaire technique.
-
Engagement souple
Contrat annuel, résiliable avec un préavis de trois mois. Les livrables et la documentation vous appartiennent et restent exploitables si vous reprenez le rôle en interne.
Questions fréquentes
Ce qu'on nous demande le plus
Remplacez-vous notre prestataire informatique ?
Non, et c'est volontaire. Votre prestataire exploite ; le RSSI définit ce qui doit être fait et vérifie que ça l'est. Séparer les deux rôles évite d'être juge et partie, et c'est précisément ce qu'attend un auditeur ISO 27001.
Quelle différence avec un DPO ?
Le délégué à la protection des données est une fonction juridique définie par le RGPD : il veille à la protection des données personnelles et dispose d'une indépendance prévue par le texte. Le RSSI pilote la sécurité de l'ensemble du système d'information, données personnelles comprises. Les deux rôles se complètent et peuvent être tenus séparément.
Combien ça coûte ?
Le tarif suit le volume mensuel convenu et la taille de votre système d'information. Le devis est établi après un premier échange et un état des lieux rapide, sur un périmètre écrit. À titre de comparaison, le coût reste très inférieur à celui d'un recrutement, et il est ajustable d'une année sur l'autre.
Intervenez-vous en dehors de Grenoble ?
Oui. Nous sommes établis à Grenoble et nous déplaçons en Isère et en Auvergne-Rhône-Alpes pour les journées sur site. Le reste de l'accompagnement se tient à distance, ce qui nous permet d'intervenir partout en France, ainsi qu'en Suisse.
Nous avons déjà un DSI ou un informaticien : à quoi servez-vous ?
À lui donner un cadre, un arbitre et du temps. Votre informaticien connaît votre système mieux que quiconque, mais il est juge et partie sur la qualité de son propre travail, et rarement en position de porter un arbitrage budgétaire devant la direction. Le RSSI définit le niveau à atteindre et vérifie qu'il l'est ; l'équipe interne ou le prestataire met en œuvre. La plupart de nos missions se passent très bien avec l'informaticien en place, parce qu'elles lui retirent des responsabilités qu'il n'avait pas demandées.
Que se passe-t-il si un incident survient ?
La procédure de réaction est écrite à l'avance et vous nous joignez directement. Nous vous aidons à qualifier l'incident, à décider des mesures de confinement, à tenir le registre, et à notifier dans les délais la CNIL ou l'autorité compétente lorsque c'est requis. La gestion de crise technique reste du ressort de votre prestataire ou d'une équipe spécialisée : notre rôle est de garder la vue d'ensemble, de documenter, et de traiter les causes une fois la crise passée.
Comment démarre-t-on, et peut-on arrêter ?
Par un échange d'une heure, sans engagement, pour cerner le contexte et les obligations qui vous concernent. Suit un premier mois plus dense : analyse de risques, audit d'infrastructure, feuille de route chiffrée. Le contrat est annuel, résiliable avec trois mois de préavis. Tout ce que nous produisons vous appartient et reste exploitable : si vous reprenez le rôle en interne ou recrutez, la passation se fait sur des documents à jour, pas sur une mémoire qui s'en va.
Confier le pilotage de votre sécurité
Un premier échange suffit à cadrer le volume et les priorités.