RSSI ou DSI : qui fait quoi ?

Qui fait quoi ?

Le tableau ci-dessous répartit les responsabilités usuelles. Dans une organisation bien répartie, le DSI agit et le RSSI cadre et contrôle. Sur plusieurs sujets, le rôle du DSI est de mettre en œuvre ce que le RSSI a décidé.

Pourquoi séparer les deux rôles

Le DSI est jugé sur la disponibilité, les délais et le coût du système d'information. Le RSSI est jugé sur le niveau de sécurité. Ces deux objectifs sont légitimes, mais ils entrent régulièrement en tension : installer un correctif peut interrompre un service, restreindre un accès peut ralentir un projet.

Quand la même personne porte les deux rôles, elle arbitre seule ces tensions, et personne ne vérifie son travail. Séparer les rôles apporte trois choses :

• Un contrôle indépendant. Celui qui applique les règles n'est pas celui qui vérifie qu'elles sont appliquées.
• Un arbitrage éclairé. Le désaccord entre disponibilité et sécurité remonte à la direction, qui décide en connaissance de cause au lieu de subir un compromis implicite.
• Un point de vue indépendant devant la direction. Le RSSI rend compte des risques tels qu'ils sont, y compris quand ils concernent l'organisation de la DSI.

Dans une PME sans RSSI

Dans une PME, le poste de RSSI à temps plein est rarement justifié, et difficile à pourvoir. La sécurité est alors confiée au DSI ou à un responsable informatique, en plus de son travail. Deux conséquences reviennent souvent :

• la sécurité passe après l'urgence quotidienne : les correctifs et les revues d'accès sont repoussés, la politique de sécurité n'est pas écrite ;
• personne ne rend compte des risques à la direction, qui décide sans les voir.

Sans RSSI, la direction reste responsable : la sécurité ne disparaît pas parce qu'aucun poste n'existe. La directive NIS 2 rappelle d'ailleurs que la direction approuve les mesures de gestion des risques et en supervise la mise en œuvre.

Plusieurs solutions permettent de tenir la fonction sans poste à temps plein :

1. Confier la fonction à un RSSI à temps partagé. Un professionnel expérimenté intervient quelques jours par mois, rend compte à la direction et pilote un plan d'actions. C'est la solution la plus adaptée à la plupart des PME.
2. Désigner un correspondant interne, appuyé par un tiers. Un collaborateur assure le suivi courant, et un expert extérieur apporte le contrôle et l'expertise.
3. Déléguer la sécurité opérationnelle à un prestataire, tout en gardant la décision. Le prestataire applique, mais les priorités, l'arbitrage et le contrôle restent du côté de l'entreprise.

Comment les faire travailler ensemble

Une collaboration efficace repose sur quelques règles simples :

• Écrire qui décide de quoi. Une répartition claire des responsabilités évite les zones grises, en particulier pour les correctifs, les accès et la réponse à incident.
• Se réunir à rythme fixe. Un point mensuel entre DSI et RSSI, et un comité de sécurité avec la direction plusieurs fois par an, suffisent pour suivre les chantiers.
• Intégrer la sécurité dans les projets dès le départ. Le RSSI est consulté dès le lancement d'un projet, quand ses recommandations coûtent encore peu à appliquer.
• Partager les mêmes indicateurs. Taux de correctifs appliqués, sauvegardes testées, comptes à privilèges : le DSI fournit les données, le RSSI les analyse et les présente.
• Répéter la gestion de crise ensemble. Un exercice annuel montre qui fait quoi le jour où l'incident arrive.