Vous êtes sur la page 1sur 8

Présentation de la fonction RSSI

By Boudegna Zineddine | Head of Cyber Security @Deloitte

zboudegna@deloitte.dz | +213770 39 36 99

1
1. Description de la position RSSI
Le Responsable de la sécurité des systèmes l'information (RSSI) est le responsable exécutif
de la sécurité de l’informations et des données d'une organisation. Alors que dans le passé,
le rôle était défini de manière assez étroite dans ce sens, ces jours-ci, le titre est souvent
utilisé de manière interchangeable avec CSO et VP de la sécurité, indiquant un rôle plus
étendu dans l'organisation.

2. Objectifs
Garantir :

la Confidentialité de l'information échangée, traitée ou stockée

L'intégrité de l'information échangée, traitée ou stockée

La disponibilité de l'information échangée, traitée ou stockée

3. Rôles & Responsabilités


Le RSSI répartit ces responsabilités dans les catégories suivantes :

Opérations de sécurité :
Analyse en temps réel des menaces immédiates et triage en cas de problème

Cyberrisk et cyber intelligence:

se tenir au courant des menaces de sécurité en constante évolution et aider le conseil


d'administration à comprendre les problèmes de sécurité potentiels qui pourraient survenir
lors d'acquisitions ou d'autres grands mouvements d'entreprise

Prévention de perte de données et de fraude :

Garantir que le personnel interne n'utilise pas ou ne fuitent pas les données.

Architecture de sécurité:

Planification, achats et déploiement du matériel et des logiciels de sécurité, et s’assurer


que l'infrastructure informatique et réseau est conçue en tenant compte des meilleures
pratiques de sécurité

2
Gestion des identités et des accès :

Garantir que seules les personnes autorisées ont accès aux données et aux systèmes
restreints

Gestion de programme :

Anticiper les besoins de sécurité en mettant en œuvre des programmes ou des projets qui
atténuent les risques - correctifs réguliers du système

Enquêtes et criminalistique :

Déterminer ce qui n'a pas fonctionné dans une infraction, traitez avec les responsables s'ils
sont internes et prévoyez d'éviter les répétitions de la même crise.

Gouvernance :
s’assurer que toutes les initiatives ci-dessus se déroulent sans problème et obtenez le
financement dont elles ont besoin - et que le leadership d'entreprise comprend leur
importance

4. Background & expérience requise


Afin de songer à une position de RSSI de préférence c'est d'avoir l'un des backgrounds
suivants :

Manager de sécurité
Chef de projet IT
Architecte sécurité
Directeur de la sécurité

7 à 12 ans d'expérience dans l'informatique et la sécurité avant de commencer à songer


pour une position de RSSI.

5. Position dans l'organigramme de l'entreprise


Nous recommandons que le RSSI reporte directement au DG/PDG cela maintient
l'indépendance du rôle de RSSI et peut permettre « une discussion franche et franche
concernant les risques, les ressources, les priorités et les conflits qui peuvent survenir parmi
le groupe plus large de parties prenantes au sein de l’entité »

6. Organigramme du RSSI
L'organigramme du RSSI dépend d'une entreprise à une autre , cela diffère par rapport à ses
objectifs , sa taille , son exposition aux risques etc.

3
Voici une liste non exhaustive des services / département que nous pouvons trouvé au
niveau d'un organigramme d'une RSSI :

Blue Team :
Superviser toutes les fonctions d'ingénierie de la sécurité de l'information, notamment: la
sécurité du réseau, le développement de logiciels, la gestion des journaux, l'architecture de
sécurité, l'administration système et la gestion des identités et des accès

Cyber Crime :

Enquêter sur les activités criminelles qui ciblent l'infrastructure, les consommateurs et les
employés

Gestion des identités et des accès :

Traiter et surveiller les comptes, les rôles, les identités et pour les employés

Réponse aux incidents :

Détectez, analysez et répondez aux événements et incidents de sécurité ciblant


l'infrastructure réseau, les données sensibles, la propriété intellectuelle et les employés

Legal

Superviser , la négociation et la rédaction des principaux contrats, documents d'appel


d'offres et autres documents et procédures juridiques , ainsi que les besoins de conformités
cyber

Gestion des journaux et des évènements

Consigner et surveiller les événements sur tous les actifs

Sécurité réseaux :

Protéger l'environnement réseau de l'entreprise, y compris le trafic réseau et les actifs

PMO sécurité :

Gérer des projets et maintenir les fonctions opérationnelles de sécurité de l'information

Red Team

Identifiez et exploitez les failles de sécurité et étudiez les capacités des pirates
informatiques. Cette fonction comprend également:

4
• les tests de pénétration
• les Wargaming
• les tests / évaluations des produits de sécurité

Management de risques :

Identifier et gérer les risques cybers associés à l'infrastructure et à la connectivité de


l'entreprise

Conformité de sécurité :

Suivez et conservez tous les rapports et actions nécessaires pour vous conformer aux
politiques de sécurité, aux réglementations et aux audits

Architecture de sécurité :

Concevoir, construire et maintenir les structures de sécurité pour l'environnement

Administration systèmes :

Surveillez et gérez la configuration et le fonctionnement des équipement et solution de


sécurité .

Threat intelligence :

S'assurer d'une veille sur les vulnérabilités existantes ou émergente pour atténuer de
manière proactive la ramification

Gestion et correction des vulnérabilités

Identifiez, surveillez et corrigez les vulnérabilités des systèmes et des réseaux

7. Certifications recommandées
CISA & CISSP sont les plus reconnus néanmoins un RSSI peut renforcer son profile par les
certifications suivantes :

CISA: Certified Information Systems Auditor


CISM: Certified Information Security Manager
GSLC: GIAC Security Leadership
CCISO: Certified Chief Information Security Officer
CGEIT: Certified in the Governance of Enterprise IT

5
CISSP: Certified Information Systems Security Professional
CISSP-ISSMP: Information Systems Security Management Professional

8. Compétences requises
L'RSSI doit disposer d'un ensemble de compétences équilibrées entre techniques,
managériales et humaines .

LES QUATRE FACES DU RSSI :

Les RSSI continuent de remplir les fonctions essentielles de gestion des technologies de
sécurité (technologue) et de protection des actifs de l'entreprise (tuteur). Dans le même
temps, on s'attend de plus en plus à ce qu'ils se concentrent davantage sur la définition
d'une stratégie de sécurité (stratège) et à conseiller les chefs d'entreprise sur l'importance
de la sécurité

Technologue :

Le RSSI en tant que technologue guide la conception, le développement et le déploiement


d'architectures techniques sécurisées, inculquant des normes de sécurité et mettant en
œuvre des contre-mesures innovantes. Les technologues sélectionnent et mettent en œuvre
avec soin des plates-formes qui prennent en charge les solutions évolutives de détection et
de surveillance des menaces et intègrent les services fournis par des sources externes dans
un cadre homogène. Les technologues s'assurent que les conceptions d'architecture sont
flexibles et extensibles pour répondre aux besoins futurs de sécurité et d'entreprise. Ils
développent et maintiennent les politiques et les normes de sécurité auxquelles une
organisation doit adhérer, en travaillant avec le DSI pour s'assurer que les plates-formes
répondent à ces exigences

Gardien.

En tant que tuteur, le RSSI est chargé de surveiller l’efficacité du programme, des processus
et des contrôles de sécurité en place. Le tuteur aborde des considérations telles que le
fonctionnement des contrôles comme prévu, les données sont sécurisées et les
informations sont correctement partagées. Les gardiens surveillent les processus qui
protègent la confidentialité, l'intégrité et la disponibilité des données et pilotent le
programme de sécurité global. Ils mesurent et signalent également les risques de sécurité
de l'information pour tenir les parties prenantes informées et répondre aux exigences de
conformité et réglementaires.

6
Stratège.

En tant que stratège, le RSSI est le principal architecte de la valeur pour tous les
investissements en cyber risque. Le stratège s'associe à l'entreprise pour aligner les
stratégies de sécurité de l'entreprise et de l'information et capturer la valeur des
investissements de sécurité pour protéger les actifs de l'entreprise. Dans ce rôle, le RSSI
possède une connaissance approfondie des affaires et agit comme un partenaire crédible
qui fournit des conseils axés sur les affaires sur la façon dont la gestion des risques peut
aider l'entreprise. Le stratège comprend quelles opérations commerciales et quels actifs
d'information sont les joyaux de l'entreprise, institue une gouvernance stratégique qui
priorise les investissements dans la sécurité de l'information et s'assure que les ressources
et les budgets de sécurité et d'entreprise sont parfaitement alignés pour exécuter les
priorités de l'organisation et produire les résultats escomptés .

Conseiller.

Le RSSI, en tant que conseiller, comprend les implications des menaces nouvelles ou
émergentes et aide à identifier les cyber-risques qui surviennent à mesure que l'entreprise
avance de nouvelles stratégies. Le conseiller conduit l'entreprise à améliorer en permanence
ses capacités de prise de décision en matière de sécurité et d'atténuation des risques. Le
conseiller comprend où l'organisation doit se concentrer pour lutter contre les
cybermenaces et crée une feuille de route stratégique basée sur le risque pour aligner les
efforts de cybersécurité sur l'appétit pour le risque de l'entreprise. Les conseillers possèdent
un capital politique important et peuvent recruter, éduquer, engager et aligner les parties
prenantes exécutives pour accroître la sensibilisation à la sécurité.

Hard Skills

Pratiques et méthodes de stratégie informatique, architecture d'entreprise et


architecture de sécurité

Concepts de sécurité liés au DNS, au routage, à l'authentification, au VPN, aux services proxy
et aux technologies d'atténuation DDOS

Cadres ISO 27002, ITIL et COBIT


Évaluations de conformité PCI, HIPAA, NIST, GLBA et SOX et règlementations locales de
sécurité

Systèmes d'exploitation Windows, UNIX et Linux

Pare-feu et protocoles de détection / prévention des intrusions

Pratiques de codage sécurisées, piratage éthique et modélisation des menaces

7
TCP / IP, mise en réseau informatique, routage et commutation

Développement et définition d'une architecture de sécurité réseau

Connaissance des méthodologies d'audit et d'évaluation des risques du cloud par des tiers

Soft Skills

En plus de compétences orales et de communication, l'RSSI doit faire preuves


d'organisation, de pensée orientée processus, de planification stratégique et d'attaque
créative. En d'autres termes, les mêmes compétences qu'un général cinq étoiles apporte au
champ de bataille.

Les compétences interpersonnelles et de négociation sont extrêmement favorisées. Chaque


jour, les RSSI doivent opérer au sein d'une organisation complexe, interagir avec et
influencer plusieurs parties prenantes. Les employeurs doivent savoir que vous êtes capable
de diriger une équipe, de collaborer avec des cadres de haut niveau et d'établir des relations
avec un ensemble diversifié de départements.

Les RSSI doivent être en mesure de jongler entre les pressions des exigences légales /
réglementaires, les contraintes financières et l'adoption technologique avec l'impératif de
réaliser les programmes et projets pluriannuels.

9. Diplômes nécessaires
Au minimum besoin d'un master ou ingéniorat en informatique / sécurité des systèmes
d'informations / télécom etc.

Vous aimerez peut-être aussi