vCISO (RSSI externe) : l’expertise cyber sans le salaire

Dans de nombreuses PME, les responsabilités liées à la cybersécurité sont réparties entre plusieurs intervenants : le fournisseur informatique gère les systèmes, la direction prend les décisions d’affaires, les équipes financières répondent aux exigences des assureurs et les responsables internes tentent de coordonner l’ensemble.

Cette répartition peut toutefois créer un manque de gouvernance. Certaines questions demeurent sans réponse claire : qui établit les priorités, suit les risques, coordonne les actions et s’assure que les exigences de l’entreprise, des clients, des assureurs et des partenaires sont prises en compte?

Le vCISO (RSSI à temps partagé), ou responsable de la sécurité de l’information partagé, vient combler ce besoin. Il accompagne l’entreprise dans la définition de sa stratégie de cybersécurité, la priorisation des actions et la coordination des différents intervenants, sans nécessiter l’embauche d’un responsable à temps plein.

Dans cet article

• Quel est le rôle concret d’un vCISO?
• À partir de quand ce service devient-il pertinent pour une PME?
• Comparaison des coûts : ressource interne ou accompagnement partagé
• Ce qu’un vCISO ne remplace pas
• Questions fréquentes

Ce que fait un vCISO, concrètement

Le titre en impose, le rôle est limpide : c’est la personne qui répond à « qu’est-ce qu’on fait pour notre sécurité, dans quel ordre, et pourquoi ».

Dans une grande entreprise, ce rôle revient à un cadre à temps plein, assis près de la direction. Dans une PME, ce niveau de réflexion manque presque toujours. Vous avez peut-être un fournisseur TI pour les ordinateurs, un comptable, un assureur curieux, mais personne pour relier tout ça.

Le vCISO relie. Concrètement, il établit un portrait de votre risque réel et le traduit en priorités, pas en liste de 200 tâches. Il bâtit une feuille de route sur 12 à 24 mois calée sur votre budget. Il vous représente face aux assureurs, aux clients qui exigent des garanties, aux obligations comme la Loi 25. Le jour d’un incident, il sait quoi faire et qui appeler, puisque le plan existait avant.

Tout ça relève de la tête, pas des mains. Le vCISO décide et oriente; l’exécution technique (installer, configurer, surveiller) revient à vos équipes ou à vos fournisseurs. Le point de départ, souvent, c’est une évaluation de maturité qui pose le décor.

À partir de quelle taille de PME ça devient utile

Nul besoin d’être gros. Il faut surtout avoir quelque chose à protéger et des comptes à rendre. Le déclic arrive en général autour de 50 employés, ou avant si vous cochez une de ces cases :

• Vous manipulez des renseignements personnels (clients, patients, employés) et la Loi 25 s’applique à vous.
• Vos clients commencent à vous envoyer des questionnaires de sécurité avant de signer.
• Votre assureur exige des contrôles que vous n’êtes pas certain d’avoir.
• Vous avez vécu un incident, ou un concurrent l’a vécu, et la question « est-ce qu’on serait corrects, nous ? » reste sans réponse.

Sous 20 employés, un accompagnement ponctuel fait souvent l’affaire. Au-dessus de 250, l’embauche d’un responsable interne se justifie. Entre les deux s’étend la zone idéale du modèle partagé : trop de risque pour improviser, pas assez de volume pour un poste à temps plein.

Le coût : interne vs partagé

Voilà la vraie question, alors soyons concrets. Un responsable de la sécurité à temps plein, au Québec, représente un salaire de cadre : un poste de direction en sécurité (CISO) se situe généralement dans les six chiffres, avant les avantages sociaux, le recrutement et l’intégration. Pour une PME de 80 personnes, ce n’est pas seulement cher, c’est souvent surdimensionné. Vous paieriez un temps plein pour un besoin qui en occupe une fraction.

Le modèle partagé renverse le calcul. Vous payez l’expertise au volume réellement utile, quelques jours par mois, avec la possibilité de monter ou descendre selon la période (plus intense pendant une mise en conformité, plus léger en vitesse de croisière).

La bonne comparaison n’est pas « combien ça coûte par mois », mais « combien me coûterait l’absence de cette fonction » : un dossier d’assurance refusé, un contrat perdu faute de réponse à un questionnaire, un incident géré à l’aveugle. Le coût d’un rançongiciel mal préparé dépasse vite plusieurs années d’accompagnement.

Ce qu’un vCISO n’est pas

• Ce n’est pas votre fournisseur TI.

Votre fournisseur fait tourner vos systèmes; le vCISO gère votre posture de sécurité et votre risque. Les deux se complètent sans se remplacer. On creuse la nuance dans « mon MSP gère ma sécurité ».

• Ce n’est pas un technicien qui vient « installer la sécurité ».

Aucun bouton sécurité à presser n’existe. Le vCISO construit une démarche dans le temps.

• Ce n’est pas non plus un luxe de grande entreprise.

Le rôle est justement né pour les organisations qui ont besoin de cette expertise sans pouvoir, ou vouloir, l’embaucher à plein temps.