RSSI / CISO

Le RSSI est le responsable de la sécurité des SI, c’est-à-dire des systèmes d’information. Également appelé CISO (Chief Information Security Officer), il pilote la cybersécurité sur un périmètre défini. Il construit ou décline la politique de sécurité, organise son application et éclaire la direction sur les risques qui concernent les systèmes, les services et les informations de l’entreprise.

Son travail relie les enjeux métiers aux décisions de sécurité. Il identifie les risques, propose des priorités et négocie les ressources nécessaires pour les traiter. La direction valide les orientations et se prononce sur les risques présentés : elle décide lesquels traiter et quels risques résiduels accepter. Le RSSI suit ensuite les actions et restitue les difficultés qui nécessitent une nouvelle décision. Cette répartition doit être explicite dès la définition du poste.

Le périmètre peut couvrir une organisation ou une partie de ses activités, sur un territoire donné. Selon la taille de l’entreprise, le RSSI participe directement à la mise en œuvre ou encadre une équipe. La supervision d’activités confiées à des prestataires peut également entrer dans ses responsabilités. L’intitulé seul ne permet donc pas de connaître sa part de travail opérationnel.

RSSI, direction informatique et experts en cybersécurité : qui fait quoi ?

• Le RSSI porte la politique de sécurité de son périmètre, prépare les arbitrages et contrôle son application.
• Avec la direction informatique et, selon l’organisation, le CTO, précisez les responsabilités de chacun dans les projets et la mise en œuvre des décisions de sécurité.
• Les experts en cybersécurité interviennent sur des activités spécialisées, comme les tests d’intrusion ou la réponse aux incidents. Le RSSI articule leurs travaux avec les priorités de sécurité.

Pour cadrer le rattachement, identifiez la direction qui valide les orientations, les interlocuteurs métiers et le circuit de remontée des alertes. L’accès aux décideurs doit permettre de présenter un risque, ses conséquences et les ressources demandées.

Un RSSI aide l’entreprise à transformer des risques techniques en décisions compréhensibles. Un inventaire de vulnérabilités ne suffit pas à décider des actions à financer. Il faut relier ces constats aux activités concernées, choisir les réponses adaptées et suivre leur mise en œuvre. La qualité du recrutement se joue donc aussi dans la capacité du candidat à expliquer ses priorités.

Un poste mal délimité peut laisser des décisions sans responsable clairement identifié. Si le RSSI recommande une action, qui autorise les ressources nécessaires ? Qui la réalise et qui contrôle son application ? Clarifier ces points évite de confondre responsabilité du pilotage et exécution de tous les travaux techniques. Le recrutement doit prévoir les interlocuteurs dont le RSSI aura besoin pour faire progresser les actions.

Se préparer à gérer les incidents constitue un autre enjeu. Le RSSI contribue au dispositif de gestion de crise, à la continuité et à la reprise informatiques. Les spécialistes concernés participent à cette organisation. Examinez donc autant la capacité à préparer une réponse collective que la connaissance des mesures de protection.

Enfin, la sécurité concerne les utilisateurs, les techniciens et les décideurs. Un candidat capable d’adapter ses explications peut faire comprendre une règle et son utilité à des publics différents. À l’inverse, un discours exclusivement technique laisse le dirigeant sans éléments pour décider. Un discours général, sans compréhension des systèmes et des menaces, ne permet pas non plus de justifier les choix proposés.

• Définir ou décliner la politique de sécurité du périmètre et faire valider ses orientations par la direction.
• Identifier les risques majeurs et construire un plan de traitement lié aux enjeux métiers.
• Négocier les ressources nécessaires à la stratégie de cybersécurité.
• Organiser les audits et contrôler l’application des règles de sécurité, y compris auprès des tiers et sous-traitants.
• Contribuer à la gestion des incidents et préparer la continuité et la reprise informatiques avec les intervenants concernés.
• Coordonner les équipes et prestataires qui participent à la mise en œuvre de la politique de sécurité.
• Adapter la sensibilisation aux utilisateurs, aux équipes techniques et aux décideurs.
• Suivre les risques, les actions et les incidents dans des tableaux de bord utiles à la direction.

Les parcours vers le poste de RSSI peuvent combiner formation informatique, pratique de la sécurité et responsabilités de coordination. Les masters spécialisés en sécurité et les diplômes d’ingénieur constituent des voies possibles. L’Apec cite également des formations informatiques plus courtes, notamment en informatique et réseaux. Ces parcours ne constituent pas une exigence de diplôme unique pour tous les postes.

Pour apprécier les acquis, reliez la formation aux responsabilités effectivement exercées. Une expérience en réseaux ou en architecture peut apporter une compréhension des systèmes. Un parcours en sécurité informatique peut développer l’analyse des menaces et des protections. La conduite de projets ou la responsabilité informatique peuvent préparer à coordonner des acteurs et à organiser des actions. Aucun de ces intitulés ne démontre, à lui seul, la maîtrise de l’ensemble du rôle.

La connaissance des normes, des référentiels et des certifications de sécurité fait partie des acquis utiles. Le choix des critères de formation doit rester lié aux responsabilités du poste, sans transformer une certification particulière en condition universelle d’accès au métier.

Le socle d’évaluation GetPro

GetPro structure l’évaluation à partir d’une grille d’une dizaine de critères au maximum. Elle distingue les éléments vérifiables sur le parcours des compétences à approfondir en entretien et associe une modalité d’évaluation à chaque critère. Cette grille guide les échanges sur les points encore à éclaircir.

L’entretien approfondit trois ou quatre critères clés au moyen de questions ouvertes et d’exemples concrets. La prise de références complète l’examen des points forts et des points d’attention : les échanges replacent les compétences dans le contexte de la collaboration et demandent des exemples. Une synthèse restitue les éléments utiles à la décision.

Conseils pour adapter l’évaluation au RSSI / CISO

Les cinq étapes suivantes proposent des critères, des questions et un cas adaptés au métier. Ce sont des conseils pour l’employeur, et non un protocole spécifique au RSSI attesté chez GetPro.

1. Définir une grille liée au poste

Distinguez la politique de sécurité, l’analyse des risques, la coordination opérationnelle et l’encadrement attendu. Pour chaque responsabilité, précisez ce que le candidat devra réaliser directement et ce qu’il devra faire réaliser.

Associez chaque critère à une preuve attendue : explication d’un choix, livrable anonymisé ou description d’une action suivie. Utilisez les mêmes critères pour comparer les candidats et consignez les points qui restent à approfondir.

Répartissez l’évaluation entre les interlocuteurs concernés. La direction examine les arbitrages et la communication. Un interlocuteur compétent en cybersécurité approfondit les raisonnements techniques. Si cette expertise manque en interne, faites intervenir un spécialiste qualifié.

2. Examiner des réalisations passées

Demandez au candidat de présenter un risque qu’il a contribué à traiter. Faites préciser l’activité concernée, les informations disponibles, les options étudiées et la décision prise.

Distinguez sa contribution personnelle de celle des équipes et de la direction. Demandez comment les actions ont été suivies et ce qui a conduit à les ajuster. Acceptez des supports anonymisés pour préserver les informations confidentielles.

Pour une certification présentée par un candidat, demandez quelles notions ont servi dans une situation réelle et avec quelles limites.

Retenez comme signal favorable une explication qui relie risque, décision et action. Approfondissez un récit limité à des noms d’outils, sans choix expliqué ni rôle personnel identifiable.

3. Utiliser un cas proche des responsabilités

Exemple fictif : une entreprise dispose d’un registre de risques, de plusieurs constats d’audit et de ressources limitées pour engager les actions de sécurité.

Demandez au candidat quelles informations lui manquent avant de proposer des priorités. Faites-lui présenter les actions envisagées, les intervenants à mobiliser et les décisions à soumettre à la direction.

Examinez le lien entre les priorités et les activités de l’entreprise. Observez aussi sa capacité à distinguer une hypothèse d’un fait établi. Une réponse argumentée peut retenir plusieurs options selon les informations disponibles.

Questionnez une liste de solutions présentée sans examen des risques. Ne récompensez pas la seule aisance orale : revenez aux raisons des choix et à la manière de contrôler leur mise en œuvre.

4. Approfondir la communication et la coordination

Demandez au candidat d’expliquer le même risque à un dirigeant puis à un interlocuteur technique. Comparez la précision conservée et les informations adaptées à chaque destinataire.

Explorez ensuite une situation de pression déjà rencontrée. Faites préciser les personnes informées, les décisions préparées et les responsabilités confiées aux spécialistes. Si le poste comprend du management, demandez comment les actions ont été réparties et suivies.

Recherchez des explications qui rendent compréhensible le travail collectif. Approfondissez une réponse où le candidat se présente comme seul décideur sans expliquer la place de la direction ou des autres intervenants.

5. Recouper les points déterminants

Avec l’accord du candidat, utilisez les références pour approfondir les responsabilités annoncées et les modes de coopération. Posez des questions ciblées sur les points décisifs pour le poste.

Rapprochez ces éléments des entretiens et du cas. Consignez les convergences, les limites et les questions ouvertes avant de décider. Une appréciation générale ne remplace pas l’examen des critères définis au départ.