La cybersécurité a cessé de relever de la seule technique. La loi 05-20 et les référentiels de la DGSSI imposent aux opérateurs d'infrastructures d'importance vitale une gouvernance structurée de la sécurité de l'information. Toutes les organisations n'ont pour autant ni les moyens ni le besoin d'un responsable à temps plein. C'est la situation que couvre le CISO as a Service.
De quoi s'agit-il ? Un professionnel certifié intervient à temps partiel ou sur mission pour exercer la fonction de responsable de la sécurité. Vous disposez ainsi d'une capacité de pilotage sans supporter le coût d'un poste permanent de direction.
Quand faire appel à un CISO externe ?
Le recours à cette formule se justifie particulièrement dans les situations suivantes :
- Vous relevez du régime des OIV et devez satisfaire aux obligations de sécurité et de déclaration d'incidents
- Vous visez une certification ISO 27001 ou IEC 62443 et avez besoin d'une conduite de projet
- Vous ne disposez pas d'expertise interne et le responsable informatique assume cette charge en supplément de ses fonctions
- Un incident est survenu et vous souhaitez structurer votre approche plutôt que traiter les symptômes
- Vos clients ou partenaires l'exigent, les exigences sur la chaîne d'approvisionnement se renforçant, notamment à l'export
Que fait concrètement un CISO externe ?
- l'élaboration et le maintien de la politique de sécurité de l'information
- l'analyse des risques et la hiérarchisation des mesures
- le pilotage des travaux : certification, tests d'intrusion, sensibilisation
- le compte rendu à la direction sur l'état de la sécurité
- le conseil en situation d'incident et la conduite de crise
- l'accompagnement lors des audits et des contrôles
- l'évaluation des fournisseurs et des risques qu'ils portent
CISOaaS vs CISO interne
Le recrutement d'un responsable qualifié représente un engagement salarial permanent, à temps plein. Une intervention externe repose sur un nombre de jours convenu par mois, de sorte que la dépense suit la charge réelle de la fonction. Pour une organisation qui ne peut pas occuper ce poste cinq jours par semaine, c'est ce point qui départage les deux options. Ce que chacune coûte dépend du nombre de jours retenu : demandez un tarif journalier et le nombre de jours minimum appliqué par le prestataire.
L'apport ne se limite pas au coût. Une intervention extérieure s'appuie sur une expérience acquise dans plusieurs secteurs, ce qui permet de rapporter des pratiques éprouvées ailleurs et d'éviter qu'une organisation ne prenne ses propres habitudes pour une référence.
Critères de choix
- Certifications reconnues telles que CISA, CISSP ou ISO 27001 Lead Auditor
- Expérience sectorielle. Pour un environnement industriel, la connaissance des systèmes de production n'est pas un atout mais une condition
- Indépendance. Privilégiez un intervenant qui ne commercialise pas les solutions qu'il recommande
- Disponibilité et engagements de service : jours par mois, réactivité en cas d'incident, fréquence des comptes rendus
- Connaissance du cadre national : loi 05-20, référentiels de la DGSSI et pratiques des donneurs d'ordre locaux
À la recherche d'un CISO externe ?
Resotech propose un service de CISO externalisé assuré par des professionnels certifiés, qui maîtrisent la sécurité IT et OT ainsi que le cadre réglementaire marocain.
Nous contacter Notre service CISOaaS