Cependant, il faut se rappeler que les risques sont indépendants de la
taille de l'entreprise et dès lors qu'il peut s'agir de sa survie, ils sont, toutes proportions gardées, plus élevés pour une
PME du fait justement de la limitation des moyens pouvant être investis
en sécurité. Les PME conscientes de ce paradoxe se tourneront
avantageusement vers des solutions de sécurité mutualisées,
sous-traitées ou hébergées.
- excellente connaissance de l'analyse et du traitement des risques, capable de gérer un référentiel des actifs et d'en faire approuver la classification en sensibilité (criticité) par les métier selon une approche par les processus,
- bonne connaissance des métiers de l'entreprise et une curiosité permanente compte-tenu de ses missions de veille technologique,
- capable de mettre en place avec les métiers des contrôles dont les indicateurs seront remontés directement à la Direction Générale (sans intermédiaires) en vue d'un pilotage effectif des risques d'entreprise,
- compétences techniques permettant un dialogue avec les spécialistes, notamment système et réseaux de l'informatique,
- des compétences d'organisateur car il est responsable de la mise en
place du schéma directeur de la sécurité dont certains aspects comme
les plans de reprise d'activité sont complexes,
- des compétences de communication pour faire face à ses missions de sensibilisation,
- des compétences de négociateur, de diplomatie et de management compte-tenu de l'étendue du domaine dans lequel il évolue et de l'aspect transverse de sa mission.
"Au-delà de son excellence technique, le RSSI doit être un professionnel de la communication pour mobiliser son DG ", commente Pascal Antonini, associé Ernst & Young.
Ressources : on trouvera une excellente définition des rôles et fonctions du RSSI dans le document :
Risk Manager et RSSI : document PDF de 1Mo & 64 pages réalisé par l'
AMRAE (Association pour le management des risques et des assurances de l'entreprise) et le
CLUSIF (Club de la sécurité de l'information Français).
Un RSSI banque s'exprime suite à l'affaire de la Société Générale :
Les Nouvelles du Net :Sécurité et Contrôle dans les Banques : un echec ?
Le Comité Sécurité :
Il est composé d'un responsable de la sécurité informatique (
RSI)
et d'un
responsable sécurité métiers auprès des utilisateurs (
RSU) . Animé par
le RSSI, il permet de
mieux partager les implications de la mise en œuvre de la politique de
sécurité entre les deux pôles. Il met au point la réalisation du schéma
directeur, décide des priorités, des actions en cours ou des réactions
aux incidents de sécurité. Il est responsable de l'organisation des
plans de secours.
L'équipe sécurité :
Rassemblant des spécialistes système et réseaux formés aux
problématiques de sécurité, elle assure la mise en œuvre technique de
la sécurité du système d'information.
Lorsque c'est possible, il est intéressant de développer au sein de
l'entreprise une entité permanente ou cellule de veille conforme au
modèle du CERT afin de disposer de
spécialistes capables d'apporter une réponse rapide suite à la
découverte d'une intrusion ou d'une faille de sécurité.
Le Contrôle de la sécurité :
Il s'exerce a trois niveaux :
- le contrôle utilisateur : il s'agit de l'implication des
utilisateurs et de leur hiérarchie pour s'assurer du respect de la
politique de sécurité;
- L' audit interne : il peut être diligenté par les services d'audits internes ou d'audits informatiques,
- L'audit externe : réalisé par une entité indépendante comme un cabinet spécialisé.
Cellules de veille,
cellules de crise : se reporter au chapitre
continuité d'activité.
Management SSI 
