Externalisation de la fonction RSSI

La prestation confie à une équipe spécialisée une fonction RSSI de conseil, de pilotage et de contrôle. Elle couvre l’ensemble de l’organisation et un périmètre SI comprenant notamment serveurs et annuaire, postes fixes et mobiles, applications métiers, Microsoft 365, services cloud, accès distants, équipements réseau, objets connectés et prestataires tiers. Le titulaire coordonne et contrôle les acteurs techniques sans se substituer à l’infogérant.

La trajectoire proposée comprend une phase de diagnostic et de fondations, puis une phase de consolidation et de montée en maturité. Le calendrier détaillé des interventions et livrables est arrêté au lancement.

Missions

• Gouvernance et risques : élaborer et actualiser la stratégie et la feuille de route SSI pluriannuelle; conduire une analyse de risques de type EBIOS Risk Manager, cartographier menaces, vulnérabilités et actifs critiques, tenir le registre des risques, rédiger la PSSI et les procédures associées, prioriser et suivre la remédiation issue de la matrice post-audit.
• Conformité : réaliser un audit de conformité RGPD et un plan de remédiation; articuler les travaux avec le DPO, notamment pour le registre des traitements, les AIPD et les violations de données; qualifier l’assujettissement à NIS2 et, le cas échéant, préparer l’enregistrement et la mise en conformité; assurer la veille réglementaire et normative.
• Sécurité opérationnelle et incidents : définir le plan de réponse aux incidents, les rôles, escalades et communications de crise; piloter l’infogérant et contrôler les configurations, accès à privilèges, correctifs et clauses de sécurité; cadrer la détection à partir des dispositifs existants, coordonner les alertes et remédiations lorsqu’un service est en place, et accompagner la sécurisation des projets IT, du cloud et des objets connectés. La réponse aux incidents et la gestion de crise sont coordonnées au titre des jours d’expertise.
• Sensibilisation et contrôle : concevoir des actions par profil, organiser des simulations d’hameçonnage et ateliers, suivre les parcours en ligne et la progression; programmer et coordonner les audits et tests, analyser leurs résultats, prioriser les correctifs, suivre les plans d’action et organiser des exercices de crise. Évaluer également la sécurité des tiers et fournisseurs.
• Pilotage : tenir un tableau de bord RSSI, animer les comités opérationnels et stratégiques, produire un reporting opérationnel mensuel, un reporting de pilotage trimestriel et un bilan annuel.

Prestations complémentaires et livrables

Les bons de commande peuvent porter sur des jours complémentaires du RSSI, une analyse EBIOS approfondie, un appui RGPD/DPO, des audits PASSI, une réponse à incident ou une gestion de crise (qualification PRIS ou équivalent), des audits organisationnels ou de configuration, des tests d’intrusion externes et internes, des exercices de crise, une campagne annuelle de sensibilisation et d’hameçonnage simulé, ainsi que des plateformes de sensibilisation/e-learning facturées par utilisateur et par an et de pilotage RSSI.

Les livrables comprennent notamment la feuille de route SSI, l’analyse et le registre des risques, la PSSI et les politiques associées, le plan de remédiation, le plan de réponse à incident, le rapport de conformité RGPD, les bilans de sensibilisation, les rapports d’audit et de tests, le tableau de bord, les comptes rendus de comités et le bilan annuel. Ils sont remis en français, dans des formats exploitables, modifiables, ouverts et réutilisables; ils restent la propriété de l’Office. La réversibilité inclut une documentation transférable, l’accompagnement et la formation des interlocuteurs, la remise d’un dossier de réversibilité, ainsi que la restitution ou destruction des données et la clôture des accès.

Le RSSI référent justifie d’au moins cinq ans d’expérience. Le recours à un prestataire qualifié PASSI, ou présentant des garanties équivalentes, est exigé pour les audits et tests d’intrusion; la qualification PRIS ou équivalent européen est fortement attendue pour la réponse à incident et la gestion de crise. Le titulaire garantit la continuité et désigne un suppléant.