Mise à disposition d'un RSSI à temps partagé et cybersécurité

1. RSSI à temps partagé et gouvernance

• Mise à disposition d'un RSSI à temps partagé et d'un chef de projet pour animer la gouvernance SSI, suivre les indicateurs et piloter les plans d'action.
• Animation des instances, coordination des actions et reporting régulier.

2. Analyse des risques et traitement

• Réalisation d'analyses de risque et cartographie des actifs selon EBIOS RM.
• Élaboration, hiérarchisation et suivi des plans de traitement des risques, y compris évaluation des tiers/fournisseurs.

3. Sécurité opérationnelle

• Définition des exigences de sécurité, supervision de la posture en lien avec le SOC, gestion du cycle de vulnérabilités jusqu'à clôture.
• Veille technique et réglementaire, production de recommandations et suivi des mesures correctives.

4. Gestion des incidents et continuité

• Coordination de la réponse aux incidents, arbitrage en cellule de crise, élaboration et animation d'exercices de crise et RETEX.

5. Audits et tests

• Définition des périmètres d'audit, organisation et encadrement d'audits techniques, tests d'intrusion et audits organisationnels ; exploitation des résultats et pilotage des remédiations.

6. Conformité et certifications

• Accompagnement à la conformité (NIS2, HDS, RGS) et à la certification ISO 27001 ; préparation aux audits et procédures d'homologation.

7. Sensibilisation et transfert de compétences

• Campagnes de sensibilisation, tests de phishing, formations pour équipes IT et transferts de compétences vers les équipes internes.

8. Offre mutualisée pour adhérents

• Prestation mutualisée permettant accompagnement, audits et interventions partagés avec conditions tarifaires spécifiques pour collectivités adhérentes.

9. Pilotage, reporting et amélioration continue

• Mise en place d'outils de pilotage, tableaux de bord, feuilles de temps mensuelles, rapports trimestriels RSSI et bilans d'activité avec actions d'amélioration continue.

Livrables et exigences techniques

• Livrables attendus : rapport diagnostic initial, cartographie des actifs et risques, plan d'action cybersécurité, PSSI conforme ISO 27001, procédures de gestion des incidents, tableaux de bord mensuels, rapport RSSI trimestriel, comptes-rendus d'audits/tests, supports de formation.
• Délais de validation des livrables : 10 jours ouvrés.
• Référentiels et méthodes à appliquer : EBIOS RM, ISO 27001/27005, ANSSI, OWASP, CIS Controls ; conformité RGPD et exigences IAM (MFA/PAM).
• Exigences d'exécution : traçabilité et exportabilité des livrables, interdiction de sous-traitance, contraintes de confidentialité et sécurité des échanges, procédure de réversibilité et transfert des connaissances sous 30 jours.