Accueil / RSSI externe
Longueuil · Montérégie · Grand Montréal
RSSI externe (vCISO) pour les PME du Québec
Un responsable de la sécurité de l’information à temps partagé, qui pilote votre cybersécurité et votre conformité, rend des comptes à votre direction et vous évite une embauche que vous ne pouvez pas encore justifier.
L’enjeu
Le poste que vous ne pouvez pas encore créer
Votre assureur pose des questions précises avant de renouveler. Vos clients institutionnels exigent des preuves avant de signer. Un appel d’offres réclame une politique de sécurité que personne n’a encore écrite. Et dans votre organisation, personne n’a le mandat clair de répondre à tout cela.
Le RSSI (responsable de la sécurité des systèmes d’information, aussi appelé CISO) est la personne qui porte ce mandat. Dans une PME de 10 à 200 employés sans équipe TI interne, le poste à temps plein est rarement justifiable : ni le volume de travail, ni le budget ne le soutiennent.
Le RSSI externe, aussi nommé RSSI externalisé, CISO virtuel ou vCISO, est la réponse : la même fonction, le même niveau de responsabilité, à temps partagé. Un interlocuteur unique qui décide, documente et rend des comptes, sans que vous ayez à recruter.
Le mandat
Ce que votre RSSI externe prend en charge
01
Le pilotage de la sécurité
Une stratégie alignée sur vos objectifs d’affaires, un plan d’action priorisé, et quelqu’un dont c’est la responsabilité de le faire avancer d’un mois à l’autre. Voir aussi notre approche de la gouvernance TI.
02
La conformité et les preuves
ISO 27001, NIST CSF, COBIT, CyberSécuritaire Canada, questionnaires d’assurance, exigences contractuelles et appels d’offres : les exigences de conformité deviennent des actions concrètes, et les preuves sont prêtes le jour où on vous les demande.
03
La reddition à la direction
Un tableau de bord mensuel lisible par un conseil d’administration : où en sont les risques, ce qui a bougé depuis la dernière fois, ce qui reste à décider, et ce que ça coûte de ne rien décider.
04
Un interlocuteur unique
Un seul numéro pour votre fournisseur TI, votre assureur, vos clients et vos employés. Fini les zones grises sur qui est censé faire quoi, et les mois qui passent sans que personne ne tranche.
Un mandat qui démarre vite
Le mandat des 90 premiers jours
Jour 1 à 30
Diagnostic
État des lieux de votre sécurité, cartographie des risques TI, écarts documentés et priorisés.
Jour 31 à 60
Cadre
Politiques et rôles définis, registre des risques ouvert, plan d’action priorisé et chiffré.
Jour 61 à 90
Pilotage
Tableau de bord mensuel, comité de sécurité en place, reddition à la direction.
Après 90 jours, le pilotage devient mensuel : vous gardez le cadre, nous gardons la barre.
Comparaison
RSSI externe ou embauche à temps plein?
| RSSI externe | Embauche à temps plein | |
|---|---|---|
| Mise en route | Quelques semaines | 3 à 6 mois de recrutement |
| Engagement | Mandat révisable | Poste permanent |
| Étendue couverte | Gouvernance, risques et conformité | Selon le profil recruté |
| Absences et départs | Continuité assurée | À prévoir et à remplacer |
| Structure de coût | Proportionnelle au mandat | Salaire, charges, outils et formation |
Pour qui
Ce service s’adresse à vous si…
- Vous comptez 10 à 200 employés, sans équipe TI interne ou avec un fournisseur informatique externe
- Vous traitez des données sensibles sans cadre formel pour les encadrer
- Un client, un donneur d’ordre ou un appel d’offres exige des garanties de sécurité
- Votre renouvellement d’assurance cyber approche et le questionnaire vous bloque
- Vous avez vécu un incident et voulez éviter qu’il se répète
- Vous visez une certification (ISO 27001, CyberSécuritaire Canada) et personne ne porte le dossier
22+
années d’expérience en technologies de l’information
Certifications et expérience
Un praticien, pas un généraliste
Votre mandat est porté par un praticien qui cumule plus de 22 ans d’expérience en TI, de l’exploitation à la gouvernance, de l’audit à la sécurité de l’information. Assez d’années pour avoir vu ce qui tient en production, et ce qui ne tient que sur papier.
CISSP et CISM encadrent la gestion de la sécurité, CISA l’audit des systèmes, CRISC la gestion du risque TI, ISO 27001 Lead Implementer la mise en place d’un SMSI, COBIT la gouvernance et ITIL la gestion des services. C’est exactement l’étendue d’un mandat de RSSI, portée par une seule personne plutôt que répartie entre quatre fournisseurs.
CISSPCISMCISACRISCISO 27001 LICOBITITIL
FAQ
Questions fréquentes sur le RSSI externe
Quelle est la différence entre un RSSI externe et mon fournisseur de services TI?
Votre fournisseur TI opère : il installe, surveille, corrige, répare. Le RSSI externe décide et encadre : il fixe les priorités, définit les politiques, mesure les risques et rend des comptes à votre direction. Les deux rôles sont complémentaires, et les confondre est précisément ce qui laisse des angles morts. Dans plusieurs mandats, le RSSI externe est aussi celui qui pose les bonnes questions à votre fournisseur.
Le RSSI externe remplace-t-il mon fournisseur informatique?
Non. Vous gardez votre fournisseur. CyberBloc n’est pas un fournisseur de services gérés et ne vend ni équipement ni licences : c’est ce qui nous permet de vous conseiller sans conflit d’intérêts, y compris quand la bonne réponse est « ne l’achetez pas ».
Combien de temps par mois consacrez-vous à mon organisation?
Cela dépend de votre taille, de votre secteur et de vos obligations. Une PME de 25 employés sans exigence réglementaire lourde n’a pas les mêmes besoins qu’une entreprise de 150 employés en processus de certification. Le rythme est fixé après le diagnostic des 30 premiers jours, puis révisé avec vous.
Sur quels référentiels vous appuyez-vous?
Sur ceux que vos clients, vos auditeurs et vos assureurs reconnaissent déjà : ISO/IEC 27001 et ISO/IEC 27005 pour la sécurité et les risques, le NIST Cybersecurity Framework pour la structuration des contrôles, COBIT pour la gouvernance des TI et ITIL pour la gestion des services. Nous choisissons celui que votre secteur et vos clients demandent, puis nous l’appliquons à votre échelle plutôt qu’à celle d’une multinationale.
Combien coûte un RSSI externe?
Le mandat est établi selon la taille de votre organisation, vos obligations réglementaires et le rythme souhaité. Appelez le 438-458-3325 : un premier échange suffit généralement à cerner l’ampleur du mandat, et il est sans frais.
Parlons de votre situation
Qui porte la sécurité chez vous en ce moment?
Si la réponse est « un peu tout le monde », c’est que personne ne la porte. Un appel de vingt minutes suffit pour savoir si un RSSI externe est la bonne réponse pour votre organisation, ou si vous avez simplement besoin d’un coup de main ponctuel.
CyberBloc · 2360 rue de Dover, Longueuil (Québec) · Service en français, partout au Québec