Cyber · Fonction principale
Le métier de RSSI
Responsable de la sécurité des systèmes d'information de Transgourmet France. Un métier qui consiste moins à interdire qu'à rendre une organisation capable de continuer à fonctionner quand quelque chose se passe mal.
- Fonction
- RSSI · Transgourmet France
- Secteur
- Distribution alimentaire professionnelle
- Rattachement groupe
- Coop (Suisse)
- Cadre réglementaire
- NIS2 · RGPD · référentiel cyber groupe
- Repère public
- Étude de cas LeMagIT ↗
Ce que recouvre réellement la fonction
Beaucoup de gens imaginent le RSSI comme un technicien qui bloque des choses. Dans les faits, l'essentiel du travail est un travail d'arbitrage, de traduction et d'organisation.
Traduire le risque en décision
Une direction générale ne prend pas de décision sur la base d'une liste de vulnérabilités. Elle en prend une lorsqu'on lui présente un scénario crédible, une conséquence chiffrable sur l'activité, une option de traitement et un coût. Une grande partie de mon métier consiste à faire cette conversion, honnêtement, sans dramatiser pour obtenir un budget et sans minimiser pour éviter une conversation désagréable.
Organiser la résilience avant l'incident
La question n'est plus de savoir si une organisation sera attaquée, mais dans quel état elle sera trois jours après. Cela suppose des plans de continuité éprouvés, des procédures de crise que les gens ont réellement lues, des moyens de communication qui fonctionnent quand la messagerie est tombée, et surtout des exercices. Un plan qui n'a jamais été joué n'est pas un plan, c'est un document.
Rendre les protections tenables
Une mesure de sécurité que les métiers contournent au bout de trois semaines n'a rien protégé du tout : elle a simplement déplacé le risque dans une zone où plus personne ne le voit. Je préfère une protection à 80 % qui tient dans la durée à une protection théoriquement parfaite que l'organisation rejettera. Cela impose d'aller voir les gens sur le terrain avant d'écrire une règle.
Sensibiliser sans culpabiliser
Un collaborateur qui clique sur un lien piégé n'est pas un imbécile : il est la cible d'un métier entier, financé, organisé et qui s'améliore chaque année. Le rôle de la sensibilisation est de donner des réflexes et un droit à l'erreur, pas de créer une peur qui pousse à cacher les incidents. Une organisation où l'on ose signaler rapidement se défend infiniment mieux qu'une organisation où l'on a honte.
Domaines d'intervention
Les chantiers permanents
Politique et conformité
Politique de sécurité, corpus documentaire, analyse de risques, alignement sur les référentiels internationaux et sur les obligations issues de NIS2 en tant qu'entité essentielle.
Accès et privilèges
Gestion des identités et des habilitations, maîtrise des comptes à privilèges, revues d'accès, authentification renforcée. La majorité des attaques passe aujourd'hui par une identité, pas par une faille exotique.
Surveillance et réponse
Supervision continue, détection sur les postes et les serveurs, qualification des alertes et chaîne de réponse à incident avec des partenaires spécialisés, en veille permanente.
Continuité et exercices
Plan de continuité, cellule de crise, rôles nommés, procédures de repli et exercices réguliers de type rançongiciel, suivis d'un retour d'expérience formalisé et de correctifs assumés.
OT et objets connectés
Sécurisation des environnements techniques des sites : chaîne du froid, vidéoprotection, contrôle d'accès. Des systèmes conçus pour durer vingt ans, rarement pour résister à une attaque.
Usage encadré de l'IA
Cadrage des usages de l'IA générative : charte d'utilisation, règles pour les développeurs, protection des données confiées à un service tiers et évaluation des fournisseurs.
Principe de publication
Ce site ne détaille volontairement ni l'architecture, ni les outils, ni les configurations de sécurité de mon employeur.
Un portfolio de RSSI qui exposerait la cartographie technique de son entreprise serait une contradiction dans les termes. Les pages professionnelles décrivent des domaines de responsabilité et une manière de travailler, pas un plan de bataille exploitable.
Un parcours qui explique la méthode
Je n'ai pas commencé par la sécurité. J'ai commencé par le support de proximité et les applications métier, avec la gestion d'un parc de plusieurs milliers de postes et d'une équipe. C'est une école utile : on y apprend que derrière chaque incident il y a une personne qui ne peut plus travailler, et que la qualité d'une procédure se mesure au nombre de fois où elle est réellement appliquée.
Ce passage par l'exploitation explique probablement pourquoi je me méfie autant des dispositifs élégants sur le papier. Ce qui compte, c'est ce qui tient le lundi matin, dans un entrepôt, avec des gens qui ont autre chose à faire que de lire une politique de sécurité.
Suite
Transmettre le métier
Le corollaire de cette fonction, c'est la transmission : à des RSSI qui prennent leur poste et se retrouvent seuls face à des décisions lourdes, et à des petites structures qui affrontent les mêmes menaces avec cent fois moins de moyens.