Qu’est-ce qu’un projet en sécurité informatique ?

Les différentes populations d’une Direction des Systèmes d’Information

Une Direction des Systèmes d’Information ou DSI est un département regroupant plusieurs experts issus généralement du même domaine mais pas des mêmes métiers.

Ainsi, suivant la taille de l’entreprise (grand groupe, PMI, PME...), et son domaine (banque/assurance, industrie, édition logicielle...) vous croiserez dans les différentes DSI une population dite "d’informaticiens" mais qui ne le sont pas forcément. Comme :

Le chef de projet en sécurité informatique

Néanmoins, chacun de ces métiers demande des compétences et des connaissances spécifiques. Ainsi, le "chef de projet en sécurité informatique" doit acquérir trois compétences, comme l’illustre le schéma ci-dessous, en plus de connaître l’organisation et le business de l’entreprise.

En effet, pour que son discours fonctionne et passe auprès des différentes populations de l’entreprise, il doit connaître les fonctions, rôles et responsabilités de chacune d’entre elles. Ceci est essentiel :

La compétence chef de projet

La compétence responsable système d’information

Nous le verrons plus en détail dans le chapitre suivant, mais le responsable système d’information (RSI) a un rôle à mi-chemin entre un expert technique et un manager.

Suivant l’organisation et la taille de l’entreprise vous pouvez être seul à faire les interventions sur les postes informatiques et, en même temps, être le RSI (c’est-à-dire celui qui pilote la stratégie informatique, gère les budgets, les défend devant la direction, etc.).

La difficulté de cette double compétence d’expertise et de management mènera le RSI à adopter plusieurs comportements et à s’adapter à différents niveaux de discussion suivant le contexte et les acteurs impliqués.

Ce n’est ni le même comportement, ni la même tenue vestimentaire qu’il faut adopter quand on défend les budgets du service ou que l’on installe un ordinateur dans la zone de production d’une usine, par exemple.

Il faut faire preuve d’adaptabilité et d’un esprit de caméléon.

La compétence responsable de la sécurité des systèmes d’information

Le RSSI, voilà un poste qui est bien méconnu dans une entreprise.

J’ai été recruté il y a quelques années pour créer le département sécurité d’un éditeur de logiciels international. Lors de la présentation avec les équipes de la DSI, les premières questions que l’on m’a posées ont été de savoir quel était mon métier ? L’équipe de support savant parfaitement paramétrer un antivirus, un firewall ou encore faire des sauvegardes, elle ne comprenait pas l’intérêt de mon arrivée et ne voyait donc pas mon bénéfice pour l’entreprise.

Lorsque j’ai expliqué que mon rôle en tant que RSSI n’était pas de "faire" du paramétrage, et que je n’étais pas un expert en sécurité de base de données, en virtualisation ou autre, mon arrivée fut encore moins bien comprise. D’autant plus que j’étais à la tête d’un nouveau département que mes nouveaux collègues percevaient comme concurrent du leur.

Une de mes premières actions a été évidemment de leur expliquer le métier de RSSI et le bénéfice de ce rôle pour l’entreprise.

Nous mettons là en exergue la première compétence clé du RSSI : la sensibilisation.