DSI le jour, RSSI la nuit : les responsables IT des PME contraints de cumuler les rôles
La cybersécurité devient tendance chez les DSI. De plus en plus ils se forment en la matière pour rester attractifs sur le marché du travail. C'est le cas de David Wijnker, DSI externe mis à disposition par Finaxim, un cabinet de directeurs à temps partagé. "Je suis DSI à temps partagé depuis quatre ans et j'interviens auprès de PME et d'ETI. J'ai commencé à traiter des sujets de cybersécurité lors d'une mission de DSI, il y a trois ans, à la demande d'un client. Je me suis ensuite formé à la cybersécurité, notamment en suivant des certifications en analyse de risques et la formation ISO 27001. Et je suis donc devenu aussi RSSI externe depuis un an. Si je me suis formé à la cybersécurité, c'est parce que j'observais que les entreprises pour lesquelles je travaillais en tant que DSI me demandaient de maitriser le sujet". Et pour cause. Les PME et ETI accordent une attention croissante au risque cyber sans avoir les moyens financiers de recruter un RSSI pour le gérer. "C'est donc le DSI qui prend la casquette du RSSI".
Une mutualisation contrainte
"Les clients me demandent en effet de plus en plus de compétences de RSSI, avant même que je leur dise que j'en possède. Ils vont par exemple me demander de vérifier si leur système d'information est bien sécurisé. Désormais, quand je rencontre un client, mon diagnostic comprend donc nécessairement un volet sécurité", ajoute Stéphane Atlani, lui aussi DSI externe auprès d'ETI et de PME. Passionné de hacking depuis son adolescence, lors de laquelle il aimait "pirater et détourner des objets", il dispose heureusement des compétences nécessaires pour répondre aux nouvelles attentes de ses clients. Chez eux, il est désormais amené à piloter des missions de gouvernance, risques et conformité et de pentest. "Je mène aussi une veille de sécurité, notamment grâce aux publications de threat intelligence et aux alertes du Cert-FR, pour voir si les systèmes d'information de mes clients peuvent être menacés".
Selon lui, c'est depuis l'émergence des réglementations de cybersécurité comme la directive NIS 2, qui oblige plus de 15 000 PME et leurs fournisseurs à élever leur niveau de cybersécurité, que ces attentes ont émergé. Eva Nabusset, directrice du cabinet de recrutement Rehackt, spécialisé dans la cybersécurité, confirme : "Depuis 2022, je dirais, et les réglementations de cybersécurité qui tombent, je remarque que les entreprises sont en marche forcée vers la cybersécurité. Et dès qu'un sujet a un rapport avec le numérique, cybersécurité ou non, le PDG a tendance à le refiler automatiquement au DSI". En plus de cela, les PME et ETI ne disposent souvent pas du budget nécessaire pour recruter un RSSI, même à temps partagé. "C'est d'ailleurs pour cette raison budgétaire que mes clients me demandent d'accomplir des missions de RSSI", affirme David Wijnker, qui installe désormais des EDR et firewall chez ses clients, pendant ses missions de DSI. "Puis, pour les équipes dirigeantes qui s'y connaissent peu, un DSI équivaut à plus qu'un RSSI : il est capable de s'occuper autant de la cybersécurité que de la prise électrique et du site internet", raille Stéphane Atlani.
Même certains DSI salariés d'ETI, épaulés par un RSSI, se sentent concernés par ce phénomène. C'est le cas de Romain Dachy, DSI chez Domitys, une entreprise de résidences pour seniors. Conscient de l'importance que prennent les sujets cyber dans ses fonctions de DSI, il s'est lui aussi formé, comme David Wijnker, à la norme ISO 27001. "Je constate aussi que le DSI doit de plus en plus absorber des compétences de cybersécurité. Cela s'explique par le fait que la cybersecurity by design pour tous les projets numériques devient progressivement incontournable, en raison en partie des réglementations cyber qui se durcissent. Or, ces projets sont portés par la DSI, laquelle doit donc adopter une posture cyber. C'est d'ailleurs pour cela que je me suis formé ISO 27001, afin d'intégrer cette compétence cyber dans mon activité".
Vers une fusion risquée
Les fonctions de DSI et RSSI sont-elles pour autant vouées à fusionner ? "Oui", répond Hubert Loiseau, qui fait partie des rares RSSI à être devenus ensuite DSI, depuis un an, au Campus Cyber. "Il y a actuellement une fusion naturelle qui est en train de s'opérer dans les métiers de l'IT : si un DSI n'a pas de vernis cyber, il va perdre de la valeur sur le marché du travail. On ne va pas inventer un nouveau nom de métier pour qualifier les nouveaux postes qui fusionnent les missions de DSI et RSSI. Je pense que c'est juste la fonction de DSI qui va absorber les missions de cybersécurité chez les PME, et les fournisseurs de la chaîne d'approvisionnement de secteurs comme l'armement, l'énergie, ces secteurs critiques".
Cependant, une entreprise qui recrute un tel profil hybride doit en mesurer le risque. Définir la stratégie informatique, conduire les projets numériques tout en évaluant leur niveau de sécurité revient à cumuler les rôles de décideur et d'évaluateur au sein d'une même fonction. Des DSI peu scrupuleux peuvent être tentés de conduire une évaluation peu objective de leurs propres projets. "Certes, mais la vraie question à se poser est que fait-on dans une petite structure qui ne peut pas avoir de RSSI à temps partagé ? Est-ce qu'on va quand même refuser au DSI de faire aussi RSSI ? Dans une structure avec des moyens contraints, c'est le principe de réalité qui doit prévaloir. Il vaut mieux réunir les fonctions de RSSI et DSI en une seule personne que de se contenter seulement d'un DSI", conclut Hubert Loiseau.