Lorsque vous financez votre petite ou moyenne entreprise, vous gardez le budget au premier plan. Vous commencez avec un équipage squelette composé uniquement du personnel le plus essentiel. Une question qui se pose aux directeurs généraux (PDG) est de savoir si leur entreprise a immédiatement besoin d’un responsable de la sécurité de l’information. Cela dépend de la taille et de l’âge de l’entreprise.
Qu’est-ce qu’une petite ou moyenne entreprise (PME)?
Gartner définit une petite et moyenne entreprise (PME) comme une entreprise dont les organisations emploient moins de 999 personnes. Une petite entreprise compte moins de 100 employés, tandis qu’une entreprise de taille moyenne ou moyenne en compte entre 101 et 999. La définition d’une micro-entreprise qui est plus petite qu’une petite entreprise varie en fonction de l’emplacement. En Australie, une entreprise de 15 employés ou moins est considérée comme une micro-entreprise; une entreprise de moins de 50 employés est considérée comme une micro-entreprise au Royaume-Uni. Aux États-Unis, employer six employés ou moins est considéré comme une micro-entreprise. En ce qui concerne les revenus annuels, une petite entreprise a généralement moins de 50 millions de dollars, mais une entreprise de taille moyenne a un revenu annuel compris entre 50 millions de dollars et 1 milliard de dollars.
Ces petites entreprises ont des exigences budgétaires différentes. Bien qu’ils aient toujours besoin de sécurité de l’information, les besoins de sécurité des petites entreprises et des microentreprises diffèrent de ceux des entreprises de taille moyenne. Alors que les entreprises de taille moyenne peuvent embaucher un RSSI sur place à temps partiel ou à temps plein, une petite entreprise peut ne pas avoir le budget pour ce poste. Une micro-entreprise n’aurait pas le budget pour embaucher un RSSI. Cependant, toutes les entreprises partagent la menace d’une violation de données et toutes les tailles d’entreprise ont besoin d’un sous-traitant ou d’un consultant indépendant qui discute de la cybersécurité avec les dirigeants et conçoit des plans et des stratégies pour améliorer la sécurité de l’entreprise. Un RSSI virtuel peut répondre à tous ces besoins.
Comment un RSSI virtuel aide
Les pirates informatiques et autres cybercriminels savent que les PME ont du mal à se permettre des RSSI à plein temps et d’autres services de sécurité, alors ils font de ces entreprises une cible. En 2018, dernière année pour laquelle des données sont disponibles, les pirates ont fait des PME la cible de deux cybercrimes sur trois. Six mois après la survenance de ces crimes, 60% des PME n’étaient plus en activité.
Cela affecte négativement l’économie de nombreuses manières, notamment le chômage. Les 58,9 millions d’employés de PME aux États-Unis représentent 47,5% de sa main-d’œuvre, selon l’Administration américaine des petites entreprises. Non seulement la communauté perd son entreprise et le service qu’elle fournit, mais elle perd également les emplois qu’elle fournissait. Cela provoque un effet d’entraînement des problèmes rendant la protection des PME plus importante.
Si un RSSI virtuel ne propose pas d’actions sur site pour protéger l’entreprise, il guide l’entreprise dans ses plans de sécurité. Leur contribution peut aider les PME ou les microentreprises à respecter leur budget et à optimiser la sécurité et les procédures commerciales de leur entreprise pour progresser.
Toute entreprise peut passer un contrat avec un RSSI virtuel pour protéger ses activités commerciales quotidiennes contre les menaces de sécurité. Le RSSI contribue également à la vision stratégique et au développement commercial de l’entreprise. Depuis l’adoption du règlement général sur la protection des données (RGPD) dans l’Union européenne (UE), les entreprises du monde entier ont dû mettre à jour leurs protections de la vie privée et formaliser des plans pour protéger les données des consommateurs et des employés, ainsi que créer des techniques et des procédures de documentation et de rapport qui répondre aux exigences du RGPD. Les obligations de documenter et de signaler les violations de la vie privée incombent généralement au RSSI. Dans les cas où l’entreprise passe un contrat avec un RSSI virtuel, bien qu’il soit un entrepreneur indépendant, cette personne remplit ces conditions.
L’objectivité du RSSI virtuel constitue l’un des principaux avantages de l’utilisation de ce poste contractuel. La PME obtient le conseil dont elle a besoin pour développer des objectifs et des buts de sécurité, mettre en œuvre des procédures de sécurité appropriées et déployer les solutions logicielles et matérielles nécessaires pour protéger l’entreprise. En éliminant les préjugés, le RSSI virtuel contourne la bureaucratie pour renforcer la sécurité et l’efficacité.
Que fait un RSSI ou un vCISO?
Le responsable de la sécurité de l’information analyse l’entreprise et ses procédures actuelles. Il peut utiliser de nombreux mécanismes pour suggérer des améliorations susceptibles d’augmenter l’efficacité et la sécurité. Cela peut se produire lors de la première itération de l’évaluation des risques commerciaux (BRA) ou de la seconde. Le RSSI peut utiliser toute méthode ou plusieurs méthodes d’amélioration, y compris Six Sigma ou la méthode Toyota. Identifier ces vulnérabilités et y remédier dès que possible commence les améliorations de la sécurité, mais ce n’est pas la fin du processus.
Protéger une entreprise contre la perte de données et les violations de la vie privée des clients n’est que la première étape. Le RSSI doit également relier la stratégie de sécurité informatique de l’entreprise à ses buts, objectifs et jalons pour s’assurer qu’elle respecte ses priorités, gère les risques et respecte son budget.
Si l’identification des menaces reste importante, il en va de même pour le respect des dernières techniques pour éviter les menaces. Le RSSI prend également des décisions d’achat de technologie, hiérarchise les principaux services et actifs de l’entreprise, définit les contrôles d’accès physique, examine les régimes de conformité légale et les met en œuvre ainsi que se coordonne avec la direction pour améliorer la sécurité globale.
Certaines PME ont une équipe informatique tandis que la plupart des microentreprises n’ont pas d’équipe informatique. Dans ce dernier cas, toute l’équipe est constituée du RSSI. Cela leur laisse un énorme trou à combler, car ils doivent s’appuyer sur les capacités de l’entreprise sans interférer avec les opérations quotidiennes afin que l’entreprise continue de répondre aux attentes de sa clientèle. Faire cela dans le cadre d’un budget de micro ou petite entreprise présente un défi.
Le coût d’un RSSI vs vCISO
L’embauche d’un RSSI dédié sur place peut être à la portée de certaines PME, mais beaucoup ne peuvent probablement pas se permettre de payer un salaire annuel de 215 273 $, le salaire annuel médian du poste, selon Salary.com. Ceux qui peuvent se permettre le poste ont perdu leur personnel dans le passé parce que leur RSSI a été attiré par une autre entreprise. Dans une enquête menée par l’Information Systems Security Association (ISSA), 38% de ses répondants ont déclaré que leur RSSI avait changé de travail lorsqu’on lui offrait une meilleure rémunération. L’embauche d’un vCISO sur une base contractuelle coûte beaucoup moins cher. Vous pouvez passer un contrat pour un nombre spécifique d’heures par semaine, vous pouvez donc créer un poste dans votre budget.
