Les 90 premiers jours d'un RSSI externalisé : ce qui se passe concrètement

Ce que vous achetez vraiment quand vous engagez un RSSI externalisé

Si vous avez lu notre comparatif des modèles RSSI et que vous penchez vers l’externalisé, la question qui reste est souvent : “Concrètement, que va-t-il se passer ?”

C’est une question légitime. Un RSSI externalisé à 3-4 jours par mois, ça semble peu. Comment peut-il comprendre votre entreprise, identifier les risques, et mettre en place une gouvernance en si peu de temps ?

La réponse tient en un mot : méthode. Un RSSI externalisé expérimenté ne découvre pas votre situation. Il a vu la même situation 20 fois. Il arrive avec un processus structuré, des outils testés, et des templates éprouvés. Il adapte, il ne part pas de zéro

Voici ce qui se passe, semaine par semaine

Avant le jour 1 : la phase de cadrage

Avant même de commencer, une demi-journée de cadrage pose les bases :

• Objectifs : pourquoi faites-vous appel à un RSSI externalisé ? Conformité réglementaire ? Exigence client ? Incident récent ? Structuration préventive ?
• Périmètre : quels sites, quels systèmes, quels sous-traitants ?
• Interlocuteurs : qui est le sponsor (DG ou DSI ?), qui sera le relais opérationnel quotidien, qui a les accès techniques ?
• Accès : compte admin Active Directory en lecture, accès au pare-feu, documentation réseau existante, contrats prestataires

Livrable : une lettre de mission d’une page (objectifs, périmètre, planning, interlocuteurs)

Ce cadrage est crucial. Il évite les 2 premières semaines perdues à “comprendre le contexte”. Le RSSI arrive le jour 1 avec un plan

Semaine 1-2 : le diagnostic flash

Ce qu’on évalue

Le diagnostic flash n’est pas un audit ISO 27001. C’est un état des lieux pragmatique en 3-4 jours qui couvre :

Inventaire des actifs : serveurs (physiques et cloud), postes de travail, mobiles, équipements réseau, applications métier, SaaS utilisés. L’objectif : savoir ce qu’il y a à protéger. C’est systématiquement incomplet au départ, et c’est normal

Scan de vulnérabilités : un scan externe (ce que voit un attaquant depuis Internet) et un scan interne (ce que voit un attaquant qui a déjà un pied dans le réseau). Outils : Nessus, OpenVAS, ou Qualys. Le scan révèle les ports ouverts, les services non patchés, les configurations dangereuses

Revue des accès : qui a accès à quoi ? Les comptes administrateurs sont-ils séparés des comptes quotidiens ? Le MFA est-il activé ? Y a-t-il des comptes d’anciens salariés toujours actifs ? Réponse habituelle : oui, il y en a toujours

Évaluation de la posture : sauvegardes (existent-elles ? sont-elles testées ? sont-elles offline ?), antivirus/EDR (déployé partout ?), politique de sécurité (existe-t-elle ?), sensibilisation (a-t-elle été faite ?), PRA (existe-t-il ? a-t-il été testé ?)

Le score de maturité

Le diagnostic produit un score de maturité sur 5 niveaux :

Niveau	Description	Ce que ça signifie
1 : Initial	Pas de gouvernance, sécurité ad hoc	Exposition critique, incident probable
2 : Géré	Quelques mesures, pas de cohérence	Faux sentiment de sécurité
3 : Défini	Politique en place, mesures structurées	Base solide, encore des trous
4 : Maîtrisé	Monitoring, revues régulières, amélioration	Bon niveau pour une ETI
5 : Optimisé	Certification, SOC, amélioration continue	Niveau grand groupe

La majorité des ETI sans RSSI se situent au niveau 1 ou 2. C’est l’état de départ typique : le niveau 1 correspond à “rien de structuré” (pas de politique, MFA absent ou partiel, sauvegardes non testées, comptes non revus), le niveau 2 à “quelques mesures isolées” (politique partielle, MFA sélectif, sauvegardes existantes mais non testées régulièrement)

L’objectif est d’atteindre le niveau 3, voire 4 pour les secteurs réglementés. Mais le délai dépend du point de départ : compter 12 mois pour passer du niveau 2 au niveau 3 (rythme nominal à 4-8 jours/mois), et plutôt 18 mois pour passer du niveau 1 au niveau 3, ou un budget renforcé les 6 premiers mois (8-10 jours/mois au lieu de 4-8). Pour viser le niveau 4 (secteurs réglementés, exigence client forte), prévoir 6 à 12 mois supplémentaires après l’atteinte du niveau 3, généralement avec la mise en place d’un SOC ou d’un SOC-as-a-Service

Le livrable

Un rapport de 10-15 pages, pas 100. Il contient :

• Le score de maturité global et par domaine
• Le top 10 des risques classés par criticité et facilité de remédiation
• La cartographie des actifs (première version)
• Les quick wins identifiés (ce qu’on peut corriger en 2 semaines)
• Le plan d’action 90 jours priorisé

Ce rapport est présenté au DSI et au DG. C’est souvent la première fois qu’ils voient leur posture de sécurité documentée noir sur blanc

Le diagnostic a identifié les failles. Les deux semaines suivantes servent à fermer les portes les plus évidentes, celles que les attaquants exploitent en premier

Semaine 3-4 : les quick wins

Les quick wins sont les mesures qui adressent les vecteurs d’attaque les plus fréquents (phishing, ransomware, mouvement latéral) en 2 semaines, pour un coût quasi nul. Ces trois actions (MFA, sauvegardes, comptes orphelins) ne réduisent pas 80% du risque global, mais couvrent les scénarios les plus probables. Le RSSI ne les implémente pas toujours lui-même : il pilote le responsable informatique ou le prestataire infra qui les exécute

Qui exécute quoi ? Le RSSI externalisé n’implémente pas les quick wins, il les pilote. La répartition typique est transparente et permet à chaque acteur de tenir son périmètre :

Action	Pilote	Exécute	Valide
MFA	RSSI	Admin système M365 / Google Workspace	RSSI + DSI
Sauvegardes	RSSI	Prestataire infogérance	RSSI
Comptes orphelins	RSSI	Admin AD + RH	RSSI + DRH
Phishing simulé	RSSI	Plateforme + admin email	RSSI

Comptez 5 à 10 jours-homme internes sur les 90 premiers jours pour ces remédiations (admin système, infra, RH), en plus du budget RSSI externalisé. C’est un coût réel à intégrer dans le plan, mais c’est aussi le mécanisme qui permet la montée en compétence des équipes internes : le RSSI externalisé transmet le savoir-faire au lieu de créer une dépendance

MFA partout

Activation du MFA sur tous les accès critiques : Microsoft 365 / Google Workspace, VPN, outils d’administration, comptes à privilèges. Typiquement, c’est fait en 2-3 jours par l’admin système avec un plan de déploiement par vague (direction d’abord, puis managers, puis tous)

Sauvegardes vérifiées

Test de restauration sur chaque système de sauvegarde. Dans notre expérience sur une vingtaine de tests de restauration, environ 40% échouent au premier essai (sauvegarde incomplète, procédure non documentée, ou délai de restauration incompatible avec le RTO). Correction immédiate : ajout d’une copie offline, activation du versioning, mise en place d’un test mensuel automatisé

Comptes orphelins supprimés

Revue des comptes Active Directory et des accès SaaS. Suppression des comptes d’anciens salariés (il y en a toujours, en moyenne 8 à 12% des comptes actifs), désactivation des comptes inactifs depuis 90+ jours, suppression des droits admin superflus

Première campagne de phishing simulée

Envoi d’un email de phishing simulé à tous les collaborateurs. Le RSSI mesure le taux de clic (baseline), identifie les services les plus vulnérables, et cale la sensibilisation du mois 2 sur ces résultats. Taux de clic moyen au premier test : 15-25% selon le secteur (source : Proofpoint State of the Phish 2025)

Le livrable

Le plan d’action 90 jours priorisé, mis à jour avec les quick wins réalisés et le calendrier des actions restantes

Les urgences techniques sont traitées. Le mois 2 passe du correctif au structurel : poser les règles, former les équipes, outiller la détection

Mois 2 : la structuration

Politique de sécurité

Le RSSI rédige (ou adapte un template éprouvé) une politique de sécurité adaptée à l’ETI. 5 à 10 pages, pas plus. Elle couvre :

• Classification des données (public, interne, confidentiel)
• Gestion des accès et des mots de passe
• Utilisation des équipements et du BYOD
• Procédure de gestion des incidents
• Responsabilités (qui fait quoi en sécurité)
• Règles d’usage de l’IA (pour éviter le Shadow IA)

La politique est validée par la direction (signature DG), diffusée à tous, et intégrée dans le livret d’accueil des nouveaux arrivants

Sensibilisation

Basée sur les résultats de la campagne de phishing du mois 1 :

• Session de sensibilisation de 1h30 pour tous les collaborateurs (en présentiel ou visio)
• Focus sur les risques concrets : phishing, fraude au président, mots de passe, clés USB
• Deuxième campagne de phishing simulée à J+30, le taux de clic chute typiquement de 15-25% à moins de 10% (source : Proofpoint State of the Phish 2025)

EDR et monitoring

Si pas encore en place : sélection et déploiement d’un EDR (CrowdStrike, SentinelOne, Microsoft Defender for Business). Le RSSI recommande la solution, le prestataire infra déploie, le RSSI valide la configuration et les alertes

Mise en place d’un monitoring minimal : centralisation des logs critiques, alertes sur les événements de sécurité (tentatives de brute force, connexions inhabituelles, élévation de privilèges)

Le livrable

La politique de sécurité validée et diffusée. Le rapport de la campagne de sensibilisation. Le dashboard de monitoring opérationnel

La politique est en place, les outils sont déployés, les équipes sont sensibilisées. Le dernier mois transforme ce travail en gouvernance durable, avec une vision à 12 mois et des indicateurs pour la direction

Mois 3 : la roadmap et le premier reporting

Roadmap 12 mois

Le RSSI formalise une roadmap de sécurité à 12 mois, priorisée par criticité et effort. Elle inclut typiquement :

• Q1 (fait) : diagnostic, quick wins, politique, sensibilisation
• Q2 : PRA documenté et testé, segmentation réseau, durcissement des configurations
• Q3 : premier pentest, conformité réglementaire (NIS2, RGPD), gestion des tiers
• Q4 : revue d’architecture, plan de formation, certification si pertinent

Chaque action avec un budget estimé, un responsable, et une date cible

Premier reporting COMEX

Le RSSI produit un dashboard d’une page pour la direction :

• Score de maturité (avant/après 90 jours)
• Top 5 des risques résiduels
• Actions réalisées / en cours / planifiées
• Budget consommé / prévisionnel
• 3 KPIs : taux de phishing, couverture EDR, délai moyen de correction des vulnérabilités

Prérequis outils des KPIs : ces 3 indicateurs supposent des outils en place. Le taux de phishing nécessite une plateforme de simulation (GoPhish open-source, KnowBe4, ou la fonctionnalité native M365 Defender). La couverture EDR implique un EDR déjà déployé avec un reporting consolidé. Le délai moyen de correction des vulnérabilités suppose un scanner régulier (Nessus, OpenVAS, Qualys) avec un suivi du backlog. Si l’ETI ne dispose pas encore de scanner, démarrer par un KPI plus accessible (% des comptes critiques avec MFA, % des sauvegardes testées) et réintroduire le KPI vulnérabilités au mois 6, une fois le scanner en place

Ce dashboard est présenté en COMEX ou en comité de direction. C’est souvent la première fois que la sécurité fait l’objet d’un reporting structuré au niveau direction. L’effet : la sécurité passe de “le problème de l’informatique” à “un sujet piloté avec des indicateurs”

Première revue trimestrielle

La première revue de sécurité trimestrielle pose le cadre pour les suivantes :

• Bilan des actions du trimestre
• Revue des incidents et des alertes
• Mise à jour de la cartographie des risques
• Ajustement de la roadmap si nécessaire
• Validation des priorités du trimestre suivant

1h30, une fois par trimestre. C’est le rythme minimal pour une gouvernance de sécurité fonctionnelle

Voilà pour le processus. Mais au-delà des livrables et des jalons, qu’est-ce qui change concrètement pour les personnes impliquées ?

Ce qui change au quotidien

Pour le DSI

Le DSI récupère 20 à 30% de son temps. Il n’est plus le RSSI par défaut. Il a un interlocuteur pour les questions de sécurité, un relais pour les questionnaires clients, et quelqu’un qui porte le sujet en direction. Il peut se concentrer sur ses missions à forte valeur : stratégie SI, pilotage des projets, gestion des prestataires

Pour les équipes

Les collaborateurs ont une politique claire (ce qui est autorisé, ce qui ne l’est pas), une sensibilisation régulière (pas un PowerPoint annuel), et un réflexe en cas de doute (“je transfère l’email suspect au RSSI”). La culture de sécurité se construit progressivement

Pour la direction

La direction a de la visibilité : un dashboard trimestriel, un score de maturité qui progresse, un budget maîtrisé. Elle peut répondre aux questionnaires clients et aux exigences réglementaires. L’assurabilité s’améliore. La sécurité n’est plus un trou noir, c’est un sujet piloté.

Après le jour 90 : le mode récurrent

Les 90 premiers jours sont la phase d’investissement. Ensuite, le RSSI passe en mode récurrent :

• 2 à 4 jours par mois : suivi des actions, revue des alertes, gestion des incidents mineurs, réponse aux questionnaires clients
• Revue trimestrielle : bilan, ajustement roadmap, reporting direction
• Montée en charge ponctuelle : pentest annuel, audit de certification, incident majeur, exigence client urgente

Budget réaliste des 90 premiers jours :

Poste	Coût sur 90 jours
RSSI externalisé (4-8 j/mois x 3 mois x ~1K€/jour)	12 à 24K€
Plateforme de phishing (GoPhish open-source ou KnowBe4)	0 à 3K€
Scanner de vulnérabilités (Nessus, OpenVAS, Qualys)	0 à 1K€
EDR si pas déjà déployé (CrowdStrike, SentinelOne, MS Defender)	2 à 5K€
Temps interne mobilisé (admin système, infra, RH) : 5 à 10 j-homme	3 à 8K€ (coût chargé)
Total réaliste	17 à 41K€

Le coût du RSSI seul (12-24K€) est la partie visible. Le coût total inclut les outils (souvent déjà partiellement présents, donc réductible) et le temps des équipes internes qui exécutent les remédiations pilotées par le RSSI. Pour une ETI déjà équipée d’un EDR et d’un scanner, le surcoût réel est proche de 17-25K€ ; pour une ETI partant de zéro outillage, prévoir 35-41K€

Après les 90 premiers jours, le mode récurrent stabilise le budget RSSI à 30-50K€/an (hors outils, dont les licences sont généralement déjà amorties). Le rythme est tenable sur la durée et la maturité progresse trimestre après trimestre

Pour comprendre pourquoi cet investissement est le plus rentable des options disponibles, consultez notre comparatif RSSI interne vs externalisé. Et pour le contexte sur les risques, relisez pourquoi les ETI sont le gibier préféré des attaquants

Sources et méthodologie

• Proofpoint, State of the Phish 2025 : taux de clic phishing (15-25% selon le secteur)
• Retours d’expérience Nobori : taux d’échec des restaurations (~40% au premier essai, sur une vingtaine de tests), budgets et délais des 90 premiers jours
• NIST Cybersecurity Framework : grille de maturité utilisée pour le scoring (5 niveaux)

---

Prêt à structurer la sécurité de votre ETI ? La première étape est un diagnostic flash de votre posture de sécurité. Ou prenez directement rendez-vous pour discuter de votre contexte, sans engagement