Sécurité PME : 7 priorités avant de recruter un RSSI

Une PME qui se pose la question du RSSI a généralement un signal déclencheur : un client enterprise qui demande un SOC 2, une cyber-assurance qui se renchérit, une tentative de phishing qui a marché de justesse, ou un investisseur qui pose la question. La tentation : embaucher vite. La réalité : un RSSI compétent qui arrive sur un terrain non préparé passe ses 6 premiers mois à faire de la cartographie et du nettoyage. Coût d'opportunité énorme.

Voici les sept chantiers à industrialiser avant ce recrutement. Tous peuvent être lancés par une équipe Tech existante, accompagnée ponctuellement par un consultant.

1. Cartographier les comptes admin et les secrets

Le premier audit qu'un RSSI fera : "qui peut faire quoi, et où sont les clés du royaume". Vous gagnerez 4 à 8 semaines en arrivant avec ce travail déjà fait.

• Liste exhaustive des comptes administrateurs par système (cloud, SaaS, repos, infra) avec date de dernière utilisation.
• Inventaire des secrets en circulation : tokens API, clés SSH, credentials de service, webhooks, secrets stockés dans des variables d'environnement, dans des wikis ou des Slack DM.
• Pour chaque secret : propriétaire, périmètre d'accès, mécanisme de rotation. La majorité des incidents que je vois en PME proviennent d'un secret oublié dans un repo public — comme Mercedes-Benz l'a appris à ses dépens.

Outils utiles : gitleaks ou trufflehog pour scanner l'historique Git, l'audit log de votre IdP, et un coffre type 1Password Business ou Bitwarden Teams pour la centralisation.

2. MFA partout — et résistant au phishing pour les comptes critiques

Le MFA classique (SMS, app TOTP) n'est plus suffisant pour les comptes admin et les comptes financiers. Les kits de phishing de 2025-2026 contournent ces facteurs en relayant la session en temps réel (attaque Adversary-in-the-Middle).

• MFA obligatoire sur tous les comptes : pas d'exception "il fait des longues réunions". Les exceptions sont des portes d'entrée.
• MFA phishing-resistant (passkeys, FIDO2, YubiKey) sur : comptes admin cloud, IdP (Okta, Google Workspace, Entra ID), accès aux clés de signature, accès production, comptes financiers.
• Documentation claire de la procédure de récupération en cas de perte du facteur — sans bypass admin trop facile.

3. Sauvegardes immuables, testées au moins une fois

Sauvegardes ≠ snapshots. Une vraie sauvegarde est : déconnectée du SI principal, immuable (impossible à supprimer ou chiffrer par un attaquant qui aurait pris le contrôle), et restaurée à blanc au moins une fois par an.

• Stockage immuable type S3 Object Lock, Azure Blob Immutability ou Backblaze B2 avec rétention.
• Compte de stockage séparé du compte de production, avec credentials distincts.
• Test de restauration documenté. La majorité des PME que j'audite ont des sauvegardes — peu ont vérifié qu'elles fonctionnent. C'est le moment de le faire avant l'incident.

4. Cadre clair pour les accès partenaires et freelances

La surface d'attaque la plus floue d'une PME, c'est l'écosystème externe : prestataires comptables avec accès à votre ERP, freelances dev avec accès aux repos, agences marketing avec accès à votre CRM, anciens employés dont les comptes traînent.

• Inventaire à jour des accès externes, avec date de fin contractuelle.
• Procédure d'offboarding qui révoque automatiquement les tokens, désactive les comptes, et change les mots de passe partagés.
• Comptes prestataires nominaux, pas des comptes génériques partagés. La traçabilité s'arrête à un compte partagé.

5. SSO + IAM centralisé

Si chaque SaaS a sa propre base utilisateurs, vous ne pouvez ni faire un offboarding propre, ni avoir une vue d'ensemble des accès. Le SSO résout les deux.

• Tous les SaaS critiques rattachés à un IdP unique (Google Workspace, Okta, Entra ID, JumpCloud).
• Provisioning et déprovisioning automatiques via SCIM quand le SaaS le supporte.
• Groupes par fonction (eng, finance, ops, dirigeants), permissions par groupe — pas par utilisateur.

Beaucoup de SaaS font payer cher l'option SSO ("SSO tax"). Pour ceux qui ne supportent pas SSO ou le facturent absurdement, exigez au minimum la fédération via SCIM ou un coffre partagé avec MFA.

6. EDR sur les postes, pas juste un antivirus

Un antivirus signature-based ne détecte pas un ransomware moderne. Un EDR (Endpoint Detection and Response) regarde les comportements et permet une réponse à distance.

• EDR déployé sur 100% des postes, sans exception (les "macs ne sont pas concernés" est faux depuis longtemps).
• Solutions adaptées PME : SentinelOne, CrowdStrike Falcon Go, Microsoft Defender for Endpoint Plan 1, ou Sophos Intercept X.
• Quelqu'un est identifié pour traiter les alertes — sinon l'EDR remplit un dashboard que personne ne regarde.

7. Un plan de réponse à incident écrit, testé une fois

Quand l'alerte sonne à 3h du matin un samedi, ce n'est pas le moment d'inventer la procédure. Un plan tient sur 4-5 pages et répond aux questions :

• Qui appeler ? Liste téléphonique avec numéros perso.
• Comment isoler ? Procédure de déconnexion réseau, de blocage de comptes.
• Comment communiquer ? Canal de crise hors-bande (Signal, téléphone), pas seulement Slack qui peut être compromis.
• Quand notifier la CNIL, l'ANSSI, vos clients, votre cyber-assurance ? Délais légaux 72 heures pour la CNIL.
• Qui décide de payer une rançon (la décision n'est jamais celle de l'IT, et la posture par défaut est non).

Le plan se teste : un exercice de table-top de 90 minutes une fois par an. Pour le déroulé étape par étape d'un incident réel, voir Gérer un incident cyber en 7 étapes.

Quand recruter un RSSI vraiment ?

Une fois ces sept chantiers en place, le recrutement d'un RSSI prend tout son sens. Il arrive sur un socle qu'il peut faire évoluer, et passe les 6 premiers mois à construire une vision sécurité alignée avec votre stratégie produit, pas à boucher des trous.

Indicateurs qu'il est temps :

• Vos clients enterprise demandent un SOC 2 ou un ISO 27001 sous 12 mois.
• Vous traitez des données régulées (santé, finance, mineurs).
• Vous avez plus de 50 personnes en interne.
• Vous déployez des systèmes IA en production qui tombent dans le périmètre AI Act haut risque.

Avant ces seuils, un RSSI à temps partagé (fractional CISO) ou un consultant sur des missions cadrées — comme les offres WeeSec — produit souvent plus de valeur qu'un poste plein-temps.