Le métier de responsable cybersécurité ne connaît pas la crise

Hameçonnage ou rançongiciels… Les attaques informatiques touchant les administrations publiques sont désormais monnaies courantes. Alors que se multiplient les accès distants et la gestion numérique des données usagers, la mise en œuvre d’une politique de sécurité informatique s’avère incontournable. Selon la dernière enquête du Club de la sécurité de l’information français (Clusif), 52% des collectivités ayant répondu ont d’ailleurs identifié une fonction de responsable des systèmes de sécurité.

Toujours selon l’étude, ce métier stratégique peut être rattaché à la direction des systèmes d’information (23 %) ou à la direction générale des services (59 %). La fonction de RSSI peut aussi être cumulée avec celle de DSI (42 %), notamment dans les intercommunalités et les conseils territoriaux. Le responsable sécurité informatique est titulaire d’un diplôme d’école d’ingénieurs ou d’un master professionnel du domaine de l’informatique et des réseaux (bac+5).

Reste à dédier cette fonction à un poste à plein temps, ce qui n’est pas encore partout le cas dans la fonction publique. A la région Bourgogne par exemple, un des administrateurs réseaux consacre 25% de son temps aux questions de cyber sécurité. Le reste se partageant auprès des autres agents de la direction des systèmes d’information. Mais ce profil de poste à temps plein est actuellement en cours d’étude. Une évolution que toutes les grandes administrations envisagent.

Un métier qui requiert technique... et stratégie

Car plus qu’un technicien spécialiste des infrastructures et des serveurs, le ou la responsable de la sécurité des systèmes d’information doit faire preuve de stratégie. Les dernières réglementations, en matière de RGPD notamment, poussent également à intégrer des compétences juridiques. Il faut comprendre le monde de l’administration, les rouages contractuels et budgétaires pour faire avancer les dossiers. C’est pourquoi certaines administrations emploient des responsables à double casquette à la fois chargé de la sécurité informatique comme de la protection des données.

Un poste nécessaire dont les élus « n’ont pas encore pris la mesure » déplore toutefois l’étude du Club de la sécurité de l’information français. Car les intrusions s’accroissent. Face aux cyberattaques et aux rancongiciels qui se multiplient, les services doivent pouvoir se mobiliser pour assurer l’intégrité du système. 80% des risques sont en effet liés au facteur humain. Les emails piégés et l’hameçonnage sont les principaux modes d’action utilisés pour leurrer les salariés et bloquer le système informatique des administrations. Pour l’éviter, il faut former les agents, leur apprendre à repérer les demandes frauduleuses, à ne pas ouvrir les emails suspects. Un travail qui entre aussi dans les compétences des responsable cyber sécurité.