RSSI externalisé ou infogérance : quelle différence ?

On me pose souvent la question, et elle est légitime : « J’ai déjà un infogéreur, pourquoi aurais-je besoin d’un RSSI ? » Derrière cette interrogation se cache une confusion fréquente. Infogérance et RSSI externalisé ne sont pas deux façons de faire la même chose : ce sont deux métiers différents, qui se complètent. Voici comment je les distingue simplement.

L’infogérance : faire tourner le quotidien

L’infogéreur, c’est le prestataire qui exploite votre informatique au jour le jour. Concrètement, il gère :

• le support aux utilisateurs (le fameux « je n’arrive plus à me connecter »),
• l’administration des serveurs, du réseau, des postes de travail,
• les sauvegardes, les mises à jour, la disponibilité des services,
• le déploiement et la maintenance des outils.

Son métier, c’est l’exploitation : que ça fonctionne, que ce soit disponible, que les incidents soient traités vite. C’est un rôle opérationnel indispensable. Un bon infogéreur applique des bonnes pratiques de sécurité (correctifs, antivirus, droits d’accès), mais il agit dans le cadre qu’on lui donne. Il exécute, il maintient. Il n’a ni pour mission, ni pour position de décider de votre stratégie de sécurité.

Le RSSI externalisé : piloter la sécurité

Le RSSI (Responsable de la Sécurité des Systèmes d’Information) travaille à un autre niveau. Mon rôle n’est pas d’exploiter vos serveurs, mais de définir où vous allez et comment vous protéger. En pratique, je :

• identifie et hiérarchise vos risques (une démarche que je structure souvent avec une méthode comme EBIOS Risk Manager),
• définis la politique de sécurité et les règles qui en découlent,
• pilote la conformité (RGPD avec la CNIL, exigences NIS2, éventuellement une trajectoire vers ISO/IEC 27001),
• construis et teste la capacité à réagir en cas d’incident,
• sensibilise les équipes et la direction,
• et supervise les prestataires, dont l’infogéreur.

Ce dernier point est important : le RSSI ne remplace pas l’infogéreur, il l’oriente et le contrôle. Je m’assure que les mesures de sécurité attendues sont bien inscrites dans le contrat, réellement mises en œuvre, et vérifiées. Le RSSI raisonne en risque et en conformité ; l’infogéreur raisonne en service et en disponibilité.

Complémentaires, pas concurrents

La meilleure image que je connaisse est celle du bâtiment. L’infogéreur est l’équipe technique qui fait fonctionner l’immeuble : électricité, ascenseurs, entretien. Le RSSI est l’architecte et le responsable sécurité : il définit les plans, décide où placer les issues de secours, contrôle que les normes sont respectées et que les prestataires font correctement leur travail.

Vous avez besoin des deux. Sans exploitation solide, la stratégie reste théorique. Sans stratégie ni pilotage, l’exploitation avance sans cap, et personne ne porte réellement la responsabilité des risques ni de la conformité. Confier les deux au même acteur crée d’ailleurs un angle mort : difficile pour un prestataire de contrôler objectivement son propre travail. Le RSSI, par nature, apporte ce regard indépendant.

Pour qui, et à quel moment ?

Le RSSI externalisé s’adresse aux PME et ETI qui n’ont pas les moyens ou le besoin d’un poste à temps plein, mais pour qui la sécurité est devenue un enjeu réel. C’est particulièrement pertinent quand :

• vous manipulez des données sensibles ou personnelles et devez démontrer votre conformité,
• un client, un donneur d’ordre ou un assureur vous demande des garanties de sécurité,
• vous entrez dans le périmètre de NIS2 ou d’exigences sectorielles,
• vous avez déjà un infogéreur mais personne pour piloter la sécurité au-dessus et arbitrer les priorités,
• ou, plus simplement, un incident ou un audit vous a rappelé que le sujet ne pouvait plus attendre.

En résumé : l’infogéreur fait tourner votre informatique, le RSSI décide comment la protéger et vérifie que c’est bien fait. Les deux ensemble, chacun dans son rôle, forment un dispositif cohérent.

Si vous vous demandez lequel vous manque aujourd’hui, parlons-en : un échange suffit souvent à y voir clair.