Responsable de la Sécurité des Systèmes d'Information (RSSI)

Une journée type mélange stratégie, technique et relations humaines. Le RSSI rédige et fait vivre la politique de sécurité des systèmes d'information (PSSI) : les règles que tout le monde doit suivre dans l'organisation. Il mène des analyses de risques (souvent avec la méthode EBIOS Risk Manager de l'ANSSI) pour identifier ce qui pourrait mal tourner et à quel point ce serait grave. Il pilote des audits et des tests d'intrusion confiés à des prestataires, suit les vulnérabilités détectées et vérifie qu'elles sont corrigées.

Il passe aussi beaucoup de temps à sensibiliser les collaborateurs : campagnes de faux e-mails de phishing, formations, affiches, ateliers. Une grande partie des incidents vient d'une erreur humaine, pas d'une faille technique. Il supervise le SOC (le centre de surveillance qui détecte les attaques en temps réel), participe aux projets informatiques dès leur conception pour y intégrer la sécurité, et travaille avec le DPO sur la protection des données personnelles. Et quand un incident survient, c'est lui qui prend la tête de la cellule de crise : isoler les machines touchées, restaurer les systèmes, informer les autorités (ANSSI, CNIL) et la direction.

Le RSSI travaille principalement au bureau, devant des écrans, avec beaucoup de réunions — direction, équipes IT, métiers, prestataires, parfois auditeurs externes. Le télétravail partiel est courant dans ce métier, mais la présence sur site reste attendue pour les comités de direction et les situations sensibles. Les horaires sont globalement classiques, sauf en cas d'incident : une cyberattaque ne prévient pas et peut mobiliser jour, nuit et week-end. Des astreintes existent dans les grandes organisations et les secteurs critiques (banque, santé, énergie, opérateurs d'importance vitale).

L'effort physique est faible, mais la charge mentale est réelle : responsabilité forte, pression réglementaire, sentiment de ne jamais être totalement à l'abri. Les études du secteur pointent régulièrement le stress et le risque d'épuisement chez les RSSI. En contrepartie, c'est un poste reconnu, écouté au plus haut niveau et parmi les mieux rémunérés de l'informatique. On l'exerce en entreprise (banque, industrie, santé, distribution), dans la fonction publique et les collectivités, dans les ESN, ou en indépendant : de plus en plus de PME font appel à un RSSI à temps partagé.

On ne devient pas RSSI en sortant d'école : c'est un poste que l'on atteint généralement après 5 à 10 ans d'expérience en cybersécurité. Les parcours classiques passent par des métiers plus techniques — analyste SOC, pentester, ingénieur sécurité, administrateur systèmes et réseaux, consultant GRC (gouvernance, risques, conformité) — puis par un poste de RSSI adjoint ou de RSSI d'une filiale.

Une fois en poste, les évolutions sont nombreuses : élargir son périmètre (groupe international, secteur régulé), devenir DSI (directeur des systèmes d'information) ou directeur des risques, prendre un rôle de Group CISO. Beaucoup basculent aussi vers le conseil, l'audit ou la création de leur propre cabinet, ou deviennent formateurs et experts reconnus dans l'écosystème cyber. Le marché étant très tendu, la mobilité et les progressions salariales y sont plus rapides que dans le reste de l'informatique.