Blog

Recruter un RSSI à temps plein représente un budget conséquent, souvent hors de portée pour une PME. L’externalisation permet d’accéder à cette expertise sans en supporter le coût fixe. Mais dans quels cas cela a-t-il vraiment du sens ?

Les signaux qui indiquent qu’il est temps d’agir

• Aucune personne désignée n’est aujourd’hui responsable de la sécurité de vos systèmes.
• Un client ou partenaire européen vous demande de justifier votre conformité RGPD.
• Votre activité grandit et le nombre d’outils, de prestataires et d’accès devient difficile à suivre.
• Vous n’avez jamais réalisé d’audit de sécurité formel de votre système d’information.

Ce que couvre un RSSI externalisé

Le rôle ne se limite pas à la technique. Un RSSI externalisé structure votre gouvernance sécurité : analyse des risques, rédaction ou mise à jour de la politique de sécurité du système d’information (PSSI), pilotage des audits, coordination en cas d’incident, et suivi de la mise en conformité réglementaire (RGPD, PDPA selon votre périmètre). Il produit régulièrement un état des lieux compréhensible pour votre direction, sans jargon inutile.

Pourquoi un format externalisé plutôt qu’un recrutement

Trois raisons reviennent le plus souvent chez nos interlocuteurs : un budget adapté au temps réellement nécessaire plutôt qu’à un temps plein, un regard indépendant sur les enjeux internes, et l’accès à une expertise à jour sur les menaces et les évolutions réglementaires sans avoir à la maintenir en interne.

Comment se passe une première mission

Chez Cybersiam, une première mission commence toujours par un audit de l’existant : systèmes, accès, prestataires, traitements de données. Ce diagnostic sert de base à une feuille de route priorisant les actions selon leur impact et leur urgence, avant toute mise en œuvre.

Une entreprise installée en Thaïlande qui travaille avec des clients, partenaires ou filiales en Europe se retrouve rarement soumise à un seul cadre réglementaire. Deux textes s’appliquent alors en parallèle : le RGPD européen et le PDPA thaïlandais. Voici les points de convergence et les différences à connaître.

Deux textes, une même logique de fond

Le RGPD (Règlement Général sur la Protection des Données, européen, en vigueur depuis 2018) et le PDPA (Personal Data Protection Act, thaïlandais, entré pleinement en application en 2022) reposent tous deux sur des principes proches : consentement ou base légale pour chaque traitement, information des personnes concernées, limitation de la durée de conservation, sécurisation des données et droits d’accès, de rectification et d’effacement pour les personnes concernées.

Le RGPD peut s’appliquer même si votre siège est en Thaïlande

C’est le point le plus souvent méconnu : le RGPD a une portée extraterritoriale (article 3 du règlement). Dès lors qu’une entreprise thaïlandaise traite les données personnelles de résidents européens, que ce soit pour leur proposer des biens ou services ou pour suivre leur comportement, le RGPD peut s’appliquer, indépendamment du lieu d’établissement de l’entreprise. Une société basée à Bangkok qui facture des clients français ou allemands ne peut donc pas ignorer le RGPD au seul motif qu’elle n’a pas de bureau en Europe.

Ce qui diffère entre les deux cadres

• Les autorités de contrôle et les procédures de sanction ne sont pas les mêmes (CNIL et homologues européens d’un côté, PDPC thaïlandaise de l’autre).
• Les délais de notification en cas de violation de données diffèrent selon le texte applicable.
• Les exigences documentaires (registre des traitements, analyses d’impact) ne sont pas formulées à l’identique, même si l’esprit est proche.

Notre approche

Plutôt que de traiter le RGPD et le PDPA comme deux chantiers séparés, Cybersiam construit une base de conformité commune (cartographie des traitements, mesures de sécurité, gestion des droits) qui couvre les exigences des deux textes, puis ajoute les points spécifiques à chacun. Cela évite de dupliquer le travail et de multiplier les interlocuteurs.