On l’entend dans toutes les conférences : un RSSI resterait moins de trois ans en poste. Les études ne donnent pas toutes le même chiffre. Cybersecurity Ventures avance une fourchette de 18 à 26 mois, une enquête de Hitch Partners publiée en 2025 parle de 39 mois en moyenne. Le chiffre exact compte peu. Dans la plupart des organisations, la personne qui a choisi votre EDR, votre SIEM ou votre outil de gestion des vulnérabilités ne sera plus là au prochain renouvellement de contrat, ou à celui d’après.
Nikoloz Kokhreidze, du cabinet Mandos Cyber, a soulevé le problème dans un récent épisode du podcast CISO Series. Un nouveau responsable de la sécurité arrive, passe la pile d’outils en revue et ne garde que ce qui prouve son utilité de façon mesurable. Andy Ellis, co-animateur de l’émission et fondateur du cabinet Duha, en tire une exigence pour les éditeurs : démontrer leur valeur à intervalles réguliers et signaler eux-mêmes à leurs clients les fonctionnalités payantes qui ne servent pas. Inutile d’attendre qu’ils le fassent d’eux-mêmes. Vous pouvez l’exiger avant de signer.
Un outil choisi par une personne, renouvelé par une autre
En France, la situation est plus tendue encore dans les structures de taille moyenne : services de prévention et de santé au travail, établissements de santé, collectivités, associations. Le RSSI y est souvent mutualisé, à temps partiel ou externalisé. Quand il part, il emporte les raisons de ses choix : pourquoi ce module plutôt qu’un autre, quelle règle de détection a été ajustée, quelle alerte a été volontairement mise en sourdine. Son successeur retrouve des contrats et des factures, rarement le raisonnement.
Deux réflexes apparaissent alors. Le premier consiste à tout garder par prudence, et la facture grossit d’année en année. Le second consiste à couper ce que personne ne sait plus justifier. Il est plus dangereux : on retire parfois un outil sans savoir quelle menace il couvrait.
Ce qu’il faut obtenir de l’éditeur avant le renouvellement
Un éditeur sérieux dispose de ces informations, puisque sa console les collecte. Demandez-les par écrit, quelques semaines avant l’échéance :
- le taux d’usage réel des licences : postes équipés, comptes actifs, volume analysé, comparés à ce que vous payez ;
- la liste des fonctionnalités incluses dans votre contrat qui ne sont ni activées ni configurées ;
- ce que l’outil a détecté, bloqué ou corrigé sur la période, avec des chiffres que vous pouvez vérifier dans vos propres journaux ;
- les intégrations réellement en service avec le reste de votre système d’information ;
- les conditions de sortie : export des configurations et des journaux, formats, délais, coût.
Un refus ou une réponse floue est aussi une réponse. Un fournisseur incapable de montrer ce que son produit fait chez vous vous demande de payer sur parole.
Le lien avec le RGPD, souvent oublié
Les outils de sécurité traitent beaucoup de données personnelles : journaux de connexion, identifiants, historiques de navigation, contenu des courriels analysés contre l’hameçonnage. Dès que l’éditeur héberge ces données ou y accède pour votre compte, il agit comme sous-traitant au sens de l’article 28 du RGPD. Le contrat doit le prévoir, l’outil doit figurer dans votre registre et la localisation des données doit être connue, en particulier lorsque l’analyse passe par un cloud situé hors de l’Union européenne.
L’article 32 va plus loin. Il demande une procédure pour tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Le rapport d’usage fourni par l’éditeur alimente directement cette évaluation. Garder un outil dont personne ne mesure l’effet, ou le supprimer sans trace écrite, laisse un trou dans la documentation que vous devez pouvoir présenter au titre du principe de responsabilité. Pour les entités concernées par la directive NIS2, la question remonte jusqu’aux organes de direction, chargés d’approuver les mesures de gestion des risques, y compris celles qui portent sur la chaîne d’approvisionnement.
Dans beaucoup de structures, le DPO reste en place quand le RSSI change. Le registre des traitements, la liste des sous-traitants et les audits de ces sous-traitants deviennent alors la mémoire des choix de sécurité. À condition que ces documents décrivent l’outil, le risque qu’il traite et la date de sa dernière évaluation.
Garder la trace des choix pour le successeur
Une fiche courte par outil suffit. Elle indique le besoin couvert, le risque traité, la date et le motif du choix, la personne qui l’a validé, les indicateurs suivis et la date de la prochaine revue. Rattachée au registre et à la fiche du sous-traitant, elle survit au départ de son auteur.
Prévoyez ensuite une revue annuelle quelques semaines avant chaque échéance contractuelle, avec le RSSI, le DPO et la direction financière. Au moment de négocier le contrat suivant, ajoutez une clause qui oblige l’éditeur à fournir un rapport d’usage trimestriel et la liste des fonctions non exploitées. Le prochain RSSI trouvera un dossier lisible au lieu d’une pile de factures.
DPO SUITE rassemble l’inventaire des logiciels, la liste des sous-traitants, leurs audits et leur rattachement aux traitements du registre. Quand le RSSI change, l’historique reste disponible. Les DPO du réseau DPO FRANCE accompagnent la revue de vos contrats de sécurité sous l’angle RGPD.Être rappelé par un DPO
Questions fréquentes
Un éditeur d’outil de sécurité est-il un sous-traitant au sens du RGPD ?
Que faire si l’éditeur refuse de fournir un rapport d’usage ?
Faut-il associer le DPO à la revue des outils de sécurité ?
Sources : Cybersecurity Ventures, rapport sur les effectifs et la rotation des RSSI ; enquête Hitch Partners (2025) ; podcast CISO Series, épisode avec Nikoloz Kokhreidze (Mandos Cyber) et Andy Ellis (Duha).