Comment construire une roadmap cybersécurité sans RSSI ?

C’est exactement la situation vécue par le Groupe Roger Martin en mars 2020.

Entreprise familiale et indépendante du BTP fondée en 1895, le groupe a depuis engagé une transformation profonde de sa posture cybersécurité. Mais cette transformation ne s’est pas faite dans un contexte idéal. Elle s’est construite dans la contrainte, avec des ressources limitées, une organisation encore en structuration, et un environnement applicatif complexe.

Dans le cadre d’une conférence dédiée aux enjeux de transformation des directions informatiques, Upward a réuni plusieurs Directeurs et Directrices des Systèmes d’Information autour d’un thème central : « DSI sans RSSI : comment piloter efficacement la cybersécurité ? »

À cette occasion, Patrick Lasvigne, DSI du Groupe Roger Martin, a partagé un retour d’expérience particulièrement représentatif de la réalité des ETI françaises.

Ce qui ressort de ces échanges dépasse la seule dimension technique et met en évidence une évolution structurelle : la cybersécurité n’est plus uniquement une question d’outillage. Elle devient un sujet de gouvernance, d’organisation et de ressources humaines.

En avril 2021, le groupe crée pour la première fois un poste de DSI, directement en réponse à la cyberattaque de 2020. L’infrastructure de sécurité d’alors se résumait à un firewall open source et un antivirus. Pas de SOC, pas d’EDR, pas de PRA/PCA, pas de segmentation réseau…

« L’attaque n’a eu aucun impact business grâce au timing du confinement. Mais elle a déclenché une prise de conscience réelle. »

Lorsque le DSI arrive en 2021, il hérite d’un système d’information largement hétérogène et d’un socle de sécurité minimal. À ce moment-là, l’environnement repose encore sur des outils relativement basiques, sans SOC structuré, sans EDR généralisé et avec une approche de la sécurité encore fragmentée.

La question pour Patrick Lasvigne n’est pas de savoir quoi faire, mais dans quel ordre le faire.

L’un des premiers travaux du DSI consiste à transformer un ensemble de sujets dispersés en une feuille de route structurée. Rapidement, plus de 120 projets sont identifiés, dont une trentaine directement liés à la cybersécurité.

Mais cette roadmap n’a rien d’un modèle théorique. Elle est entièrement construite à partir de contraintes très concrètes en 2021 : un budget IT limité, une équipe de 7 personnes (15 en 2026) pour gérer 600 postes de travail (1 600 en 2026) et plus de 250 applications, et un système d’information hybride fortement marqué par le legacy.

Dans ce contexte, chaque décision devient un arbitrage. Il ne s’agit pas seulement de prioriser les risques, mais aussi de tenir compte de la capacité réelle de l’organisation à absorber le changement.

C’est ce qui conduit à une approche très pragmatique de la transformation, où l’objectif n’est pas de viser un modèle idéal, mais un modèle soutenable.

Un des enseignements les plus marquants des échanges entre DSI concerne l’écart entre les outils déployés et leur utilisation réelle.

Les exemples sont nombreux. Certaines organisations disposent de solutions de détection des vulnérabilités, mais n’ont pas la capacité de traiter les milliers d’alertes générées. D’autres ont investi dans des outils de sécurité ou de gestion des correctifs, sans parvenir à les exploiter pleinement faute de ressources disponibles.

Dans certains cas, des campagnes de sensibilisation révèlent plusieurs centaines de compromissions de mots de passe, sans qu’elles ne soient suivies de mesures organisationnelles fortes.

Ce décalage met en lumière une réalité simple : la maturité cybersécurité ne se mesure pas au nombre d’outils, mais à la capacité d’une organisation à les faire fonctionner sur le long terme.

Derrière ces difficultés opérationnelles se pose une question plus profonde : celle de la gouvernance.

Dans beaucoup d’entreprises, la cybersécurité repose encore principalement sur le DSI, en l’absence de RSSI dédié. Les expertises externes, lorsqu’elles existent, interviennent de manière ponctuelle, sans présence continue suffisante pour structurer une véritable dynamique de long terme.

Cette configuration crée un déséquilibre. La cybersécurité reste souvent perçue comme un sujet technique, alors qu’elle implique en réalité des arbitrages stratégiques qui devraient relever du plus haut niveau de l’entreprise.

Sans gouvernance forte, les initiatives existent, mais peinent à s’inscrire dans la durée.

Face à cette complexité, une tendance se renforce nettement : la recherche de simplification.  De plus en plus de DSI font le choix de réduire la dispersion technologique et de s’appuyer davantage sur des écosystèmes intégrés, notamment pour gagner en lisibilité et en capacité d’exploitation.

Cette logique n’est pas motivée uniquement par des considérations économiques, elle répond surtout à une contrainte opérationnelle. Dans des organisations où les ressources sont limitées, la complexité devient un facteur de risque en soi.

La question n’est donc plus seulement de choisir les meilleurs outils, mais de construire un environnement que l’équipe est réellement capable de piloter.

À ces enjeux structurels s’ajoutent désormais de nouveaux sujets qui accélèrent encore la pression sur les DSI.

L’intelligence artificielle, par exemple, est déjà largement utilisée dans les organisations, souvent en dehors de tout cadre défini. Dans certains cas, plusieurs centaines de collaborateurs y ont recours via des outils personnels, sans contrôle des flux de données.

Les environnements cloud hybrides continuent par ailleurs de complexifier la gestion des identités et des accès, notamment dans des configurations multi-entités ou partenaires.

Enfin, les réflexions autour de la cryptographie post-quantique commencent à émerger, même si elles restent encore éloignées des priorités opérationnelles immédiates.

Ces sujets s’ajoutent à des fondations qui ne sont pas toujours totalement stabilisées.

Au-delà du cas du Groupe Roger Martin, ce type de trajectoire est représentatif d’une large partie des ETI.

La transformation cybersécurité se construit progressivement, avec des moyens contraints, une forte dépendance à quelques individus clés et une difficulté récurrente à maintenir un haut niveau de gouvernance dans la durée.

Dans ce contexte, la capacité à recruter et structurer les bonnes compétences devient un facteur déterminant.

Ce retour d’expérience confirme une évolution de fond du marché.

Les entreprises ne sont plus uniquement confrontées à un problème de solutions technologiques. Elles font face à une difficulté beaucoup plus structurelle : attirer, structurer et fidéliser des profils capables de porter des fonctions cybersécurité dans des environnements contraints.

Les rôles de DSI, RSSI, architecte sécurité ou responsable infrastructure ne se limitent plus à une expertise technique. Ils impliquent désormais une forte dimension de pilotage, de priorisation et de communication avec les directions générales. Dans ce contexte, la différence ne se joue plus uniquement sur les outils déployés, mais sur la qualité des talents capables de les transformer en véritable capacité opérationnelle.

La maturité cyber est d’abord une question d’organisation humaine et non plus un simple sujet technique.