Combien coûte un RSSI virtuel au Canada?

Comment se structure le prix d'un RSSI virtuel

Posez la question à trois fournisseurs et vous recevrez trois variantes de « ça dépend ». La réponse est honnête, mais elle ne vous aide pas à budgéter. Ce qui aide, c'est de savoir de quoi le prix dépend exactement, comment le marché le structure, et quelles questions font tomber une soumission faible. C'est ce qu'on couvre ici. Sans chiffre, par contre : un prix honnête n'existe qu'après cadrage, et un fournisseur qui vous en lance un avant cette conversation-là ne fait que deviner.

Au Canada, la plupart des mandats de RSSI virtuel se vendent en abonnement mensuel : un niveau d'effort convenu chaque mois, pour un tarif forfaitaire fixé d'avance. Le modèle colle à la nature du travail. Le leadership en sécurité n'est pas un projet avec une date de fin; les questionnaires d'assureurs, les rapports au conseil et les obligations de la Loi 25 continuent d'arriver, que quelqu'un s'en occupe ou non. Pour un propriétaire d'entreprise, l'avantage est la prévisibilité : vous savez ce que la sécurité coûte ce trimestre-ci et le prochain. Certaines firmes, la nôtre comprise, travaillent aussi à la carte pour les organisations qui veulent des conseils de haut niveau sans engagement récurrent, et un effort défini, comme passer un audit précis, se tarife parfois comme un projet distinct, à forfait.

Ce qu'il ne faut pas attendre, c'est une grille de prix publique. Le même titre recouvre des charges de travail très différentes; un fournisseur sérieux cadre donc votre situation avant de s'engager sur un chiffre. Notre façon de faire : définir la portée avec vous, puis remettre un tarif forfaitaire mensuel, sans compteur horaire qui tourne en arrière-plan.

Ce qui fait monter ou baisser la facture

Quatre facteurs pèsent plus que tout le reste. Le premier : les heures par mois — la quantité de leadership que vous achetez, au fond. Une organisation qui a besoin d'une feuille de route, de rapports trimestriels et de quelqu'un pour répondre aux assureurs demande moins d'heures qu'une autre qui mène un programme de conformité complet avec une date butoir.

Le deuxième : la portée de la conformité. La préparation à l'assurance cyber est un mandat plus léger qu'un programme complet Loi 25, SOC 2 ou ISO 27001, qui traîne avec lui politiques, preuves, préparation aux audits et devoirs du responsable de la protection des renseignements personnels. Le troisième : la taille et la complexité de votre environnement, soit les systèmes, les emplacements et les services infonuagiques que le RSSI virtuel doit comprendre et dont il répond. Le quatrième : vos échéances. Un audit ou un renouvellement d'assurance dans quelques mois comprime le même travail dans moins de temps, donc plus d'heures au départ.

Quand les soumissions arrivent, ramenez chaque prix à ces quatre facteurs avant de comparer. Un abonnement pas cher qui suppose très peu d'heures n'est pas une aubaine; c'est un petit mandat. La vraie question n'est pas de savoir quel chiffre est le plus bas, mais quel mandat couvre réellement vos obligations.

Le rythme d'un mandat, mois après mois

La plupart des mandats sont plus chargés au départ. Les premiers mois servent à comprendre où vous en êtes, à établir la feuille de route et à poser les bases de la gouvernance : politiques, plan de réponse aux incidents, prise en charge de la relation avec l'assureur. C'est là que le RSSI virtuel gagne le droit de décider pour votre environnement; normal que cette étape demande plus d'attention que la suite. Certains fournisseurs tarifent ce démarrage à part, d'autres le fondent dans l'abonnement. Les deux se défendent, mais sachez lequel vous signez.

Ensuite, le travail s'installe dans une cadence mensuelle régulière : revue des priorités, mise à jour des preuves, questionnaires de clients et d'assureurs au fur et à mesure, rapports à la direction en langage d'affaires. Le rythme devrait s'ajuster à mesure que votre programme mûrit — les heures peuvent redescendre une fois les fondations en place — et le tarif devrait pouvoir suivre. Demandez à tout fournisseur comment il gère cette courbe. Un abonnement qui ne fait que grossir, ça vous dit pour qui il a été conçu.

Le comparatif que tout le monde fait : l'embauche à temps plein

Le point de référence, c'est le RSSI à temps plein, et la comparaison mérite d'être faite correctement. La rémunération du poste dépasse aisément les six chiffres — un coût que la plupart des PME ne peuvent ni justifier ni combler dans un marché de talents très serré. Prévoir le budget ne fait pas apparaître le candidat.

Un RSSI virtuel offre le même niveau de leadership, à temps partiel : la stratégie, la responsabilité, la personne qui répond de votre posture devant le conseil, l'auditeur et l'assureur, pour une fraction du coût du poste à temps plein. La mise en garde honnête va dans l'autre sens. Si votre organisation est assez grande, réglementée ou complexe pour occuper un cadre en sécurité cinq jours par semaine, vous avez dépassé le modèle à temps partagé et vous devriez embaucher. La plupart des PME en sont loin.

Quand un RSSI virtuel, c'est trop

Tout le monde n'en a pas besoin, et ça ne nous coûte rien de le dire. Si votre organisation est petite, que votre environnement est simple et que personne — ni assureur, ni client, ni autorité de réglementation — n'exige de preuve continue de gouvernance, un abonnement permanent vous procure plus de leadership que vous n'avez de décisions à prendre.

Dans ce cas, une évaluation de cybersécurité ponctuelle est généralement le meilleur achat : un portrait honnête de votre posture et un plan priorisé, en langage clair, que votre fournisseur TI actuel peut exécuter. Refaites l'exercice une fois par année, ou après un changement majeur comme une migration infonuagique ou un nouveau système central, et l'essentiel est couvert, sans engagement mensuel.

Les signes que vous avez changé de catégorie sont précis : un assureur qui pose des conditions à votre renouvellement, des clients qui envoient des questionnaires de sécurité avant de signer, des obligations de la Loi 25 qui atterrissent sur un bureau sans preneur, ou un conseil qui pose des questions auxquelles personne à l'interne ne sait répondre. À partir de là, la question n'est plus s'il vous faut une direction sécurité, mais combien d'heures.

Comparer les soumissions, pommes avec pommes

Une fois les propositions en main, le prix est la ligne la moins parlante de la page. Deux abonnements au même tarif mensuel peuvent décrire des mandats complètement différents. Posez les mêmes questions à chaque fournisseur et comparez plutôt les réponses.

Qui fait réellement le travail : la personne d'expérience rencontrée pendant les discussions de vente, ou une équipe d'analystes que vous n'avez jamais vue? Combien d'heures l'abonnement suppose-t-il, et que se passe-t-il quand un audit ou un incident fait grimper la charge? Qu'est-ce qui est compris dans le tarif — rapports au conseil, rédaction de politiques, questionnaires d'assureurs — et qu'est-ce qui se facture en plus? Le fournisseur peut-il mener la Loi 25 et la LPRPDE dans un même programme, et livrer en français si votre conseil travaille en français? Le tarif est-il forfaitaire après cadrage, ou une entente à l'heure dont le vrai coût ne se révèle que plus tard?

En toute transparence, voici nos réponses : une firme dirigée par son fondateur, donc l'architecte qui cadre le mandat est celui qui fait le travail; une portée définie d'abord, puis un tarif forfaitaire mensuel sans surprise; une livraison bilingue, avec la conformité québécoise comme point de départ plutôt que comme option. Peu importe le fournisseur que vous choisirez, faites-lui passer la même liste.

Pour le détail du rôle et de ses livrables, voyez notre service de RSSI virtuel. Et si vous êtes de la région, notre RSSI virtuel en Outaouais se rencontre en personne, des deux côtés de la rivière.