RSSI externalisé : comment l'IA comble le manque

Le (ISC)² estime à 3,5 millions le nombre de postes non pourvus en cybersécurité dans le monde en 2025. En France, l'ANSSI et le Campus Cyber constatent les mêmes tensions : les RSSI seniors se négocient entre 80 000 € et 130 000 € brut annuel, et les PME/ETI n'ont tout simplement pas ce budget. Résultat : la sécurité est gérée "en plus" par le DSI, l'admin sys, ou personne.

Le coût réel d'un RSSI interne

Posons les chiffres pour une PME française de 100-200 salariés :

• Salaire chargé RSSI : 100 000 € à 160 000 €/an (charges patronales incluses)

• Outils et licences : 30 000 € à 80 000 €/an (EDR, SIEM, vuln scanner, formations)

• Recrutement : 6-12 mois de recherche, 15-25 % du salaire en honoraires cabinet

• Rétention : durée moyenne en poste d'un RSSI : 26 mois (Heidrick & Struggles 2024). Le turnover est un coût structurel.

Total minimum : 150 000 à 240 000 €/an pour un seul profil qui, réalité oblige, ne peut pas être au four et au moulin 24/7.

Le RSSI externalisé (temps partagé)

Le modèle du RSSI externalisé existe depuis 10 ans. Le principe : un consultant senior partage son temps entre 3 à 6 clients. Il intervient 2 à 5 jours par mois, pilote la stratégie de sécurité, rédige les politiques, gère les audits et répond aux incidents majeurs.

Les avantages

• Coût maîtrisé : 2 000 à 6 000 €/mois selon le volume, soit 24 000 à 72 000 €/an

• Expertise senior : vous accédez à un profil 10-15 ans d'expérience que vous ne pourriez pas recruter

• Vision multi-client : le RSSI externalisé voit les menaces et les best practices de plusieurs secteurs

• Flexibilité : montée en charge possible lors d'un audit ou d'un incident

Les limites

• Disponibilité : à 3 jours/mois, votre RSSI n'est pas là quand l'incident arrive un vendredi soir

• Profondeur : il connaît votre stratégie, pas forcément l'anomalie sur le serveur 47 du rack B2

• Exécution : le RSSI externalisé pilote mais n'exécute pas. Qui applique les recommandations entre ses visites ?

• Scalabilité : le modèle humain ne scale pas. Le marché se tend, les bons profils sont sur-sollicités.

L'agent IA comme multiplicateur de force

L'idée n'est pas de remplacer le RSSI externalisé, c'est de le rendre 10 fois plus efficace. Voici comment ThreatClaw agit comme un multiplicateur :

• Surveillance 24/7 : l'agent ne dort pas, ne prend pas de vacances, ne partage pas son temps. Il surveille en continu pendant que le RSSI humain se concentre sur la stratégie.

• Triage automatisé : au lieu de recevoir 200 alertes à trier le jour de sa visite, le RSSI externalisé reçoit 5 incidents qualifiés, priorisés et documentés.

• Exécution entre les visites : les 57 skills tournent en continu, scans de vulnérabilités, vérification des configurations, audit de conformité. Le travail opérationnel avance même quand le RSSI n'est pas là.

• Mémoire institutionnelle : le RSSI externalisé change de client ou quitte le marché ? L'agent conserve toute l'historique, les baselines, les configurations et les rapports.

• Réponse immédiate : en mode Sentinelle ou Hybride, l'agent alerte le RSSI. En mode Autonome, il contient la menace sans attendre.

Le modèle combiné : RSSI externalisé + agent IA

En pratique, la combinaison la plus efficace ressemble à ceci :

• RSSI externalisé (2-4 jours/mois) : gouvernance, comité de sécurité, relation direction, gestion des risques stratégiques, pilotage des audits, conformité NIS2/RGPD

• ThreatClaw (24/7) : monitoring continu, détection comportementale, triage automatisé, scans de vulnérabilités, réponse aux incidents, génération de rapports

• Admin sys / DevOps interne : application des remédiations validées par le RSSI, maintenance des systèmes, escalade vers le RSSI pour les décisions

Coût total de ce modèle : 40 000 à 90 000 €/an selon le volume du RSSI externalisé et le plan ThreatClaw. Soit 2 à 4 fois moins qu'un RSSI interne, avec une couverture 24/7 que le RSSI interne ne fournit pas seul.

Les signaux d'alerte : quand votre modèle actuel ne suffit plus

Si vous reconnaissez l'un de ces signaux, il est temps de revoir votre approche :

• Votre DSI fait "aussi" la sécurité, et ça se voit dans les audits

• Vous n'avez pas de monitoring en temps réel sur votre infrastructure

• Le dernier scan de vulnérabilités date de plus de 3 mois

• Vous ne sauriez pas rédiger le rapport NIS2 Art.23 en 24h

• Votre plan de réponse aux incidents tient dans un email de 2019

• Vous avez des applications exposées sur Internet sans WAF ni scan régulier

La pénurie n'est pas un problème temporaire

Soyons réalistes : la pénurie de talents en cybersécurité ne va pas se résorber. Le volume de menaces augmente plus vite que le nombre de professionnels formés. Le modèle qui consiste à chercher un humain pour chaque tâche de sécurité est structurellement cassé. L'IA n'est pas un palliatif, c'est le nouveau modèle opérationnel.

Les organisations qui l'ont compris combinent l'expertise humaine (stratégie, gouvernance, décisions complexes) avec l'exécution machine (monitoring, détection, réponse opérationnelle). C'est exactement ce que ThreatClaw permet.

FAQ

Un agent IA peut-il remplacer un RSSI ?

Non. Un agent IA exécute des tâches opérationnelles : détection, triage, scan, réponse aux incidents. Le RSSI apporte la vision stratégique, la gestion des risques métier, la relation avec la direction et les régulateurs. Les deux sont complémentaires. L'agent libère le RSSI des tâches répétitives pour qu'il se concentre sur ce qui a de la valeur.

Combien coûte un RSSI externalisé en France ?

Le tarif varie selon l'expérience et le volume. Fourchette courante : 1 200 à 2 000 €/jour, avec un engagement de 2 à 5 jours/mois. Soit 2 400 à 10 000 €/mois. Certains cabinets proposent des forfaits mensuels incluant l'astreinte incident. Comparez avec les 150-240 K€/an d'un RSSI interne.

Mon admin sys peut-il gérer la sécurité avec ThreatClaw ?

Pour les tâches opérationnelles, oui. ThreatClaw automatise la détection, le triage et le reporting. Votre admin sys applique les remédiations. Mais la gouvernance (politiques, analyse de risques, conformité) nécessite une expertise RSSI, même externalisée. Un audit de sécurité initial est recommandé pour évaluer les besoins.

À partir de quelle taille faut-il un RSSI dédié ?

En règle générale, au-delà de 500 employés ou si vous êtes dans un secteur fortement régulé (santé, finance, énergie), un RSSI interne se justifie. En dessous, le modèle RSSI externalisé + agent IA offre un meilleur rapport couverture/coût. Le facteur décisif est souvent le volume de données sensibles et les obligations réglementaires, pas la taille seule.