Coordinateur cybersécurité : coordonner la sécurité entre équipes, sites et métiers

Qu’est-ce qu’un coordinateur cybersécurité ?

C’est probablement le métier le moins bien compris de cette bibliothèque. On l’imagine souvent comme un poste administratif de suivi de tableaux, alors qu’il répond à un problème très concret : dans une organisation dispersée, une politique de sécurité décidée au centre ne s’applique pas d’elle-même sur le terrain.

Le coordinateur cybersécurité assure la cohérence et le suivi de la sécurité entre plusieurs équipes, entités, sites ou métiers. Il fait le lien entre un RSSI central qui définit, et des équipes locales qui doivent appliquer avec leurs contraintes propres.

Une politique de sécurité sans coordination produit deux choses : des entités conformes qui l’étaient déjà, et des entités en écart que personne n’identifie avant l’audit.

Le Panorama des métiers de la cybersécurité de l’ANSSI décrit ce profil sous l’intitulé « Coordinateur sécurité », dans la famille « Gestion de la sécurité et pilotage des projets de sécurité ». Il retient comme équivalent anglais Security coordinator et cite « relais cybersécurité » parmi les titres équivalents français — une formulation qui dit bien la nature du rôle.

Les appellations rencontrées

• Coordinateur sécurité
• Coordinateur cybersécurité
• Relais cybersécurité, dans la terminologie ANSSI
• Correspondant sécurité, pour les périmètres plus restreints
• Cybersecurity Coordinator
• Security Coordinator

Dans quel contexte ce poste existe-t-il ?

Le métier n’a de sens que lorsque la sécurité ne peut pas être pilotée depuis un point unique. On le rencontre donc dans des configurations bien identifiables.

1. Les grands groupes

   Un RSSI groupe définit une politique, mais les directions métiers et les fonctions support disposent de leur propre informatique, de leurs propres priorités et de leurs propres calendriers.

2. Les organisations multisites

   Usines, agences, établissements. Les contraintes locales sont réelles : un automate industriel ne se met pas à jour comme un poste bureautique.

3. Les groupes internationaux

   Réglementations différentes, cultures managériales différentes, maturité inégale selon les pays. La coordination devient un métier à part entière.

4. Les structures à filiales

   Chaque filiale a son propre responsable informatique, parfois son propre RSSI, et une autonomie qu’elle entend conserver.

Dans une organisation mono-site de 200 personnes, ce poste n’existe pas : le RSSI coordonne lui-même. Le besoin apparaît dès que le nombre d’interlocuteurs dépasse ce qu’une seule personne peut suivre en plus de ses autres responsabilités.

Ses missions

1. Décliner les politiques de sécurité

   Traduire une politique groupe en directives applicables sur un périmètre organisationnel ou technique donné. L’ANSSI cite explicitement cette participation à la déclinaison des politiques en directives de cybersécurité.

2. Appuyer les équipes opérationnelles

   Aider les équipes à prendre en compte les politiques de sécurité et les exigences réglementaires, en apportant un appui plutôt qu’en se contentant de rappeler la règle.

3. Suivre les plans d’actions

   Là où le métier se joue vraiment. Savoir quelles actions avancent, lesquelles sont bloquées, et pourquoi — la dernière question étant la plus importante.

4. Suivre vulnérabilités et remédiations

   Assurer le suivi de la gestion des vulnérabilités, des recommandations issues des audits et des contrôles de sécurité, et suivre les plans de remédiation jusqu’à leur clôture réelle.

5. Participer aux analyses de risques

   Contribuer aux analyses sur son périmètre et consolider les cartographies locales en une vue exploitable au niveau supérieur.

6. Animer le réseau des relais

   Faire vivre la communauté des correspondants sécurité : comités réguliers, partage de pratiques, diffusion des priorités, remontée des difficultés.

7. Mener des contrôles

   Réaliser des contrôles opérationnels ou permanents de sécurité sur son périmètre, ce qui distingue le coordinateur d’un simple animateur.

8. Produire des indicateurs

   Élaborer les indicateurs et tableaux de bord de sécurité de son périmètre, destinés au RSSI et aux instances de gouvernance.

9. Répondre aux sollicitations

   Être le point d’entrée sécurité des entités de l’organisation : questions, demandes de dérogation, arbitrages à faire remonter.

10. Participer à la sensibilisation

    Décliner localement les campagnes groupe et les adapter aux publics et aux contextes réels.

Cette liste reprend fidèlement les activités décrites par l’ANSSI pour ce profil. Ce qui n’y figure pas est tout aussi révélateur : le coordinateur ne configure pas, n’administre pas et ne décide pas seul.

Un cas concret : déployer l’authentification forte sur quinze filiales

Le RSSI groupe décide que l’authentification multifacteur devient obligatoire sur l’ensemble des accès distants. La décision tient en une phrase. Sa mise en œuvre occupe un coordinateur pendant des mois.

1. Identifier les interlocuteurs

   Qui est réellement décisionnaire dans chaque filiale ? Le responsable informatique local, le directeur général, un prestataire ? Cette cartographie n’existe presque jamais au départ.

2. Mesurer l’existant

   Combien d’utilisateurs, quelles solutions d’accès distant, quels annuaires, quel niveau de maturité ? Les réponses arrivent de façon hétérogène et parfois optimiste.

3. Consolider les contraintes

   Une filiale utilise une application métier incompatible. Une autre a un parc mobile non géré. Une troisième sort d’une fusion et n’a pas d’annuaire unifié. Ces contraintes sont réelles, pas des prétextes.

4. Construire une trajectoire différenciée

   Toutes les filiales ne peuvent pas suivre le même calendrier. Le coordinateur propose des vagues, avec des jalons adaptés, sans transformer l’exception en règle permanente.

5. Suivre le déploiement

   Relances, points réguliers, mesure de l’avancement réel plutôt que déclaré. La différence entre les deux est souvent instructive.

6. Remonter les écarts et les blocages

   Distinguer ce qui relève d’un manque de moyens, d’un blocage technique ou d’un refus politique. Seul le RSSI peut arbitrer le troisième cas, encore faut-il le lui dire clairement.

7. Organiser les comités

   Un point mensuel où les filiales avancées partagent leurs solutions avec celles qui butent. Souvent plus efficace qu’une relance directe.

8. Consolider les indicateurs

   Une vue groupe lisible : taux de couverture par entité, tendance, écarts persistants. C’est ce document qui déclenchera, ou non, un arbitrage de direction.

La compétence centrale apparaît ici : faire la différence entre une entité qui ne peut pas et une entité qui ne veut pas. Le traitement n’est pas du tout le même.

Coordinateur, RSSI, Manager GRC, chef de projet, consultant

1. RSSI

   Décide, arbitre, assume le niveau de risque. Le coordinateur lui fournit la vision terrain sur laquelle il s’appuie.

2. Coordinateur cybersécurité

   Décline, suit, anime, consolide, alerte. Fonction continue, transverse, sans autorité hiérarchique sur ses interlocuteurs.

3. Manager GRC

   Construit le dispositif : méthodes d’analyse de risques, politiques, démarche de conformité. Le coordinateur applique et fait appliquer ce cadre.

4. Chef de projet cybersécurité

   Pilote un projet borné dans le temps, avec des livrables. Le coordinateur travaille dans la durée, sans date de fin.

5. Consultant cybersécurité

   Intervient de l’extérieur sur une mission délimitée. Le coordinateur est interne, avec la mémoire et les relations que cela suppose.

Ces frontières se recouvrent en pratique. Un coordinateur pilote parfois un projet, contribue à une analyse de risques, prépare un audit. Ce qui reste constant, c’est sa position : entre le centre qui décide et le terrain qui applique.

Les qualités attendues

Ce métier convient à des profils particuliers. Il demande une forme de persévérance tranquille qui n’a rien à voir avec l’intensité des métiers de réponse à incident.

• Organisation : suivre des dizaines de sujets simultanément sans en perdre
• Ténacité : relancer, encore, sans se décourager ni devenir désagréable
• Diplomatie : obtenir la coopération de personnes qui ne dépendent pas de vous
• Écoute : comprendre la contrainte réelle derrière un refus apparent
• Synthèse : transformer des remontées hétérogènes en une vue lisible
• Clarté : produire des indicateurs compréhensibles et honnêtes
• Régularité : la valeur de ce poste se construit dans la durée, pas sur un coup d’éclat
• Curiosité technique : comprendre ce que l’on suit pour ne pas être un simple relais de tableaux

L’ANSSI cite d’ailleurs, parmi les compétences comportementales attendues pour ce profil, la capacité de travail en équipe et la pédagogie sur les sujets de cybersécurité — deux qualités qui résument bien la posture du poste.

Reconversion : une porte d’entrée accessible

Deux éléments rendent ce métier particulièrement accessible en reconversion. D’abord le niveau d’accès : l’ANSSI situe la formation attendue à Bac+3, l’un des seuils les plus ouverts de la filière. Ensuite la nature des compétences : organisation, suivi, animation et synthèse sont largement transférables.

Profils qui s’y reconvertissent bien

• Chefs de projet et PMO, habitués au suivi et à la relance
• Consultants, à l’aise avec la conduite d’entretiens et la synthèse
• Qualiticiens et responsables de processus
• Coordinateurs IT ou responsables de déploiement
• Administrateurs ayant développé des compétences de pilotage
• Assistants de direction ou chargés de mission ayant une appétence technique

Trajectoires fréquentes

Le point de vigilance est le même que pour les autres métiers de gouvernance : sans culture technique minimale, le coordinateur devient un relais de tableaux que les équipes techniques cessent rapidement de prendre au sérieux. Comprendre ce qu’est un compte à privilèges, une sauvegarde isolée ou une segmentation n’est pas optionnel.

Où exerce-t-on ce métier ?

Les secteurs où les entités disposent d’une forte autonomie historique — santé, collectivités, industrie issue de croissance externe — sont ceux où la coordination est à la fois la plus nécessaire et la plus difficile. Les exigences NIS2 ont considérablement renforcé ce besoin en imposant une vision consolidée du niveau de sécurité.

Avantages et contraintes du métier

• Niveau d’accès parmi les plus ouverts de la filière gouvernance
• Vision transversale réelle de l’organisation
• Reconversion accessible depuis des métiers de pilotage
• Peu d’astreintes et rythme prévisible
• Réseau professionnel interne très large
• Passerelles claires vers la GRC, le rôle de RSSI d’entité puis de RSSI

• Aucune autorité hiérarchique sur ceux dont dépend le résultat
• Progrès lents, parfois invisibles d’un trimestre à l’autre
• Risque d’être perçu comme un service central qui réclame des tableaux
• Position inconfortable entre les exigences du centre et les contraintes du terrain
• Déplacements fréquents selon le périmètre
• Métier encore mal identifié, donc parfois mal positionné dans l’organisation