Présentation du métier

Contexte de travail

Conditions de travail

Compétences et niveaux attendus

Certifications

Proximité(s)/évolution(s) envisageables

Tendances nationales sur le métier

Pour en savoir plus

DATA PROTECTION OFFICER / DIRECTRICE DES SYSTÈMES D'INFORMATION

Famille : Architecture et conception de la solution

Autres appellations en français

Directeur du service informatique
Responsable de département informatique
DSI

Autres appellations en anglais

Information System director / manager
Chief Information Officer
Information Technology (IT systems) director

Tout déplier / tout replier

Présentation du métier : Data Protection Officer

Finalité du métier

Le Data Protection Officer analyse, définit et garantit la sécurité des systèmes informatiques d'une structure pour que le client puisse interagir en toute sécurité avec l’ensemble de son environnement et se protéger des actions malveillantes.

Missions principales

Expertiser le projet :
En amont du démarrage projet, Le Data Protection Officer intervient comme expert métier sur les processus de l'entreprise sur des questions de sécurité. Il aide et conseille les entreprises à assurer la sécurité de leurs données et de leurs systèmes. Il assure le contrôle permanent de l'activité et définit les exigences de sécurité associées. Il définit la politique de gestion des risques de l'information dans l'entreprise, du déploiement et de l'animation du dispositif de gestion des risques.

Piloter les équipes et sécuriser le projet :
Il est le pilote de la gouvernance de la sécurité de l'information au sein de l'entreprise et dans l'entreprise élargie et du dispositif de sécurité (normes, outils, suivi des incidents, audits...)
Il définit la politique de sécurité de l'information, identifie les risques et pilote le plan de traitement des risques et les mesures de sécurité associées. Il définit et adapte la politique de Sécurité des Systèmes d’Information et la prévention des intrusions dans les systèmes d’informations de l’entreprise. Il communique et forme le personnel pour sensibiliser l'ensemble de l'entreprise aux questions de sécurité de l'information.

Gérer l'interface auprès de l'ensemble des intervenants projet :
En phase de vie du projet, il assure l’interface avec les institutionnels (Agence Nationale de Sécurité des Systèmes d’Information, Computer Emergency Response Team, etc.). Il contribue à l’interopérabilité des moyens de sécurité logiques et physiques. Il pilote la protection de l’ensemble des informations de l’entreprise et la gestion de crises SSI. Il fait remonter les incidents et propose les mesures correctives. Il assure le respect des droits sur la protection des données personnelles.

Contexte de travail

Variables spécifiques au métier

Expertise(s) métier(s) ou technique(s) :
En lien avec la taille et le positionnement de l'organisation, le niveau d'expertise métier et/ou technique a une importance dans ses missions et projets ainsi que l'évolution de la règlementation Européenne et internationale.

Niveau de technologies :
Le développement des technologies sur les marchés du numérique influe sur ce métier qui doit arbitrer les choix technologiques nécessaires à sa compétitivité et s'adapter et évoluer pour proposer des services et produits adaptés aux dernières règlementations et changements technologiques.

Technologies mobilisées :
Les technologies et méthodologies sont différentes selon les besoins du client, mais aussi la population cible. Il mobilise fréquemment des solutions existantes, qu'il adapte et complète par des briques qu'il conçoit ou implémente afin d'assurer le niveau de sécurité le plus adapté.

Culture client en lien avec la technologie :
Selon la maturité des acteurs impliqués dans le projet de transformation, il doit mener un travail variable sur la culture des acteurs clients autour de la technologie et de ses impacts métiers/organisationnels.

Culture de la protection des données, réglementaire et normative :
Selon les enjeux que revêtent les données dans son périmètre de gestion, il participe à la politique de protection des données qu'elles comportent, à la conformité réglementaire de l'entreprise (ex : RGPD) et normative (ex : process conformes ISO 27001)

Contextes organisationnels

Type et taille d'entreprise :
En tant qu'indépendant ou TPE/PME, il intervient majoritairement sur des projets clients pour des missions de conseil et préconisation de courte/moyenne durée, ponctuelles comprenant une part de maintenance et des évolutions. Dans une grande Entreprise, il apporte son expertise lors de projet de développement sur mesure et également en interne. Il est ici focalisé sur son périmètre de projet, souvent de plus grande taille. Le besoin d'expertise métier y est équivalent dans une structure moyenne ou grande.

Type et taille de projet :
Selon la taille de l'entreprise, son organisation et l'importance des systèmes d'information, l'activité informatique peut être externalisée. Par ailleurs, l'équipe à encadrer est plus ou moins grande, il peut être amené à manager un ou plusieurs chef(s)de projet et des équipes projet de différentes tailles.
Son périmètre :
- Temporel, se réalise sur des actions de court, moyen et long terme.
- Technique, porte sur la prévention et la protection des Systèmes d’Information utilisés par l’entreprise ou le client
- D'entreprise, est global au fonctionnement et process internes et comprend également les parties prenantes externes.

Conditions de travail

Le rythme de travail

Son rythme de travail comprendra des astreintes régulières avec des hausses de charge de travail en période de lancement et d'intrusions ou risques potentiels.

Déplacements

Le Data Protection Officer sera en sédentaire au siège groupe ou entité et se déplacera en France et/ou à l'international en fonction de sa structure et de ses clients.

Les relations professionnelles

Relations internes

Analyste SOC
Pentesteur
Analyste de la menace
Architecte technique
Data protection officer
Administrateur systèmes, réseaux et sécurité

Relations externes

Client
Editeurs de logiciels de sécurité
Tous les acteurs de sa strucutre ou de la structure du client

Compétences et niveaux attendus en 4 niveaux cumulés

Macro compétences

Niveaux et compétences attendues

Exemple concret d'activité pour le niveau attendu

Macro compétences :

Gérer une architecture fonctionnelle SI

Niveaux et compétences attendues :

Analyser les besoins d'architecture fonctionnelle du SI (flux d'informations, destinataires des applications etc.) et leurs impacts

Concevoir la cartographie fonctionnelle du SI

Anticiper les besoins d'intégration et de développement

Piloter l'implémentation dans le SI et être référent de l'équipe de développement

Niveau attendu : 1

Exemple concret d'activité pour le niveau attendu :

Le Data Protection Officer contribue à la cartographie des informations, de leur portée et des risques afférents.

Macro compétences :

Gérer les risques de Cybersécurité

Niveaux et compétences attendues :

Mettre à jour le référentiel des risques et analyser les vulnérabilités

Rédiger l’ensemble des documents du référentiel (politiques, procédures, normes…)

Définir une politique de gestion et sécurisation des données

Intégrer la cybersécurité à une politique de gestion globale des risques

Niveau attendu : 2

Exemple concret d'activité pour le niveau attendu :

Il reporte et analyse les incidents ou préincidents d’intrusions

Macro compétences :

Analyser et gérer les risques

Niveaux et compétences attendues :

Actualiser le référentiel des risques et analyser leurs impacts potentiels

Rédiger un plan de gestion des risques selon les objectifs et le contexte

Piloter l'ensemble des ressources face aux risques

Donner du sens aux mesures et accompagner les acteurs internes/externes impliqués

Niveau attendu : 4

Exemple concret d'activité pour le niveau attendu :

Il analyse et préconise des éléments de la politique et des process de Sécurité des Systèmes d’Information

Macro compétences :

Mener et exploiter une analyse stratégique

Niveaux et compétences attendues :

Identifier les éléments différenciants et facteurs clés de succès d'une organisation

Interpréter et rédiger les résultats d'une analyse stratégique

Définir plusieurs options stratégiques, projeter leurs conséquences selon le contexte

Piloter une transformation stratégique sur la durée

Niveau attendu : 3

Exemple concret d'activité pour le niveau attendu :

Il participe à l'analyse du volet Sécurité des Systèmes d’Information dans le cadre d’une gestion de crise

Macro compétences :

Utiliser l'anglais en contexte professionnel

Niveaux et compétences attendues :

Utiliser de la documentation technique en anglais

Converser en anglais professionnel courant et écrire en anglais les livrables simples, notes, e-mails

Délivrer et soutenir des livrables ou propositions complexes

Diriger des débats techniques et un projet en anglais

Niveau attendu : 2

Exemple concret d'activité pour le niveau attendu :

Il travaille en anglais pour les communications clients, les veilles règlementaires et les documents techniques

Macro compétences :

Faciliter les projets et transformations

Niveaux et compétences attendues :

Décrypter les objectifs du projet et de ses acteurs, les points de convergences et de divergences

Adapter les messages, les modalités de communication et proposer une organisation pertinente

Anticiper les points de difficultés avec les acteurs projet et réguler les relations selon le contexte

Faire converger les acteurs autour de la finalité du projet et mettre en valeur les avancées

Niveau attendu : 2

Exemple concret d'activité pour le niveau attendu :

Il pilote et anime les projets de transformation afin de garantir l'adhésion du plus grand nombre

Macro compétences :

Mener un audit ou test de conformité

Niveaux et compétences attendues :

Identifier les normes, procédures d'audit ou de test applicables

Adapter le déroulement de l'audit aux processus métiers de l'entreprise et rédiger un rapport

Synthétiser des préconisations au regard des écarts de conformité

Superviser un ensemble d'audits ou de tests de conformité

Niveau attendu : 4

Exemple concret d'activité pour le niveau attendu :

Il conçoit et coordonne les diagnostics et audits de conformité et de vulnérabilités

Macro compétences :

Manager la connaissance

Niveaux et compétences attendues :

Identifier et catégoriser les connaissances à transmettre

Concevoir une architecture de classification des connaissances exploitable selon les usages

Piloter l'intégration de la connaissance dans les processus métiers

Valoriser et pérenniser les connaissances au sein d'une organisation

Niveau attendu : 2

Exemple concret d'activité pour le niveau attendu :

Il développe et maintient une base de connaissance des évolutions

Macro compétences :

Communiquer efficacement

Niveaux et compétences attendues :

Ecouter activement et partager une information pertinente

Adapter et rédiger un support de communication aux objectifs et au contexte

Synthétiser une présentation adaptée à l'objectif et au public cible

Coordonner une communication d'organisation en situation complexe (ex : message sensible, public difficile, situation imprévue…)

Niveau attendu : 3

Exemple concret d'activité pour le niveau attendu :

Il sensibilise et accompagne l’ensemble des utilisateurs aux obligations et bonnes pratiques

Macro compétences :

Innover et animer un processus d'innovation

Niveaux et compétences attendues :

Analyser le besoin et participer à la recherche d’idées et de solutions innovantes

Adapter des solutions déjà éprouvées à des contextes de mêmes caractéristiques

Piloter le déploiement de solutions innovantes (pilote, déploiement etc.)

Donner du sens à l'innovation et coordonner les acteurs internes/externes impactés

Niveau attendu : 3

Exemple concret d'activité pour le niveau attendu :

Dans la phase d'analyse d'une problématique client, il intègre des solutions existantes qu'il adapte et améliore afin de répondre au besoin spécifique et d'optimiser les performances

Macro compétences :

Gérer un projet

Niveaux et compétences attendues :

Suivre les étapes, délais et coûts d'un projet et analyser les écarts par rapport à la demande

Adapter et optimiser les caractéristiques d'un projet selon les évolutions d'objectifs et de contexte

Piloter une ou plusieurs phases et équipes projets

Coordonner plusieurs projets stratégiques et développer les relais de gestion de projet

Niveau attendu : 3

Exemple concret d'activité pour le niveau attendu :

Il définit et pilote des prestations d’expertise technique ponctuelles ou récurrentes