Consultant GRC cybersécurité

La Gouvernance, gestion des Risques et Conformité (GRC) structure la stratégie cybersécurité d'une organisation. Le consultant GRC porte la dimension méthodologique, organisationnelle et réglementaire de la sécurité, complémentaire aux profils techniques.

Le métier en quelques mots

Le consultant GRC cybersécurité intervient sur :

• La définition de la stratégie sécurité et de la PSSI.
• La gestion des risques SI selon ISO 27005, EBIOS RM ou MEHARI.
• La mise en conformité aux référentiels ISO 27001, NIST CSF, NIS2, DORA, HDS.
• La rédaction et le maintien des politiques, procédures et standards sécurité.
• L'évaluation des tiers (TPRM) et des risques supply chain.
• Le pilotage du plan de continuité (PCA) et plan de reprise (PRA).

Compétences clés

• Maîtrise des normes ISO 27001, ISO 27002, ISO 27005, ISO 22301.
• Application du NIST CSF 2.0 (Govern, Identify, Protect, Detect, Respond, Recover).
• Conduite d'EBIOS Risk Manager (méthode ANSSI).
• Connaissance de COBIT 2019 pour la gouvernance IT.
• Cartographie et appréciation des risques (matrices, scénarios, KRI).
• Audit de third-party risk (questionnaires SIG, CAIQ).
• Pédagogie et communication transverse (DG, métiers, juridique, achats).

Certifications recommandées

• ISO 27001 Lead Implementer.
• ISO 27001 Lead Auditor.
• ISO 27005 Risk Manager.
• EBIOS Risk Manager (Club EBIOS).
• CISM (Certified Information Security Manager).
• CRISC (Certified in Risk and Information Systems Control).
• CISA (Certified Information Systems Auditor).
• COBIT 2019 Foundation / Design & Implementation.

Outils principaux

• Plateformes GRC : RSA Archer, ServiceNow GRC / IRM, MetricStream, OneTrust GRC, LogicGate, Drata, Vanta.
• Risk assessment : Egerie, Risk Manager (Bessé), TheGreenBow.
• Policy management : MyDocSafe, ConvergePoint, intégrations Confluence / SharePoint.
• TPRM : ProcessUnity, Prevalent, SecurityScorecard, BitSight.

Types de missions

• Mise en conformité NIS2 : sujet dominant chez les entités essentielles et importantes.
• Mise en conformité DORA pour le secteur financier (banques, assurances, gestionnaires d'actifs).
• Préparation à la certification ISO 27001.
• Analyse de risques EBIOS RM sur un projet critique.
• Programme TPRM : qualification d'une chaîne fournisseurs.
• PCA / PRA : élaboration, tests, mises à jour.
• Audit interne sécurité annuel.
• Sensibilisation et formation des équipes.

Évolution de carrière

1. Analyste GRC junior.
2. Consultant GRC confirmé (3-5 ans).
3. Senior GRC / Risk Manager (ISO 27001 LI/LA, EBIOS RM).
4. Responsable conformité sécurité / RSSI adjoint.
5. RSSI / CISO ou Chief Risk Officer.

Réglementation

Le consultant GRC suit en continu l'évolution de NIS2, DORA, Cyber Resilience Act, AI Act (volet gouvernance), RGPD et les obligations sectorielles : HDS en santé, SecNumCloud pour le cloud souverain, LPM pour les OIV.

En conclusion

Le GRC est la colonne vertébrale stratégique de la cybersécurité. Avec l'inflation réglementaire européenne et la pression assurance cyber, la demande pour des consultants seniors maîtrisant à la fois la méthode, la réglementation et le dialogue avec la direction est durablement forte.

Vous êtes consultant GRC cybersécurité et cherchez votre prochaine mission ? Rejoignez ForTeam IT.