# MSP, MSSP, vCISO ou ressource interne : qui gère la sécurité ?

Source : https://cybercaribou.com/comparatifs/msp-mssp-vciso-ressource-interne · Cyber Caribou

> MSP, MSSP, vCISO ou employé interne : rôles, surveillance 24/7, indépendance et modèles de coûts comparés pour décider qui gère la cybersécurité de votre PME.

Dans bien des PME québécoises, la question « qui s'occupe de la cybersécurité ? » reçoit une réponse floue : « notre gars de TI », « notre fournisseur », « on a un antivirus ». Ce n'est pas un reproche. Selon un sondage KPMG de 2023, 65 % des PME québécoises n'ont pas le personnel qualifié pour gérer le risque cyber.

Quatre modèles s'offrent à vous : le fournisseur de services TI gérés (MSP), le fournisseur de services de sécurité gérés (MSSP), le RSSI virtuel (vCISO) et la ressource interne. Ils ne font pas le même travail, et la plupart des PME finissent par en combiner deux.

- Nous comparons des modèles d'organisation, pas des fournisseurs. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, de la CISA, du NCSC britannique et du NIST, consultées en octobre 2026.
- Critères retenus : rôle, surveillance 24/7, correctifs, gouvernance, accès privilégié, indépendance, imputabilité, exigences contractuelles et continuité.
- Les modèles de coûts sont décrits de façon qualitative : les tarifs varient trop selon la taille et la portée pour publier des chiffres fiables.
- Ce comparatif n'est pas commandité.

## Quatre rôles, pas quatre versions du même service

Le **MSP** fait tourner votre TI : il installe les correctifs, gère les comptes, surveille les sauvegardes et répond aux appels. La sécurité fait partie de son travail dans la mesure où le contrat le prévoit.

Le **MSSP**, ou le service MDR, surveille. Le NCSC britannique décrit le rôle d'un centre des opérations de sécurité comme celui de limiter les dégâts en détectant et en contrant les attaques qui ont réussi à contourner les protections préventives. C'est le service qui réagit à 3 h du matin.

Le **vCISO** gouverne. Le Centre canadien pour la cybersécurité recommande que chaque organisation désigne une personne en position de direction précisément responsable de la sécurité des TI. Le vCISO ne remplace pas cette personne : il l'outille, établit les priorités, rédige les politiques et vérifie que le plan avance.

La **ressource interne** connaît l'entreprise mieux que quiconque. Sa limite est mathématique : une personne ne couvre ni les nuits, ni les fins de semaine, ni ses propres vacances.

## Ce que l'impartition ne transfère pas

Impartir le travail ne transfère pas la responsabilité. Le Centre canadien pour la cybersécurité est explicite : l'organisation reste imputable de la réponse aux incidents, même quand le fournisseur en exécute une partie. Il recommande aussi de préciser dans l'entente de service les délais de réponse, les moyens de communication et le processus d'escalade.

Le fournisseur lui-même est un risque. Les MSP sont des cibles de choix parce que leur accès privilégié ouvre la porte de nombreux clients à la fois. Un avis de la CISA et de ses partenaires, dont le Centre canadien, recommande d'exiger par contrat l'authentification multifacteur sur tous les comptes du fournisseur, la conservation des journaux importants pendant au moins six mois et la désactivation de ses accès à la fin du contrat. Notre article sur la façon d'[évaluer la sécurité de son fournisseur TI](https://cybercaribou.com/blogue/evaluer-securite-fournisseur-ti) propose les questions à poser.

Enfin, sous la Loi 25, le [responsable de la protection des renseignements personnels](https://cybercaribou.com/blogue/responsable-protection-renseignements-personnels-securite) est par défaut la personne ayant la plus haute autorité dans l'entreprise. Aucun fournisseur ne porte ce rôle à votre place sans délégation écrite ; validez ces choix avec votre conseiller juridique.

## L'indépendance, angle mort fréquent

Quand le même fournisseur configure vos systèmes, les surveille et vous dit que tout va bien, personne ne vérifie son travail. Ce n'est pas une question d'honnêteté : il est difficile d'évaluer objectivement ce qu'on a soi-même mis en place. Un vCISO distinct du MSP, ou un audit indépendant périodique, comble cet angle mort.

## Les combinaisons les plus courantes

- **MSP seul, avec un audit périodique** : le point de départ des petites entreprises.
- **MSP et MSSP** : l'exploitation le jour, la surveillance en continu.
- **MSP et vCISO** : quand des clients, un assureur ou un programme comme la CPCSC posent des exigences précises.
- **Ressource interne et MSSP** : l'employé garde la main sur les systèmes, le MSSP couvre les heures où il n'est pas là.

Quelle que soit la combinaison, votre [plan de réponse aux incidents](https://cybercaribou.com/blogue/plan-reponse-incidents-pme-modele) doit dire qui appelle qui, et qui a le droit d'isoler un poste ou de couper un accès.

## Comment choisir

Répondez honnêtement à quatre questions :

1. **Qui applique les correctifs aujourd'hui, et dans quel délai ?** Si personne ne peut répondre, commencez par un MSP ou une ressource interne.
2. **Qui verrait une alerte à 3 h le dimanche ?** Si la réponse est « personne », un MSSP ou un service MDR s'impose.
3. **Qui répond aux questionnaires des assureurs et des clients ?** Si c'est la direction, seule et sans appui, un vCISO allège la charge.
4. **Qui vérifie le travail du fournisseur ?** Si personne, prévoyez un regard indépendant.

Notre service d'[accompagnement continu](https://cybercaribou.com/services/accompagnement-continu) joue le rôle de vCISO pour les PME, en collaboration avec leur fournisseur TI actuel.

## FAQ

**Mon fournisseur TI s'occupe-t-il automatiquement de la cybersécurité ?**
Pas forcément. Certains contrats couvrent le soutien et l'entretien, sans surveillance des alertes, sans test des sauvegardes et sans plan de réponse. Relisez le vôtre et demandez par écrit ce qui est inclus. La CISA recommande que le contrat précise qui, du fournisseur ou du client, est responsable du durcissement, de la détection et de la réponse aux incidents.

**Quelle est la différence entre un MSSP et un service MDR ?**
Les termes se chevauchent. Un MSSP offre en général des services de sécurité gérés variés, comme la gestion de pare-feu ou la surveillance de journaux. Un service MDR (détection et réponse gérées) se concentre sur la détection des attaques et l'intervention, par exemple isoler un poste compromis. Lisez le contrat : ce sont les actions autorisées et les délais qui comptent, pas l'étiquette.

**Qui est responsable en cas d'incident si la TI est impartie ?**
Votre entreprise. Le Centre canadien pour la cybersécurité rappelle que l'organisation reste imputable de la réponse aux incidents, même si le fournisseur en exécute une partie. Sous la Loi 25, c'est aussi l'entreprise qui doit aviser la Commission d'accès à l'information et les personnes concernées en cas de risque de préjudice sérieux. Validez la répartition des rôles avec votre conseiller juridique.

**Un vCISO peut-il être le responsable de la protection des renseignements personnels ?**
La Loi 25 confie ce rôle par défaut à la personne ayant la plus haute autorité dans l'entreprise, qui peut le déléguer par écrit. Un vCISO peut certainement soutenir ce responsable sur le volet sécurité. Confier la fonction elle-même à une personne externe soulève des questions à valider avec votre conseiller juridique.

## Sources

- [Centre canadien pour la cybersécurité : facteurs à considérer par les clients de services gérés (ITSM.50.030)](https://www.cyber.gc.ca/fr/orientation/facteurs-considerer-par-les-clients-de-services-geres-en-matiere-de-cybersecurite)
- [Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [CISA et partenaires (dont le Centre canadien pour la cybersécurité) : protéger les fournisseurs de services gérés et leurs clients (AA22-131A)](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-131a)
- [NCSC (Royaume-Uni) : Building a Security Operations Centre](https://www.ncsc.gov.uk/collection/building-a-security-operations-centre)
- [NIST : NICE Framework Resource Center](https://www.nist.gov/itl/applied-cybersecurity/nice/nice-framework-resource-center)
- [KPMG (via Newswire) : la cybercriminalité a touché plus de six PME québécoises sur dix](https://www.newswire.ca/fr/news-releases/la-cybercriminalite-a-touche-plus-de-six-petites-et-moyennes-entreprises-quebecoises-sur-dix-au-cours-de-la-derniere-annee-894649671.html)
- [LégisQuébec : Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1)](https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1)