L’entretien technique en cybersécurité : ce qu’on évalue vraiment

Les entretiens techniques en cybersécurité produisent beaucoup d’insatisfaction des deux côtés. Les candidats en sortent avec le sentiment d’avoir passé un examen de mémoire. Les recruteurs constatent, six mois plus tard, que la personne recrutée ne fait pas le travail attendu. Les deux constats ont la même cause : on évalue ce qui est facile à noter plutôt que ce qui prédit la réussite.

Ce que le quiz de connaissances mesure — et ne mesure pas

Demander à quoi correspond un port, ce que signifie un sigle, ou d’énumérer les phases d’une norme, mesure une chose : ce que le candidat a révisé récemment. C’est corrélé à la préparation, pas à la compétence.

Ce type de question a un effet secondaire mal identifié : il favorise les profils récemment sortis de formation ou de certification, et défavorise les praticiens expérimentés qui consultent la documentation au lieu de la mémoriser — ce qui est le comportement souhaitable en exploitation. Un ingénieur qui vérifie avant d’affirmer est un bon ingénieur ; un entretien mal conçu le pénalise.

La connaissance factuelle reste nécessaire, mais comme seuil, pas comme critère de classement. Quelques questions suffisent à écarter un dossier qui ne correspond pas ; au-delà, elles n’apportent plus d’information.

Les quatre choses qui prédisent réellement la réussite

1. Le raisonnement face à l’incertitude

Le travail réel consiste rarement à appliquer une réponse connue. Il consiste à décider avec des informations partielles, sous contrainte de temps, sans certitude.

Une bonne question ressemble à : « Un poste utilisateur communique toutes les nuits vers une adresse inconnue. Vous avez trente minutes avant une réunion. Que faites-vous, dans quel ordre, et pourquoi ? »

Ce qu’on observe : le candidat cherche-t-il d’abord à comprendre le contexte — quel poste, quel utilisateur, depuis quand — ou saute-t-il à une conclusion ? Distingue-t-il ce qu’il sait de ce qu’il suppose ? Sait-il dire « je vérifierais ce point avant de conclure » ?

Un candidat qui répond immédiatement « c’est une exfiltration, j’isole la machine » est moins convaincant qu’un candidat qui demande si la machine est un poste de développeur avec une sauvegarde nocturne configurée.

2. La capacité à dire « je ne sais pas »

C’est le meilleur signal disponible, et il est gratuit à observer : il suffit de poser une question hors du domaine annoncé par le candidat.

Un professionnel qui reconnaît une limite, puis explique comment il s’y prendrait pour combler l’écart, est plus fiable qu’un candidat qui improvise une réponse plausible. En sécurité, une affirmation fausse énoncée avec assurance provoque de mauvaises décisions — c’est un risque opérationnel, pas un défaut de personnalité.

3. La conscience de l’impact

Les recommandations de sécurité ont un coût pour ceux qui les appliquent. Un candidat qui propose une mesure sans jamais évoquer ce qu’elle casse, ce qu’elle coûte, ou qui la met en œuvre, produira des rapports que personne n’exécutera.

Une question utile : « Vous recommandez le déploiement d’un second facteur d’authentification. La production refuse parce que ça bloque une application ancienne. Que faites-vous ? »

La réponse « c’est une exigence de sécurité, elle doit être appliquée » indique quelqu’un qui n’a jamais eu à faire aboutir une recommandation.

4. La restitution

Une part importante du métier consiste à expliquer un risque à quelqu’un qui n’est pas technique et qui décide du budget. Demander au candidat d’expliquer une vulnérabilité à un directeur financier, en deux minutes, sans jargon, est un exercice court et très discriminant.

Il révèle en outre si le candidat comprend réellement ce qu’il décrit : on ne vulgarise bien que ce qu’on maîtrise.

Les formats qui trient mal

• L’exercice technique de plusieurs heures non rémunéré. Il sélectionne sur la disponibilité, pas sur la compétence — et écarte mécaniquement les candidats en poste, avec charge familiale, ou en reconversion. Ce sont souvent les profils les plus solides.
• Le jury nombreux. Au-delà de trois personnes, l’entretien devient une performance. Les candidats introvertis sont sous-évalués, ce qui n’a aucun rapport avec leur qualité en analyse.
• La question piège. Elle valorise celui qui la pose et n’apprend rien sur le candidat, sinon sa réaction à une mise en difficulté gratuite.
• L’exigence de certification comme filtre d’entrée. Elle écarte des profils compétents et retient des profils préparés à l’examen. Utilisée comme critère éliminatoire en amont, elle réduit le vivier sans améliorer la sélection.

Pour le candidat

Trois choses valent plus que la révision.

Préparer deux ou trois situations vécues en détail — le contexte, la contrainte, ce qui a été décidé, ce qui n’a pas marché. Un échec analysé est plus convaincant qu’une réussite lisse, parce qu’il démontre une capacité de retour critique.

Poser des questions sur le fonctionnement réel. Qui arbitre quand la sécurité et la production divergent ? Quel a été le dernier incident et qu’en a-t-on tiré ? Les réponses renseignent autant sur le poste que l’entretien renseigne l’employeur sur vous.

Assumer ses limites. Un candidat qui délimite honnêtement son périmètre est crédible sur ce qu’il revendique. Celui qui prétend tout couvrir n’est crédible sur rien.

Sources

• ANSSI — Panorama des métiers de la cybersécurité, sur les référentiels de compétences
• ENISA — European Cybersecurity Skills Framework (ECSF), description des rôles et compétences associées