Candidature en cybersécurité : ce que nous regardons vraiment

Nous recevons régulièrement des candidatures pour des postes de consultant en cybersécurité, et nous constatons un décalage constant entre ce que les candidats mettent en avant et ce que nous regardons réellement.

Ce texte n’a pas vocation à énoncer une vérité du secteur. C’est la grille d’une structure spécialisée d’une trentaine de personnes, où chaque consultant intervient directement chez le client, souvent seul, face à des interlocuteurs techniques et à des directions. Une grande ESN généraliste ou un éditeur ne recruteraient pas sur les mêmes critères.

Les certifications : lesquelles servent vraiment

La question revient à chaque entretien, alors autant être direct.

Une certification a deux fonctions distinctes, et il est utile de savoir laquelle on vise. La première est d’ouvrir une porte : certains clients, notamment dans les secteurs régulés, exigent contractuellement des profils certifiés sur telle norme ou telle technologie. La certification est alors un prérequis administratif, indépendamment de ce qu’elle prouve. La seconde est de structurer une compétence qu’on possède déjà de manière désordonnée.

Ce qu’une certification ne fait pas : remplacer la pratique. Un candidat certifié sur une solution qu’il n’a jamais administrée se repère en dix minutes d’entretien technique, et cela produit l’effet inverse de celui recherché — la certification devient un motif de défiance sur le reste du dossier.

Notre lecture pratique : une certification maîtrisée et défendable vaut mieux que quatre survolées. Sur les certifications de gouvernance, c’est la capacité à expliquer pourquoi une exigence existe qui compte, pas la restitution du référentiel.

Les reconversions

Une part significative des bons profils que nous croisons ne vient pas d’un cursus cyber. Administrateurs système, développeurs, techniciens réseau, parfois des parcours plus éloignés.

Ce qui fonctionne dans une reconversion, ce n’est pas de masquer le parcours antérieur : c’est de montrer ce qu’il apporte. Un ancien administrateur système comprend d’instinct pourquoi une mesure de sécurité ne sera pas appliquée en production. Un ancien développeur lit du code sans effort. Quelqu’un venu du support client sait tenir une réunion tendue — compétence rare et directement monnayable en gestion de crise.

Ce qui ne fonctionne pas : une formation intensive de quelques mois présentée comme suffisante, sans rien construit à côté. Le marché a produit beaucoup de profils de ce type, et le premier filtre porte précisément sur ce qui a été fait en plus.

Sans expérience, montrer une trace

C’est la question la plus fréquente, et la réponse tient en un mot : une trace.

Un laboratoire monté chez soi, avec un compte rendu de ce qui a été cassé et réparé. Un compte rendu d’exercice sur une plateforme d’entraînement, rédigé proprement. Un script utile publié, même court. Une analyse écrite d’un incident public — reprendre une intrusion documentée, reconstituer la chaîne, expliquer ce qui aurait dû l’arrêter.

Ce dernier exercice est le plus révélateur, et le moins coûteux. Il ne demande ni matériel ni accès privilégié. Il montre exactement ce que nous cherchons : la capacité à raisonner sur un système qu’on ne connaît pas, et à l’expliquer à quelqu’un d’autre.

Un profil junior avec deux pages bien écrites sur une intrusion réelle passe devant un profil junior avec trois certifications et rien à montrer.

La compétence sous-estimée

Écrire.

Un audit se termine par un rapport. Une analyse de risque se termine par un document lu en comité. Une recommandation qui n’est pas comprise par un directeur financier n’est pas appliquée, et un travail technique excellent restitué de façon illisible ne produit aucun effet chez le client.

C’est la compétence que nous voyons le plus manquer, y compris chez des profils techniques très solides. C’est aussi celle qui progresse le plus vite quand elle est travaillée — et l’une des rares qu’un candidat peut démontrer avant même l’entretien, simplement par la manière dont son dossier est rédigé.

En entretien

Dans cet ordre.

La façon de raisonner face à un problème inconnu. Nous posons volontiers une question à laquelle le candidat n’a pas la réponse. Ce qui nous intéresse est la démarche : quelles hypothèses, quelles questions, quelles vérifications. « Je ne sais pas, mais voilà comment je m’y prendrais » est une bonne réponse. Une réponse assurée et fausse est éliminatoire — chez un client, elle coûte une relation.

La curiosité entretenue. Pas le nombre d’heures de veille déclarées, mais un sujet récent que le candidat a envie d’expliquer. Quelqu’un qui n’a rien à raconter sur ce qui s’est passé dans son domaine ces six derniers mois s’ennuiera dans ce métier.

Le rapport au client. Le conseil consiste à dire des choses désagréables à des gens qui ne les ont pas demandées, sans les braquer. C’est un tempérament autant qu’une technique, et cela se perçoit rapidement.

Si vous voulez candidater

Nos offres sont publiées sur le site. Une candidature spontanée est lue si elle dit trois choses : ce que vous savez faire, ce que vous voulez apprendre, et pourquoi ici plutôt qu’ailleurs. Trois paragraphes suffisent.

Si vous avez écrit quelque chose — un compte rendu, une analyse, un dépôt de code — mettez le lien. C’est ce que nous ouvrirons en premier.