« Pénurie de talents » en cybersécurité : le mot est-il juste ?

Le discours sur la pénurie est devenu un réflexe sectoriel. Il est partiellement vrai, et la partie fausse coûte cher — aux recruteurs comme aux candidats.

Ce qui manque réellement

Pas des candidats. Les offres de consultant senior reçoivent des dizaines de candidatures, et les formations en cybersécurité ne désemplissent pas.

Ce qui manque, ce sont des profils immédiatement autonomes : trois à sept ans d’expérience, capables de mener une mission seuls chez un client, de tenir une position face à un interlocuteur et de produire un livrable lisible.

Cette population est structurellement rare, parce qu’elle ne se forme qu’en travaillant — et que la formation initiale, aussi bonne soit-elle, ne la produit pas.

Le paradoxe des offres junior

Des annonces intitulées « junior » demandant trois ans d’expérience. Ce n’est pas de l’incohérence, c’est un aveu : l’entreprise veut le prix d’un junior et l’autonomie d’un confirmé.

La cause est identifiable. Un débutant coûte du temps d’encadrement — six à douze mois avant d’être rentable sur une mission facturée. Dans un modèle où chaque consultant doit être vendu dès son arrivée, personne ne porte ce coût.

Les structures qui recrutent réellement des débutants sont celles qui ont accepté d’internaliser cette période.

Les trois goulots réels

1. L’encadrement. Former un junior demande un senior disponible. Or les seniors sont en mission facturée. C’est un arbitrage économique, pas un problème de vivier.

2. Les compétences transverses. Écrire clairement, argumenter, comprendre un métier client. Ces compétences ne sont enseignées nulle part dans les cursus techniques, et elles constituent le premier filtre en recrutement — voir ce qui compte plus qu’une certification.

3. Le décalage entre l’image et les postes. Le secteur attire par la sécurité offensive. Les postes ouverts sont majoritairement en gouvernance, conformité, administration et supervision. Des candidats se forment donc vers ce qui recrute le moins.

Ce que ça implique côté employeur

Recruter sur le potentiel plutôt que sur la liste de mots-clés. Un profil venant de l’administration système, de l’audit ou du droit apporte un socle transférable — voir les reconversions qui marchent.

Assumer le coût d’intégration. Prévoir un tuteur, du temps non facturé, et une première mission choisie pour sa valeur formatrice plutôt que pour sa marge.

Retenir. Dans un marché où les profils autonomes sont rares, le vrai sujet n’est pas de recruter mais de garder. Un consultant qui part au bout de dix-huit mois emporte l’investissement de formation avec lui.

Ce qui retient, dans nos observations : la variété des missions, l’accès à la formation certifiante, et un rythme d’intercontrat maîtrisé — voir ce que finance réellement un TJM.

Ce que ça implique côté candidat

Viser là où ça recrute. La gouvernance, la conformité et la supervision offrent plus de portes ouvertes que le test d’intrusion.

Travailler l’écrit autant que la technique. C’est le différenciateur le plus rentable et le moins travaillé.

Accepter un premier poste imparfait. Le sas est presque toujours nécessaire — voir par où commencer.

Pourquoi le mot pose problème

Parler de pénurie laisse entendre qu’il suffit d’entrer dans le secteur pour être recruté. Des personnes engagent une reconversion coûteuse sur cette promesse, découvrent un marché exigeant à l’entrée, et concluent qu’on leur a menti.

Une formulation plus juste : le marché manque de profils expérimentés et autonomes ; il est sélectif à l’entrée et très ouvert au-delà de trois ans d’expérience.

Ce n’est pas moins encourageant. C’est simplement exact — et cela permet à chacun de calibrer son effort.

Aller plus loin

Nos formations certifiantes couvrent les parcours d’entrée et de spécialisation. Nos offres et les profils que nous recherchons sont sur la page carrière, et nos consultants disponibles en régie ici.