Diversité en cybersécurité : élargir son sourcing
Diversité en cybersécurité : repérer ce qui rétrécit votre vivier, réécrire l'offre, ouvrir de nouveaux canaux de sourcing et évaluer sur les compétences.
Quand un poste cyber reste ouvert pendant des mois, le réflexe est de chercher plus fort au même endroit : les mêmes écoles, les mêmes intitulés, les mêmes profils déjà très sollicités. Le problème est souvent ailleurs. Une offre trop restrictive, des canaux trop étroits et une évaluation qui juge le parcours plutôt que les compétences écartent des candidats solides avant même le premier échange. Cet article vous aide à repérer ces filtres invisibles et à élargir votre sourcing sans baisser votre niveau d'exigence.
Pourquoi la diversité est un sujet de recrutement
La diversité des profils est souvent traitée comme un sujet de communication. En cybersécurité, c'est d'abord une question d'efficacité.
- Un vivier plus large. Si votre recherche ne vise qu'un seul type de parcours, vous êtes en concurrence avec tout le marché pour les mêmes personnes.
- Des angles de vue différents. Un attaquant ne pense pas comme votre équipe. Une équipe composée de profils variés (anciens développeurs, auditeurs, administrateurs, juristes, autodidactes) repère plus facilement les angles morts.
- Une meilleure relation avec le reste de l'entreprise. La sécurité doit convaincre des métiers très différents. Des profils qui ont connu ces métiers savent leur parler.
Il existe aussi un cadre légal. Le Code du travail interdit d'écarter un candidat sur des critères comme le sexe, l'âge, l'origine, le handicap ou le lieu de résidence (article L1132-1, consultable sur legifrance.gouv.fr). La plupart des discriminations en recrutement ne sont pas volontaires : elles viennent de critères mal choisis qui produisent le même effet.
Ce qui rétrécit votre vivier sans que vous le voyiez
Avant de chercher de nouveaux canaux, regardez ce qui filtre déjà les candidats en amont.
Une offre qui demande tout
Les fiches de poste en sécurité accumulent souvent les exigences : un diplôme précis, cinq ans d'expérience, trois certifications, la maîtrise de dix outils. Beaucoup de candidats qualifiés ne postulent pas s'ils ne cochent pas toutes les cases, alors que d'autres postulent sans hésiter. L'offre sélectionne alors l'assurance plus que la compétence.
Le diplôme comme filtre principal
Exiger un diplôme d'ingénieur ou un master spécialisé écarte les autodidactes, les profils passés par l'université, un IUT ou l'alternance, et les personnes en reconversion. Or une partie importante des compétences en sécurité s'acquiert par la pratique. Notre article sur ce que disent vraiment les certifications montre la même limite côté certificats.
La seule cooptation
La cooptation est un excellent canal, mais elle reproduit l'équipe existante : chacun recommande des personnes qui lui ressemblent. Utilisée seule, elle fige le vivier.
Des critères d'entretien flous
« Le bon feeling », « il colle à l'équipe » : ces critères favorisent ceux qui nous ressemblent ou qui parlent avec aisance. Notre article sur les soft skills en cybersécurité explique pourquoi le « fit culturel » est un piège et comment le remplacer par des comportements observables.
Réécrire l'offre pour l'ouvrir
L'offre est le premier levier, et le moins coûteux. Quelques reformulations suffisent souvent à changer qui postule.
| Formulation restrictive | Formulation ouverte |
|---|---|
| « Diplôme d'ingénieur exigé » | « Formation en informatique ou expérience équivalente » |
| « 5 ans d'expérience minimum en SOC » | « Expérience de l'analyse d'alertes ou de journaux, en entreprise ou en pratique personnelle » |
| Liste de dix outils obligatoires | Deux ou trois compétences indispensables, le reste en « apprécié » |
| « OSCP ou équivalent obligatoire » | « Une pratique offensive démontrable (certification, CTF, write-ups, missions) » |
| « Profil ninja, rockstar, passionné 24h/24 » | Une description factuelle des missions, des astreintes et du rythme réel |
| Aucune mention des conditions | Télétravail, horaires, aménagements possibles, fourchette de rémunération |
Séparez clairement l'indispensable de l'appréciable. Un candidat doit pouvoir se dire : « Je n'ai pas tout, mais j'ai l'essentiel, je postule. » Nos modèles de fiche de poste pentester et de fiche de poste analyste SOC appliquent cette logique.
Vérifiez aussi le vocabulaire. Un texte rempli d'acronymes internes et de superlatifs décourage les profils qui ne viennent pas du sérail, sans attirer davantage les experts.
Élargir les canaux de sourcing
Une offre ouverte ne sert à rien si elle n'est diffusée qu'aux mêmes endroits. Voici des canaux souvent sous-utilisés.
- Les universités et les IUT, pas seulement les écoles d'ingénieurs. Les formations universitaires en réseau, systèmes et sécurité produisent des profils solides, souvent moins sollicités.
- L'alternance. Un alternant formé à vos méthodes peut devenir une recrue durable. Il demande un tuteur disponible, mais le vivier est large.
- Les programmes de reconversion. Administrateurs, développeurs, auditeurs, anciens militaires : notre guide pour recruter des profils en reconversion détaille les parcours qui se transfèrent le mieux.
- Les communautés techniques. CTF, meetups locaux, conférences régionales, projets open source : on y rencontre des praticiens qui ne sont sur aucun jobboard.
- Les associations et réseaux professionnels qui accompagnent les femmes dans le numérique et la sécurité, ou les personnes éloignées des filières classiques.
- Les acteurs de l'emploi des personnes en situation de handicap, comme Cap emploi. Les entreprises d'au moins 20 salariés sont par ailleurs soumises à l'obligation d'emploi des travailleurs handicapés.
- Le recrutement hors de votre bassin. Si le poste le permet, ouvrir le télétravail partiel ou complet élargit immédiatement la zone de recherche.
Ne multipliez pas les canaux d'un coup. Choisissez-en deux ou trois adaptés au poste, et suivez d'où viennent les candidats qui arrivent en entretien.
Évaluer sur les compétences, pas sur le parcours
Élargir le sourcing n'a de sens que si l'évaluation est équitable. Sinon, vous attirez des profils variés pour les écarter au premier entretien.
Des questions identiques pour tous
Un entretien structuré, avec les mêmes questions et une grille de notation définie à l'avance, réduit fortement l'effet des biais. Notre guide pour structurer un entretien technique propose une méthode applicable même sans expertise sécurité.
Un exercice pratique
Un lab court et réaliste mesure ce que la personne sait faire, indépendamment de son école ou de son ancien métier. C'est le meilleur antidote au jugement sur le CV, comme le décrit notre article pour évaluer les compétences au-delà du CV.
Des aménagements simples
Proposez systématiquement d'adapter les conditions : temps supplémentaire, exercice à distance, format écrit plutôt qu'oral. Ce n'est pas une faveur, c'est un moyen de mesurer la compétence plutôt que la gestion du stress d'entretien.
Un jury varié
Quand c'est possible, faites intervenir au moins deux personnes aux parcours différents. Notez chacun de votre côté, puis comparez.
Accueillir et retenir
Recruter des profils variés et les perdre en six mois ne règle rien. L'intégration compte autant que le sourcing.
- Un référent identifié pour chaque nouvel arrivant, surtout s'il vient d'un autre métier.
- Un plan de montée en compétence écrit, avec des objectifs clairs à trois et six mois.
- Des grilles de rémunération cohérentes, qui ne dépendent pas de la seule aisance en négociation.
- Une culture où l'on peut poser des questions sans être jugé, ce qui profite à toute l'équipe.
Notre article sur la fidélisation des équipes cyber détaille les leviers qui comptent après l'embauche.
Checklist pour élargir votre sourcing
- L'offre distingue clairement les compétences indispensables et appréciées.
- Le diplôme n'est pas un filtre éliminatoire, sauf obligation réelle.
- Le texte décrit les missions et les conditions de façon factuelle.
- Au moins deux canaux au-delà des jobboards et de la cooptation sont utilisés.
- Les candidats passent les mêmes questions et la même grille.
- Un exercice pratique adapté au poste est prévu.
- Des aménagements sont proposés à tous les candidats.
- Un référent et un plan d'intégration sont prêts avant l'arrivée.
Conclusion
La diversité des profils en cybersécurité ne demande pas de baisser le niveau. Elle demande de juger la compétence plutôt que le parcours : une offre qui dit l'essentiel, des canaux qui sortent des sentiers habituels, une évaluation identique pour tous et une intégration préparée. C'est souvent là que se trouvent les candidats que personne d'autre n'a vus.
Vous voulez ouvrir votre prochain recrutement à des profils plus variés ? Confiez-nous votre besoin. Chaque recherche est menée par un recruteur et un praticien de la sécurité, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques, quel que soit leur parcours. Découvrez notre façon de travailler.