Recrutement cyber : les erreurs qui font fuir les candidats
Les erreurs de recrutement qui font fuir les candidats en cybersécurité : offre floue, processus trop long, tests abusifs, silence. Et comment les corriger.
Vous avez trouvé un bon profil cyber, il a répondu à votre message, puis il a disparu au deuxième entretien ou décliné votre offre sans vraiment expliquer pourquoi. Le plus souvent, ce n'est pas la concurrence qui l'a emporté, c'est le processus lui-même qui l'a découragé. Cet article passe en revue les erreurs les plus fréquentes, ce qu'elles disent de vous au candidat, et la façon de les corriger sans tout reconstruire.
Pourquoi les candidats cyber décrochent vite
Les professionnels de la sécurité expérimentés sont très sollicités. Beaucoup sont en poste, ne cherchent pas activement et reçoivent régulièrement des propositions. Ils n'ont donc aucune raison de tolérer un processus pénible.
Ils lisent aussi votre recrutement comme un indice de votre maturité. Un métier qui consiste à repérer les failles rend attentif aux incohérences : une offre contradictoire, un test mal conçu ou un interlocuteur qui ne sait pas répondre sont interprétés comme des signes de ce qui les attend une fois en poste. Enfin, la communauté est petite et elle échange beaucoup : une mauvaise expérience se raconte.
Erreur 1 : une offre floue ou irréaliste
L'offre « liste au père Noël » reste la première cause de désintérêt. Elle demande en même temps du pentest, de la GRC, de l'architecture cloud, de l'administration du SIEM et cinq certifications, pour un poste junior.
Ce que le candidat comprend : vous ne savez pas ce que vous cherchez, ou vous cherchez une personne pour tout faire seule. Les meilleurs profils, qui connaissent la réalité de chaque métier, passent leur chemin. À l'inverse, des candidats qui cochent les mots-clés sans les maîtriser postulent en nombre.
Le correctif : décrivez le poste par ses missions concrètes des premiers mois, séparez clairement l'indispensable du souhaitable, et limitez-vous à quelques compétences réellement nécessaires. Notre modèle de fiche de poste analyste SOC montre cette approche sur un cas précis.
Erreur 2 : taire la rémunération et les conditions
« Rémunération selon profil » donne au candidat l'impression qu'il devra négocier à l'aveugle, et lui fait craindre de perdre plusieurs entretiens pour découvrir un écart rédhibitoire. Il en va de même pour les sujets qui pèsent lourd dans les métiers de la sécurité.
- Les astreintes : fréquence, rémunération, organisation du repos après une intervention de nuit.
- Le télétravail : nombre de jours, et ce qui l'empêche, par exemple l'accès à certains environnements sensibles.
- Le rattachement : à la DSI, à la direction générale, au RSSI d'un groupe. Cela change l'autonomie et le poids des recommandations.
- Les moyens : budget outils, formation, temps de veille, taille de l'équipe.
Le correctif : donnez une fourchette de rémunération dès l'offre ou au premier échange, et abordez les conditions sensibles avant les entretiens techniques. Un candidat qui se retire tôt vous fait gagner du temps, un candidat qui se retire après quatre étapes vous en fait perdre beaucoup.
Erreur 3 : un processus trop long et trop fragmenté
Un premier appel RH, un échange avec le manager, un test en ligne, un exercice à la maison, un entretien technique, une rencontre avec l'équipe, un entretien final avec la direction : chaque étape se justifie isolément, mais l'ensemble peut s'étirer sur des semaines. Pendant ce temps, le candidat avance ailleurs.
Le correctif : listez ce que chaque étape vous apprend réellement. Si deux étapes vérifient la même chose, fusionnez-les. Regroupez les entretiens sur une même demi-journée quand c'est possible, et bloquez dans les agendas des décideurs les créneaux nécessaires avant même de lancer la recherche. Annoncez le déroulé complet au premier échange et tenez-le.
Erreur 4 : des tests mal conçus ou abusifs
Les candidats en sécurité acceptent volontiers d'être évalués sur un cas pratique, souvent plus volontiers que sur un questionnaire. Ce qui les fait fuir, c'est un test qui ne respecte pas leur temps ou qui ressemble à du travail gratuit.
| Pratique qui fait fuir | Ce que le candidat comprend | Ce qu'il faut faire |
|---|---|---|
| Exercice à rendre « quand vous voulez », sans durée annoncée | Il faudra y passer un week-end | Annoncer une durée réaliste, testée en interne |
| Audit de votre propre application ou analyse de vos vraies alertes | On veut une prestation gratuite | Utiliser un environnement fictif ou volontairement vulnérable |
| QCM de culture générale sécurité | On évalue la mémoire, pas le métier | Proposer un lab court et réaliste lié au poste |
| Plusieurs tests successifs | Personne ne sait vraiment ce qu'il cherche | Un seul exercice bien conçu, débriefé en entretien |
| Aucun retour après le rendu | Le travail fourni n'a pas été lu | Deux ou trois points concrets tirés de la grille |
En France, les méthodes d'évaluation doivent en outre être pertinentes au regard du poste et portées à la connaissance du candidat au préalable, comme le prévoit le Code du travail (consultable sur legifrance.gouv.fr). Notre guide pour évaluer les compétences au-delà du CV détaille comment concevoir un exercice équitable.
Erreur 5 : des interlocuteurs qui ne connaissent pas le poste
Un candidat qui pose une question précise sur l'environnement technique, le périmètre ou les priorités de l'année et qui obtient « je vérifierai » à chaque fois en conclut que le poste n'est pas encore pensé. Il en va de même quand l'entretien technique est mené par quelqu'un qui récite des questions sans pouvoir relancer.
Le correctif : préparez une fiche de contexte partagée par tous les intervenants : équipe, outils en place, projets prioritaires, principaux risques, moyens. Si vous n'avez pas d'expertise sécurité en interne, structurez l'entretien autour de situations réelles et faites intervenir un praticien sur la partie technique. Notre article pour structurer un entretien technique sans être expert propose une trame complète.
Erreur 6 : le silence
Ne pas répondre après un entretien ou après la remise d'un exercice est probablement l'erreur la plus coûteuse. Le candidat ne sait pas s'il est toujours en lice, il accepte une autre proposition, et il garde de votre entreprise un souvenir durable.
Le correctif : fixez un délai de réponse à chaque étape et respectez-le, même pour dire que la décision prend plus de temps que prévu. En cas de refus, un message personnalisé avec un ou deux éléments concrets suffit. Un candidat refusé correctement peut revenir sur un autre poste, ou vous recommander quelqu'un.
Erreur 7 : une approche générique
Le message d'approche copié-collé, qui confond pentest et SOC, mentionne une compétence absente du profil ou commence par « j'ai une opportunité exceptionnelle », est ignoré. Les profils seniors en reçoivent beaucoup et les trient en quelques secondes.
Le correctif : un message court qui explique pourquoi vous contactez cette personne précisément, ce que le poste a de concret (mission, contexte, enjeu), la fourchette de rémunération et une proposition simple pour échanger. Moins de messages, mieux ciblés, donnent de meilleurs résultats qu'une campagne de masse.
La liste de contrôle avant de lancer un recrutement
Avant de publier une offre ou de contacter le premier candidat, vérifiez ces points.
- Les missions des six premiers mois sont décrites concrètement.
- Les compétences indispensables tiennent en une courte liste, séparée du souhaitable.
- Une fourchette de rémunération est validée et communicable.
- Les astreintes, le télétravail et le rattachement sont clarifiés.
- Le processus compte un nombre limité d'étapes, chacune avec un objectif clair.
- Les créneaux des décideurs sont réservés.
- L'exercice pratique, s'il existe, est fictif, court et testé en interne.
- Chaque intervenant dispose de la même fiche de contexte.
- Un délai de réponse est fixé pour chaque étape.
- Un modèle de retour aux candidats non retenus est prêt.
En résumé
Les candidats cyber ne fuient pas les entreprises exigeantes, ils fuient les processus flous, longs et silencieux. Une offre précise, des conditions annoncées tôt, un test respectueux, des interlocuteurs préparés et des réponses à l'heure suffisent à vous distinguer. Ces corrections coûtent peu et protègent votre réputation auprès d'une communauté qui se parle.
Vous voulez un processus qui donne envie aux bons profils d'aller jusqu'au bout ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité mènent chaque recherche, cadrent le poste avec vous et présentent des candidats qui ont prouvé leurs compétences sur des labs pratiques. Découvrez notre processus ou parlez-nous de votre besoin.