Évaluer les compétences en cybersécurité au-delà du CV

En cybersécurité, un CV dit ce qu'une personne a étudié, rarement ce qu'elle sait faire aujourd'hui sur vos systèmes. Les certifications, les intitulés de poste et les mots-clés donnent une première idée, mais ils ne remplacent pas une preuve. Cet article vous montre comment construire une évaluation fondée sur les capacités réelles, équitable pour les candidats et utile pour vos décisions.

Pourquoi le CV induit en erreur

Le CV n'est pas inutile : il permet de vérifier un parcours et un contexte. Mais en sécurité, il trompe dans les deux sens.

Les mots-clés gonflent les profils. Un candidat peut citer un SIEM, un EDR et une dizaine de frameworks après une simple formation. À l'inverse, un excellent praticien décrit parfois son travail en trois lignes sobres.
Les certifications mesurent un examen, pas un poste. Elles prouvent un effort et un socle de connaissances, ce qui a de la valeur. Elles ne disent pas si la personne saura investiguer une compromission sous pression. Notre article sur les certifications en recrutement détaille ce qu'elles valent vraiment.
Les intitulés ne sont pas standardisés. « Analyste sécurité » recouvre aussi bien du pilotage de conformité que de la réponse à incident.
Les meilleurs profils atypiques sont filtrés. Les personnes en reconversion ou autodidactes, souvent très solides en pratique, disparaissent au premier tri par mots-clés. Voir notre guide pour recruter des profils en reconversion.

Évaluer des capacités, pas des connaissances

Le changement d'approche est simple : au lieu de demander « que connaissez-vous ? », demandez « que savez-vous faire ? ». Pour cela, partez du poste.

Listez les situations réelles que la personne rencontrera dans ses premiers mois : qualifier une alerte, auditer une application web, revoir une politique d'accès cloud, rédiger un rapport pour un comité de direction.
Choisissez deux ou trois capacités clés parmi elles. Pas dix. Ce sont celles qui distinguent une bonne recrue d'une recrue moyenne.
Définissez ce qu'est un bon résultat pour chacune avant de voir le moindre candidat.

Cette étape oblige souvent à clarifier le poste lui-même. Si vous n'arrivez pas à décrire ce qu'un bon résultat signifie, la fiche de poste mérite d'être retravaillée avant l'évaluation.

Labs pratiques, quiz ou exercice à la maison

Les formats d'évaluation ne se valent pas. Chacun a sa place, à condition de savoir ce qu'il mesure.

Format	Ce qu'il mesure	Limites	Usage conseillé
Quiz ou QCM	Connaissances de base, vocabulaire	Se prépare par cœur, ne montre pas le raisonnement	Premier filtre léger, jamais seul
Lab pratique encadré	Capacité à agir dans un environnement réaliste	Demande un environnement préparé	Cœur de l'évaluation technique
Exercice à la maison	Autonomie, qualité de livrable	Risque de durée excessive, difficile à comparer	Court, cadré, avec un temps indicatif
Mise en situation orale	Raisonnement, priorisation, communication	Favorise l'aisance orale	En complément, lors de l'entretien

Dans la plupart des recrutements techniques, un lab court et réaliste apporte plus d'information que tous les autres formats réunis. C'est le choix que fait Cyber Recrut : nos candidats présélectionnés résolvent des labs pratiques construits autour du poste, sur leur propre machine.

Concevoir un exercice équitable

Un bon exercice ressemble au travail, tient dans un temps raisonnable et laisse au candidat une vraie chance de montrer ce qu'il sait faire.

Réaliste mais fictif : utilisez des données synthétiques ou anonymisées, un environnement de test, une application volontairement vulnérable. Jamais vos systèmes de production ni vos vraies alertes.
Durée annoncée et respectée : indiquez clairement le temps attendu. Un exercice qui déborde sur un week-end entier pénalise les candidats qui ont des contraintes familiales ou un emploi.
Consignes claires : objectif, livrable attendu, ressources autorisées (documentation, moteur de recherche). En sécurité, chercher une information fait partie du métier.
Plusieurs chemins possibles : valorisez le raisonnement, pas une seule réponse exacte.
Même exercice pour tous : sinon, la comparaison n'a pas de sens.
Testé en interne : faites-le passer à un membre de l'équipe avant de l'envoyer. S'il prend deux fois le temps prévu, raccourcissez.

Pour un poste SOC, par exemple, une investigation de journaux autour d'un poste compromis fonctionne bien. Notre guide pour recruter un analyste SOC en décrit un exemple complet.

Construire une grille de notation

Sans grille, deux évaluateurs jugent deux choses différentes. La grille rend la décision explicable et réduit les biais. Voici un modèle à adapter.

Critère	1 : insuffisant	2 : correct	3 : solide	4 : remarquable
Démarche	Actions au hasard, pas de méthode	Méthode partielle	Démarche structurée et cohérente	Démarche structurée, hypothèses explicites et écartées
Résultat technique	Objectif non atteint	Objectif partiellement atteint	Objectif atteint	Objectif atteint avec des éléments supplémentaires pertinents
Priorisation	Se perd dans les détails	Priorise avec hésitation	Traite d'abord ce qui compte	Justifie ses priorités par le risque
Livrable écrit	Confus ou absent	Compréhensible mais incomplet	Clair et exploitable	Clair, concis, adapté à son lecteur
Limites et honnêteté	Affirme sans preuve	Reconnaît quelques limites	Distingue faits et hypothèses	Identifie ce qu'il faudrait vérifier ensuite

Pondérez les critères selon le poste : la priorisation pèse plus pour un analyste SOC, le livrable écrit plus pour un auditeur ou un pentester. Décidez du seuil attendu avant de corriger le premier exercice.

Analyser les résultats

L'évaluation ne s'arrête pas à la note.

Corrigez à deux quand c'est possible, idéalement avec un praticien de la sécurité. Comparez vos notes avant d'en discuter.
Corrigez à l'aveugle si vous le pouvez : masquez le nom et le parcours pendant la notation du livrable.
Débriefez avec le candidat en entretien. Lui demander de commenter son travail montre comment il raisonne et comment il reçoit une remarque. Notre article sur la préparation de l'entretien technique décrit ce moment du point de vue du candidat.
Documentez la décision à partir de la grille. Vous pourrez l'expliquer au candidat et à votre équipe.

Soigner l'expérience candidat

Les bons profils en sécurité sont très sollicités. Une évaluation mal vécue fait perdre des candidats, et la réputation circule vite dans la communauté.

Annoncez l'exercice dès le premier échange, avec sa durée et son objectif.
Laissez le choix du créneau, dans un délai raisonnable.
Répondez rapidement après le rendu, même en cas de refus.
Offrez un retour concret : deux ou trois points tirés de la grille suffisent.
N'empilez pas les épreuves. Un exercice bien conçu vaut mieux que trois tests successifs.

Le cadre légal et l'équité

En France, le Code du travail encadre les méthodes de recrutement : elles doivent être pertinentes au regard du poste, et le candidat doit en être informé au préalable. La CNIL rappelle aussi que les données collectées pendant le recrutement doivent être limitées à ce qui est nécessaire et conservées pour une durée définie. Les textes sont consultables sur legifrance.gouv.fr et les recommandations sur cnil.fr.

En pratique :

Pas de travail réel non rémunéré. Un exercice ne doit jamais produire un livrable que vous utiliserez (audit de votre application, rédaction de vos procédures, traitement de vos alertes). Au-delà de la question légale, c'est un signal très négatif pour le candidat.
Lien direct avec le poste. N'évaluez que ce que le poste demande vraiment.
Mêmes conditions pour tous, avec des aménagements possibles pour les candidats en situation de handicap.
Information claire sur la méthode, l'usage des résultats et leur durée de conservation.

En résumé

Évaluer au-delà du CV, c'est partir des situations réelles du poste, choisir un format qui montre l'action plutôt que la mémoire, concevoir un exercice court et équitable, et noter avec une grille définie à l'avance. Cette rigueur protège autant vos décisions que l'expérience des candidats.

Vous souhaitez recruter sur la base de preuves plutôt que de mots-clés ? Parlez-nous de votre besoin. Un recruteur et un praticien de la sécurité mènent chaque recherche, et chaque candidat présélectionné prouve ses compétences sur des labs pratiques adaptés au poste. Découvrez notre processus.