Fiche de poste analyste forensique : modèle et conseils

Le mot « forensique » recouvre des métiers très différents : investigation après une attaque, expertise judiciaire, analyse de code malveillant, enquête interne. Une fiche de poste qui ne tranche pas attire des candidats qui ne correspondent pas et fait fuir les spécialistes que vous visez. Ce guide vous aide à cadrer le poste, puis vous propose un modèle commenté et les erreurs de formulation à éviter.

Commencer par clarifier le métier

Avant d'écrire une ligne, répondez à une question simple : dans quel contexte l'analyste mènera-t-il ses investigations ? La réponse change les compétences, le rythme et même le vocabulaire de l'offre.

Contexte	Ce que fait l'analyste	Ce qui compte le plus
Réponse à incident (DFIR)	Reconstitue une intrusion pendant ou après la crise, aide à contenir et à éradiquer	Rapidité, tri des priorités, travail sous pression avec l'équipe CSIRT
Prestataire de réponse à incident	Intervient chez des clients différents, souvent en urgence	Adaptation à des environnements inconnus, communication avec des interlocuteurs variés
Expertise judiciaire ou probatoire	Produit des éléments destinés à une procédure	Rigueur de la chaîne de traçabilité, rédaction irréprochable, neutralité
Enquête interne	Analyse des postes ou des comptes dans le cadre d'une fraude, d'une fuite ou d'un litige	Discrétion, respect du cadre juridique et du droit des salariés, lien avec les RH et le juridique

La plupart des postes en entreprise relèvent de la première ligne : l'analyste forensique y est un membre de l'équipe de réponse à incident, spécialisé dans l'investigation approfondie. Si c'est votre cas, dites-le dans le titre. « Analyste DFIR » ou « Analyste forensique et réponse à incident » sont plus clairs pour les candidats et mieux référencés qu'un « Expert investigation numérique » sans précision.

Si votre besoin relève plutôt du pilotage de crise que de l'analyse technique, notre guide pour recruter un responsable de la réponse à incident vous aidera à faire la différence.

Ce qu'un analyste forensique cherche dans une offre

Un bon analyste forensique lit une offre comme il lit un dossier : il cherche des faits. Il ouvre votre fiche avec quelques questions précises :

Sur quels systèmes vais-je enquêter ? Postes Windows, serveurs Linux, Active Directory, environnements cloud, mobiles : la répartition compte.
Avec quels moyens ? Accès à des outils de collecte à distance, à un EDR, à une infrastructure d'analyse, à du stockage pour les images disque.
Quel rythme ? Part de crise et part de travail planifié, existence d'astreintes, fréquence des interventions sur site.
Que deviennent mes analyses ? Rapports techniques, synthèses pour la direction, éléments transmis à un avocat ou à une autorité.
Aurai-je du temps pour progresser ? Veille, recherche, développement d'outillage, exercices de crise.

Une fiche qui répond à ces cinq questions se démarque déjà de la plupart des offres publiées.

Le modèle commenté

Voici une trame à adapter. Chaque bloc est suivi d'un commentaire sur ce qu'il doit contenir.

1. Le contexte

Qui vous êtes : activité, taille et organisation de l'équipe sécurité, rattachement (responsable CSIRT, RSSI, direction des risques).
Pourquoi le poste existe : création d'une capacité d'investigation interne, montée en charge, réduction de la dépendance à un prestataire.
Commentaire : un candidat veut savoir s'il rejoint une équipe outillée ou s'il devra tout construire. Les deux peuvent attirer, à condition de le dire franchement.

2. Les missions

Collecter et préserver les éléments de preuve (mémoire, disques, journaux, artefacts cloud) en respectant une chaîne de traçabilité.
Analyser les systèmes compromis pour reconstituer la chronologie d'une attaque : accès initial, persistance, mouvements latéraux, exfiltration.
Réaliser un premier tri des fichiers et outils malveillants découverts, et transmettre les indicateurs de compromission aux équipes de détection.
Rédiger des rapports exploitables, techniques et de synthèse.
Contribuer aux procédures, aux playbooks et à l'outillage de l'équipe.
Commentaire : listez les missions dans l'ordre de leur poids réel. Si la rédaction occupe une large part du temps, écrivez-le : c'est le point qui surprend le plus souvent après l'embauche.

3. Le profil recherché

Trois à cinq compétences indispensables, formulées en savoir-faire observables.
Deux à quatre compétences appréciées, clairement séparées.
Commentaire : la section suivante détaille ce tri, qui décide de qui ose postuler.

4. Les conditions

Localisation, télétravail, fréquence des déplacements chez des clients ou sur des sites distants.
Astreintes : fréquence, organisation, compensation.
Fourchette de rémunération.
Budget formation, temps de recherche, participation à des exercices ou à des conférences.
Besoin éventuel d'habilitation, avec ce que cela implique concrètement.
Commentaire : les astreintes sont souvent le premier critère de choix pour ce métier. Taire le sujet crée de la méfiance.

5. Le processus de recrutement

Les étapes, leur nombre et leur durée approximative.
La nature de l'évaluation technique.
Commentaire : voir la section dédiée plus bas.

Indispensable ou apprécié : faire le tri

La liste à rallonge est l'erreur la plus fréquente. Les meilleurs analystes savent qu'ils ne maîtrisent pas tout, et une offre qui exige à la fois l'analyse mémoire, la rétro-ingénierie avancée, le mobile et l'expertise judiciaire décourage les bons et attire les candidats qui cochent tout sans rien approfondir.

Indispensable, par exemple pour un poste DFIR de niveau confirmé en entreprise :

Mener l'investigation d'un poste Windows compromis et en tirer une chronologie argumentée.
Exploiter les journaux d'événements Windows et ceux d'un Active Directory pour retracer les mouvements d'un attaquant.
Collecter des éléments de preuve sans les altérer et documenter chaque étape.
Rédiger un rapport qui distingue clairement les faits établis des hypothèses.

Apprécié :

Investigation sur des environnements cloud ou Microsoft 365.
Analyse de la mémoire vive.
Tri de code malveillant en analyse statique ou dynamique.
Scripting pour automatiser la collecte ou le traitement des artefacts (Python, PowerShell ou autre).

Formulez les compétences en actions, pas en noms d'outils. « Savoir reconstituer un mouvement latéral à partir des journaux d'authentification » dit beaucoup plus que « maîtrise des outils forensiques ». Les outils changent, la démarche d'investigation reste.

Pour la place à donner aux certifications spécialisées, consultez notre article sur les certifications en cybersécurité et le recrutement. Exigez-en une seulement si un client ou une qualification le requiert, et expliquez pourquoi. Si vous êtes prestataire et visez la qualification PRIS de l'ANSSI, précisez-le : cela renseigne le candidat sur le niveau d'exigence méthodologique attendu.

Les erreurs de formulation qui font fuir

Le flou sur le contexte : sans savoir s'il s'agit de réponse à incident, d'expertise judiciaire ou d'enquête interne, le candidat ne peut pas se projeter.
Le poste fourre-tout : un analyste forensique qui doit aussi gérer le SIEM, administrer les pare-feux et piloter la conformité n'aura jamais le temps d'investiguer.
Un nombre d'années comme seul critère : décrivez plutôt le niveau d'autonomie attendu. Certains profils solides viennent d'un SOC, de l'administration système ou d'une reconversion.
Le silence sur les astreintes et la crise : un candidat qui découvre le rythme réel après l'embauche repartira vite.
Le jargon creux : « passionné », « expert reconnu ». Le candidat préfère lire sur quoi il enquêtera la semaine prochaine.
L'absence de salaire : sans fourchette, beaucoup de profils sollicités ne prennent pas le temps de répondre.

Décrire le processus d'évaluation

Un analyste forensique se juge sur sa démarche, pas sur sa capacité à réciter des emplacements d'artefacts. Décrivez dans la fiche un processus court et prévisible :

Un premier échange sur le parcours, le contexte du poste et les attentes.
Une mise en situation pratique : un jeu de données réaliste (image disque, extraits de journaux, capture mémoire) à analyser en temps limité.
Un entretien technique où le candidat présente ses conclusions et explique comment il les a obtenues, avec un pair de l'équipe.
Un échange final avec le manager.

Précisez la durée de l'exercice et ce qu'il évalue : la méthode, la rigueur de la documentation, la capacité à dire « je ne sais pas encore ». Pour préparer l'entretien technique, notre liste de questions d'entretien pour un analyste réponse à incident s'applique largement à ce métier, et notre guide pour évaluer les compétences en cybersécurité détaille l'usage des labs pratiques.

Où publier votre fiche

Votre site carrières, avec une URL stable : c'est la référence que les candidats vérifient.
LinkedIn, relayé de préférence par les membres techniques de l'équipe.
Les communautés DFIR : conférences sécurité françaises, associations, groupes de discussion spécialisés, en respectant leurs règles de publication.
L'écosystème CTF et formation, où les catégories forensique et investigation attirent des profils qui pratiquent régulièrement.
L'approche directe, souvent indispensable. Les analystes expérimentés sont rarement en recherche active : une fiche précise sert alors de support à un message personnalisé.

En résumé

Une bonne fiche de poste d'analyste forensique commence par trancher le contexte d'investigation, décrit des missions réelles et leur poids, sépare l'indispensable de l'apprécié, assume le rythme du poste et annonce une évaluation fondée sur un cas concret. Elle donne au bon candidat les faits dont il a besoin pour décider.

Vous ouvrez un poste d'analyste forensique ou DFIR ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent la fiche avec vous, puis nos candidats présélectionnés prouvent leurs compétences sur des labs d'investigation proches de votre environnement. Découvrez notre façon de travailler ou confiez-nous votre recrutement.