Questions d'entretien pour un RSSI : la grille complète
Les questions d'entretien à poser à un RSSI : vision, risques, comité de direction, crise, conformité, management, avec les bonnes réponses et les signaux d'alerte.
Un entretien de RSSI tourne vite à la conversation agréable entre gens qui parlent le même langage : référentiels, tendances, anecdotes de conférence. On en ressort séduit, sans savoir si la personne saura prioriser avec un budget contraint, tenir face à un comité de direction ou garder la tête froide pendant une crise. Voici une grille de questions organisée par thème, avec pour chacune ce qu'une bonne réponse contient et les signaux qui doivent vous alerter.
Avant l'entretien : fixer le mandat et répartir les rôles
Les bonnes questions dépendent du poste réel. Un RSSI qui doit tout construire dans une ETI sans équipe n'a pas le même métier qu'un RSSI de groupe qui coordonne des filiales. Avant de recevoir le premier candidat, clarifiez le mandat, le rattachement et les moyens. Notre guide pour recruter un RSSI détaille ce cadrage, et notre modèle de fiche de poste RSSI vous aide à le formaliser.
Répartissez ensuite les thèmes entre les membres du panel, pour éviter que chacun pose les mêmes questions générales.
| Membre du panel | Thèmes à couvrir |
|---|---|
| Direction générale | Vision, arbitrages, posture face au comité de direction |
| DSI | Collaboration, profondeur technique, pilotage des projets |
| Dirigeant métier (finance, juridique, opérations) | Pédagogie, lecture des risques métier, conformité |
| Expert sécurité indépendant | Cohérence technique, gestion de crise, crédibilité des exemples |
Vision et priorisation
Le premier travail d'un RSSI est de choisir. Ces questions mesurent sa capacité à hiérarchiser sous contrainte.
« Vous arrivez demain. Que faites-vous pendant vos trente premiers jours, et qu'est-ce que vous ne faites pas ? »
Une bonne réponse commence par écouter : rencontrer la direction, la DSI et les métiers, comprendre les activités critiques, relire les audits et les incidents passés. Le candidat doit aussi dire ce qu'il évite, par exemple réécrire toute la politique de sécurité avant d'avoir compris le terrain.
Signal d'alerte : un plan tout fait, identique quelle que soit l'entreprise, qui commence par l'achat d'un outil.
« Vous avez le budget pour trois chantiers cette année. Comment les choisissez-vous ? »
On attend un raisonnement fondé sur les risques : actifs critiques, menaces plausibles pour le secteur, écarts les plus graves, effort nécessaire. Les meilleurs candidats évoquent aussi les actions rapides à fort impact qui rendent la sécurité visible dès les premiers mois.
Gestion des risques et arbitrages
« Un directeur métier veut lancer un projet que vous jugez risqué. Comment gérez-vous la situation ? »
Bonne réponse : comprendre l'enjeu métier, qualifier le risque, proposer des mesures qui permettent d'avancer, et si le désaccord persiste, faire porter la décision d'acceptation du risque au bon niveau, par écrit. Le RSSI éclaire la décision, il ne la confisque pas.
Signal d'alerte : un candidat qui se présente comme celui qui dit non, ou à l'inverse qui cède sans tracer la décision.
« Comment présentez-vous une cartographie des risques à des dirigeants qui n'ont pas de culture technique ? »
On attend des risques formulés en conséquences métier (arrêt de production, fuite de données clients, sanction réglementaire), une hiérarchie claire et des décisions à prendre. Un candidat qui cite EBIOS Risk Manager de l'ANSSI ou ISO 27005 doit savoir expliquer ce que la méthode lui apporte concrètement, pas seulement la nommer.
« Comment mesurez-vous les progrès de la sécurité ? »
Une réponse mûre distingue les indicateurs utiles au pilotage (délai de correction des vulnérabilités critiques, couverture des comptes à privilèges par l'authentification forte, résultats d'exercices) des chiffres décoratifs. Le candidat doit relier chaque indicateur à une décision.
Communication avec le comité de direction
« Vous avez cinq minutes devant le comité de direction pour obtenir un budget. Faites-le maintenant. »
Faites-le réellement. Vous cherchez un message court : le risque, son impact possible, la mesure proposée, son coût, et la décision attendue. Pas de jargon, pas de peur gratuite.
« Comment rendez-vous compte de l'état de la sécurité à la direction, et à quel rythme ? »
Bonne réponse : un rendu régulier, synthétique, qui montre l'évolution des risques principaux et les décisions en attente. Si vous êtes concerné par NIS2, le candidat doit savoir que la directive implique directement les organes de direction dans la gestion des risques et leur demande de se former. Notre article sur les profils à recruter pour NIS2 détaille ces obligations.
Signal d'alerte : un reporting technique de vingt pages que personne ne lit.
Gestion de crise
C'est le moment où le poste se révèle. Ne laissez pas ce thème pour la fin de l'entretien.
« Racontez la crise la plus difficile que vous avez gérée. Qu'avez-vous décidé, et qu'auriez-vous fait autrement ? »
Écoutez la chronologie, les décisions, les personnes impliquées, la communication interne et externe. Un vrai récit résiste aux relances sur un détail. Un candidat qui n'a jamais vécu de crise majeure peut le dire : il doit alors expliquer comment il s'y est préparé (exercices, procédures, astreinte).
« Un client vous signale que des données le concernant circulent en ligne. Que faites-vous dans les premières heures ? »
On attend une démarche structurée : vérifier l'information, mobiliser la cellule de crise et l'équipe de réponse à incident, préserver les éléments utiles, évaluer les obligations de notification (CNIL au titre du RGPD, autorité compétente si l'entreprise relève de NIS2), préparer la communication avec la direction et le juridique. Pour les profils qui piloteront eux-mêmes l'investigation, notre grille de questions d'entretien en réponse à incident va plus loin.
Signal d'alerte : un candidat qui veut tout faire lui-même, ou qui oublie la dimension juridique et la communication.
Conformité et réglementation
« Quels textes s'appliquent à notre entreprise, selon vous, et qu'est-ce que cela change pour le poste ? »
Le candidat doit avoir préparé l'entretien. Selon votre secteur : NIS2, DORA pour la finance, RGPD, exigences de vos clients, certification ISO 27001. Il doit surtout distinguer la conformité, qui est une obligation, de la sécurité réelle, qui est l'objectif.
« Vous préparez un premier audit de certification ISO 27001. Comment vous organisez-vous ? »
Attendus : définir un périmètre réaliste, faire une analyse d'écarts, prioriser, impliquer les métiers, éviter la documentation produite uniquement pour l'auditeur. Notre article sur ISO 27001 et les profils à recruter prolonge ce sujet.
Management, équipe et prestataires
« Comment avez-vous recruté et fait grandir votre dernière équipe ? »
Écoutez la manière dont il décrit ses collaborateurs : compétences, progression, départs. Un RSSI qui parle de son équipe avec précision a généralement su la construire.
« Vous dépendez de prestataires pour le SOC et les tests d'intrusion. Comment les pilotez-vous ? »
Bonne réponse : un cahier des charges clair, des indicateurs de service, une relecture critique des livrables, et la capacité à changer de prestataire si nécessaire. Le candidat doit savoir challenger un rapport de pentest, pas seulement le transmettre.
Profondeur technique
Un RSSI n'a pas à être le meilleur technicien de l'équipe, mais il doit pouvoir challenger un architecte, un éditeur ou un auditeur. Confiez ces questions à l'expert du panel.
« Expliquez comment un attaquant passe d'un poste de travail compromis à la prise de contrôle de l'annuaire. Quelles mesures priorisez-vous pour l'en empêcher ? »
Attendus : vol d'identifiants, comptes à privilèges trop nombreux, absence de cloisonnement, puis des mesures concrètes (modèle d'administration en tiers, authentification forte, durcissement de l'Active Directory, supervision des comptes sensibles).
« Quelles sont les grandes différences de sécurité entre un système d'information sur site et un environnement cloud ? »
On cherche la notion de responsabilité partagée, l'importance des identités et des configurations, et une lucidité sur ce que le candidat maîtrise moins.
Signal d'alerte : des mots-clés sans mécanisme, ou un refus de répondre au motif que « c'est le travail des équipes ».
Les questions que le candidat vous posera
Un bon RSSI vous évalue autant que vous l'évaluez. Attendez-vous à des questions sur le mandat, le budget, le rattachement, la raison de l'ouverture du poste et la protection qui lui est accordée quand il alerte. Préparez des réponses précises : un candidat solide qui n'obtient que des réponses floues ira ailleurs. L'absence de questions de sa part est, à l'inverse, un signal faible à noter.
Grille de synthèse
Notez chaque candidat avec la même grille, juste après l'entretien, avant d'échanger entre membres du panel.
| Thème | Ce que vous cherchez | Signal d'alerte |
|---|---|---|
| Vision | Priorités argumentées, renoncements assumés | Plan générique centré sur un outil |
| Risques | Décisions tracées, langage métier | RSSI qui dit non ou qui cède sans trace |
| Comité de direction | Message court, décision claire | Jargon, peur, rapport illisible |
| Crise | Récit précis, juridique et communication intégrés | Récit flou, gestion en solitaire |
| Conformité | Distinction entre conformité et sécurité | Documentation pour l'auditeur |
| Management | Équipe décrite avec précision | Collaborateurs absents du récit |
| Technique | Capacité à challenger les experts | Mots-clés sans mécanisme |
Compléter l'entretien par une étude de cas
Les questions révèlent le raisonnement et la posture. Elles mesurent mal la capacité à produire une feuille de route sur votre contexte réel. Une étude de cas courte, remise quelques jours avant (contexte, extrait de cartographie, contraintes de budget), puis présentée devant le panel avec un incident simulé en cours de route, comble ce manque. Si personne en interne ne peut juger la partie technique, notre guide pour structurer un entretien technique cyber vous donne des appuis.
En résumé
Une bonne grille d'entretien pour un RSSI couvre la vision et la priorisation, la gestion des risques, la communication avec la direction, la gestion de crise, la conformité, le management et une profondeur technique suffisante. Répartie entre les membres du panel, notée de la même façon pour tous et complétée par une étude de cas, elle vous permet de choisir un RSSI sur sa capacité à décider plutôt que sur son aisance en entretien.
Vous recrutez un RSSI ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité mènent chaque recherche ensemble, du cadrage du mandat à l'étude de cas, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques quand le poste l'exige. Découvrez notre méthode ou confiez-nous votre recrutement.