Recruter un architecte sécurité : profil et entretien

Recruter un architecte sécurité est l'un des recrutements cyber les plus difficiles à réussir : le titre est flou, les profils sont rares et l'erreur ne se voit souvent qu'au bout de plusieurs mois. Ce guide vous aide à définir ce que vous attendez vraiment du poste, à vérifier les bonnes compétences et à construire un entretien qui révèle la façon de raisonner du candidat.

Ce que fait un architecte sécurité

L'architecte sécurité fait en sorte que la sécurité soit pensée au moment de la conception, et non ajoutée après coup. Il intervient en amont des projets, propose des choix structurants et s'assure qu'ils restent cohérents d'un projet à l'autre.

Concrètement, ses missions tournent autour de quatre axes :

• Accompagner les projets : analyser les risques d'un nouveau service, proposer une architecture cible, valider les choix techniques avant la mise en production.
• Définir des standards : principes d'architecture, modèles de référence (authentification, exposition sur Internet, gestion des secrets, segmentation), exigences minimales pour les équipes.
• Faire évoluer le socle : identités, réseau, journalisation, chiffrement, poste de travail, avec une feuille de route réaliste.
• Conseiller la direction et le RSSI : traduire les menaces et les obligations réglementaires en décisions d'investissement.

L'architecte n'est ni un auditeur ni un administrateur. Il conçoit, il arbitre et il convainc. Sa réussite se mesure à la qualité des systèmes que d'autres construisent en suivant ses recommandations.

Trois profils derrière le même titre

Avant de rédiger l'offre, choisissez la dominante du poste. Les trois profils ci-dessous se recouvrent, mais ils n'ont ni le même parcours ni les mêmes réflexes.

Dans une entreprise de taille intermédiaire, on cherche souvent un architecte transverse, capable de couvrir les trois domaines à un niveau correct et d'aller en profondeur sur un seul. C'est un choix légitime, à condition de dire clairement lequel. Si votre besoin porte surtout sur le cloud, notre guide pour recruter un ingénieur sécurité cloud vous aidera à distinguer l'ingénieur de l'architecte.

Les compétences à vérifier

Le socle technique

Un architecte doit avoir pratiqué avant de concevoir. Vérifiez une compréhension solide des sujets suivants :

• gestion des identités et des accès, fédération, authentification forte, comptes à privilèges ;
• réseau et segmentation, exposition des services, accès distants ;
• chiffrement et gestion des clés et des secrets ;
• journalisation et capacité de détection : ce qu'une architecture permet de voir en cas d'incident ;
• principes de sécurité des applications et des API ;
• au moins un environnement cloud, même si le poste est surtout sur site.

La méthode

L'architecte doit savoir analyser des menaces de façon structurée, sans réciter un cadre théorique. Une méthode d'analyse de risque comme EBIOS Risk Manager, publiée par l'ANSSI, ou une démarche de modélisation des menaces sont des repères utiles. Ce qui compte, c'est la capacité à partir d'un besoin métier, à identifier ce qui peut mal tourner et à proposer des mesures proportionnées.

Les compétences humaines

C'est souvent là que se joue le recrutement :

• Écrire. Un dossier d'architecture clair, des décisions documentées avec leurs raisons et leurs alternatives.
• Convaincre sans autorité hiérarchique. L'architecte influence des équipes qui ne dépendent pas de lui.
• Arbitrer. Accepter un risque résiduel quand le coût d'une mesure dépasse son bénéfice, et savoir l'expliquer.
• Dire non avec une alternative. Un refus sans proposition bloque le projet et contourne la sécurité.

Où trouver ces profils

Les architectes sécurité sont rarement en recherche active. La plupart viennent de postes voisins et sont déjà bien installés.

• Ingénieurs sécurité expérimentés qui veulent passer de la mise en œuvre à la conception.
• Architectes SI ou infrastructure qui ont développé une vraie culture sécurité.
• Développeurs seniors ou spécialistes AppSec, pour les postes orientés applicatif. Notre article sur le recrutement d'un ingénieur sécurité applicative détaille ce vivier.
• Consultants en cabinet de conseil, qui ont vu de nombreuses architectures différentes et cherchent à s'inscrire dans la durée.

Un profil sans le titre d'architecte mais avec des réalisations concrètes de conception vaut souvent mieux qu'un titre sans réalisations.

Construire l'entretien

Les questions de cours ne suffisent pas à évaluer un architecte. Il faut le voir raisonner sur un cas réaliste. Voici un processus en quatre étapes.

1. Un premier échange sur le parcours, les architectures conçues ou reprises, la taille des environnements et les décisions dont le candidat est le plus fier.
2. Une étude de cas d'architecture préparée à l'avance, sans données sensibles de votre entreprise.
3. Une restitution devant un panel : un membre de l'équipe sécurité, un responsable technique ou un architecte SI, et si possible un représentant d'une équipe projet.
4. Un échange final avec le manager, souvent le RSSI, sur le mandat, la gouvernance et les perspectives.

Un exemple d'étude de cas

Proposez un scénario simple et ouvert, par exemple : « Nous lançons un portail client accessible sur Internet, connecté à notre système de facturation hébergé sur site. Les équipes veulent le déployer chez un fournisseur cloud. Proposez une architecture et expliquez vos choix. »

Laissez au candidat le temps de préparer un schéma et quelques pages. Pendant la restitution, observez s'il :

• pose des questions sur le métier et les données avant de dessiner ;
• identifie les menaces principales et les hiérarchise ;
• propose des mesures proportionnées, sans tout surprotéger ;
• explique ce qu'il a volontairement laissé de côté ;
• tient compte de l'exploitation, de la détection et du coût.

Questions utiles pendant la restitution

• « Si l'équipe projet ne peut appliquer qu'une seule de vos recommandations avant le lancement, laquelle et pourquoi ? »
• « Qu'est-ce qui, dans votre architecture, nous permettrait de détecter une compromission du portail ? »
• « Le métier refuse l'authentification forte pour les clients. Que proposez-vous ? »
• « Racontez une décision d'architecture que vous avez prise et que vous regrettez. »

Pour noter de façon équitable, appuyez-vous sur une grille commune à tout le panel. Notre guide pour évaluer les compétences en cybersécurité propose une méthode applicable ici.

Les erreurs fréquentes

• Recruter un expert d'un seul outil. L'architecte doit raisonner au-delà d'une solution ou d'un éditeur.
• Confondre architecte et chef de projet. Le suivi de planning n'est pas le cœur du poste.
• Ne donner aucun mandat. Sans place dans les instances de validation des projets, l'architecte rédige des recommandations que personne n'applique.
• Sous-estimer l'écrit. Un excellent technicien qui ne sait pas documenter ses choix laissera peu de traces utiles.
• Rattacher le poste trop loin des projets. L'architecte doit être consulté tôt, pas à la veille de la mise en production.
• Allonger le processus. Ces profils ont souvent plusieurs options. Un délai long entre les étapes fait perdre les meilleurs.

Le rattachement et le mandat

L'architecte sécurité est le plus souvent rattaché au RSSI, parfois à la direction technique ou à une cellule d'architecture d'entreprise. Chaque option a sa logique : proximité avec la gouvernance sécurité dans le premier cas, proximité avec les projets dans le second. Quel que soit le choix, écrivez noir sur blanc ce que l'architecte peut valider, refuser ou escalader. Si le poste de RSSI est lui-même à pourvoir, notre guide pour recruter un RSSI vous aidera à penser les deux rôles ensemble.

Les obligations réglementaires renforcent souvent ce besoin. Les entités concernées par la directive NIS2 doivent démontrer une démarche de gestion des risques, ce qui suppose des choix d'architecture documentés. Notre article sur les profils à recruter pour NIS2 replace l'architecte dans cet ensemble.

En résumé

Pour recruter un architecte sécurité, choisissez d'abord la dominante du poste (infrastructure, cloud ou applicatif), puis vérifiez le socle technique, la méthode d'analyse des menaces et la capacité à convaincre. Évaluez sur une étude de cas d'architecture restituée devant un panel, donnez au poste un vrai mandat et gardez un processus court.

Vous cherchez un architecte sécurité et voulez éviter une erreur de casting sur un poste aussi structurant ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre façon de travailler ou confiez-nous votre recrutement.