Recruter des profils cyber dans l'industrie et l'OT

Un industriel qui recrute en cybersécurité ne cherche pas tout à fait les mêmes personnes qu'une banque ou un éditeur de logiciels. Ses lignes de production tournent sur des automates conçus pour durer des décennies, la disponibilité passe avant tout, et une erreur de manipulation peut toucher la sécurité des personnes. Ce guide aide les directions industrielles et les RSSI à choisir les bons profils, à les trouver et à les évaluer sans se tromper de cible.

Pourquoi l'OT change la donne

L'OT (operational technology) désigne les systèmes qui pilotent le monde physique : automates programmables, supervisions SCADA, interfaces homme-machine, réseaux de terrain, systèmes de sécurité instrumentés. Les sécuriser obéit à des règles différentes de celles de l'informatique de gestion.

La disponibilité d'abord. Arrêter une ligne pour appliquer un correctif peut coûter une journée de production. Les fenêtres de maintenance sont rares et planifiées longtemps à l'avance.
Des équipements anciens. Il n'est pas rare de croiser des systèmes d'exploitation qui ne sont plus maintenus, impossibles à mettre à jour sans requalifier toute l'installation.
La sécurité des personnes. Une action mal maîtrisée sur un automate peut avoir des conséquences physiques. Un scan réseau agressif, banal en informatique de gestion, peut perturber un équipement fragile.
Des propriétaires multiples. Le réseau industriel appartient souvent à la production ou à la maintenance, pas à la DSI. Les intégrateurs et les fournisseurs d'équipements disposent fréquemment d'accès à distance.

Ces contraintes ne disqualifient pas les profils venus de l'IT, mais elles imposent une posture : écouter les équipes de production, comprendre les procédés avant de proposer des mesures, et accepter des compromis.

Le cadre qui pousse à recruter

Plusieurs textes et référentiels structurent le sujet et alimentent la demande de compétences.

NIS2. La directive (UE) 2022/2555, disponible sur eur-lex.europa.eu, couvre l'énergie, l'eau ou les transports parmi les secteurs hautement critiques, et plusieurs branches de la fabrication parmi les autres secteurs critiques. De nombreux industriels entrent ainsi dans son périmètre pour la première fois. Notre article sur les profils à recruter pour NIS2 détaille la démarche générale.
Les guides de l'ANSSI. L'agence publie sur cyber.gouv.fr une méthode de classification et des mesures détaillées pour la cybersécurité des systèmes industriels.
La série IEC 62443. Ce référentiel international organise la sécurité des systèmes d'automatisation par zones et conduits, avec des niveaux de sécurité et des exigences distinctes pour l'exploitant, l'intégrateur et le fabricant.
Le Cyber Resilience Act. Pour les industriels qui fabriquent eux-mêmes des produits connectés, il ajoute des obligations côté produit. Voir notre article sur les profils à recruter pour le Cyber Resilience Act.

Le périmètre exact qui s'applique à votre entreprise est à vérifier avec vos équipes juridiques et conformité.

Les profils dont un industriel a besoin

Peu d'industriels ont besoin de tous ces postes. Le tableau sert à repérer ceux qui manquent.

Profil	Rôle dans un contexte industriel	Origine fréquente
RSSI ou responsable cybersécurité groupe	Porte une politique commune à l'IT et à l'OT, arbitre avec les directeurs de site	RSSI IT ayant travaillé avec la production, ingénieur OT devenu manager
Ingénieur sécurité OT	Cartographie, segmentation, durcissement, accès distants des intégrateurs	Automaticien, ingénieur réseau industriel, ingénieur sécurité IT formé à l'OT
Architecte sécurité	Conçoit le cloisonnement entre IT et OT, valide les nouveaux projets d'usine connectée	Architecte réseau ou sécurité, intégrateur
Analyste SOC avec visibilité OT	Exploite les sondes de détection industrielles, qualifie les alertes avec les sites	Analyste SOC formé aux protocoles industriels
Analyste GRC	Analyse de risques, conformité NIS2, alignement sur IEC 62443 et les guides ANSSI	GRC IT, qualité, sûreté de fonctionnement
Correspondant cybersécurité de site	Relais local, sensibilisation, suivi des actions sur le terrain	Responsable maintenance ou automatisme volontaire, formé en interne

Deux remarques. D'abord, le correspondant de site n'est généralement pas un recrutement externe : c'est une personne de l'usine à qui l'on donne du temps et une formation. Ensuite, l'ingénieur sécurité OT est le poste le plus rare et le plus disputé. Il fera l'objet d'un guide dédié dans le Journal.

Pour la logique d'ensemble (par quel poste commencer, quoi externaliser), voir notre article sur la construction d'une équipe sécurité.

Où trouver les candidats

Le vivier de spécialistes de la sécurité OT confirmés est étroit. Attendre le candidat parfait, à la fois expert en automatisme et en cybersécurité, rallonge souvent la recherche sans garantie de résultat. Trois viviers complémentaires méritent votre attention.

Les automaticiens et ingénieurs process

Ils connaissent les automates, les procédés et la culture de l'usine. Ils ont la confiance des équipes de production. Il leur manque souvent les bases de la sécurité réseau, de la gestion des identités et de la détection. Ces compétences s'apprennent, à condition de prévoir un plan de montée en compétences et un référent. Notre guide pour recruter des profils en reconversion s'applique largement.

Les ingénieurs sécurité IT

Ils apportent la méthode, l'outillage et la connaissance des attaques. Le risque est l'excès de zèle : appliquer en atelier les réflexes de l'informatique de gestion. Évaluez leur capacité d'écoute et leur curiosité pour le procédé autant que leur technique.

Les intégrateurs et fournisseurs d'équipements

Les ingénieurs d'intégrateurs connaissent de nombreux sites et de nombreuses architectures. Ils sont souvent tentés de passer chez un exploitant pour gagner en stabilité et réduire les déplacements. C'est un argument à mettre en avant.

Évaluer sans se tromper de cible

Un entretien OT réussi mesure trois choses : la compréhension des contraintes industrielles, la solidité technique en sécurité et la capacité à travailler avec la production. Quelques mises en situation utiles :

Le correctif impossible. Une vulnérabilité critique touche une supervision, mais la prochaine fenêtre d'arrêt est dans plusieurs mois. Que proposez-vous en attendant ? Une bonne réponse parle de mesures compensatoires (cloisonnement, filtrage, surveillance renforcée), pas seulement du correctif.
L'accès distant du fournisseur. Un fournisseur demande un accès permanent pour la télémaintenance. Comment l'encadrez-vous ?
La cartographie. Comment inventorier les équipements d'un site sans perturber la production ? On attend une préférence pour l'écoute passive et la concertation avec les automaticiens.
La lecture d'un schéma. Présentez une architecture simplifiée d'usine et demandez où placer les frontières de zones et les points de contrôle.

Ces exercices se préparent avec quelqu'un qui connaît le terrain. Notre article pour structurer un entretien technique cyber donne la méthode générale, et notre guide pour évaluer les compétences au-delà du CV explique comment bâtir des mises en situation qui ressemblent au poste.

Convaincre les candidats de rejoindre un site

Les candidats en cybersécurité ont souvent plusieurs options. L'industrie a de vrais atouts, à condition de les présenter honnêtement.

L'impact concret. Protéger une ligne de production, une station de traitement d'eau ou un réseau d'énergie a un sens que beaucoup de candidats recherchent.
La localisation et les déplacements. Les sites sont parfois éloignés des grandes métropoles. Dites clairement où se trouve le poste, la part de déplacements entre sites et ce qui peut se faire à distance.
Les horaires. Les interventions se font souvent pendant les arrêts programmés, parfois le week-end. Annoncez-le dès le premier échange, avec les compensations prévues. Notre article sur le télétravail et les astreintes aide à préparer ces discussions.
Le soutien de la direction. Un candidat sérieux voudra savoir si la sécurité OT dispose d'un budget et d'un sponsor, ou si elle repose sur une seule personne face à des directeurs de site réticents.

Les erreurs à éviter

Recruter un profil purement IT sans le préparer. Sans immersion sur site et sans relais en production, il risque de se heurter aux équipes dès les premières semaines.
Rattacher le poste au seul site. Un ingénieur sécurité OT isolé dans une usine, sans lien avec le RSSI groupe, peine à faire avancer les sujets transverses.
Exiger tout à la fois. Une annonce qui réclame IEC 62443, cinq marques d'automates, la détection, le pentest et la gouvernance décourage les bons candidats.
Oublier les intégrateurs. Une partie de votre sécurité dépend d'eux. Le futur recruté devra savoir les piloter et leur imposer des règles d'accès.
Sous-estimer le délai. Les profils OT confirmés sont rares. Anticipez, et envisagez la montée en compétences d'un profil proche.

En résumé

Sécuriser l'industrie demande des profils capables de concilier sécurité, disponibilité et sécurité des personnes. Commencez par identifier les fonctions qui manquent, élargissez votre sourcing aux automaticiens, aux ingénieurs IT curieux et aux intégrateurs, et évaluez sur des cas qui ressemblent à vos ateliers. Un recrutement bien cadré vaut mieux qu'une longue attente du candidat idéal.

Vous cherchez à renforcer la cybersécurité de vos sites industriels ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques adaptés au poste. Découvrez notre méthode ou partagez votre besoin.