Recruter des profils cybersécurité dans la santé

Un établissement de santé qui recrute en cybersécurité protège bien plus que des serveurs : il protège la continuité des soins et des données parmi les plus sensibles qui soient. Les contraintes du terrain (services ouverts jour et nuit, équipements biomédicaux connectés, budgets serrés, organisations complexes) rendent ce recrutement différent de celui d'une banque ou d'un éditeur. Ce guide aide les directions, les DSI et les RSSI du secteur à choisir les bons profils, à les trouver et à les évaluer.

Ce qui rend la santé particulière

La cybersécurité en santé obéit aux mêmes principes qu'ailleurs, mais leur application est plus délicate.

La continuité des soins d'abord. Un dossier patient inaccessible, un logiciel de prescription à l'arrêt ou un laboratoire déconnecté ont des conséquences directes sur la prise en charge. Les services fonctionnent en permanence, et il n'existe pas vraiment de « fenêtre de maintenance » idéale.
Des données particulièrement sensibles. Les données de santé font partie des catégories particulières de données protégées par l'article 9 du RGPD. La CNIL publie de nombreuses ressources sur leur traitement.
Un parc hétérogène. Postes partagés entre soignants, applications métiers multiples, équipements biomédicaux connectés au réseau (imagerie, pompes, moniteurs) dont la mise à jour dépend souvent du fabricant.
Des utilisateurs sous pression. Les soignants ont besoin d'accéder vite à l'information. Une mesure de sécurité qui ralentit le soin sera contournée. La sécurité doit se construire avec eux, pas contre eux.
Des organisations imbriquées. Dans le public, les groupements hospitaliers de territoire mutualisent une partie des systèmes d'information. Dans le privé, les groupes de cliniques ont souvent une DSI centrale et des sites autonomes.

Un candidat venu d'un autre secteur peut réussir, à condition de comprendre ces réalités et d'accepter des compromis.

Le cadre qui pousse à recruter

Plusieurs textes structurent la sécurité des systèmes d'information de santé et alimentent la demande de compétences.

NIS2. La directive (UE) 2022/2555, consultable sur eur-lex.europa.eu, classe la santé parmi les secteurs hautement critiques de son annexe I, notamment pour les prestataires de soins. Notre article sur les profils à recruter pour NIS2 détaille la démarche générale.
Le RGPD. Il impose une analyse d'impact pour de nombreux traitements de données de santé et la notification des violations de données.
La certification HDS. Le Code de la santé publique encadre l'hébergement de données de santé pour le compte de tiers : les hébergeurs doivent être certifiés. Le sujet concerne directement les éditeurs de logiciels et les prestataires d'infogérance du secteur.
Le signalement des incidents. Les établissements de santé doivent signaler les incidents graves de sécurité de leurs systèmes d'information. Le CERT Santé, rattaché à l'Agence du numérique en santé, accompagne les structures concernées.

Le périmètre exact qui s'applique à votre organisation est à vérifier avec vos équipes juridiques et conformité, ainsi qu'avec les informations publiées par l'ANSSI sur cyber.gouv.fr.

Les profils dont le secteur a besoin

Tous les établissements n'ont pas besoin de tous ces postes. Le tableau aide à repérer les fonctions qui manquent.

Profil	Rôle dans un contexte de santé	Origine fréquente
RSSI d'établissement ou de groupement	Porte la politique de sécurité, arbitre avec la direction et les chefs de pôle, pilote la gestion de crise	RSSI d'un autre secteur, DSI adjoint, ingénieur sécurité confirmé
Ingénieur sécurité	Durcissement, gestion des identités et des accès, segmentation, sauvegardes, accès des prestataires	Administrateur système ou réseau, ingénieur sécurité IT
Analyste SOC ou référent détection	Surveillance, qualification des alertes, lien avec un SOC externalisé	Analyste SOC, administrateur formé à la détection
Analyste GRC	Analyse de risques, conformité NIS2 et RGPD, suivi des fournisseurs et des hébergeurs	GRC IT, qualité, contrôle interne
Référent sécurité biomédicale	Inventaire et cloisonnement des dispositifs connectés, dialogue avec les fabricants	Ingénieur biomédical formé à la sécurité, ingénieur réseau
Responsable sécurité produit chez un éditeur	Sécurité des logiciels de santé, exigences HDS, réponse aux questionnaires des clients	Ingénieur AppSec, architecte sécurité

Deux remarques. D'abord, beaucoup d'établissements de taille moyenne ne peuvent pas porter une équipe complète : un RSSI, éventuellement mutualisé, appuyé par un SOC externalisé est un schéma courant. Notre article sur le RSSI à temps partagé ou à temps plein aide à trancher. Ensuite, la sécurité biomédicale est un sujet à part entière, proche des problématiques industrielles décrites dans notre guide pour recruter des profils cyber dans l'industrie et l'OT.

Où trouver les candidats

Attendre un candidat qui connaît à la fois la sécurité, le monde hospitalier et vos logiciels métiers rallonge la recherche. Trois viviers méritent votre attention.

Les équipes informatiques du secteur

Les administrateurs systèmes et réseaux des hôpitaux et des cliniques connaissent l'environnement, les applications et les soignants. Avec un plan de formation et un référent, plusieurs d'entre eux peuvent évoluer vers la sécurité. Notre guide pour recruter des profils en reconversion s'applique largement.

Les professionnels de la sécurité venus d'autres secteurs

Ils apportent la méthode, l'outillage et la connaissance des attaques. Le risque est de transposer des pratiques pensées pour une entreprise où l'on peut couper un service quelques heures. Évaluez leur capacité d'écoute et leur sens du compromis autant que leur technique.

Les éditeurs, intégrateurs et prestataires de la santé

Les ingénieurs qui ont déployé des logiciels de santé ou accompagné des établissements connaissent les architectures et les contraintes du terrain. Certains cherchent un poste avec davantage de sens et moins de déplacements.

Évaluer sans se tromper de cible

Un bon entretien mesure trois choses : la compréhension de la continuité des soins, la solidité technique et la capacité à travailler avec des équipes non techniques. Quelques mises en situation utiles :

L'incident un vendredi soir. Un rançongiciel chiffre une partie des serveurs. Quelles sont vos premières décisions, et comment maintenez-vous les soins ? Une bonne réponse parle d'isolement, de procédures dégradées, de communication avec la direction et de signalement, pas seulement de technique.
Le dispositif médical non mis à jour. Un équipement d'imagerie tourne sur un système qui n'est plus maintenu, et le fabricant ne propose pas de correctif. Que proposez-vous ? On attend des mesures compensatoires : cloisonnement, filtrage, surveillance.
Le poste partagé. Les soignants demandent un accès sans mot de passe aux postes des services. Comment conciliez-vous rapidité et traçabilité ?
Le prestataire. Un éditeur demande un accès distant permanent pour la maintenance de son logiciel. Comment l'encadrez-vous ?

Préparez ces exercices avec quelqu'un qui connaît le terrain. Notre article pour structurer un entretien technique cyber donne la méthode, et nos questions d'entretien pour la réponse à incident complètent le premier scénario.

Convaincre les candidats

Le secteur de la santé a de vrais atouts, à condition de les présenter honnêtement.

Le sens. Protéger un hôpital, c'est protéger des patients. Beaucoup de candidats y sont sensibles.
La rémunération. Dans le public, les grilles et les statuts limitent souvent la marge de négociation. Soyez transparent dès le premier échange et mettez en avant ce qui peut compenser : stabilité, périmètre, autonomie, formation.
Les astreintes. Un établissement ouvert en permanence a besoin d'une capacité de réaction en dehors des heures ouvrées. Dites comment elle est organisée et compensée. Notre article sur le télétravail et les astreintes aide à préparer ces discussions.
Le soutien de la direction. Un candidat sérieux voudra savoir si la sécurité dispose d'un budget, d'un sponsor et d'un rattachement clair, ou si elle repose sur une seule personne.
La rapidité du processus. Les circuits de validation sont parfois longs, surtout dans le public. Un candidat courtisé ailleurs n'attendra pas plusieurs semaines entre deux entretiens. Notre article sur le délai de recrutement en cybersécurité montre où gagner du temps.

Les erreurs à éviter

Recruter sans rattachement clair. Un RSSI rattaché trop bas dans l'organisation peine à obtenir les arbitrages nécessaires face aux priorités médicales.
Oublier le biomédical. Les dispositifs connectés relèvent souvent d'un autre service que la DSI. Le futur recruté devra travailler avec les ingénieurs biomédicaux.
Exiger tout à la fois. Une annonce qui réclame gouvernance, pentest, détection, HDS et dix ans d'expérience hospitalière décourage les bons profils.
Négliger la gestion de crise. En santé, l'exercice de crise et les procédures dégradées comptent autant que les outils.
Sous-estimer l'intégration. Prévoyez une immersion dans les services de soins dès les premières semaines, pour que le recruté comprenne le quotidien des utilisateurs.

En résumé

Recruter en cybersécurité dans la santé demande des profils capables de concilier protection des données, continuité des soins et travail avec des équipes soignantes. Identifiez les fonctions qui manquent, élargissez votre sourcing aux équipes informatiques du secteur et aux professionnels d'autres horizons, et évaluez sur des scénarios qui ressemblent à votre quotidien.

Vous cherchez à renforcer la cybersécurité de votre établissement ou de votre solution de santé ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le poste avec vous et mènent la recherche ensemble. Nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques adaptés au poste. Découvrez notre méthode ou partagez votre besoin.