Recruter un ingénieur sécurité cloud : AWS, Azure, GCP

Recruter un ingénieur sécurité cloud est devenu une priorité pour beaucoup d'entreprises qui ont migré vite, parfois plus vite que leur sécurité. Le titre recouvre pourtant des réalités très différentes selon le fournisseur, la maturité de la plateforme et l'organisation des équipes. Ce guide vous aide à cadrer le poste, à savoir quoi vérifier et à évaluer les candidats sur ce qu'ils savent réellement faire.

Définir le rôle avant de chercher un profil

« Sécurité cloud » peut désigner au moins trois métiers. Les confondre est la première cause d'échec de ces recrutements.

L'ingénieur plateforme orienté sécurité. Il construit et maintient les fondations : organisation des comptes ou abonnements, gestion des identités, réseau, journalisation centralisée, garde-fous appliqués par défaut. Il écrit beaucoup d'infrastructure as code et travaille au quotidien avec les équipes plateforme ou SRE.

L'ingénieur sécurité cloud en mode contrôle. Il évalue la posture existante, suit les écarts de configuration, priorise les corrections avec les équipes produit et alimente les échanges avec la direction ou les auditeurs. Son outil principal est souvent une solution de gestion de la posture, mais sa valeur tient à sa capacité à faire corriger.

Le profil détection et réponse cloud. Il exploite les journaux des fournisseurs, écrit des règles de détection adaptées aux services managés et sait mener une investigation sur un compte compromis. Il travaille en lien étroit avec le SOC.

Une petite structure attend souvent un mélange des trois. C'est possible, mais dites-le clairement et indiquez la dominante. Un candidat qui pense rejoindre une équipe plateforme et découvre un poste centré sur les tableaux de conformité partira rapidement.

Trois autres questions complètent le cadrage :

Quel fournisseur ? AWS, Azure et GCP partagent des principes, mais leurs modèles d'identité, de hiérarchie de ressources et de journalisation diffèrent. Un environnement multicloud demande un profil capable de raisonner au-delà d'une seule console.
Quelle maturité ? Construire les fondations d'une plateforme naissante et reprendre un existant hétérogène ne mobilisent pas les mêmes qualités.
Quelle place dans l'organisation ? Rattachement au RSSI, à la direction technique ou à l'équipe plateforme : ce choix détermine le pouvoir réel du poste à faire évoluer les pratiques.

Les compétences techniques à vérifier

Les attentes varient selon la dominante du poste, mais un socle commun se retrouve dans presque tous les cas.

Identités et droits. C'est le cœur de la sécurité cloud. Le candidat doit comprendre les politiques d'accès, les rôles, les identités de service, la fédération avec l'annuaire de l'entreprise et le principe du moindre privilège appliqué concrètement.
Organisation des environnements. Séparation des comptes, abonnements ou projets, politiques appliquées à l'échelle de l'organisation, gestion des environnements de production et de test.
Réseau cloud. Segmentation, points d'accès privés aux services managés, exposition sur Internet, filtrage et passerelles.
Journalisation et détection. Savoir quels journaux activer, où les centraliser, combien de temps les conserver et ce qu'on peut y chercher en cas d'incident.
Protection des données. Chiffrement, gestion des clés, gestion des secrets, stockage exposé par erreur.
Infrastructure as code. Lire et écrire du code d'infrastructure, intégrer des contrôles de sécurité dans les chaînes de déploiement plutôt que corriger à la main après coup.
Conteneurs et Kubernetes, si votre plateforme les utilise : isolation des charges, droits des comptes de service, sécurité des images.

Le tableau ci-dessous vous aide à concentrer l'évaluation selon le rôle recherché.

Rôle dominant	À vérifier en priorité	Signal faible à surveiller
Plateforme orientée sécurité	Conception des identités et de l'organisation, infrastructure as code, garde-fous préventifs	Corrige tout à la main dans la console, sans traçabilité
Contrôle et posture	Priorisation des écarts, compréhension du risque réel, capacité à faire corriger	Ne sait pas expliquer pourquoi une alerte de configuration compte ou ne compte pas
Détection et réponse cloud	Journaux des fournisseurs, scénarios d'attaque cloud, investigation sur un compte	Transpose les réflexes d'un réseau sur site sans tenir compte des services managés

Les compétences qu'on oublie de vérifier

Le modèle de responsabilité partagée

Un bon candidat sait expliquer, service par service, ce qui relève du fournisseur et ce qui relève de vous. Cette compréhension évite deux erreurs symétriques : croire que le fournisseur sécurise tout, ou vouloir tout contrôler soi-même au point de bloquer les équipes.

Travailler avec les développeurs

Dans le cloud, la sécurité passe par les équipes qui déploient. L'ingénieur doit proposer des modèles réutilisables, des contrôles automatiques compréhensibles et des exceptions encadrées. Un profil qui ne sait que refuser ou ouvrir des tickets aura peu d'effet sur la posture réelle.

Arbitrer entre sécurité, coût et vitesse

Activer tous les journaux, chiffrer avec des clés gérées par l'entreprise, isoler chaque application : chaque mesure a un coût financier et opérationnel. Demandez au candidat comment il priorise. Sa réponse en dit long sur sa maturité.

Comprendre les obligations réglementaires

Selon votre secteur, la directive NIS2, les exigences de vos clients ou une démarche de qualification d'un hébergeur peuvent peser sur la plateforme. Le candidat n'a pas à être juriste, mais il doit savoir traduire une exigence en contrôles concrets. Notre article sur les profils à recruter pour NIS2 détaille ces besoins.

Évaluer par la pratique

Les certifications des fournisseurs cloud montrent un effort et une connaissance de la plateforme, mais une partie de ces examens repose sur des questionnaires. Notre article sur les certifications en recrutement explique comment les lire. Pour mesurer la pratique, rien ne remplace une mise en situation.

Un processus efficace tient en quatre étapes :

Un premier échange sur le parcours, les fournisseurs pratiqués, la taille des environnements gérés et la dominante souhaitée.
Un exercice pratique en temps limité sur un environnement de test dédié, jamais sur votre production : un compte volontairement mal configuré à analyser et à durcir, ou un extrait d'infrastructure as code à relire.
Une revue avec un pair : le candidat explique ses priorités, ce qu'il a laissé de côté et comment il aurait fait accepter les corrections par les équipes.
Un échange final avec le manager sur l'organisation, les astreintes éventuelles et les perspectives.

Voici quelques questions utiles pour la revue avec un pair :

« On vous confie un compte cloud inconnu. Que regardez-vous dans la première heure ? »
« Une équipe a besoin d'un accès large pour avancer vite. Comment l'encadrez-vous sans la bloquer ? »
« Une clé d'accès a été publiée par erreur dans un dépôt public. Quelles sont vos actions, dans quel ordre ? »
« Comment empêcher qu'un stockage soit exposé publiquement, plutôt que de le détecter après coup ? »

Pour construire une grille de notation équitable, consultez notre guide pour évaluer les compétences en cybersécurité. Si le poste comporte une part offensive, la section cloud de nos questions d'entretien pour un pentester peut compléter l'exercice.

Les erreurs qui coûtent cher

Recruter sur une liste de certifications. Elle filtre des candidats solides qui ont appris en production et laisse passer des profils qui n'ont jamais géré un environnement réel.
Exiger les trois fournisseurs à un niveau expert. Cherchez une vraie maîtrise de votre fournisseur principal et la capacité à apprendre les autres.
Confondre administrateur cloud et ingénieur sécurité cloud. Le premier fait fonctionner la plateforme, le second la rend plus difficile à compromettre. Les deux se recouvrent, mais le niveau d'exigence en sécurité n'est pas le même.
Isoler le poste. Sans lien avec les équipes plateforme et produit, l'ingénieur produit des rapports que personne n'applique.
Écarter les profils venus d'ailleurs. Des administrateurs système, des ingénieurs DevOps ou des développeurs deviennent d'excellents ingénieurs sécurité cloud. Notre guide pour recruter des profils en reconversion explique comment évaluer ce potentiel.
Laisser traîner le processus. Ces profils sont sollicités. Un processus long et sans retour entre les étapes vous fait perdre les candidats que vous aviez retenus.

Ce qui attire un bon ingénieur sécurité cloud

La rémunération compte, mais d'autres éléments pèsent souvent autant dans la décision :

un mandat clair et le soutien de la direction pour faire évoluer les pratiques ;
une plateforme où l'automatisation est encouragée, avec du temps pour construire plutôt que seulement contrôler ;
l'accès à des environnements de test et un budget pour se former et passer des certifications ;
des relations de travail saines avec les équipes plateforme et produit ;
une organisation transparente sur les astreintes et le télétravail.

Présentez ces éléments dès le premier échange, avec la même précision que les exigences techniques.

En résumé

Pour recruter un ingénieur sécurité cloud, choisissez d'abord la dominante du poste (plateforme, contrôle ou détection), le fournisseur principal et la place du rôle dans l'organisation. Vérifiez les identités et les droits, la journalisation, l'infrastructure as code et la capacité à travailler avec les développeurs. Évaluez sur un environnement de test dédié, suivi d'une discussion avec un pair, et gardez un processus court.

Vous cherchez un ingénieur sécurité cloud et voulez éviter une erreur de casting ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous, puis nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques proches de votre environnement. Découvrez notre façon de travailler ou confiez-nous votre recrutement.