Recruter son premier profil cyber dans une PME

Dans une PME, la sécurité repose souvent sur la DSI, un prestataire d'infogérance et la bonne volonté de quelques personnes. Le jour où ce n'est plus suffisant, le premier recrutement cyber devient un pari délicat : personne en interne ne peut évaluer le candidat, et le poste n'existe encore que dans les têtes. Ce guide vous aide à choisir le bon profil, à écrire une offre crédible, à évaluer sans être expert et à préparer l'arrivée de cette première recrue.

Les signaux qui justifient un premier poste

Recruter trop tôt mène à un poste vide de sens. Recruter trop tard, c'est souvent après un incident. Plusieurs signaux montrent que le moment est venu.

• Les questionnaires de sécurité de vos clients s'accumulent et personne n'a le temps d'y répondre sérieusement.
• La DSI arbitre la sécurité entre deux urgences : correctifs, sauvegardes, droits d'accès passent après la production.
• Vous dépendez entièrement de prestataires sans personne en interne pour vérifier ce qu'ils font.
• Une réglementation vous concerne désormais, par exemple NIS2 si votre secteur et votre taille entrent dans son champ. Notre article sur les profils à recruter pour NIS2 détaille ces obligations.
• Vous avez frôlé l'incident : compte compromis, rançongiciel évité de justesse, fuite de données chez un fournisseur.

Si un ou deux de ces signaux sont présents, un premier poste se justifie. S'ils sont tous là, il est déjà en retard.

Quel profil pour une première embauche

La tentation est de chercher un RSSI. Dans beaucoup de PME, ce n'est pas le bon premier poste : un RSSI sans équipe ni budget finit par produire des politiques que personne n'applique. À l'inverse, un analyste junior isolé manque de recul pour prioriser. Le premier profil doit savoir à la fois décider et faire.

Pour la plupart des PME, l'ingénieur sécurité généraliste ou le responsable sécurité opérationnel sont les meilleurs points de départ. Si le pilotage stratégique vous manque aussi, un RSSI à temps partagé peut l'apporter en complément. Notre article RSSI à temps partagé ou à temps plein vous aide à choisir la formule.

Junior, confirmé ou senior ?

Un premier profil cyber travaille seul, sans pair pour relire ses choix. Un junior sans encadrement aura du mal à progresser et à se faire entendre de la direction. Visez plutôt un profil confirmé, capable de poser un état des lieux, de défendre ses priorités et d'expliquer simplement les risques. Un profil en reconversion venant de l'administration système ou du réseau peut convenir s'il a déjà pratiqué la sécurité sur le terrain. Notre guide pour recruter des profils en reconversion explique comment les évaluer.

Écrire une offre qui attire les bons candidats

Les candidats expérimentés lisent une offre de PME avec une question en tête : « Vais-je avoir les moyens d'agir ? » Une offre vague, qui empile les certifications et les outils, fait fuir les meilleurs.

Une bonne offre de premier poste précise :

1. Le contexte : taille du SI, cloud ou sur site, prestataires en place, ce qui existe déjà en sécurité.
2. Les trois ou quatre chantiers prioritaires de la première année, formulés concrètement.
3. Le rattachement : direction générale ou DSI. Un rattachement à la direction donne du poids aux arbitrages.
4. Les moyens : budget pour des outils, recours possible à des prestataires, temps de formation.
5. Ce qui ne sera pas attendu : pas de SOC à monter seul, pas d'astreinte permanente sans contrepartie.
6. Les conditions : télétravail, déplacements, éventuelles astreintes.

Assumez le fait d'être le premier poste. Pour beaucoup de profils, construire la sécurité d'une entreprise de zéro est une perspective attirante, à condition que la direction s'engage réellement.

Évaluer sans expert en interne

C'est la difficulté principale. Sans personne pour poser les bonnes questions techniques, l'entretien se transforme vite en conversation agréable qui ne prouve rien.

Ce que vous pouvez évaluer seul

• La capacité à prioriser : présentez votre contexte et demandez au candidat ce qu'il ferait les trois premiers mois. Un bon profil pose des questions avant de proposer des solutions.
• La pédagogie : demandez-lui d'expliquer un risque concret comme s'il parlait à votre comité de direction.
• Le réalisme : méfiez-vous des plans qui commencent par l'achat d'outils coûteux sans état des lieux.
• L'autonomie : faites-le parler d'une situation où il a dû avancer sans consignes claires.

Ce qu'il faut faire vérifier

Les compétences techniques doivent être observées, pas seulement racontées. Un exercice pratique sur un environnement réaliste, une revue de configuration ou une analyse de journaux révèle en une heure ce qu'un entretien ne montre pas. Si vous n'avez pas l'expertise pour concevoir et juger cet exercice, faites-vous accompagner par un praticien de la sécurité. Notre article sur l'évaluation des compétences au-delà du CV détaille les méthodes utiles.

Un processus court et clair

Les bons profils ont souvent plusieurs pistes en parallèle. Un processus resserré joue en votre faveur :

• un premier échange avec la personne qui sera son responsable direct ;
• un exercice pratique ou une étude de cas sur votre contexte ;
• une rencontre avec la direction générale, pour vérifier l'engagement réciproque ;
• une décision rapide, avec un retour argumenté dans tous les cas.

Préparer l'arrivée et les premiers mois

Un premier profil cyber qui arrive dans une organisation non préparée perd ses premières semaines à chercher des accès et des interlocuteurs. Préparez le terrain avant son arrivée.

• Les accès : inventaire des actifs, consoles d'administration, contrats des prestataires, documentation existante.
• Les interlocuteurs : un sponsor à la direction et un binôme à la DSI.
• Les attentes écrites : ce qui doit être livré à trois, six et douze mois, par exemple un état des lieux, une feuille de route priorisée, puis les premiers chantiers menés à terme.
• Un rendez-vous régulier avec la direction pour arbitrer les priorités et débloquer les moyens.

Les chantiers des premiers mois sont souvent les mêmes : cartographier les actifs et les accès, vérifier les sauvegardes et leur restauration, généraliser l'authentification multifacteur, reprendre la main sur les comptes à privilèges, préparer une procédure de réponse à incident. Le guide d'hygiène informatique publié par l'ANSSI sur cyber.gouv.fr offre une base solide pour structurer ce travail.

Les erreurs les plus fréquentes

• Chercher un mouton à cinq pattes : expert technique, juriste, manager et commercial à la fois.
• Recruter sans budget : le poste devient un alibi et la recrue part vite.
• Rattacher le poste trop bas : sans accès à la direction, les arbitrages se perdent.
• Évaluer sur le CV et les certifications seulement, sans observer le candidat en situation.
• Laisser la recrue seule face aux urgences dès la première semaine, sans temps pour l'état des lieux.

En résumé

Le premier profil cyber d'une PME doit savoir décider et faire. Le plus souvent, c'est un ingénieur sécurité généraliste ou un responsable sécurité opérationnel confirmé, rattaché assez haut pour peser. L'offre doit montrer les moyens réels, l'évaluation doit observer le candidat en situation, et l'arrivée doit être préparée avec des attentes écrites. C'est ce qui transforme un pari en fondation durable.

Vous préparez votre premier recrutement en cybersécurité ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité vous aident à définir le poste et à évaluer les candidats, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou parlez-nous de votre besoin.