Évaluez vos besoins en compétences

Vous venez d'être nommé Responsable de la Sécurité des Systèmes d'Information (RSSI) au sein du groupe Téraveo, une ETI en pleine transition numérique. Face à une montée des cybermenaces, votre équipe actuelle est sous-dimensionnée. Vous devez recruter pour soulager vos experts, mais avant de publier une offre précipitée et générique, vous devez identifier concrètement vos manques. Dans ce chapitre, vous posez les fondations de votre stratégie en analysant les écarts entre les compétences actuelles et les objectifs de sécurité de votre entreprise.

Diagnostiquez vos activités et anticipez vos besoins

La plupart des managers ont déjà une idée du profil qu'ils cherchent avant même d'avoir posé le diagnostic. Mais sur quelle base repose-t-elle vraiment ? Comment s'assurer de l'absence d'angles morts ou, à l'inverse, de critères inutiles ? C'est souvent là que le recrutement commence à dérailler.

Tout commence par un diagnostic rigoureux de votre situation actuelle.

Évaluez de manière pragmatique les activités de votre équipe en vous posant ces questions clés pour caractériser vos besoins :

1. Quelles sont vos thématiques prioritaires ? (Sécurité des développements, durcissement des infrastructures, pilotage des mises en conformité...).

2. Quel est votre contexte technologique ? (Cloud, on-premise, Windows, Mac, Mainframes, SI industriels...).

3. Quels processus sont déjà bien rodés ? (Analyses de risques, sensibilisation, scans de vulnérabilités...).

4. Lesquels restent encore à défricher ? (Gestion des risques fournisseurs, gestion des vulnérabilités...).

5. Quelles compétences sont déjà présentes au sein de votre entreprise ? (gouvernance, audit, sécurité opérationnelle…).

Ensuite, jaugez le niveau de maturité de chacun de vos processus actuels. Cette maturité détermine directement le type de profil à rechercher. Trois cas de figure se présentent alors.

Le cas des activités nécessitant une double compétence (Cloud, DevOps, Juridique, IA, SI Industriels…) est en augmentation constante. Ici, le profil idéal a déjà une expérience hors cyber et a acquis des compétences cyber via de la formation continue (upskilling) voire une reconversion complète (reskilling). Nous l’appellerons le “junior expérimenté”. La compétence cyber s'acquiert ; le bagage métier, comportemental ou technique, lui, est déjà là. Un développeur en reconversion cyber sera ainsi bien plus aligné avec les équipes et pertinent qu'un cyber senior qui n'a jamais écrit une ligne de code.

Enfin, il y aura toujours de nouveaux terrains à défricher et des chantiers à structurer. Pour ceux-là, vous avez besoin de quelqu'un qui a déjà débroussaillé et qui apporte la méthode autant que les bras : des professionnels de la cybersécurité expérimentés, qui apporteront leur vécu et leurs bonnes pratiques, déjà éprouvées ailleurs.

Ce diagnostic couvre vos besoins actuels. Mais pour recruter avec un coup d’avance, il reste une dernière dimension à intégrer : recenser les exigences réglementaires et technologiques à venir, non pas comme une contrainte administrative, mais comme un signal de recrutement.

Identifiez les compétences et connaissances requises

Vous avez cartographié vos missions, évalué votre maturité, identifié vos activités clés. Vous savez quoi confier à votre futur collaborateur et avez une idée de l’expérience préalable attendue. L'étape qui coince vient généralement ensuite : traduire ces activités en compétences et connaissances précises. Sans ce travail, on recycle les offres précédentes, on empile les compétences au cas où, on oublie des prérequis implicites… et on finit par rédiger une annonce qui décourage voire écarte les bons profils autant qu'elle attire les mauvais.

C'est ici que les référentiels de compétences, et notamment l'ECSF (European Cybersecurity Skills Framework) publié par l'ENISA, entrent en jeu.

L'ECSF ne catégorise pas par diplôme, ni par familles de métiers, mais propose 12 profils de rôles standardisés. Au total, pas moins de 125 tâches, 83 compétences et 67 connaissances y sont recensées et structurées pour dresser le portrait-robot de chaque rôle :

• La synthèse marché : titre, titres alternatifs, résumé du rôle

• Le quotidien en entreprise : missions, livrables, tâches

• Les bagages nécessaires : compétences, connaissances

Au lieu d'inventer vos propres critères pour décrire le profil dont vous avez besoin, piochez dans cette base !

Concentrez-vous en priorité sur trois blocs :

• Via le diagnostic déjà effectué des activités à confier, vous identifierez facilement les Tâches correspondantes dans l’ECSF (ce que la personne fait au quotidien)

• Les Compétences (ce qu'elle doit maîtriser) : ces compétences couvrent à la fois les savoir-faire techniques et les capacités comportementales.

• Les Connaissances

Il est important de souligner que l'ECSF intègre nativement des compétences comportementales.

En piochant dans cette base, ne traitez pas ces compétences comportementales comme une rubrique bonus à cocher après les savoir-faire techniques. L'humilité, la curiosité, la diplomatie, la capacité de vulgarisation ou la pensée critique ou encore l’éthique professionnelle sont souvent ce qui fait la différence opérationnelle. Accordez-leur autant de poids dans votre sélection.

Contextualisez l’expression de vos besoins

La sélection terminée, il reste une étape essentielle : contextualiser. L'ECSF a été conçu pour rester agnostique de toute technologie ou organisation. C'est ce qui garantit sa durabilité, sa portée européenne et surtout sa simplicité d’usage. Ses profils sont génériques par nature, et c'est une force : ils laissent la place à votre réalité.

Votre travail ici : traduire les composants génériques retenus en exigences concrètes, propres à votre contexte. Trois dimensions à renseigner :

• Stack technique : quels outils, plateformes ou environnements spécifiques à votre organisation ?

• Référentiels applicables : quelles normes, directives ou méthodes s'imposent dans votre secteur ?

• Contexte organisationnel : quelle organisation, quels interlocuteurs, quelles procédures internes ?

Par exemple, "Utiliser les outils et techniques d'audit" devient ainsi "Maîtriser les outils GRC (ex : CISO Assistant) et conduire des audits selon l'ISO 27001 et l'ISO 27701" dans votre contexte. “Surveiller les systèmes d’information” devient “Qualifier les alertes de niveau 1 sur ELK selon les fiches réflexes de l’équipe”. Ou encore “Évaluer les risques de sécurité” se précise et se transforme en “Animer des analyses de risques selon EBIOS RM dans un contexte NIS2”.

À vous de jouer !

Contexte

Le groupe Téraveo dispose d'un SOC interne depuis 18 mois, avec deux analystes. Le volume d'alertes de niveau 1 a doublé en un an. Vos deux analystes passent 40 % de leur temps sur des tâches de qualification et de tri qui pourraient être confiées à un profil junior — au détriment d'investigations plus complexes et de l'amélioration continue du SOC. Vous avez besoin de renfort sur le niveau 1.

Consigne

• Réalisez le diagnostic des besoins de votre équipe pour justifier la création d'un poste d'Analyste SOC (Security Operations Center) auprès de votre direction.

• Appuyez-vous sur la nomenclature de l'ECSF pour structurer le besoin.

En résumé

• Évaluez de manière pragmatique les activités de votre équipe et la maturité de vos processus pour déterminer si le besoin requiert un profil junior ou expérimenté.

• Appuyez-vous sur des référentiels reconnus comme l'ECSF pour modéliser précisément les compétences et connaissances exigées, sans chercher le "mouton à cinq pattes".

• L'ECSF intègre nativement des compétences comportementales (diplomatie, gestion du stress) qui s'avèrent souvent plus déterminantes que l'expertise technique pure en situation de crise.

• Anticipez les compétences de demain en traduisant les exigences réglementaires et opportunités technologiques en activités concrètes.

• Formalisez votre besoin en utilisant la bonne taxonomie : Tâches, Compétences et Connaissances.

Ce travail de fond est la clé du succès. Dans le prochain chapitre, nous allons voir comment passer de la modélisation à la rédaction concrète pour bâtir une offre d'emploi redoutablement efficace.