Comment les professionnels qui préviennent les crises sauvent votre organisation… sans que personne ne le remarque.
Dans une organisation française moyenne, combien de crises ont été évitées cette semaine ? Combien de conflits ont été désamorcés avant même d’exister ? Combien de risques ont été neutralisés avant que quiconque ne les identifie comme des menaces ?
La réponse est simple : vous ne le saurez jamais.
Et c’est précisément le problème.
En 2024, l’ANSSI a traité 4 386 événements de sécurité, soit une augmentation de 15% par rapport à 2023. Parmi ces incidents, 1 361 ont impliqué un acteur malveillant confirmé. Ces chiffres impressionnants mesurent ce qui s’est passé. Mais personne ne comptabilise ce qui ne s’est pas passé grâce à ces professionnels qui œuvrent dans l’ombre, ces équilibristes qui maintiennent la cohésion organisationnelle en anticipant les failles avant qu’elles ne deviennent des gouffres.
Le paradoxe du succès invisible
Imaginez un responsable de la sécurité des systèmes d’information qui, chaque matin, consacre deux heures à analyser les vulnérabilités potentielles de son infrastructure. Il identifie une faille dans la configuration d’un serveur de développement, la corrige discrètement, et passe à autre chose. Aucune attaque ne se produira. Aucun collaborateur ne sera impacté. Aucune alerte ne retentira.
Cette action aura économisé à l’entreprise des dizaines, voire des centaines de milliers d’euros. Elle aura peut-être même sauvé la réputation de l’organisation. Mais personne ne le saura jamais.
C’est le paradoxe fondamental du travail d’anticipation : son succès se mesure à l’absence d’événements mesurables.
Dans un contexte où 60% des cyberattaques en France sont initiées par du phishing et où le coût moyen d’une violation de données pour une PME s’élève à 130 000 euros, ces professionnels de l’ombre jouent un rôle crucial. Pourtant, lors de la prochaine revue annuelle, ce responsable devra justifier sa valeur avec des indicateurs tangibles. Comment quantifier une catastrophe évitée ? Comment mesurer l’impact d’un incident qui n’a jamais eu lieu ?
L’art de gérer les équilibres sans disposer de toutes les cartes
L’anticipation efficace en cybersécurité ne repose pas sur une information exhaustive. C’est d’ailleurs là une des illusions les plus dangereuses du secteur : croire qu’on peut tout prévoir si on a suffisamment de données.
La réalité est bien différente.
Les professionnels qui excellent dans l’anticipation savent qu’ils travaillent toujours avec une information partielle, fragmentée, parfois contradictoire. Selon les données de l’OPIIEC, 56% des professionnels de la cybersécurité ont été recrutés via le marché caché, ce qui témoigne d’une industrie où les informations circulent autant par les canaux informels que formels.
Ces équilibristes de l’organisation ont développé une compétence rare : prendre des décisions éclairées en acceptant de ne jamais disposer de l’exhaustivité des informations. Ils collectent des éléments factuels, certes, mais aussi des signaux faibles, des intuitions fondées sur l’expérience, des retours d’équipes qui ne sont pas toujours objectifs.
Cette capacité à naviguer dans l’incertitude tout en maintenant les équilibres organisationnels représente une forme d’intelligence particulière. Elle demande :
- L’humilité de reconnaître ses angles morts : savoir qu’on ne sait pas tout, et que c’est acceptable
- La capacité à synthétiser des informations hétérogènes : techniques, humaines, politiques, financières
- Le courage de trancher malgré l’incertitude : l’inaction par peur de se tromper est souvent plus coûteuse qu’une décision imparfaite
- L’agilité pour ajuster en continu : l’anticipation n’est pas une prédiction figée, mais un processus dynamique
Les études sur les compétences en cybersécurité le confirment : les soft skills comme la gestion du stress, l’adaptabilité et la capacité de résolution de problèmes complexes sont devenues aussi critiques que les connaissances techniques. Comme le souligne Gérard Le Comte, directeur de Programmes Cyber à la Société Générale : “Nous devons faire oublier notre image de RSSI policier et accompagner les métiers dans la création de valeur.”
Anticiper, ce n’est pas prédire : c’est créer les conditions de la résilience
Il existe une confusion fréquente entre anticipation et prédiction. Les professionnels qui anticipent efficacement ne sont pas des devins. Ils ne prétendent pas savoir ce qui va se passer. Ils créent les conditions pour que l’organisation soit résiliente, quelle que soit la nature de la menace.
Cette nuance est fondamentale.
Face aux 4 386 événements de sécurité traités par l’ANSSI en 2024, personne n’aurait pu prédire avec précision la nature exacte de chaque attaque, son vecteur, sa sophistication. En revanche, les organisations les mieux préparées avaient mis en place des dispositifs permettant de réagir efficacement, quelle que soit la menace.
L’anticipation efficace ressemble davantage à de la préparation olympique qu’à de la voyance :
- Identifier les scénarios probables sans prétendre connaître le scénario exact
- Renforcer les maillons faibles avant qu’ils ne lâchent
- Créer des redondances pour que la défaillance d’un élément ne compromette pas l’ensemble
- Entraîner les équipes à réagir dans l’incertitude
- Établir des protocoles clairs sans les rendre rigides au point de devenir contre-productifs
Cette approche demande une forme d’intelligence émotionnelle souvent sous-estimée dans les environnements techniques. Nicolas Vielliard, responsable cybersécurité chez Danone, le résume ainsi : “L’empathie est une soft skill importante. Les collaborateurs ne sont pas malveillants. Ils ont juste besoin d’appui pour réaliser leurs propres enjeux opérationnels.”
L’ingénierie sociale : quand l’humain devient le maillon central
Si nous parlons d’anticipation et de gestion des équilibres, impossible d’éviter le sujet de l’ingénierie sociale. Car contrairement à ce que les représentations médiatiques véhiculent, la cybersécurité n’est pas qu’une affaire de pare-feu et d’algorithmes.
C’est d’abord une question d’humains.
Le phishing, qui représente 60% des cyberattaques en France et initie 45% des incidents en entreprise, exploite principalement des failles psychologiques plutôt que techniques. L’attaquant ne cherche pas à forcer une porte verrouillée : il convainc quelqu’un de la lui ouvrir.
Face à cette réalité, les profils capables d’anticiper les risques liés à l’ingénierie sociale possèdent des compétences qui dépassent largement le cadre technique :
- Compréhension des dynamiques psychologiques : comment les individus prennent des décisions sous pression, comment les biais cognitifs peuvent être exploités
- Capacité à communiquer efficacement : transformer des concepts complexes en messages accessibles sans infantiliser
- Intelligence situationnelle : identifier les contextes où la vigilance baisse (fin de journée, périodes de forte charge, urgences simulées)
- Empathie opérationnelle : comprendre les contraintes réelles des collaborateurs plutôt que de leur imposer des procédures irréalistes
Ces compétences ne s’apprennent pas uniquement dans les formations techniques traditionnelles. Elles se développent souvent dans des contextes professionnels très différents : gestion de crise en milieu hospitalier, négociation commerciale, management d’équipes multiculturelles, enseignement, accompagnement social.
C’est d’ailleurs précisément pour cette raison que les profils atypiques représentent une richesse inexploitée pour le secteur de la cybersécurité.
Le problème du recrutement traditionnel : chercher des clones au lieu de chercher des compétences complémentaires
Lorsqu’un cabinet de recrutement cybersécurité traditionnel publie une offre, elle ressemble souvent à ceci :
“Recherche ingénieur cybersécurité, Bac+5 école d’ingénieur, 5 ans d’expérience minimum, certifications CISSP et CEH obligatoires, maîtrise de Python, connaissance approfondie des frameworks de sécurité…”
Cette approche n’est pas absurde en soi. Elle cible des profils parfaitement légitimes et compétents.
Le problème ? Elle rate sans doute tout une partie des professionnels capables d’exceller dans la gestion des équilibres et l’anticipation des risques humains.
Les chiffres le confirment : selon l’Observatoire des métiers de la cybersécurité, 33% des professionnels cyber viennent de l’informatique hors cyber, et 16% viennent d’un autre domaine. Plus frappant encore, seulement 33% des professionnels en poste disposent d’un diplôme en cybersécurité, et 37% d’une certification spécialisée. Plus de 40% n’ont ni l’un ni l’autre.
Cela signifie qu’une part significative des professionnels actuellement en poste dans la cybersécurité française aurait été éliminée d’emblée par les critères de recrutement classiques.
Pendant ce temps, le secteur peine à recruter : 15 000 postes vacants actuellement, avec 25 000 postes supplémentaires à créer d’ici 2028 pour atteindre l’objectif de 70 000 professionnels. La pénurie ne se résorbe pas, et pour cause : on cherche des profils identiques dans un vivier trop restreint au lieu d’ouvrir le recrutement à des compétences complémentaires.
Quand un cabinet de recrutement cybersécurité doit aussi devenir un cabinet d’accompagnement au changement
Face à ce paradoxe, le rôle d’un cabinet de recrutement cybersécurité évolue nécessairement. Chez Rehackt, nous avons fait le constat suivant : recruter des talents ne suffit plus. Il faut aussi accompagner les organisations à les accueillir.
Car le véritable blocage ne se situe pas uniquement du côté des candidats. Il se trouve également du côté des entreprises qui ne savent pas comment intégrer des profils différents de leurs équipes actuelles.
Prenons l’exemple concret d’une infirmière en reconversion vers la cybersécurité. Son parcours lui a appris à :
- Gérer des situations de crise avec des informations partielles
- Communiquer avec des interlocuteurs divers (patients anxieux, médecins pressés, familles en détresse)
- Prioriser les urgences sans disposer de toutes les données médicales
- Maintenir son sang-froid sous pression constante
- Traduire un jargon technique en langage accessible
- Anticiper les complications avant qu’elles ne deviennent critiques
Ces compétences sont-elles pertinentes pour gérer une campagne de sensibilisation à la sécurité informatique ? Pour déployer une politique de gestion des incidents ? Pour accompagner une transformation organisationnelle vers plus de résilience numérique ?
Absolument.
Le problème n’est pas que cette candidature soit inadaptée. Le problème est qu’un recruteur traditionnel ne saura pas traduire ces compétences en termes de valeur ajoutée pour l’organisation. Et que l’organisation cliente ne saura pas créer les conditions d’intégration permettant à ce profil d’exprimer son potentiel.
C’est précisément là qu’un cabinet de recrutement cybersécurité spécialisé dans les profils atypiques intervient différemment. Notre rôle chez Rehackt ne se limite pas à présenter des CV. Il consiste à :
- Identifier les compétences transférables qui ne sont pas immédiatement évidentes
- Traduire les parcours atypiques en langage compréhensible pour les organisations
- Accompagner les entreprises à adapter leurs processus d’intégration
- Former les managers à évaluer les soft skills autant que les hard skills
- Créer les conditions pour que les profils en reconversion puissent monter en compétences techniques sans être immédiatement rejetés
Cette approche demande plus de temps, plus d’investissement, plus d’écoute que le recrutement transactionnel classique. Mais elle répond à une réalité du marché : les entreprises qui attendront d’avoir le candidat parfait attendront longtemps. Celles qui sauront développer les talents disponibles prendront une longueur d’avance.
Les soft skills ne sont pas des compétences secondaires : elles sont stratégiques
L’évolution du secteur le démontre : les compétences comportementales sont passées du statut de “plus” sympathique au statut d’exigence stratégique.
Le CESIN et le CLUSIF, deux associations majeures de professionnels de la cybersécurité en France, ont organisé en 2022 une table ronde entièrement dédiée à la question : “Comment le RSSI doit-il se former aux soft skills ?” Cette question aurait été impensable il y a dix ans. Elle est désormais centrale mais pas toujours suivie.
Les témoignages des professionnels confirment cette évolution. Nicolas Vielliard, de Danone : “Dans les années 2000, le RSSI était un job de cadre mais il était rare d’atteindre le niveau de cadre supérieur. Aujourd’hui, il est possible d’accéder à des postes de direction non pas grâce à nos connaissances techniques mais à nos soft skills.”
Gérard Le Comte, de la Société Générale : “Les RSSI devraient être davantage présents dans des boards et davantage communiquer avec le CEO. La communication passe désormais avec des interlocuteurs au-delà de ceux issus de la filière de formations numériques.”
Cette reconnaissance institutionnelle des soft skills valide ce que nous observons sur le terrain : les professionnels capables d’anticiper les risques, de gérer les équilibres organisationnels et de maintenir la cohésion autour des enjeux de sécurité sont ceux qui font véritablement la différence.
Les compétences les plus valorisées aujourd’hui incluent :
- Communication et pédagogie : transformer le jargon technique en langage accessible
- Leadership et influence : convaincre sans imposer, fédérer autour d’objectifs communs
- Esprit d’équipe et collaboration : travailler avec des profils divers, parfois en tension
- Résilience et gestion du stress : tenir dans la durée face à une pression constante
- Adaptabilité et curiosité : évoluer dans un secteur qui se transforme en permanence
- Diplomatie et négociation : arbitrer entre sécurité et opérationnalité
Ces compétences se développent rarement dans un cursus d’ingénieur classique. Elles s’acquièrent sur le terrain, dans la confrontation à des situations complexes où l’humain prime sur la technique.
Les organisations qui réussissent : celles qui valorisent l’invisible
Certaines organisations ont compris l’enjeu. Elles ont cessé de mesurer leurs équipes de sécurité uniquement sur les incidents traités, et commencent à valoriser le travail d’anticipation.
Comment procèdent-elles ?
En changeant leurs métriques de performance. Plutôt que de compter uniquement les attaques détectées, elles évaluent :
- Le niveau de maturité de la culture de sécurité (à travers des audits réguliers)
- Le temps de détection potentiel d’une menace (via des exercices simulés)
- La qualité des relations entre équipes techniques et métiers
- L’engagement des collaborateurs dans les formations de sensibilisation
- La rapidité de déploiement des correctifs sur les vulnérabilités identifiées
Ces indicateurs restent imparfaits. Mais ils reconnaissent au moins que le travail de prévention a de la valeur, même s’il ne produit pas d’événements spectaculaires.
Ces organisations investissent également dans le développement des compétences de leurs équipes. Selon l’Observatoire des métiers, 64% des professionnels estiment bénéficier de suffisamment de temps pour se former, et 79% sont satisfaits du contenu des formations suivies. Mais paradoxalement, un tiers des professionnels n’a suivi aucune formation en cybersécurité en 2024.
Le potentiel de progression est donc considérable, particulièrement pour accompagner les profils en reconversion qui ont besoin de monter en compétences techniques tout en capitalisant sur leurs soft skills existantes.
Le rôle particulier de l’accompagnement dans la durée
L’intégration d’un profil atypique dans une équipe de cybersécurité ne se décrète pas. Elle se construit, se nourrit, s’ajuste.
C’est là qu’un cabinet de recrutement cybersécurité comme Rehackt se distingue des approches transactionnelles classiques. Notre travail ne s’arrête pas à la signature du contrat. Il se poursuit pendant les premiers mois, voire la première année, pour garantir que :
- Le candidat dispose des ressources pour monter en compétences techniques sans se sentir illégitime
- L’équipe comprend la valeur ajoutée apportée par un parcours différent
- Le manager sait comment tirer parti des compétences complémentaires
- L’organisation ajuste ses processus pour intégrer effectivement la diversité des profils
Cette approche demande du temps. Elle demande aussi une expertise qui dépasse le simple sourcing de CV. Elle exige une compréhension fine des dynamiques organisationnelles, des résistances au changement, des leviers de transformation.
Mais elle produit des résultats mesurables. Les équipes diversifiées, composées de profils issus d’horizons variés, démontrent une meilleure capacité à anticiper les risques humains, à communiquer efficacement avec l’ensemble de l’organisation, et à maintenir les équilibres nécessaires entre sécurité et opérationnalité.
Les secteurs sous-investis : l’opportunité d’une différenciation
Si les grandes entreprises du CAC40 et les géants de la tech attirent plus naturellement les profils les plus expérimentés, des pans entiers de l’économie française peinent à recruter en cybersécurité.
Selon l’ANSSI, 69% des organisations ciblées par les attaques sont des entreprises, suivies par les collectivités territoriales (20%) et les établissements de santé. Pourtant, ces deux derniers secteurs rencontrent d’immenses difficultés à attirer des talents.
C’est précisément dans ces environnements que les profils en reconversion peuvent exceller.
Une collectivité territoriale n’a pas les mêmes ressources qu’un grand groupe. Elle ne peut pas aligner des salaires à six chiffres. Mais elle peut offrir :
- Un sens profond de la mission de service public
- Une diversité des projets supérieure aux environnements hyperspécialisés
- Une proximité avec les impacts concrets des actions menées
- Une autonomie et une responsabilisation plus rapides
Pour un professionnel en reconversion qui cherche à apporter sa contribution à la sécurité numérique tout en développant une expertise polyvalente, ces environnements représentent une opportunité exceptionnelle.
Les établissements de santé, de leur côté, partagent avec les professionnels de santé en reconversion un langage commun, une culture de la gestion de crise, une compréhension des enjeux de confidentialité. Une infirmière devenue responsable de la sécurité informatique d’un hôpital ne partira pas de zéro : elle connaît déjà les contraintes opérationnelles, les résistances culturelles, les urgences qui ne peuvent pas attendre.
Chez Rehackt, nous considérons ces secteurs non pas comme des défis de recrutement insurmontables, mais comme des opportunités de faire matcher des profils qui ne trouveraient pas leur place ailleurs avec des organisations qui ont besoin de talents immédiatement opérationnels sur les aspects humains de la cybersécurité.
Au-delà du recrutement : construire l’écosystème de demain
La cybersécurité française a besoin de 25 000 professionnels supplémentaires d’ici 2028. Elle n’y parviendra pas en continuant à recruter uniquement des diplômés Bac+5 des grandes écoles d’ingénieurs.
Elle y parviendra en :
- Élargissant les critères de recrutement pour intégrer des profils divers
- Valorisant les soft skills autant que les compétences techniques
- Accompagnant les reconversions avec des parcours de formation adaptés
- Créant les conditions d’intégration dans les organisations
- Reconnaissant le travail d’anticipation plutôt que de mesurer uniquement les incidents traités
Cette transformation ne se fera pas spontanément. Elle nécessite des acteurs engagés : des cabinets de recrutement qui acceptent de dépasser la logique transactionnelle, des organismes de formation qui construisent des parcours pour les reconversions, des organisations qui acceptent d’ajuster leurs processus d’intégration.
Chez Rehackt, nous ne prétendons pas révolutionner le secteur à nous seuls. Mais nous contribuons, à notre échelle, à cette transformation nécessaire. En valorisant les profils atypiques. En accompagnant les organisations à les accueillir. En traduisant les parcours non linéaires en compétences exploitables. En défendant l’idée qu’un bon professionnel de la cybersécurité n’est pas uniquement celui qui maîtrise Python et les frameworks de sécurité, mais aussi celui qui sait maintenir les équilibres, anticiper les risques humains, et créer les conditions de la résilience organisationnelle.
Conclusion : l’invisible a plus de valeur qu’on ne le pense
Les professionnels qui excellent dans l’anticipation et la gestion des équilibres ne feront jamais la une des journaux. Leurs succès ne se traduiront pas en trophées spectaculaires. Ils ne pourront pas exhiber de tableaux de bord impressionnants lors des comités de direction.
Mais ils sauveront votre organisation.
Ils détecteront la faille de configuration avant qu’elle ne soit exploitée. Ils identifieront le signal faible qui annonce une campagne de phishing ciblée. Ils interviendront auprès d’un collaborateur tenté de contourner une procédure de sécurité par commodité. Ils maintiendront le dialogue entre les équipes techniques et les métiers pour que la sécurité ne devienne pas un frein à l’activité.
Ce travail invisible, non mesurable, souvent sous-évalué, constitue pourtant la colonne vertébrale de la cybersécurité efficace.
Face aux 4 386 événements de sécurité traités par l’ANSSI en 2024, aux 1 361 incidents confirmés impliquant des acteurs malveillants, aux 60% d’attaques initiées par phishing, nous avons besoin de ces équilibristes. Nous avons besoin de professionnels capables d’anticiper, de communiquer, de fédérer, de maintenir la cohésion.
Ces compétences ne sont pas l’apanage des diplômés des grandes écoles. Elles se trouvent chez des professionnels issus d’horizons divers : soignants, enseignants, militaires, managers, travailleurs sociaux. Des parcours qui ont développé cette capacité rare à gérer les équilibres sans disposer de toutes les cartes, à prendre des décisions éclairées dans l’incertitude, à anticiper les complications avant qu’elles ne surviennent.
Le secteur de la cybersécurité a le choix. Continuer à chercher des clones dans un vivier trop restreint. Ou ouvrir ses portes à des talents complémentaires qui apporteront précisément ce qui manque : la dimension humaine, relationnelle, psychologique de la sécurité des systèmes d’information.
Chez Rehackt, nous avons fait notre choix. Nous recrutons des équilibristes.
Rehackt est un cabinet de recrutement cybersécurité spécialisé dans l’identification et l’accompagnement de profils atypiques. Notre mission : aider les organisations à construire des équipes de cybersécurité résilientes en valorisant autant les soft skills que les compétences techniques. Parce que la meilleure défense ne se trouve pas uniquement dans le code : elle se trouve dans l’humain.
Sources :
- ANSSI, Rapport d’activité 2024
- ANSSI, Panorama de la cybermenace 2024
- OPIIEC, Besoins en compétences, emplois et formations en matière de cybersécurité en France
- Observatoire des métiers de la cybersécurité (ANSSI, AFPA, DGEFP), édition 2025
- CESIN x OpinionWay, Baromètre 2025
- Ellisphere, Cybersécurité en entreprise : bilan 2023 et tendances 2024
- RH Matin, “Quand la cybersécurité se met à identifier les soft skills pour les RSSI”
Laisser un commentaire