"Gentlemen, you had my curiosity. But now you have my attention."
Quentin (Tarantino), Django Unchained
J'ai partagé des opinions sur le recrutement de profils cybersécurité dans de petites équipes. Cela correspond à mon expérience : budget limité, nécessité d'être au four et au moulin.
D'un profil senior, j'attends typiquement :
-
niveau métier adéquat : produire les livrables standards avec rigueur
-
apprentissage rapide : cibler les normes, régulations et spécificités culturelles du client pour parler son langage day 1
-
autonomie stratégique et proactivité : questionner l'adéquation des objectifs tactiques avec les enjeux business, et pivoter vite quand la situation change (on ne laisse pas poireauter un commercial qui attend une réponse sécurité pour un AO majeur parce qu'un audit de surveillance a lieu en parallèle)
Selon moi, une appétence pour la technique fait un meilleur professionnel de la cybersécurité, mais ce n'est pas nécessaire dans de nombreux domaines de notre industrie.
Ma méthode : les livrables make-or-break. Caveat emptor : c'est un dispositif de collecte d'information riche sur le profil => la situation "break" est très rare et signale un pipeline de recrutement défaillant à plusieurs niveaux.
Durant l'onboarding, je confie plusieurs livrables faciles. Par exemple : rédiger une politique de sensibilisation sur un périmètre restreint, avec plan de communication et de déploiement. Deadline généreuse, difficulté basse pour que l'information remontée soit utile. Barre initiale facile à passer, plafond très haut. Ce que j'observe :
-
le niveau technique. La campagne de sensibilisation est un exercice universel, mais qui se doit d'être hautement spécifique selon les postes ciblés et l'industrie. Cela demande une compréhension de la culture, des enjeux et des risques de l'organisation.
-
la proactivité et l'autonomie : rendu immédiat dès la tâche complétée ? communication en cours de route, identification et association des parties prenantes ?
L'IA accessible et performante facilite grandement l'analyse et la rédaction de livrables de qualité. Dans ces conditions, quelle valeur ont ces tests non surveillés ?
Un modèle ne peut ancrer son raisonnement dans la réalité de l'entreprise sans un prompting significatif : un prompt contextuel efficace (structuré, concis ) recoupe fortement la capacité à communiquer. Juger ensuite de l'adéquation de l'output aux enjeux business est le facteur différenciant => un modèle n'a pas de responsabilité légale, son utilisateur et l'entreprise si.
Structurer les inputs et auditer les outputs => ces compétences transfèrent directement au briefing sous contrainte de temps, à la vérification de la compréhension et à l'alignement des conclusions avec la réalité de l'organisation.
Ce sont mes prérequis pour coordonner une cellule de crise. Toute indication de ces compétences, construites ou potentiellement developpables, attire mon attention.