NIS2 a fait passer la sécurité d'un sujet technique à une responsabilité de direction devant être démontrée. Ce déplacement change les profils dont les organisations ont besoin, pas seulement le volume de travail.
Démarrer une conversationLa directive exige une gouvernance démontrable : gestion des risques, supervision des fournisseurs, notification d'incident dans des délais serrés. C'est du GRC. Mais notifier en 24 heures suppose de détecter, ce qui relève du detection engineering. Ceux qui ne recrutent que pour le premier besoin découvrent l'écart lors du premier incident réel.
Des spécialistes GRC capables d'écrire une politique, il en existe. Ceux qui savent traduire une mesure technique en affirmation auditable, et l'inverse, sont rares. Côté technique, la pénurie ne porte pas sur la connaissance des outils mais sur la capacité à régler la détection pour qu'une équipe d'astreinte ne se noie pas dans les faux positifs.
Séparez le rôle avant de le publier. Décidez s'il vous faut des preuves pour l'auditeur ou de la capacité face à un attaquant, puis recrutez délibérément pour chacun. Et vérifiez tôt les disponibilités : dans cette niche, un bon candidat discute déjà avec deux autres organisations.
Un opérateur néerlandais avait besoin d'un SOC qui comprenne l'OT, pas seulement les alertes IT.
Cas : un consultant Business Continuity Management pour un grand assureurUn grand assureur cherchait depuis des mois un consultant BCM compatible avec un budget medior.
Lire un marché IT spécialisé avant d'ouvrir un posteLa plupart des retards de recrutement se jouent avant la publication de l'annonce.