Entretien d’embauche responsable de la sécurité des systèmes d’information
En entretien, un futur RSSI rencontre souvent le DSI, un membre de la direction générale et parfois le directeur des risques ou le DPO. Les questions mêlent gouvernance, réglementation et gestion de crise, avec quelques vérifications techniques.
Préparez votre méthode pour les premiers mois, deux ou trois arbitrages vécus et un incident raconté avec précision et discrétion.
Les questions à préparer
01Comment construisez-vous une feuille de route de sécurité en arrivant ?
Ce que le recruteur cherche
Le recruteur veut voir votre méthode et votre capacité à prioriser avec des moyens limités.
Exemple de réponse
Je commence par comprendre ce qui fait vivre l’entreprise : ses processus critiques et ses données sensibles. Ensuite je fais un état des lieux rapide, avec les audits existants, un scan de vulnérabilités externe et des entretiens avec la DSI. Je m’appuie sur une analyse de risques pour hiérarchiser. Les premières actions portent souvent sur les fondamentaux : authentification multifacteur, sauvegardes hors ligne testées, comptes à privilèges. La feuille de route sur deux ou trois ans vient ensuite, validée par la direction avec un budget.
02Un chef de projet veut mettre en production une application avec une vulnérabilité connue. Que faites-vous ?
Ce que le recruteur cherche
Question clé sur votre capacité à arbitrer sans bloquer l’activité.
Exemple de réponse
J’évalue d’abord le risque réel : la vulnérabilité est-elle exploitable depuis Internet, quelles données sont exposées ? Si le risque est limité, je propose une mesure compensatoire, comme une restriction d’accès ou une règle de pare-feu applicatif, avec une date de correction. Si le risque est élevé, je refuse la mise en production et je l’explique par écrit au sponsor du projet. Dans tous les cas, la décision d’accepter un risque résiduel revient au responsable métier, pas à moi. Je la fais formaliser.
03Quelles sont les obligations liées à NIS 2 pour une entreprise comme la nôtre ?
Ce que le recruteur cherche
La directive NIS 2 étend fortement le nombre d’entités concernées en France. Le recruteur vérifie que vous suivez le sujet.
Exemple de réponse
NIS 2 distingue les entités essentielles et importantes selon le secteur et la taille. Si vous êtes concernés, il faudra vous enregistrer auprès de l’ANSSI, mettre en place des mesures de gestion des risques proportionnées et notifier les incidents significatifs dans des délais courts. La directive engage aussi la responsabilité des dirigeants, qui doivent être formés. Je commencerais par confirmer votre statut, puis par une analyse d’écart entre vos pratiques actuelles et les exigences. Je suivrais les précisions publiées par l’ANSSI au fil de la transposition.
04Racontez-nous un incident de sécurité que vous avez géré.
Ce que le recruteur cherche
Le recruteur évalue votre méthode de crise, votre discrétion et ce que vous en avez tiré.
Exemple de réponse
Une alerte du SOC a signalé des connexions inhabituelles sur la messagerie d’un commercial, depuis l’étranger. Nous avons bloqué le compte, réinitialisé les accès et vérifié les règles de transfert créées par l’attaquant. Il avait envoyé des factures modifiées à deux clients, que nous avons prévenus le jour même. Avec le DPO, nous avons évalué l’impact sur les données personnelles et notifié la CNIL. Ensuite, nous avons généralisé l’authentification multifacteur, qui n’était pas imposée aux commerciaux nomades.
05Comment présentez-vous les risques cyber au comité de direction ?
Ce que le recruteur cherche
Le RSSI doit obtenir des budgets. Le recruteur teste votre capacité à parler le langage des dirigeants.
Exemple de réponse
Je ne présente jamais une liste de vulnérabilités. Je parle de scénarios : arrêt de la production pendant une semaine, vol de données clients, fraude au virement. Pour chacun, j’indique la vraisemblance, l’impact estimé et ce que coûterait la réduction du risque. Je termine par deux ou trois décisions à prendre, pas plus. Le comité apprécie aussi les comparaisons avec des incidents publics dans le même secteur. Une fois par an, j’organise un exercice de crise qui rend ces scénarios concrets.
06Comment mesurez-vous l’efficacité de votre politique de sécurité ?
Ce que le recruteur cherche
Le recruteur veut savoir si vous pilotez par des indicateurs ou par l’intuition.
Exemple de réponse
Je suis un petit nombre d’indicateurs que je peux expliquer : délai de correction des vulnérabilités critiques, part des comptes protégés par authentification multifacteur, taux de sauvegardes testées en restauration, résultats des campagnes d’hameçonnage simulé. Je complète par les constats des audits et des tests d’intrusion, et par leur évolution d’une année sur l’autre. Ces indicateurs sont présentés au DSI chaque mois et à la direction deux fois par an.
07Quelle est la différence entre votre rôle et celui du DPO ?
Ce que le recruteur cherche
Les deux fonctions travaillent ensemble et sont parfois confondues. Le recruteur vérifie que vous connaissez les frontières.
Exemple de réponse
Le DPO veille à la conformité des traitements de données personnelles au RGPD : finalités, bases légales, droits des personnes, registre. Mon rôle porte sur la sécurité de tous les actifs informationnels, personnels ou non. Nous nous retrouvons sur l’article 32 du RGPD, qui impose des mesures de sécurité, et sur la gestion des violations de données. En pratique, j’évalue l’incident technique et le DPO évalue l’obligation de notification. Nous avons une procédure commune et nous nous voyons chaque mois.
08Comment sensibilisez-vous des salariés peu intéressés par la sécurité ?
Ce que le recruteur cherche
L’erreur humaine reste une porte d’entrée fréquente. Le recruteur cherche des méthodes concrètes, pas une formation annuelle obligatoire.
Exemple de réponse
Je préfère des formats courts et liés au quotidien des gens. Les campagnes d’hameçonnage simulé sont suivies d’une page d’explication de deux minutes, pas d’une sanction. J’adapte les messages : les comptables sont formés à la fraude au président, les développeurs aux vulnérabilités de leur code. J’ai aussi créé une adresse de signalement simple, et je remercie publiquement les personnes qui signalent un message suspect. Les signalements ont fortement augmenté, ce qui est un bon signe.
Les questions à poser au recruteur
- À qui le RSSI sera-t-il rattaché et aura-t-il un accès direct à la direction générale ?
- Quel budget et quelles ressources sont prévus pour la sécurité, en interne et en externe ?
- L’entreprise a-t-elle déjà vécu un incident significatif, et qu’est-ce qui a changé depuis ?
- Quels référentiels ou certifications sont attendus par vos clients ou votre régulateur ?
Votre recherche, en automatique
Lancer mon scan d’offres responsable de la sécurité des systèmes d’information
JobFast cherche les offres qui vous correspondent sur les grands sites d’emploi, note chacune sur 10 et prépare un CV et une lettre adaptés. Vous relisez, vous validez.
Sans carte bancaire · Sans compte pour commencer
Questions fréquentes
Peut-on me poser des questions très techniques ?
Oui, surtout si le DSI ou un expert sécurité participe à l’entretien. Attendez-vous à des questions sur l’authentification, la segmentation réseau, la sécurité du cloud ou l’interprétation d’un rapport de test d’intrusion. Vous n’avez pas à tout maîtriser, mais montrez que vous comprenez les enjeux et que vous savez poser les bonnes questions aux experts.
Faut-il préparer un exemple de tableau de bord ?
Ce n’est pas obligatoire, mais avoir en tête trois à cinq indicateurs que vous suivez, et savoir expliquer comment ils ont évolué, fait bonne impression. Certains candidats apportent un exemple anonymisé de tableau de bord présenté à une direction. Vérifiez qu’il ne contient aucune information confidentielle d’un ancien employeur.