À l’intention des consultants en recrutement de cadres ayant pour mission de pourvoir des postes de direction dans le domaine de la sécurité
À l’attention des recruteurs et des cabinets de recrutement : les postes pour lesquels je suis le profil recherché, et ceux pour lesquels je ne le suis pas
Les recruteurs sont très occupés, tout comme moi ; voici donc la page que j’aimerais trouver si j’étais à votre place. Les postes que j’envisagerais sérieusement, les organisations où je m’épanouirais, les situations où ce ne serait pas le cas, et ce qu’il faut m’envoyer pour que je puisse vous donner une réponse sincère en un jour plutôt qu’une réponse polie dans une semaine.
Postes que j’envisagerais
Responsable de la sécurité des systèmes d’information. Directeur ou responsable de la sécurité, des Opérations de sécurité ou de l’ingénierie de sécurité. Direction de programmes ou de transformations pour une fonction de sécurité devant évoluer. Versions intérimaires ou à temps partiel de l’un de ces postes. Rôles de conseil de haut niveau auprès de conseils d’administration, d’investisseurs ou de dirigeants. Et des fonctions au sein du gouvernement ou d’organisations au service du gouvernement, où j’ai passé une bonne partie de ma carrière.
Mes points forts
Les organisations pour lesquelles la sécurité est indissociable de leur droit d’exercer leur activité ou de leur produit : secteurs réglementés, infrastructures critiques, institutions publiques, toute entité traitant des données sensibles ou confrontée à des adversaires redoutables. Des équipes de direction désireuses de connaître la vérité, aussi dérangeante soit-elle, et prêtes à agir en conséquence. Des postes dotés d’une réelle autorité : un parcours menant au conseil d’administration, le droit d’interrompre les activités, un budget qui ne peut être discrètement réaffecté. Des équipes qu’il faut constituer ou restructurer. Des incidents qui ne sont pas encore résolus.
Dans quels cas je ne serais pas le bon candidat
Une fonction de sécurité dont la seule raison d’être est de produire des documents de conformité, et rien d’autre. Un poste relevant d’un supérieur évalué sur ses résultats, sans aucun lien direct avec le conseil d’administration. Une organisation qui souhaite que son responsable de la sécurité confirme que tout va bien. Une culture où les décisions se prennent dans les couloirs et où les répétitions sont considérées comme du théâtre. Si le mandat correspond à l’une de ces descriptions, épargnons-nous à tous les deux cet appel ; s’il semble correspondre mais que le client souhaite changer les choses, dites-le-moi et je vous écouterai.
Ce que j’apporte, en bref
Trente ans d’expérience à la tête de la sécurité ; une vingtaine d’années de pratique dans la réponse aux incidents et les opérations ; un doctorat en génie informatique axé sur la cybersécurité, l’IA et l’utilisation criminelle de la technologie ; une formation en droit ; et une longue expérience en tant qu’expert en la matière auprès d’entreprises de premier plan, de start-ups, de particuliers fortunés, d’ONG, ainsi que des gouvernements américains et alliés, du niveau municipal au niveau national. Auteur de *Boxing Einstein*. Une grande partie de mon travail est soumise à un accord de confidentialité (NDA), et je ne publie pas de chronologie de mes emplois, de lieux de travail ni de détails relatifs à mes habilitations de sécurité ; nous aborderons en privé les points nécessaires.
Ce qu’il faut m’envoyer
Le poste, la hiérarchie, les pouvoirs qui y sont associés, la taille de l’équipe et le budget, la raison pour laquelle le poste est à pourvoir, ainsi que les trois résultats attendus au cours de la première année. Grâce à ces informations, je peux vous dire rapidement si cela vaut la peine que votre client y consacre du temps. Si elles ne me sont pas fournies, je vous les demanderai.
Ce que j’ai écrit à ce sujet.
Lisez-les avant notre entretien, si vous le souhaitez. Il s’agit de la version détaillée de l’argumentation.
- Recherche : Comment un conseil d’administration peut-il vérifier que la gestion des risques cybernétiques s’améliore ?
- Recherche : Comment savoir si votre SOC est réellement efficace ?
- Court Responsable de la sécurité des systèmes d’information (RSSI) à temps plein ou à temps partagé : comment faire votre choix ?
- En bref : Que doit accomplir un nouveau RSSI au cours de ses 90 premiers jours ?
Travaux connexes.
Autres façons dont je travaille avec moi-même sur ces mêmes problématiques.
- Recrutez un RSSI qui a dirigé la réponse, et pas seulement rendu compte de celle-ci. Un responsable de la sécurité qui a géré des incidents de violation, mis en place des opérations de sécurité et effectué des briefings pour les conseils d’administration. Voici ce que j’apporterais à ce poste et les situations dans lesquelles je ne serais pas à ma place.
- Recrutez un directeur de la cybersécurité qui met en place les opérations, et non pas celui qui se contente de créer des diapositives à ce sujetUn leadership de niveau directionnel pour les opérations de sécurité, l’ingénierie ou les programmes, assuré par une personne ayant déjà exercé les mêmes fonctions que l’équipe.
- Un Responsable de la sécurité de l'information (RSSI) par intérim qui assure la continuité pendant que vous recrutez le bon candidat. Une responsabilité totale en matière de sécurité pendant une période définie, afin que le processus de recrutement puisse prendre le temps nécessaire pour trouver le bon candidat.
- Un conseiller auprès du dirigeant chargé de prendre les décisions, et non de l’équipe chargée de la mise en œuvre. Un jugement indépendant pour la personne qui signe : que demander, que croire, que décider et que dire au conseil d’administration.
Discutez d’un poste de direction.
Parlez-moi du poste, de l’organisation et de ce que la première année doit apporter. Je vous dirai rapidement si cela me convient.
Une grande partie de ce que j’ai accompli ne peut être décrite en public, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.
- Consultants en recrutement sous contrat avec un RSSI, un directeur ou un responsable de mandat.
- Partenaires spécialisés dans la gestion des talents au sein d’organisations qui recrutent des cadres supérieurs en sécurité.
- Les conseils d’administration et les PDG qui préfèrent se passer d’intermédiaire et communiquer directement.