Excellez dès le premier jour dans votre nouveau poste en cybersécurité
Alors, vous êtes un ingénieur sécurité qui vient d’obtenir le poste que vous recherchiez depuis un moment. Félicitations ! Et maintenant ?
D’abord, félicitez-vous et savourez ce succès – vous l’avez mérité. La recherche d’emploi est quasiment un travail à plein temps. Mais une fois le premier jour arrivé dans votre nouveau rôle, il s’agit de démarrer sur les chapeaux de roues et de vous positionner pour un succès à court et long terme.
À quoi cela ressemble-t-il pour les Ingénieurs Sécurité, Analystes Sécurité et rôles similaires ? Nous avons récemment demandé à un expert en sécurité – Himanshu Anand, Analyste Sécurité chez l’entreprise de cybersécurité c/side – de partager quelques conseils sur l’intégration au sein d’une nouvelle équipe et d’une nouvelle organisation. Anand a longtemps exercé comme analyste ou ingénieur sécurité, avec des passages chez des entreprises comme Cloudflare, Symantec et JPMorgan Chase.
Un principe clé à retenir : apprendre les aspects techniques du poste n’est qu’une partie de l’équation. « Les 90 premiers jours pour les ingénieurs sécurité servent à comprendre à la fois les éléments techniques et humains de votre nouvelle organisation, ainsi que votre place au sein de celle-ci, » partage Anand. « J’ai appris que, si les compétences techniques en sécurité sont bien sûr essentielles, la réussite dépend aussi de votre compréhension des contextes métier sous-jacents et de votre capacité – parfois aussi de votre rapidité – à tisser des liens entre les équipes. »
Dans cet article, je vais vous proposer des conseils concrets et accessibles pour démarrer fort lors des 90 premiers jours en poste. Commençons d’abord par définir le rôle.
Qu’est-ce qu’un ingénieur sécurité ?
Nous utilisons ici l’intitulé Ingénieur Sécurité, mais les mêmes conseils peuvent aussi s’appliquer à d’autres rôles associés, comme Analyste Sécurité, Analyste Cybersécurité, Analyste SOC, etc.
Pour appuyer ce point, vous pouvez trouver une description limpide du rôle sur le site d’emploi Glassdoor – sous l’intitulé « Ingénieur Sécurité des Systèmes d’Information » :
« Les ingénieurs sécurité planifient, conçoivent, construisent et intègrent les outils et systèmes utilisés pour protéger les informations et équipements électroniques. Ils mettent en place des dispositifs pour collecter des informations sur les incidents de sécurité et leurs impacts. Ils peuvent développer des indicateurs ou des procédures pour évaluer l’efficacité des systèmes et tactiques employés, et aussi intervenir dans la création de supports de formation. Ils construisent également l’infrastructure nécessaire au déploiement de ces systèmes et processus. »
En résumé, les ingénieurs sécurité sont en première ligne pour défendre les organisations contemporaines contre un ensemble dynamique de risques cyber. Ce poste est plus essentiel que jamais : il peut donc aussi être bien rémunéré. Le site d’emploi Tech Built In estime le salaire moyen d’un Ingénieur Sécurité aux États-Unis à 129 059 $. La localisation, l’expérience et d’autres facteurs peuvent logiquement faire varier ce montant.
Voyons plus de recommandations.
Les 30 premiers jours
Une fois les formalités RH réglées, les premiers jours et semaines se résument à un apprentissage continu. Quelle que soit votre expérience précédente, il s’agit d’une nouvelle organisation : personnes, processus, outils, infrastructures, etc.
Conseil n°1 : Concentrez-vous sur les bases et progressez à partir de là.
« Si je considère ces 30 premiers jours en tant que nouvel arrivant, je me concentrerais fortement sur l’apprentissage des fondamentaux : les actifs stratégiques de votre entreprise, les outils clés et, peut-être surtout, la façon dont les différentes équipes aiment vraiment travailler, » explique Anand.
Dans les aspects techniques du poste, n’hésitez pas à prendre en charge des « petites tâches » : cela permet de se familiariser avec la stack technologique de votre nouvel employeur et avec les actifs dont vous devrez assurer la sécurité. (Cette discussion Reddit sur l’intégration en tant que staff engineer – un autre poste, certes, mais toujours dans le domaine IT – pointe aussi qu’accepter un travail parfois ingrat montre aux collègues que votre ego n’est pas trop imposant pour franchir la porte.)
Cet aspect humain peut sembler délicat pour certains. Votre courbe d’apprentissage doit aussi intégrer les dimensions humaines de votre nouvelle entreprise – mais comment s’y prendre ? Une partie de cet apprentissage vient avec le temps, mais il existe des moyens de l’accélérer. Voici un exemple spécifique tiré de l’expérience d’Anand.
Conseil n°2 : Rencontrez les équipes non techniques pour comprendre leurs objectifs et méthodes de travail.
« Je prends toujours le temps d’échanger avec les équipes non liées à la sécurité afin de comprendre leur façon de travailler, » rapporte Anand. « Comprendre de quels outils et processus dépendent les équipes commerciales ou marketing – que ce soit Dropbox, le travail sur des réseaux publics, etc. – m’aide à planifier l’équilibre entre les contraintes de sécurité et la continuité des opérations métier. »
Conseil n°3 : Préparez-vous à des discussions et débats sur les fournisseurs et les outils.
Anand fait également remarquer que les discussions autour des fournisseurs, des outils et des meilleures pratiques semblent inévitablement survenir et revenir lorsque de nouvelles personnes – c’est vous – rejoignent l’équipe. Accueillez-les à bras ouverts : c’est une bonne occasion de partager votre expertise et vos expériences tout en rencontrant vos collègues et en apprenant plus en profondeur sur l’entreprise – d’autant plus que les professionnels de la sécurité (et ceux de l’IT en général) ont souvent, eh bien, des opinions très affirmées sur le sujet.
« Je me retrouve souvent à discuter avec les fournisseurs dès les deux premières semaines, » affirme Anand. « La plupart des ingénieurs en sécurité arrivent avec des opinions bien arrêtées sur les outils de sécurité basées sur leur expérience précédente, et partager ces points de vue dès le début peut être précieux pour l’équipe. N’oubliez tout simplement pas de rester ouvert à la compréhension des raisons ayant mené à certains choix dans votre nouvel environnement. »
Les 60 premiers jours
Une fois que vous savez suffisamment de choses pour ne pas risquer de faire fondre les serveurs de votre entreprise ou de générer accidentellement une facture cloud exorbitante, vous pouvez commencer à assumer plus de responsabilités avec confiance.
À cette étape, Anand donne la priorité aux tâches et aux projets – vous pouvez commencer petit, puis y ajouter des projets de taille moyenne ou grande – qui font le lien avec les objectifs stratégiques et les priorités de l’organisation.
Astuce n°4 : Appropriez-vous le travail qui est directement lié aux objectifs de l’entreprise.
Cela peut aller du travail minutieux d’affinage des alertes à la révision des configurations en passant par l’identification d’éventuelles failles de sécurité. N’écartez pas une tâche sous prétexte qu’elle est « trop petite » : si cela a de l’importance pour l’entreprise, cela compte ici aussi.
C’est une occasion d’accélérer votre compréhension de l’organisation tout en harmonisant votre rôle et votre travail avec la mission globale.
« Profitez de cette période pour approfondir comment votre travail peut s’aligner avec ce que valorise le plus votre nouvelle organisation, » précise Anand.
Les 90 premiers jours
Durant la phase finale de la période classique des trois premiers mois d’un « nouvel embauché », il est temps de mettre en pratique ce que vous avez appris – non seulement lors des 60 premiers jours dans la nouvelle organisation, mais aussi tout au long de votre carrière.
Astuce n°5 : Soyez proactif dans la mise en application de vos compétences et de votre expertise.
En règle générale, il n’est jamais très apprécié qu’un nouveau venu commence, dès le deuxième jour, à dire à tout le monde qu’ils font tout de travers – ce n’est vraiment pas idéal. Cela ne veut toutefois pas dire que vous ne devriez pas partager vos compétences et votre expertise dès le début de votre prise de poste – et voici justement le moment de le faire.
« Partagez vos observations en matière de sécurité, mais accompagnez-les de recommandations concrètes, » recommande Anand. « Votre rôle consiste fondamentalement à permettre à l’entreprise de prospérer en toute sécurité, et pas seulement à faire respecter des règles – la nuance est importante. »
C’est une bonne règle de base : ne vous contentez pas de signaler des problèmes potentiels ou des points d’attention. Proposez également des recommandations et des solutions.
Enfin, n’oubliez pas que les 90 premiers jours ne sont que cela : les 90 premiers jours. C’est le point de départ de ce qui, espérons-le, deviendra une belle histoire à long terme.
Astuce n°6 : Restez humble et gardez en tête qu’il est normal de ne pas tout savoir.
Anand rappelle que les SOC et plus généralement les métiers de la sécurité sont souvent synonymes de forte pression et d’enjeux importants. Vous n’allez pas tout retenir de votre nouvelle organisation en 90 jours. N’ayez pas peur de demander de l’aide.
« J’ai constaté qu’il est essentiel de mettre en place des voies d’escalade claires et de ne jamais hésiter à solliciter des membres plus expérimentés de l’équipe quand quelque chose semble anormal, » explique Anand. « Il vaut mieux lever une alerte rapidement que de tout vouloir résoudre seul. »
Ce qu’il faut retenir
Astuce n°7 : Rappelez-vous que la sécurité concerne autant les humains que la technologie.
En guise de conseil final, Anand explique : « On peut soutenir que l’aspect le plus important à retenir pour les ingénieurs en sécurité qui viennent d’être recrutés est que votre quotidien porte autant sur les personnes que sur les systèmes. Être ouvert et savoir collaborer vous mènera bien plus loin que la seule expertise technique. Gardez les canaux de communication ouverts, et souvenez-vous que chaque organisation a son propre rythme. Votre rôle consiste à renforcer la sécurité sans bousculer cette dynamique. »
Abonnez-vous à la newsletter du CTO Club pour recevoir les dernières analyses des principaux experts du secteur logiciel.
