Rédiger un CV pour un poste d'analyste en cybersécurité

Ce que ce CV doit prouver, avant toute chose

Un responsable du recrutement pour un poste d'analyste en cybersécurité est généralement un chef de SOC, un responsable des opérations de sécurité, ou un délégué du RSSI qui a lu une pile de CV proclamant tous « esprit d'équipe proactif avec de solides compétences analytiques ». Rien de tout cela ne lui dit ce qu'il a besoin de savoir : cette personne peut-elle traiter une file d'alertes sans se noyer dans les faux positifs, comprend-elle la différence entre détection et réponse, et a-t-elle manipulé les outils que cette équipe précise utilise.

Le premier tiers de la page doit répondre à trois questions qu'un recruteur dans ce domaine pose dans l'ordre : quel niveau de travail SOC avez-vous effectué (triage L1, investigation L2, threat hunting L3 ou réponse à incident), quelles plateformes avez-vous réellement utilisées, et détenez-vous — ou préparez-vous — la certification nommée dans l'annonce. Si l'annonce mentionne Security+ ou SC-200, cette expression doit figurer sur votre CV avec les mêmes mots, pas paraphrasée en « certifié sécurité ». Les systèmes de suivi des candidatures et les lecteurs humains recherchent tous deux des termes exacts.

Ne commencez pas par un résumé qui pourrait décrire un technicien support informatique. « Analyste en cybersécurité avec expérience en détection de menaces » est un intitulé de poste, pas une preuve. Commencez plutôt par ce que vous avez réellement fait : le SIEM dans lequel vous avez travaillé, les types d'incidents que vous avez traités, l'échelle de l'environnement (nombre de points de terminaison, s'il s'agissait d'un site unique ou d'un fournisseur de services de sécurité géré couvrant plusieurs clients).

Certifications, et comment les lister pour qu'elles soient vérifiées

Ce domaine possède une véritable hiérarchie de certifications, et les responsables du recrutement la lisent. Grosso modo, dans l'ordre où la plupart des annonces SOC les mentionnent :

• CompTIA Security+ — le niveau de base que demandent la plupart des postes d'analyste L1, parfois comme exigence déclarée pour un contrat gouvernemental américain aligné DoD 8570.
• CompTIA CySA+ — visant spécifiquement le travail de détection et de réponse au niveau analyste, plus pertinente pour ce rôle que Security+ seule.
• Certifications GIAC (GCIH, GCFA, GCFE, GNFA) — soutenues par SANS, courantes dans les annonces pour les rôles d'analyste axés sur la réponse à incident et la forensique, et prises au sérieux car elles sont supervisées et coûteuses à passer.
• CEH (Certified Ethical Hacker) — largement listée mais traitée avec plus de scepticisme par certains responsables du recrutement que GIAC ou OSCP, car elle est évaluée par QCM plutôt que de manière pratique ; vaut quand même la peine d'être incluse si vous la détenez, mais ne vous attendez pas à ce qu'elle ait le même poids.
• OSCP (Offensive Security Certified Professional) — pratique et respectée, plus courante sur les rôles d'analyste de threat hunting ou proches de la red team que sur les postes purs de triage SOC.
• CISSP — généralement un signal de séniorité ou d'évolution vers la gestion plutôt que du travail d'analyste pratique ; la lister pour un premier poste d'analyste peut donner l'impression de surqualification ou de recherche d'avancement rapide, donc faites preuve de jugement.
• Certifications vendeur — Microsoft SC-200 (Security Operations Analyst), Splunk Core Certified Power User, CrowdStrike Certified Falcon Responder. Celles-ci comptent de manière disproportionnée lorsque la pile de l'employeur est nommée dans l'annonce, car elles prouvent la maîtrise de l'outil, pas seulement la théorie.

Listez le nom complet de la certification avec l'organisme émetteur, l'année d'obtention, et si elle est à jour — plusieurs d'entre elles (GIAC, CISSP) nécessitent un renouvellement ou une formation continue, et laisser l'une d'elles expirer silencieusement tout en la listant est le genre de chose qui se découvre lors d'une vérification de références ou d'un entretien technique.

Si vous en préparez une, indiquez « en cours, prévue [mois/année] » plutôt que de l'omettre. Une CySA+ partiellement complétée indique quand même au lecteur que vous allez dans la bonne direction.

Comment l'expérience est réellement justifiée dans ce domaine

Les conseils génériques pour CV disent « utilisez des métriques ». Dans ce domaine, les métriques qui signifient quelque chose pour un examinateur sont spécifiques au travail SOC et de gestion d'incidents, et elles ne comptent que si ce sont de vrais chiffres que vous pouvez défendre en entretien — n'inventez pas un pourcentage pour satisfaire un modèle.

Éléments qui valent la peine d'être quantifiés, si vous disposez réellement des chiffres :

• Volume d'alertes et ratio de triage — comptages d'alertes quotidiens ou hebdomadaires, et comment vous avez priorisé (par exemple par technique MITRE ATT&CK, par criticité des actifs, par règle de corrélation SIEM).
• Mean time to detect / mean time to respond — si votre SOC les suivait et que vous les avez améliorés, dites de combien et sur quelle période, et soyez prêt à expliquer ce qui a changé.
• Précision des escalades — à quelle fréquence vos escalades L1 vers L2/L3 ont été confirmées comme vrais positifs, si cela a été mesuré. C'est un signal plus fort que le simple comptage d'alertes, car il montre le jugement, pas seulement le débit.
• Portée des incidents — nombre d'hôtes ou de comptes impliqués dans les incidents que vous avez traités, non pas pour paraître dramatique mais parce que cela indique au lecteur à quelle échelle d'environnement vous êtes habitué.

Lorsque vous n'avez pas de chiffre — de nombreux analystes ne reçoivent jamais les métriques sous-jacentes de leur employeur — décrivez plutôt le mécanisme : « Enquêté sur des alertes corrélées par SIEM sur [plateforme], distinguant les vrais positifs du bruit en utilisant [sources de logs : télémétrie EDR, logs pare-feu, logs DNS, logs d'authentification] avant d'escalader les incidents confirmés à l'équipe IR. » C'est plus utile à un lecteur technique qu'un chiffre inventé, et cela résiste aux questions de suivi.

Nommez les outils réels, pas les catégories. « Expérience SIEM » est faible. « Splunk Enterprise Security, six mois pratiques à écrire et ajuster des recherches de corrélation » ou « Microsoft Sentinel, construit des règles de détection KQL pour les mouvements latéraux » est ce qui vous fait présélectionner, car cela dit au lecteur que vous pouvez commencer sans trois mois d'intégration d'outil.

Les frameworks appartiennent aussi au CV, utilisés correctement : MITRE ATT&CK (incidents ou détections mappés à des tactiques/techniques spécifiques, pas seulement « utilisé MITRE ATT&CK »), NIST CSF ou NIST 800-61 (si vous avez suivi un cycle de vie de réponse à incident structuré autour), ISO 27001 (si vous avez soutenu des preuves d'audit ou la mise en œuvre de contrôles), et tout régime de conformité dont le secteur de l'employeur se soucie — PCI DSS pour la vente au détail ou les paiements, HIPAA pour les soins de santé américains, RGPD pour tout ce qui traite des données personnelles de l'UE.

Ce qu'un responsable du recrutement vérifie en premier

Dans l'ordre approximatif, selon le fonctionnement pratique du recrutement SOC :

1. Chevauchement d'outils avec leur pile. S'ils utilisent CrowdStrike et Splunk et que vous listez Defender for Endpoint et QRadar, ce n'est pas disqualifiant, mais rendez la compétence transférable explicite — « expérience de triage EDR indépendante de la plateforme » — plutôt que de supposer que le chevauchement est évident.
2. Expérience de rotation et de couverture. De nombreux rôles SOC fonctionnent en rotations 24/7. Si vous avez travaillé en horaires décalés, couverture de nuit, ou réponse à incident d'astreinte, dites-le explicitement — cela répond à une question pratique de personnel avant qu'elle ne soit posée.
3. Statut d'habilitation, si le rôle en nécessite une. Les rôles gouvernementaux britanniques ou liés à la défense exigent souvent une habilitation SC (Security Check) ou l'éligibilité ; les rôles fédéraux américains ou de sous-traitant font référence à Public Trust ou Secret clearance. Indiquez clairement votre statut actuel — « habilité SC, actif » ou « éligible SC, pas encore vérifié » — car une annonce exigeant une habilitation active filtrera toute personne qui ne l'indique pas, même si elle serait qualifiée.
4. Discipline de ticketing et de documentation. ServiceNow, Jira, ou un système de gestion de cas interne — les analystes qui peuvent pointer vers une documentation d'incident structurée sont plus fiables avec l'autorité d'escalade.
5. Actualité des certifications, comme ci-dessus.

Ce qu'ils vérifient qui n'est pas sur cette liste : les adjectifs de soft skills. « Excellent communicateur » et « soucieux du détail » sont survolés. Si la communication comptait dans votre rôle — rédiger des rapports d'incident pour des parties prenantes non techniques, briefer la direction pendant un incident actif — décrivez la situation, pas le trait.

Ce que les analystes omettent régulièrement, et ne devraient pas

Quelques éléments qui reviennent régulièrement comme lacunes sur les CV d'analyste en cybersécurité :

• Rédaction de playbooks et de runbooks. Si vous avez écrit ou mis à jour des playbooks SOC, c'est une preuve de maturité au-delà du simple suivi d'instructions, et c'est fréquemment omis car cela ressemble à de l'administration plutôt qu'à du « travail de sécurité ».
• Ajustement des faux positifs. Réduire le bruit d'une règle de détection spécifique est une réalisation réelle et vérifiable et figure rarement sur les CV, peut-être parce que cela semble peu glorieux à côté de « arrêté une violation ».
• Consommation de threat intelligence. Si vous avez utilisé des flux — commerciaux, ISAC, ou open source — pour informer le triage ou la chasse, nommez la source. « Appliqué la threat intel » sans nommer quelle intelligence est assez vague pour être ignoré.
• Handoffs inter-équipes. Les analystes qui ont travaillé avec les opérations informatiques, le juridique, ou une retenue IR tierce pendant un incident ne le mentionnent souvent pas, mais c'est exactement le type de coordination qu'un responsable du recrutement veut s'assurer que vous pouvez faire sous pression.
• Résultats négatifs. Les enquêtes qui ont conclu « aucune compromission trouvée » sont toujours une preuve de jugement de triage sain, pas quelque chose à cacher parce qu'elles ne se sont pas terminées par une découverte spectaculaire.

Que faire ensuite

Prenez l'annonce réelle et marquez chaque outil, framework et certification nommés. Vérifiez que votre CV contient chacun d'eux avec la même formulation, dans la première moitié de la page, attaché à quelque chose que vous avez fait plutôt qu'à une liste de compétences. Si une certification est en cours, indiquez-le explicitement plutôt que de laisser un vide. Lorsque vous avez de vrais chiffres — volume d'alertes, amélioration MTTD, précision d'escalade — utilisez-les ; lorsque vous n'en avez pas, décrivez le mécanisme au lieu d'inventer un chiffre que vous ne pourrez pas défendre en entretien.

jobmarket.pro lit l'annonce en entier, la met en correspondance avec votre expérience réelle, et rédige la candidature à partir d'un profil unique dans lequel il ne peut pas inventer de détails — bon à savoir si le point de blocage est d'adapter votre CV à ce que chaque annonce spécifique demande, candidature après candidature.