Une annonce pour un poste de responsable de la sécurité n’est pas un recrutement. C’est un vide.

Sur une seule page d’un site d’emploi vietnamien cette semaine : vingt postes en cybersécurité, vingt postes liés aux plateformes, vingt postes en IA — plusieurs publiés en l’espace d’une journée. Chaque annonce est une entreprise qui reconnaît que le travail existe et que personne ne le fait encore. Cet écart est le vrai marché.

Ouvrez un site d’offres d’emploi au Vietnam cette semaine et comptez. Une page d’annonces d’ITviec affichait vingt postes en cybersécurité, vingt postes plateforme et DevOps, vingt postes d’ingénierie en IA et sept postes dédiés à la fintech. Plusieurs avaient été publiés au cours des dix-huit heures précédentes. Un responsable de la sécurité de l’information dans une société de valeurs mobilières. Un RSSI dans une entreprise de paiement. Des ingénieurs en sécurité des applications, des responsables de la conformité, des spécialistes réseau dans deux banques.

La demande de talents est la lecture habituelle, et elle est exacte. Mais il existe une seconde lecture qui compte davantage pour quiconque achète des logiciels : une offre d’emploi pour un poste de sécurité senior est une déclaration publique selon laquelle un travail existe et que personne ne l’assume encore.

Ce que coûte réellement un poste vacant

Un responsable de la sécurité de l’information n’est pas une simple chaise dans une salle. Le rôle est responsable d’un programme : quels systèmes sont examinés, ce qui se passe lorsqu’un fournisseur déploie une nouvelle intégration, qui répond au régulateur, comment un incident est escaladé à 2 h 00, et si le flux de paiement mis en production le mois dernier a un jour fait l’objet d’une modélisation des menaces.

Quand ce poste est vacant, le travail ne s’arrête pas. Il s’accumule.

La file d’attente n’a rien de théorique. Au cours des deux dernières semaines, cette publication a couvert une banque française perdant environ 100 millions d’euros via ses propres rails de paiement autorisés, ainsi qu’un incident Binance qui a commencé par un faux entretien d’embauche et un package de développeur empoisonné. Aucun des deux n’était une défaillance de pare-feu. Tous deux étaient des défaillances d’un processus qu’un programme de sécurité est censé prendre en charge — autoriser une instruction et vérifier ce que les développeurs installent.

Une entreprise qui recrute un RSSI n’est pas nécessairement en difficulté. Une entreprise qui recrute un RSSI et un ingénieur en sécurité applicative et un responsable de conformité au cours du même mois vous dit que son programme est construit de zéro, rapidement.

Pourquoi le recrutement seul ne suffit pas

Trois éléments rendent la voie du recrutement seul plus lente qu’elle n’y paraît.

Les recrutements de sécurité seniors prennent des mois. Un responsable de la sécurité de l’information ou un RSSI est une décision à six chiffres, avec une liste restreinte d’une vingtaine de candidats crédibles dans le pays. Entre la publication de l’offre et la pleine efficacité, on compte en trimestres, pas en semaines.

Les quatre-vingt-dix premiers jours sont une phase de découverte. Un nouveau responsable de la sécurité passe la première période à cartographier les systèmes, à identifier les propriétaires et à lire les contrats. C’est un travail nécessaire, et c’est aussi la période pendant laquelle rien n’est corrigé.

Une personne ne fait pas un programme. Même une recrue solide hérite d’un arriéré : services non corrigés, intégrations non documentées, accès fournisseurs que personne n’a examinés et un processus de développement sécurisé qui n’existe que dans une présentation. Résorber cet arriéré est un travail d’exécution, pas de direction — et cela demande plus de bras que le poste n’en prévoit.

L’erreur que commettent les acheteurs

Le réflexe est de traiter cela comme un problème d’effectifs : il nous faut une personne chargée de la sécurité, alors nous en recrutons une. Le résultat, c’est une personne expérimentée qui passe sa première année à jouer les chefs de projet très coûteux pour un travail qui ne reçoit jamais de ressources.

L’alternative consiste à séparer deux questions qui sont regroupées :

Qui est responsable du programme de sécurité ? C’est un recrutement. Cela devrait être un recrutement.
Qui réalisera l’arriéré de travail que le programme pilotera ? C’est une question de capacité, et celle-ci n’a pas à prendre la même forme.

Répondre uniquement à la première question, c’est ainsi que les entreprises se retrouvent avec un CISO et aucun progrès. Répondre uniquement à la seconde, c’est ainsi qu’elles se retrouvent avec un prestataire qui fait un travail dont personne n’est responsable.

Où se situe ABN Asia

ABN Asia développe et sécurise des logiciels dans trois domaines : les systèmes d’IA, l’ingénierie bancaire et des paiements, et la sécurité des réseaux et des applications. L’essentiel de notre travail se situe précisément dans l’écart décrit ci-dessus — la période entre « nous savons que cela doit être corrigé » et « la personne responsable a commencé ».

Concrètement, cela signifie deux façons de travailler avec nous.

En parallèle du recrutement. Un audit de sécurité à périmètre défini ou une équipe de livraison intervient dès maintenant, produit les livrables qu'un nouveau responsable sécurité passerait autrement un trimestre à constituer — cartographie de l'architecture, modèle de menaces, constats hiérarchisés, une liste de contrôle pour le développement sécurisé — et les transmet une fois le poste pourvu. La recrue arrive avec un programme déjà ébauché au lieu d'une page blanche.

Au lieu de l'embauche, pour la partie livraison. Lorsque le poste est véritablement difficile à pourvoir, une équipe intégrée couvre l'ingénierie : durcissement du parcours de paiement, revue des intégrations tierces, intégration du processus de revue dans le pipeline afin qu'il cesse d'être un événement trimestriel.

Nous ne prétendons délibérément pas qu'un prestataire remplace un responsable de la sécurité. Ce n'est pas le cas. Quelqu'un au sein de l'entreprise doit porter le risque, signer les exceptions et faire face au régulateur. Ce que nous supprimons, c'est le prétexte selon lequel rien ne peut se faire avant l'arrivée de cette personne.

Ce qui se passe ensuite

Si votre équipe a un poste en sécurité ou en paiements ouvert, la vraie question n'est pas de savoir s'il faut recruter — c'est ce qui tourne en attendant. ABN commence par un brief écrit, puis un appel de trente minutes, puis une proposition à périmètre fixe avec une estimation écrite sous trois jours ouvrés. Aucun prix n'est annoncé avant que le périmètre ne soit réel.

Les annonces sont publiques. Le manque qu'elles décrivent n'est pas un secret, et ce n'est pas une critique des entreprises qui recrutent. C'est simplement là où se trouve le travail.

Sources : annonces d’emploi publiques d’ITviec, instantané du 7 novembre 2026 (20 postes en cybersécurité, 20 en plateforme/DevOps, 20 en IA et 7 en fintech sur une seule page) ; les articles de cette publication sur l’incident de Crédit Mutuel Arkéa (5 novembre 2026) et le rapport d’incident de Binance.

Veuillez noter que la version française est assistée par Ai, des erreurs mineures peuvent donc exister.

Auteur

Ai-Banking-NetworkSecurity (ABN), ABN ASIA a été fondée par des personnes ayant des racines profondes dans le milieu académique, avec une expérience professionnelle aux États-Unis, aux Pays-Bas, en Hongrie, au Japon, en Corée du Sud, à Singapour et au Vietnam. ABN ASIA est l'endroit où l'académie et la technologie rencontrent l'opportunité. Avec nos solutions de pointe et nos services de développement logiciel compétents, nous aidons les entreprises à se développer et à s'imposer sur la scène mondiale. Notre engagement : Plus vite. Mieux. Plus fiable. Dans la plupart des cas : moins cher également.

N'hésitez pas à nous contacter chaque fois que vous avez besoin de services informatiques, de conseils en matière de numérique, de solutions logicielles prêtes à l'emploi, ou si vous souhaitez nous envoyer des demandes de propositions (RFP). Vous pouvez nous contacter à l'adresse [email protected]. Nous sommes prêts à vous aider avec tous vos besoins technologiques.