Sécurité : marché

Offre

une offre ouverte ayant passé le contrôle qualité et citant au moins deux technologies

Candidat observé

un candidat dont la stack contient cette technologie ; un agrégat — aucune fiche individuelle ne sort du périmètre

Candidat correspondant

pas encore compté

Fenêtre

offres ouvertes au moment de la création de l'instantané

Top 5 technologies in Security jobs: cloud, aws, python, azure, devsecops. Mandatory basics: OWASP Top 10 (must-know), Linux (advanced), Python and Bash for automation, Git. Web security: Burp Suite (the pen-test standard), OWASP ZAP, OWASP Dependency-Check. SAST/DAST: SonarQube, Checkmarx, Snyk, Semgrep. SIEM: Splunk, ELK (Elasticsearch + Logstash + Kibana), QRadar. Pen-test: Kali Linux, Metasploit, Nmap, Wireshark. Cloud security: AWS Security Hub, GCP Security Command Center, Azure Sentinel. IAM: HashiCorp Vault, Keycloak. Certifications: OSCP (offensive), CISSP (managerial), OSCE, CEH, AWS Security Specialty.

AppSec (Application Security) — sécurité du code et des applications, revue de code, SAST/DAST, modélisation des menaces, OWASP. Travaille au sein d'une équipe produit. DevSecOps — intègre la sécurité dans les pipelines CI/CD, gestion des secrets, scan des conteneurs, GitOps. Proche du DevOps + sécurité. Pentesteur / Red Team — hacking éthique, simulation d'attaques, recherche de vulnérabilités 0-day, certifications OSCP/OSCE. Plus souvent en conseil ou en entreprises spécialisées. Analyste SOC (Security Operations Center) — surveillance des incidents 24/7, tri, réponse, travail avec le SIEM (Splunk/QRadar). Par salaire : AppSec ≈ DevSecOps > Pentesteur ≈ Cloud Security > Analyste SOC. Parcours : SOC Tier 1 → Tier 2 → AppSec/Cloud → Senior → Architecte sécurité.

En partie : 32 % des offres de sécurité sont en full remote. Moins qu'en Backend/DevOps, car les banques et la fintech exigent l'hybride ou le bureau pour des raisons de conformité — travail avec des données personnelles, des données de paiement, accès à la production. Éditeurs de sécurité locaux — plus souvent en hybride. Équipes produit internationales — presque toujours à distance. Pentesteur freelance (bug bounty sur HackerOne/Bugcrowd) — entièrement à distance, horaires flexibles, plafond dépendant uniquement des compétences. Analyste SOC — beaucoup d'offres à distance (souvent en travail posté). Sécurité cloud — généralement à distance (tout passe par la console AWS/GCP).

Le DevOps est responsable de l'infrastructure et de la CI/CD — automatisation, observabilité, fiabilité en production. Le Security Engineer est responsable de la défense : recherche de vulnérabilités, modélisation des menaces, gestion des incidents, conformité. Les stacks se recoupent (Linux, Docker, Kubernetes, cloud) mais le focus diffère. DevSecOps — l'hybride : un ingénieur DevOps spécialisé en sécurité qui intègre SAST/DAST/détection de secrets dans les pipelines. Parcours de carrière : Senior Backend → DevOps → DevSecOps ; ou une filière sécurité distincte (SOC → AppSec → Senior Security). Les Seniors peuvent converger vers Security Architect — le niveau le plus élevé.

Il n'y a pas de voie directe vers la sécurité — c'est généralement une évolution depuis un rôle voisin. Les deux points d'entrée les plus courants : 1) Backend / DevOps Middle (2-3 ans) → passage à l'AppSec/DevSecOps en maîtrisant l'OWASP Top 10, le SAST/DAST, la modélisation des menaces. 2) Analyste SOC niveau 1 (accessible aux juniors, surveillance en équipes) → niveau 2 → spécialisation. Projets personnels : HackTheBox, TryHackMe (plateformes CTF pour s'entraîner), OverTheWire, contributions à des outils de sécurité open source. Certifications : OSCP (Offensive Security Certified Professional — indispensable pour le pentest), CISSP (filière managériale), AWS Security Specialty, CKS (sécurité Kubernetes). Livres : « The Web Application Hacker's Handbook » (Dafydd Stuttard), « Black Hat Python », « Threat Modeling » (Adam Shostack).

Lors de la dernière mise à jour des données, l'échantillon Zorky contient 11009 postes ouverts actifs en sécurité dans la CEI et en Europe de l'Est. Ce sont des offres publiées au cours des 90 derniers jours — des entreprises qui recrutent réellement. La géographie est répartie ; en tête : US, PL, GB. Les données sont collectées sur 105 job boards et 17 263 sites carrières d'entreprises : chaînes Telegram (surtout pour les postes de niche en pentest et bug bounty, les conférences sécurité, les communautés anti-fuite), sites d'emploi spécialisés (HH, Habr Career, Djinni, DOU, NoFluffJobs, JustJoin.it, Pracuj.pl), pages carrières des éditeurs de sécurité. La sécurité est un domaine de niche : le volume d'offres est plus faible qu'en Backend/Frontend, mais c'est l'un des mieux rémunérés.

Le principal facteur est la devise du contrat et la spécialisation. Le pentest et la sécurité cloud offrent généralement une prime (+20-30 % par rapport à la médiane). Les banques russes locales sous contrats en roubles ont comblé l'écart avec le marché polonais en 2 ans pour les Seniors.

Un ingénieur Sécurité Senior maîtrise toute la stack défensive dans l'une des spécialisations (AppSec / DevSecOps / Sécurité Cloud / Pentest). Bases : OWASP Top 10, Linux (avancé), Python + Bash, Git. Compréhension de la stack de développement (au choix : Backend ou Frontend au niveau Senior). Pour l'AppSec : SAST/DAST (SonarQube, Checkmarx, Snyk, Semgrep), Burp Suite avancé, OWASP ZAP, revue de code sécurisée, modélisation des menaces (STRIDE, PASTA). Pour le DevSecOps : gestion des secrets (HashiCorp Vault), analyse des conteneurs (Trivy, Snyk), GitOps. Pour la Sécurité Cloud : AWS Security Hub / GCP SCC / Azure Sentinel, IAM au niveau des politiques, conformité (SOC 2, ISO 27001, RGPD). Certifications (OSCP/CISSP/AWS Security/CKS), expérience de la gestion des incidents, leadership.