Sécurité Cloud : marché

Offre

une offre ouverte ayant passé le contrôle qualité et citant au moins deux technologies

Candidat observé

un candidat dont la stack contient cette technologie ; un agrégat — aucune fiche individuelle ne sort du périmètre

Candidat correspondant

pas encore compté

Fenêtre

offres ouvertes au moment de la création de l'instantané

Junior — entrée typique : 1) Ingénieur Cloud Middle + intérêt pour la sécurité (l'expertise cloud est déjà là, il faut les techniques de sécurité), 2) Ingénieur Sécurité Middle + intérêt pour l'approfondissement propre au cloud, 3) DevSecOps Middle + focus cloud. Le saut Junior → Middle — après le premier déploiement d'un outil CSPM (Wiz / Prisma Cloud / AWS Security Hub natif) + la première initiative de correction de l'IAM multi-comptes. Middle → Senior — gouvernance multi-cloud + architecture de sécurité des landing zones + maîtrise de l'outillage CNAPP + automatisation des cadres de conformité (preuves propres au cloud FedRAMP / SOC 2 / ISO 27001). Senior → Architecte sécurité cloud — stratégie de sécurité cloud à l'échelle de l'organisation + Zero Trust multi-cloud + conseil à la direction. Parcours de carrière : Ingénieur Cloud Senior (3-5 ans) + intérêt → Ingénieur sécurité cloud Junior (1-2 ans) → Middle (2-3 ans) → Senior → soit Architecte sécurité cloud, soit spécialiste de l'outillage CNAPP/CSPM (expert Wiz CSE / Prisma Cloud), soit filière RSSI cloud, soit pivot vers l'équipe sécurité d'un fournisseur cloud (AWS / GCP / Azure — niveau premium).

Top 5 : cloud, aws, azure, gcp, ci/cd. Une plateforme cloud en profondeur + les bases des deux autres. Maîtrise de la sécurité AWS : GuardDuty + Security Hub + Macie + Inspector + Detective + Config + IAM Access Analyzer + KMS + Secrets Manager + WAF + Shield + Network Firewall + VPC Flow Logs + Security Lake (2024+ — data lake de sécurité). Certification AWS Security Specialty (SCS-C02). Maîtrise de la sécurité GCP : Security Command Center (SCC Enterprise — produit phare) + Cloud Armor (WAF + DDoS) + Cloud DLP + Cloud KMS + Secret Manager + Cloud Identity + Web Risk + Chronicle (le SIEM de Google — premium). Certification GCP Professional Cloud Security Engineer. Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer Associate). Maîtrise du CSPM : Wiz (leader 2026 — tarifs premium, architecture sans agent — indispensable pour les postes de sécurité cloud de pointe) + Prisma Cloud (Palo Alto, entreprise) + Lacework + Orca Security (concurrent de Wiz sans agent) + Sysdig Secure + Aqua Cloud Security + Check Point CloudGuard + Tenable Cloud Security (Ermetic — fort en CIEM) + Datadog Cloud Security Management + Zscaler Posture Control. Open source : Prowler (leader AWS — indispensable dans les entreprises sur AWS) + Cloud Custodian (moteur de politiques multicloud) + ScoutSuite + CloudSploit + Steampipe (requêtes SQL sur les ressources cloud). CIEM : Wiz CIEM + Tenable Cloud Security (Ermetic — leader du CIEM) + SailPoint + Saviynt + CyberArk Secure Cloud Access. Pacu (offensive AWS exploitation). CNAPP : Wiz (a défini la catégorie) + Prisma Cloud + CrowdStrike Falcon Cloud Security + Lacework + Orca + Sysdig + SentinelOne Cloud Security + Aqua CNAPP. DSPM en hausse depuis 2024+ : BigID (leader) + Cyera + Symmetry Systems + Sentra + Securiti. Sécurité des conteneurs / de K8s : Falco au runtime + Cilium Tetragon + Tracee + Trivy/Grype/Snyk Container pour le scan d'images + contrôleurs d'admission OPA Gatekeeper / Kyverno + signature d'images Sigstore cosign + Kubescape (posture K8s, CNCF) + kube-bench (CIS) + kube-hunter (pentesting). Sécurité serverless : Snyk Function Scanning + moindre privilège pour Lambda + sécurité des dépendances. Scan de l'IaC : Checkov (le meilleur pour Terraform/CFN) + tfsec + KICS + Terrascan + Snyk IaC. Secrets dans le cloud : HashiCorp Vault (standard du secteur) + solutions natives (Secrets Manager/Parameter Store + Secret Manager + Key Vault) + Doppler/Akeyless/1Password Secrets Automation + External Secrets Operator pour K8s. Chiffrement dans le cloud : chiffrement d'enveloppe KMS + HSM (CloudHSM/Cloud HSM/Dedicated HSM) + BYOK/HYOK. Référentiels de conformité : SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + GDPR + loi fédérale 152-FZ + loi fédérale 187-FZ + CIS AWS/Azure/GCP Benchmarks. Langages : Python en premier + sécurité de l'IaC Terraform + bash + PowerShell + Go en bonus.

Cloud Engineer — focus sur le provisionnement de l'infrastructure cloud + l'optimisation des coûts + la gouvernance multi-comptes. Pas spécifique à la sécurité. Voir Cloud Engineer. DevSecOps Engineer — focus sur la sécurité dans les pipelines CI/CD + la sécurité de l'IaC + le runtime des conteneurs + la supply chain. Côté infrastructure. Voir DevSecOps. Security Engineer (général) — couverture large de tous les domaines de la sécurité. Voir Security Engineer (général). Cloud Security Engineer (cette page) — focus sur la sécurité spécifique au cloud : services natifs AWS/GCP/Azure + CSPM/CIEM/CNAPP + conformité cloud + maîtrise de l'IAM propre au cloud + gouvernance multi-comptes + chiffrement cloud. Segment premium idéal grâce aux compétences hybrides. Réalité 2026 (carte des recoupements) : Cloud Security ↔ Cloud Engineer : 60 % (tous deux spécialistes d'un cloud, mais avec un focus différent). Cloud Security ↔ DevSecOps : 50 % (recoupement sur la sécurité des conteneurs + l'IaC + la supply chain). Cloud Security ↔ Security Engineer général : 40 % (Cloud Security en profondeur sur le cloud, Security Engineer en largeur). Reconversions : Cloud Engineer Senior → Cloud Security Junior — 4-8 mois (il faut ajouter les techniques de sécurité + les outils CSPM + la maîtrise de l'IAM + les frameworks de conformité). Security Engineer Middle → Cloud Security — 4-8 mois (il faut de la profondeur cloud). DevSecOps Senior → Cloud Security — 2-4 mois (beaucoup de recoupements). Réalité 2026 : le marché de la Cloud Security croît plus vite que la sécurité dans son ensemble grâce à l'adoption continue du cloud (89 % des entreprises utilisent 2+ clouds selon Flexera) + la complexité de la gouvernance multi-cloud + la pression réglementaire (FedRAMP / SOC 2 / CIS Benchmarks).

Cas d'usage : grandes entreprises avec budget + multicloud + recherche du meilleur de sa catégorie. A remporté le plus récent Gartner MQ 2024. 2) Prisma Cloud (Palo Alto Networks) — solution complète pour l'entreprise — acquisitions Twistlock + RedLock + PureSec consolidées. Points forts : sécurité approfondie des conteneurs/de K8s (héritage Twistlock), large couverture. Points faibles : déploiement plus lourd, tarification complexe. Cas d'usage : client existant de Palo Alto Networks + recherche d'une plateforme unifiée. 3) Lacework — détection comportementale (plateforme de données Polygraph) + multicloud. Points forts : détection d'anomalies sans règles personnalisées. Points faibles : UI moins mature que celle de Wiz. Cas d'usage : entreprises de taille intermédiaire + détection pilotée par le comportement. 4) Orca Security — concurrent sans agent de Wiz (architecture similaire — utilise les API du cloud). Points forts : technologie brevetée de side-scanning — pas d'agents, moins d'impact sur les performances. Généralement moins cher que Wiz. Cas d'usage : similaire à Wiz mais avec un budget limité. 5) Sysdig Secure — axé runtime (basé sur eBPF) + fort sur les conteneurs. Points forts : sécurité au runtime approfondie (héritage Falco — Sysdig a créé Falco), le meilleur pour les charges très conteneurisées. Points faibles : couverture CSPM moins large. Cas d'usage : forte utilisation de Kubernetes + besoin de profondeur en sécurité au runtime. 6) Aqua Cloud Security — éditeur axé conteneurs d'abord (créateurs de Trivy) + CNAPP. Points forts : profondeur en sécurité des conteneurs + héritage open source (Trivy largement utilisé). Cas d'usage : entreprises matures sur les conteneurs + souhait d'un éditeur qui porte l'open source. 7) CrowdStrike Falcon Cloud Security — extension du leader de l'EDR CrowdStrike. Points forts : intégré à l'EDR + à la plateforme Falcon. Cas d'usage : client existant de CrowdStrike souhaitant étendre au cloud. 8) Snyk Cloud — extension du leader SCA/SAST Snyk. Points forts : adapté aux développeurs + intégration à l'IDE. Cas d'usage : client existant de Snyk souhaitant la sécurité cloud. 9) Natif du cloud (gratuit / peu coûteux) : AWS Security Hub + GuardDuty + Macie + IAM Access Analyzer + Config / GCP Security Command Center / Azure Defender for Cloud + Sentinel. Cas d'usage : budget limité + dépendance au fournisseur acceptable + faible empreinte cloud. 10) CSPM open source : Prowler (AWS — leader, utilisé par Wiz lui-même pour le scan AWS), Cloud Custodian (moteur de politiques multicloud), ScoutSuite, CloudSploit, Steampipe (requêtes SQL sur les ressources cloud). Cas d'usage : budget nul + équipe technique capable de l'exploiter. Recommandations par défaut 2026 : Entreprise + multicloud + budget correct → Wiz ou Prisma Cloud. Forte conteneurisation → Sysdig Secure ou Aqua. Client existant de CrowdStrike/Snyk → extension Falcon Cloud Security / Snyk Cloud. Budget limité → natif du cloud + Prowler / Cloud Custodian open source. Meilleure UX sans agent → Wiz ou Orca. Marché russe (après le départ d'AWS/GCP) → outils natifs des fournisseurs cloud + éditeurs de sécurité russes.

Oui, 33 % des offres d'ingénieur sécurité cloud sont entièrement à distance ou hybrides. Le travail en sécurité cloud se fait entièrement dans le cloud (intégralement via les consoles + tableaux de bord + outils SaaS). Les sociétés d'outsourcing (EPAM Cloud Security Practice / Luxoft / Andersen / DataArt Cloud Security) — presque toujours à distance sur des projets américains. Banques russes — hybride/bureau en raison de la réglementation + de l'obligation de souveraineté des données cloud. Fournisseurs cloud russes — hybride ou à distance après vérification des antécédents de sécurité. Éditeurs de sécurité russes — hybride. Entreprises publiques — hybride/bureau obligatoire en raison des réseaux isolés + des habilitations. Éditeurs CSPM/CNAPP (Wiz / Prisma Cloud / Lacework / Orca / Sysdig / Aqua / Snyk Cloud) — tout à distance standard, segment premium pour les Senior russophones parlant anglais. Sécurité cloud-native — tout à distance. Sécurité cloud des Big Tech (équipe AWS Security / GCP Security / Azure Security / Apple Cloud / Meta Production Engineering Security) — hybride standard. Pôles d'expatriation : Pologne (UE favorable à la sécurité cloud) / Allemagne (Berlin + Munich) / Canada / Serbie / Émirats arabes unis. L'anglais pour le télétravail international en sécurité cloud — indispensable (documentation des éditeurs Wiz / Prisma / Snyk + communauté + conférences fwd:cloudsec / RSA / Black Hat — anglophones).

Ingénieur Sécurité Cloud Senior — responsable opérationnel de la mise en œuvre de la sécurité cloud. Au quotidien : réglage des politiques de l'outil CSPM (règles Wiz / Prisma Cloud), traitement des alertes de sécurité, remédiation IAM, tri des vulnérabilités, automatisation (Python pour les scripts de sécurité cloud), collecte des preuves de conformité. Programmation modérée. Architecte Sécurité Cloud — conçoit la stratégie de sécurité cloud à l'échelle de l'organisation + l'architecture Zero Trust multi-cloud + les patterns de sécurité des landing zones + le choix des cadres de conformité. Au quotidien : rédaction d'ADR pour les décisions de sécurité cloud, revues de conception des propositions de sécurité cloud des équipes produit, stratégie de gouvernance multi-cloud, conseil auprès du RSSI / CTO, évaluation des fournisseurs (décision Wiz vs Prisma vs Orca), défense du budget. Moins de programmation. Parcours de carrière : Ingénieur Sécurité Cloud Senior (4-6 ans) → Architecte Sécurité Cloud → Architecte Sécurité Cloud Principal / Distinguished / filière RSSI Cloud. Spécialiste CSPM/CNAPP (sous-spécialité) — expertise approfondie d'un outil CSPM (Wiz CSE — Certified Security Engineer / Prisma Cloud Certified Engineer / Lacework). Travaille souvent chez les éditeurs ou dans des cabinets de conseil premium (PwC Cloud Security / Deloitte Cloud Security). Rémunération comparable à celle d'un Ingénieur Sécurité Cloud Senior + prime pour la certification éditeur. Ingénieur Sécurité AWS / GCP / Azure (spécialiste d'un cloud) — expertise approfondie des services de sécurité natifs d'un seul cloud (pas de la sécurité cloud généraliste). Souvent au sein d'une équipe d'un fournisseur cloud (AWS Security / GCP Security / Azure Security) ou dans des entreprises fortement mono-cloud. Choix de carrière : Ingénieur Senior si le travail concret vous intéresse, Architecte pour la stratégie + le transverse, spécialiste CSPM pour la profondeur d'outillage, spécialiste d'un cloud si vous visez le haut de gamme dans l'équipe d'un fournisseur cloud.

Feuille de route : 1) Bases solides du cloud — choisir un cloud à approfondir (AWS / GCP / Azure) et passer la certification Foundation (AWS Cloud Practitioner / GCP Cloud Digital Leader / Azure Fundamentals AZ-900). 2) Socle d'ingénieur Cloud — certification de niveau Associate (AWS SA Associate / GCP Associate Cloud Engineer / Azure AZ-104). Maîtrise de l'IAM + conception de VPC + vue d'ensemble des services natifs du cloud. 3) Fondamentaux de la sécurité — OWASP Top 10 + triade CIA + bases de la cryptographie + protocoles réseau (TCP / TLS / VPN). 4) Certification Security+ (CompTIA — socle). 5) Certification spécifique à la sécurité cloud : AWS Security Specialty (SCS-C02) — indispensable pour la filière sécurité AWS (certification premium + reconnue dans tout le secteur). Ou Azure SC-100 (Cybersecurity Architect Expert) + AZ-500 (Security Engineer). Ou GCP Professional Cloud Security Engineer. 6) Maîtrise de l'IaC : Terraform + IaC native du cloud (AWS CDK / Azure Bicep). Pratique de Checkov / tfsec pour le scan de sécurité de l'IaC. 7) Pratique des CSPM open source : Prowler (AWS — indispensable) + Cloud Custodian + ScoutSuite. Les lancer sur votre propre compte AWS Free Tier. Comprendre les modèles de mauvaise configuration. 8) Sécurité des conteneurs : Falco à l'exécution + scan d'images Trivy + admission OPA Gatekeeper ou Kyverno. À mettre en place sur votre propre cluster K8s (kind / k3s). 9) HashiCorp Vault en profondeur : le standard du secteur pour la gestion des secrets. Installer un Vault auto-hébergé + l'intégrer à K8s (External Secrets Operator). 10) Pratique d'un SIEM natif du cloud : mise en place d'AWS Security Lake ou de GCP Chronicle ou d'Azure Sentinel. Construire des règles de détection de base. 11) Outils CSPM/CNAPP des éditeurs (si budget ou fournis par l'employeur) : essayer Wiz / Prisma Cloud / l'essai de Snyk Cloud / les démos de Lacework. Comprendre les rapports produits. 12) Cadres de conformité en profondeur : CIS AWS Benchmarks / CIS Azure / CIS GCP — automatiser les contrôles de conformité (Prowler implémente déjà CIS). Exigences spécifiques au cloud de FedRAMP / SOC 2 / ISO 27001. 13) Parcours de certifications premium : CCSP (Certified Cloud Security Professional — ISC²) ou CCSK (Certificate of Cloud Security Knowledge — Cloud Security Alliance) — certifications premium en sécurité cloud. Trio multi-cloud : AWS Security Specialty + Azure SC-100 + GCP Professional Cloud Security — un signal de CV de niveau premium. 14) Portfolio de projets personnels : a) architecture complète de sécurité cloud pour un compte AWS (gouvernance multi-comptes + Control Tower + Security Hub + GuardDuty + règles Prowler personnalisées) ; b) déploiement de démonstration de Wiz / Prisma Cloud (via un essai) ; c) configuration de sécurité K8s (Falco + politiques Kyverno + signature Sigstore). Documenter sur GitHub + article de blog. International (EN) : formations SANS (SEC540 Cloud Security & DevOps Automation — premium, chères mais les meilleures), formations « Practical DevSecOps », parcours sécurité d'A Cloud Guru / Cloud Academy, parcours sécurité d'AWS Skill Builder. Livres à lire absolument : « Cloud Native Security » de Liz Rice, « Container Security » de Liz Rice, « Practical Cloud Security » de Chris Dotson, « AWS Security Cookbook » de Heartin Kanikathottu. Ingénieur Cloud Middle + intérêt → sécurité cloud Junior — 4-8 mois.

286 active open Cloud Security Engineer positions — growing segment due to mainstream cloud adoption + multi-cloud reality + regulatory pressure (FedRAMP / SOC 2 / CIS Benchmarks). Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment (CSPM/CNAPP vendors — full-remote-friendly) + Big Tech Cloud Security teams (AWS Security largest + GCP Security + Azure Security teams). Time to close a Senior Cloud Security Engineer — 6-12 weeks (longer than general DevOps due to rare-skill combination — cloud expertise + security expertise + multi-cloud certifications).

Un Ingénieur Sécurité Cloud Senior prend en charge le cycle complet de la sécurité cloud + la gouvernance multi-cloud + le leadership technique. Une certification Sécurité de niveau Pro sur un cloud : AWS Security Specialty (SCS-C02) ou Azure SC-100 / AZ-500 ou GCP Professional Cloud Security Engineer — à une échelle de production réelle. Bases du multi-cloud : connaissance des deux autres clouds au minimum au niveau Associate. Maîtrise approfondie de l'IAM : conception du moindre privilège multi-compte + automatisation (AWS Organizations SCPs + GCP Organization Policy + Azure Management Groups), patterns IAM de service à service (IRSA pour EKS / Workload Identity pour GKE / Managed Identity pour Azure), gestion des accès à privilèges (outils PAM — CyberArk / BeyondTrust / HashiCorp Boundary), patterns d'accès JIT (Just-In-Time). Maîtrise des outils CSPM : l'un de Wiz / Prisma Cloud / Lacework / Orca / Sysdig en profondeur — écriture de politiques personnalisées, workflows de tri des résultats, automatisation de la remédiation, stratégie d'onboarding multi-compte. Maîtrise des services de sécurité natifs du cloud : AWS Security Hub + GuardDuty + Macie + Inspector + Config + IAM Access Analyzer avancés (détecteurs personnalisés, remédiation automatisée) ou GCP Security Command Center avancé ou Azure Defender for Cloud avancé. SIEM cloud-native : AWS Security Lake + Detective ou Google Chronicle ou Azure Sentinel — règles de détection personnalisées, agrégation des logs multi-cloud. Maîtrise de la sécurité des conteneurs / K8s : règles Falco personnalisées + politiques Kyverno / OPA Gatekeeper avancées + workflows de signature Sigstore cosign + gestion de la posture Kubescape + stratégies de sécurité multi-cluster. Maîtrise de la sécurité de l'IaC : développement de checks Checkov personnalisés, patterns de sécurité Terraform, sécurité de l'IaC native du cloud (sécurité AWS CDK + Azure Bicep). Maîtrise du chiffrement dans le cloud : patterns avancés de chiffrement d'enveloppe KMS, intégration HSM (CloudHSM / Dedicated HSM), BYOK / HYOK pour la conformité, automatisation de la rotation des clés. Maîtrise de la gestion des secrets : HashiCorp Vault avancé (Transit / KV / Database / PKI / méthodes d'authentification cloud-native), External Secrets Operator pour K8s, stratégie de secrets multi-cloud. Maîtrise des cadres de conformité : SOC 2 + ISO 27001 + PCI-DSS + HIPAA + FedRAMP + RGPD + loi fédérale 152-FZ + loi fédérale 187-FZ + automatisation des CIS Benchmarks. Concevoir des systèmes de collecte automatisée des preuves (Drata / Vanta / Secureframe). Modélisation des menaces pour le cloud : vecteurs d'attaque propres au cloud (chemins d'escalade de privilèges IAM, attaques inter-comptes, exploitation de lambdas, évasion de conteneur, chaîne d'approvisionnement dans le cloud), MITRE ATT&CK Cloud Matrix. Conception de systèmes pour la sécurité cloud : concevoir au tableau blanc une architecture Zero Trust multi-cloud, concevoir des patterns de sécurité de landing zone, concevoir une stratégie de gestion des clés multi-région, concevoir un Zero Trust Network Access (ZTNA). Programmation : Python en profondeur (maîtrise des SDK cloud — boto3 + google-cloud + azure-sdk) pour l'automatisation de sécurité sur mesure, Terraform pour l'IaC, bash + PowerShell. Soft skills : rédaction d'ADR pour les décisions de sécurité cloud, rédaction technique (documents de conception de sécurité cloud + rapports d'audit), communication avec la direction (posture de sécurité cloud auprès du RSSI / CTO / conseil d'administration), évaluations de fournisseurs (choix Wiz vs Prisma vs Orca), mentorat d'Ingénieurs Sécurité Cloud Middle. Anglais INDISPENSABLE pour Senior+ — la communauté Sécurité Cloud (fwd:cloudsec / filière RSA Cloud Security / CSA) + la documentation des éditeurs (Wiz / Prisma / Snyk / HashiCorp) sont entièrement anglophones. Bonus facultatif : contributions open source à des outils de sécurité cloud (Prowler / Cloud Custodian / Falco / OPA / Kyverno) — augmentent fortement la valeur sur le marché pour le recrutement Sécurité Cloud des Big Tech + chez les éditeurs CSPM/CNAPP. Interventions à fwd:cloudsec / filière RSA Cloud Security — prime pour les entreprises de pointe en sécurité cloud.