Technique · Organisation · Analyse ✳ mise à jour le 8 septembre 2026

Ingénieur sécurité cloud

Aussi appelé : Cloud Security Engineer, Architecte sécurité cloud, Ingénieur DevSecOps, Ingénieur sécurité AWS, Azure ou GCP, Consultant sécurité cloud, Cloud Security Architect.

L'ingénieur sécurité cloud sécurise les environnements hébergés chez AWS, Microsoft Azure ou Google Cloud : configurations, identités, réseaux, chaînes de déploiement, avec le code comme outil principal.

Ce que fait vraiment un ingénieur sécurité cloud

• Définir l'architecture de sécurité des environnements cloud : cloisonnement des comptes, réseaux, chiffrement, journalisation
• Sécuriser les identités et les droits dans le cloud (IAM AWS, Entra ID), là où se trouvent la plupart des erreurs
• Détecter et corriger les mauvaises configurations avec des outils de posture (CSPM) et des règles automatisées
• Intégrer la sécurité dans les chaînes de déploiement : infrastructure as code (Terraform), conteneurs, Kubernetes, pipelines CI/CD
• Mettre en place la détection et la réponse aux incidents dans le cloud, en lien avec le SOC
• Accompagner les équipes de développement et d'exploitation : standards, revues, formation
• Répondre aux exigences de conformité et de souveraineté (localisation des données, SecNumCloud, ISO 27017)

Journée type

Matin : l'outil de posture signale un compartiment de stockage devenu accessible publiquement après un déploiement de la veille. Vérification, correction, puis écriture d'une règle qui bloquera ce cas à l'avenir dans le pipeline. Revue du code Terraform d'une équipe produit : les secrets sont en clair dans une variable, retour argumenté avec la bonne pratique. 11 h : atelier d'architecture pour un nouveau projet, découpage des comptes, flux réseau, chiffrement des données de santé. Après-midi : mise au point de la remontée des journaux cloud vers le SIEM du SOC, tests avec l'analyste. Lecture des notes de version d'un service cloud qui change son modèle de permissions. Fin de journée : préparation des preuves pour l'audit ISO 27001 sur le chiffrement et la journalisation.

Faut-il savoir coder ?

Oui. La sécurité cloud se fait en code : Terraform, scripts Python, politiques écrites en JSON ou YAML, pipelines. Un ingénieur sécurité cloud qui ne sait pas lire et écrire de l'infrastructure as code ne peut pas faire son travail. En revanche, ce n'est pas du développement applicatif : on automatise, on ne construit pas de produit.

Les profils qui réussissent

Les profils qui viennent de l'exploitation ou du développement et qui ont déjà touché au cloud. Anciens administrateurs systèmes ou réseaux passés au cloud, anciens ingénieurs DevOps ou SRE (ils maîtrisent déjà Terraform, les conteneurs et les pipelines), anciens développeurs back-end curieux d'infrastructure, anciens architectes. Pour un grand débutant, c'est un métier de deuxième étape : il faut d'abord une base en systèmes, réseaux et cloud, puis ajouter la sécurité. Les gens qui réussissent aiment automatiser, lire de la documentation en anglais, et acceptent que les plateformes changent tous les six mois.

Compétences transférables

• Ancien ingénieur DevOps ou SRE : Terraform, conteneurs, Kubernetes, pipelines CI/CD, supervision
• Ancien administrateur systèmes ou réseaux : Linux, réseaux, pare-feu, segmentation, journalisation
• Ancien développeur back-end : lecture de code, API, gestion des secrets, logique d'automatisation
• Ancien architecte ou chef de projet infrastructure : conception, standards, arbitrages techniques
• Ancien ingénieur qualité ou testeur d'automatisation : rigueur des tests, scripts, revues

Compétences à acquérir

• Au moins une plateforme cloud en profondeur (AWS, Azure ou GCP) : services, identités, réseau, journalisation
• Infrastructure as code (Terraform) et sécurité des pipelines de déploiement
• Conteneurs et Kubernetes, sécurité des images et des clusters
• Gestion des identités et des droits dans le cloud, gestion des secrets
• Outils de posture et de détection cloud (CSPM, CNAPP, journaux natifs)
• Référentiels : CIS Benchmarks, ISO 27017, exigences SecNumCloud pour le contexte français

Voies d’accès et certifications

• École d'ingénieurs ou master en informatique ou cybersécurité, avec stage cloud ou DevOps
• Passage depuis un poste DevOps, SRE, administrateur cloud ou ingénieur infrastructure (voie la plus courante)
• Passage depuis un poste d'ingénieur sécurité réseau ou systèmes vers le cloud, en se certifiant sur une plateforme
• Pour une reconversion : commencer par l'administration systèmes ou le cloud (titre RNCP administrateur cloud ou DevOps), puis ajouter la sécurité après une première expérience
• Entrée par un intégrateur cloud, une ESN ou une scale-up qui déploie beaucoup sur le cloud public

Certifications utiles

AWS Certified Security Specialty · Microsoft AZ-500 (Azure Security Engineer) · Google Professional Cloud Security Engineer · CCSP (ISC2, généraliste cloud) · CKS (Certified Kubernetes Security Specialist) · En préalable : une certification cloud de base (AWS Solutions Architect Associate, AZ-104)

Salaire indicatif

Aucune source suffisamment fiable n’a été trouvée pour ce métier ; nous préférons ne rien afficher plutôt qu’un chiffre invérifiable. La fiche sera complétée dès qu’une source institutionnelle ou un guide de cabinet daté le permettra.

L’idée reçue

Idée reçue : le cloud est sécurisé par le fournisseur, il n'y a plus rien à faire. Réalité : le fournisseur sécurise l'infrastructure ; le client reste responsable de ses configurations, de ses identités et de ses données (modèle de responsabilité partagée). Une grande part des incidents cloud vient d'une erreur de configuration côté client, et c'est précisément le travail de cet ingénieur.