Qu'est-ce qu'un ingénieur cloud security ? Fiche métier

Un ingénieur cloud security est un professionnel de la cybersécurité spécialisé dans les environnements cloud en production (AWS, Azure, GCP). Il intervient à l'intersection des équipes infrastructure, DevSecOps et SOC pour sécuriser les IAM (Identity and Access Management), détecter les expositions accidentelles (buckets publics, credentials hardcodés), configurer les services de sécurité cloud managés (GuardDuty, Defender for Cloud, Security Command Center), exploiter les outils CSPM (Cloud Security Posture Management) comme Wiz ou Prowler, et coordonner la réponse à incident cloud. Le métier se distingue du DevSecOps : DevSecOps = sécurité dans le build et les pipelines ; cloud security engineer = sécurité en runtime et opérations cloud. Demande en très forte tension 2026 : migration cloud continue (environ 75 % des workloads en cloud d'ici 2027 selon Gartner) combinée à DORA (finance) et NIS 2 créent un ratio offres/candidats parmi les plus favorables du cyber junior. Salaires juniors 50-75 k€ bruts IDF, progression +5 ans à 80-110 k€, architecte 100-145 k€. Cet article détaille la définition précise, les activités quotidiennes, la distinction avec DevSecOps et security engineer, la stack d'outils, les trois grandes familles de missions, les certifications et le profil qui réussit réellement.

1. Définition précise : qu'est-ce qu'un ingénieur cloud security ?

Le terme « cloud security engineer » recouvre un spectre qui va du junior (cloud security analyst, 0-2 ans) au senior architecte cloud security (7-10 ans). Trois dimensions définissent précisément le métier.

Focus runtime et production cloud

Contrairement au DevSecOps qui se concentre sur le build et les pipelines CI/CD, le cloud security engineer travaille sur la production cloud en fonctionnement. Il gère les alertes GuardDuty qui se déclenchent en temps réel, investigue les appels API suspects dans CloudTrail, isole les ressources compromises lors d'incidents, revoit les IAM policies avant application.

Intersection organisationnelle

Le cloud security engineer travaille en coordination avec :

• Équipes infrastructure : propriétaires des ressources cloud, principaux interlocuteurs au quotidien.
• DevSecOps : collaborateurs sur IaC security et admission policies Kubernetes.
• SOC : coordination sur les incidents cloud qui remontent aux alertes SIEM.
• GRC et conformité : alimentation des dashboards de conformité cloud (CIS Benchmarks, NIST, DORA).

Spécialisation cloud-native obligatoire

Le métier exige une maîtrise approfondie d'au moins un fournisseur cloud (AWS dominant en France, Azure en forte croissance, GCP plus niche). Les profils qui se positionnent multi-cloud (AWS + Azure minimum) tirent structurellement la fourchette salariale haute.

2. Les activités quotidiennes

Semaine type d'un cloud security engineer junior dans une scale-up cloud-native (équipe 5-10 personnes, 50-150 comptes AWS gérés).

Le rythme alterne opération (tri d'alertes, patching), construction (durcissement IaC, politiques K8s), coordination (réunions infra, revues croisées), investigation (appels API suspects, incidents).

Exemple concret de script d'audit IAM que produit un cloud security engineer junior pour détecter les patterns de privilege escalation. Utilise boto3, la SDK Python officielle AWS :

#!/usr/bin/env python3
"""
Audit IAM AWS : detecte les utilisateurs et roles avec permissions
potentiellement escaladables vers admin.
 
Cibles : patterns connus de privilege escalation (iam:PassRole sans
contrainte, iam:AttachUserPolicy, iam:CreatePolicyVersion, sts:AssumeRole
vers un role trop permissif).
"""
import boto3
from typing import Iterator
 
# Actions IAM critiques souvent cibles de privilege escalation
DANGEROUS_ACTIONS = {
    "iam:CreatePolicyVersion",
    "iam:SetDefaultPolicyVersion",
    "iam:AttachUserPolicy",
    "iam:AttachGroupPolicy",
    "iam:AttachRolePolicy",
    "iam:PutUserPolicy",
    "iam:PutGroupPolicy",
    "iam:PutRolePolicy",
    "iam:AddUserToGroup",
    "iam:UpdateAssumeRolePolicy",
    "iam:PassRole",
    "sts:AssumeRole",
}
 
 
def iter_inline_policies(iam, user_name: str) -> Iterator[dict]:
    """Iterate les policies inline d'un utilisateur IAM."""
    paginator = iam.get_paginator("list_user_policies")
    for page in paginator.paginate(UserName=user_name):
        for policy_name in page["PolicyNames"]:
            policy = iam.get_user_policy(
                UserName=user_name, PolicyName=policy_name
            )
            yield policy["PolicyDocument"]
 
 
def has_dangerous_action(policy_doc: dict) -> list[str]:
    """Retourne les actions dangereuses trouvees dans un policy document."""
    findings = []
    statements = policy_doc.get("Statement", [])
    if isinstance(statements, dict):
        statements = [statements]
    for stmt in statements:
        if stmt.get("Effect") != "Allow":
            continue
        actions = stmt.get("Action", [])
        if isinstance(actions, str):
            actions = [actions]
        for action in actions:
            if action == "*" or action in DANGEROUS_ACTIONS:
                findings.append(action)
    return findings
 
 
def audit_users() -> None:
    """Audit principal : parcours tous les users IAM actifs."""
    iam = boto3.client("iam")
    paginator = iam.get_paginator("list_users")
 
    for page in paginator.paginate():
        for user in page["Users"]:
            user_name = user["UserName"]
            for policy_doc in iter_inline_policies(iam, user_name):
                findings = has_dangerous_action(policy_doc)
                if findings:
                    print(f"[WARN] {user_name} : {findings}")
 
 
if __name__ == "__main__":
    audit_users()

Ce script illustre le travail quotidien : scripter l'audit à l'échelle, pas ausculter manuellement 500 utilisateurs IAM un par un.

3. Cloud security vs DevSecOps vs security engineer : distinctions

Tableau comparatif opérationnel pour clarifier les trois métiers proches.

Pour le DevSecOps en détail, voir Qu'est-ce qu'un DevSecOps ? Fiche métier complète. Dans les scale-ups de 50-100 personnes, une seule personne peut cumuler cloud security + DevSecOps. Dans un grand groupe, les rôles sont clairement séparés.

4. Stack d'outils et services clés

Services cloud natifs de sécurité

AWS (le plus demandé en France) :

• GuardDuty : détection de menaces comportementales (crypto-mining, reconnaissance, exfiltration).
• Security Hub : agrégation centralisée multi-services + CSPM natif.
• IAM : identités, rôles, policies, ABAC (Attribute-Based Access Control).
• CloudTrail : journal des appels API de tout le compte.
• Inspector : scan de vulnérabilités sur EC2 et images ECR.
• Macie : détection de données sensibles en S3.
• KMS : gestion centralisée des clés de chiffrement.
• Config : conformité continue et drift detection.
• Organizations + SCP : guardrails au niveau de l'organisation.

Azure :

• Defender for Cloud (ex-Azure Security Center) : posture + workload protection.
• Sentinel : SIEM cloud-natif.
• Entra ID (ex-Azure AD) : IAM.
• Key Vault : secrets et clés.
• Monitor + Activity Logs : télémétrie.

GCP :

• Security Command Center : posture et détection.
• Cloud IAM + Cloud KMS.
• Cloud Armor : WAF et DDoS.
• VPC Service Controls : segmentation applicative.

CSPM (Cloud Security Posture Management)

Commerciaux : Wiz (référence marché 2026), Prisma Cloud (Palo Alto), Orca Security, Lacework, Aqua Security.

Open source : Prowler (AWS principalement), ScoutSuite (multi-cloud), CloudSploit. Utiles en audit junior car gratuits et largement adoptés.

Kubernetes security

• Trivy : scan d'images, config, secrets.
• Falco : détection runtime via eBPF.
• OPA / Gatekeeper et Kyverno : politiques d'admission.
• Tetragon : détection runtime moderne eBPF.
• kube-bench : conformité CIS Kubernetes.

5. Les trois grandes familles de missions

Le travail quotidien d'un cloud security engineer junior se répartit principalement entre trois familles de missions.

Famille 1 — IAM et gestion des identités (25-30 % du temps)

Activités :

• Revue de policies IAM : détection de sur-privilèges, actions dangereuses (*, iam:CreatePolicyVersion, sts:AssumeRole non contraint).
• Application du moindre privilège (least privilege) via Service Control Policies, boundary policies, permissions boundaries.
• Rotation de credentials : détection de clés IAM actives depuis > 90 jours.
• Audit de federation IAM : SSO, SAML, AWS SSO, Azure AD Connect.

Famille 2 — Détection et réponse à incident cloud (20-25 %)

Activités :

• Tuning des alertes GuardDuty ou Defender for Cloud : supprimer les faux positifs sans masquer les vrais.
• Investigation CloudTrail : reconstitution de chronologie d'événements, identification de compromission.
• Isolation de ressources compromises : révocation temporaire d'un rôle, détachement d'une EC2 du VPC, snapshot forensique.
• Coordination avec SOC central sur les incidents cross-périmètres.

Famille 3 — Compliance et hardening continu (45-55 %)

Activités :

• Durcissement d'infrastructure : Terraform modules sécurisés par défaut, Kubernetes baselines.
• Maintenance des CSPM : tuning règles Prowler ou Wiz, priorisation des findings HIGH et CRITICAL.
• Audit interne : préparation d'audits CIS Benchmarks, DORA, NIS 2.
• Revue architecture cloud : validation ou retour sur les nouvelles architectures soumises par équipes infra.

6. Certifications et salaires

Certifications cloud security

Ordre recommandé pour un junior : AWS Certified Security Specialty ou Microsoft AZ-500 selon cloud dominant au poste. Puis CKS à 12-18 mois si contexte Kubernetes. CCSP en préparation à 3+ ans pour vise poste senior.

Trajectoire salariale

Fourchettes Apec Cadres 2023-2024, Numeum, LinkedIn Salary France. Les profils multi-cloud (AWS + Azure) prennent +5 à 10 k€ à tous les niveaux. Pour le plan opérationnel de bascule complète vers cloud security, voir Les étapes pour devenir Cloud Security Analyst.

7. Pour qui le métier convient-il ?

Traits qui fonctionnent

• Passion pour les services cloud managés : intérêt pour la documentation AWS / Azure / GCP, aimer démonter les services pour en comprendre la mécanique interne.
• Rigueur sur IAM : les policies IAM sont des textes courts où une virgule change la posture complète. Profil qui accepte la précision.
• Tolérance forte aux alertes : un cloud security junior trie 50-200 alertes par jour, dont 80-90 % sont du bruit. Ne pas se laisser noyer.
• Curiosité investigation : goûter pour les enquêtes chronologiques via CloudTrail ou Azure Activity Logs.
• Veille continue : les services cloud évoluent tous les 2-4 semaines (nouvelles features, nouvelles CVE, nouvelles best practices).

Traits qui signalent un mauvais match

• Rejet de l'infrastructure et préférence pour le pur code applicatif → plutôt vers AppSec ou Security Engineer.
• Mauvaise tolérance aux alertes en volume → plutôt vers pentest (mission ponctuelle) ou GRC (activité planifiée).
• Besoin de résultats visibles à court terme → la valeur cloud security se construit sur 6-12 mois, pas sur 2 semaines.
• Mono-cloud strict préféré → fermera des portes en 2026 et au-delà.

Pour l'auto-évaluation complète de match personnel cyber, voir Comment savoir si la cybersécurité est faite pour vous.

Points clés à retenir

• Cloud security engineer = sécurité cloud en runtime et production, à distinguer du DevSecOps (build + pipelines).
• Répartition du temps : IAM 25-30 %, détection/IR 20-25 %, compliance/hardening 45-55 %. Majorité opérationnelle sur ressources cloud en production.
• Stack clé : services cloud natifs (GuardDuty, Defender, SCC) + CSPM (Wiz, Prisma Cloud, Prowler) + Kubernetes security (Trivy, Falco, OPA).
• Certifications dans l'ordre : AWS Security Specialty OU AZ-500 selon cloud → CKS si K8s → CCSP à 3+ ans.
• Multi-cloud de plus en plus requis : un junior mono-cloud en 2026 perd structurellement 5-10 k€ et ferme des portes.
• Salaires juniors parmi les plus élevés du cyber : 55-75 k€ IDF. Progression +5 ans : 88-115 k€. Architecte 110-145 k€.

Pour l'ensemble des métiers cyber avec salaires et accessibilité par profil, voir Les métiers de la cybersécurité : guide complet. Pour comparer avec DevSecOps qui est le métier le plus proche, voir Qu'est-ce qu'un DevSecOps ? Fiche métier complète. Pour comparer avec consultant cybersécurité (beaucoup de cloud security engineers sont consultants en ESN ou cabinet), voir Qu'est-ce qu'un consultant cybersécurité ? Fiche métier. Pour le plan opérationnel de bascule complète vers cloud security, voir Les étapes pour devenir Cloud Security Analyst. Pour la trajectoire depuis DevSecOps vers cloud security, voir Peut-on devenir DevSecOps sans expérience cyber ?. Le bootcamp DevSecOps de Zeroday inclut un module cloud security dédié avec AWS Security Specialty en préparation intégrée, labs Terraform durcis et audits CSPM sur comptes lab — base solide avant de viser AZ-500 en parallèle pour le profil multi-cloud.