Un ingénieur sécurité est un praticien technique qui conçoit, construit et exploite les contrôles qui maintiennent la sécurité des systèmes et de l'infrastructure d'une organisation. Là où un architecte décide ce que doit être la structure défensive, l'ingénieur est celui qui la met en oeuvre et la fait fonctionner : il configure les pare-feux, les systèmes d'identité, les chaînes de journalisation et les outils de protection qui transforment une stratégie de sécurité en technologie opérationnelle. Le rôle se situe à l'extrémité opérationnelle de la famille de l'architecture de sécurité et se définit par la combinaison de compétences logicielles et systèmes avec un état d'esprit de défenseur.
Au quotidien, le travail consiste à concrétiser les contrôles et à les maintenir efficaces. Un ingénieur sécurité peut durcir la configuration des serveurs et des services cloud, mettre en place et ajuster la gestion des identités et des accès, déployer et maintenir les outils de surveillance et de détection, et écrire des automatisations qui appliquent les politiques de manière cohérente sur un parc étendu. Une grande partie du métier relève de l'intégration : intégrer la sécurité dans les systèmes que les équipes de développement et d'exploitation utilisent déjà, afin que la protection soit intégrée par conception plutôt que rajoutée après coup. Les ingénieurs répondent aussi aux conclusions des évaluations et des incidents, comblant les failles et renforçant l'environnement au fil du temps. Une documentation claire et une configuration fiable et reproductible comptent autant que le correctif ponctuel, car les contrôles doivent tenir à mesure que l'organisation évolue.
Le rôle exige de véritables compétences d'ingénierie en plus des connaissances en sécurité. Un ingénieur sécurité doit être à l'aise avec les systèmes d'exploitation, les réseaux et, de plus en plus, les plateformes cloud, ainsi qu'avec le scripting ou la programmation pour automatiser des tâches et construire des outils. Sur cette base viennent se greffer les spécificités de la sécurité : le fonctionnement de l'authentification et du chiffrement, le comportement des attaquants, et la manière de lire les journaux et les alertes et d'agir en conséquence. Comme le travail se déroule au coeur des systèmes de production, les ingénieurs ont aussi besoin du soin et du discernement nécessaires pour effectuer des changements sans casser les services qu'ils protègent, et des compétences de communication pour travailler étroitement avec les développeurs et les administrateurs dont ils sécurisent les systèmes.
On accède couramment à ce rôle depuis l'administration système, l'ingénierie réseau, le développement logiciel ou les opérations de sécurité, en apportant une expérience concrète de la manière dont les systèmes sont construits et exploités. Beaucoup renforcent leurs bases en sécurité par une formation structurée et des certifications reconnues avant ou pendant leur transition. Avec l'expérience, un ingénieur sécurité peut évoluer vers des postes d'ingénieur senior ou staff qui prennent en charge des plateformes plus importantes et définissent les standards techniques, se spécialiser dans des domaines tels que la sécurité du cloud, la sécurité applicative ou l'ingénierie de détection, ou s'orienter vers des rôles d'architecture qui façonnent les conceptions plutôt que de les mettre en oeuvre. Le rôle collabore avec les analystes des opérations de sécurité, qui surveillent et trient les signaux produits par les contrôles mis en place, et il rend compte aux architectes décrits sur les pages voisines ou travaille en partenariat avec eux, traduisant leurs conceptions en systèmes opérationnels.