Un avant-vente sécurité réseau et SASE passe ses semaines entre les fiches techniques des pare-feu, les matrices de licences et les ateliers avec l'équipe réseau du client. Les affaires se ressemblent : parc de pare-feu en fin de support, contrat MPLS qui se termine, VPN nomade à remplacer par un accès ZTNA, passage d'un éditeur à un autre. Les questions d'entretien pour un avant-vente sécurité réseau partent de ces situations, avec des chiffres.
Le piège classique est le profil qui connaît une gamme par cœur et lit les fiches techniques au premier degré. Le débit annoncé en simple filtrage n'a rien à voir avec celui obtenu une fois l'IPS, le contrôle applicatif et l'inspection TLS activés. Le bon candidat demande les statistiques réelles du client, prévoit la croissance et la haute disponibilité, et sait comparer deux devis dont les bundles ne contiennent pas les mêmes services.
Les certifications pèsent plus qu'ailleurs, car elles conditionnent souvent le niveau de partenariat de l'employeur. Palo Alto Networks a retiré la PCNSE en 2025 au profit de certifications comme Next-Generation Firewall Engineer, Fortinet a revu son programme NSE en 2026 et Cisco garde le CCNP Security. Le PDF propose 30 questions sur six axes, un cas de 20 minutes et une grille de 1 à 4.
Pare-feu, SD-WAN et SSE dans le portefeuille d'un avant-vente sécurité réseau
Pare-feu nouvelle génération (NGFW)
FortiGate chez Fortinet, les gammes PAN-OS chez Palo Alto Networks, Cisco Secure Firewall, Check Point, Stormshield. L'avant-vente choisit un modèle à partir du débit avec les services de sécurité activés, du nombre de sessions, des tunnels VPN et des interfaces. Le chiffre de simple filtrage en tête de fiche technique sert rarement.
Inspection TLS
Le déchiffrement du trafic HTTPS pour l'analyser. C'est la fonction qui fait le plus baisser le débit d'un pare-feu ou d'un service cloud. Elle soulève aussi des questions sur la vie privée des salariés, traitées par la recommandation de la CNIL sur les proxys filtrants publiée en mars 2026.
SD-WAN
Le pilotage d'au moins deux liens Internet par agence, qui remplace souvent un réseau MPLS d'opérateur. Fortinet Secure SD-WAN, Prisma SD-WAN et Cisco Catalyst SD-WAN mesurent la qualité de chaque lien et y envoient chaque application selon des seuils. Le candidat doit parler téléphonie, liens de secours et délais de livraison des opérateurs.
SSE et SASE
Le SSE regroupe dans le cloud le proxy web, le CASB, le ZTNA et le pare-feu en service. Le SASE y ajoute le SD-WAN. Zscaler, Netskope, Prisma Access, FortiSASE, Cisco Secure Access et Cato Networks se partagent ces affaires. Reste à savoir où se trouvent les points de présence et où sont stockés les journaux.
ZTNA et fin du VPN nomade
L'accès application par application, après vérification de l'utilisateur et du poste, qui remplace une partie du VPN. Le sujet revient vite chez les clients Fortinet depuis que FortiOS 7.6.3 ne prend plus en charge le mode tunnel du VPN SSL. L'avant-vente chiffre la migration des nomades, pas seulement la licence.
Consoles de gestion et journaux
FortiManager et FortiAnalyzer, Panorama et Strata Cloud Manager, Security Cloud Control chez Cisco. Elles pèsent dans le devis (licence par équipement, stockage des journaux, durée de conservation) et dans l'exploitation. Une offre sans console centrale pour 60 sites est incomplète.
Outils de migration
Les convertisseurs de configuration des éditeurs, comme FortiConverter, et les outils d'analyse de règles (Tufin, AlgoSec). Ils traduisent la syntaxe d'un éditeur à l'autre en quelques heures. Le nettoyage des règles inutilisées, la revue de la NAT et les tests restent du travail humain, à chiffrer.
Licences, support et cycle de vie
Les abonnements de sécurité (IPS, filtrage d'URL, sandbox, DNS), souvent vendus en bundles, le niveau de support et le délai de remplacement du matériel. Les dates de fin de vente et de fin de support publiées par les éditeurs décident de la durée de vie réelle d'un modèle proposé.
Le poste se trouve chez les intégrateurs réseau et sécurité, les distributeurs à valeur ajoutée qui accompagnent des revendeurs, les opérateurs qui vendent du SD-WAN et les éditeurs eux-mêmes. Chez un éditeur, l'avant-vente défend une seule gamme et la démontre sur maquette. Chez un intégrateur, il compare plusieurs éditeurs et chiffre aussi les jours d'intégration. Les annonces demandent presque toujours un passé d'ingénieur réseau ou sécurité, avec des certifications Fortinet, Palo Alto Networks ou Cisco, parfois obligatoires pour tenir le niveau de partenariat. L'anglais sert pour les escalades vers les équipes de l'éditeur.
Les savoir-faire attendus d'un avant-vente SASE
- Dimensionnement de pare-feu NGFW
- Architecture SD-WAN multi-sites
- SSE, SASE et ZTNA
- POC et migration entre éditeurs
- Licences, support et cycle de vie
- Positionnement multi-éditeurs
Les cas d'entretien d'avant-vente sécurité réseau et SASE
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · confirmé
Une fiche technique annonce 10 Gbit/s en filtrage et 2 Gbit/s avec la protection contre les menaces. Le client a un lien de 1 Gbit/s. Quel modèle proposez-vous ?
Une bonne réponseLa personne retient le chiffre avec les services activés et rappelle les conditions de mesure de l'éditeur (taille des paquets, mélange de trafic). Elle ajoute l'effet de l'inspection TLS, souvent publiée à part et bien plus basse, la part de trafic chiffré du client, les sessions simultanées et les nouvelles sessions par seconde, les tunnels VPN, la croissance sur la durée du contrat et la haute disponibilité. Elle demande des relevés de trafic en pointe avant de trancher, et garde une marge.
Signal d'alerteChoisir sur le débit de filtrage, ou sur la seule bande passante du lien Internet sans parler des services activés.
Question 2 · confirmé
Le client a 60 agences en MPLS dont le contrat se termine dans 14 mois et 900 nomades en VPN. Il demande « du SASE ». Que lui demandez-vous avant de proposer quoi que ce soit ?
Une bonne réponseOù sont les applications (datacenter, SaaS, IaaS) et comment elles évoluent, le trafic par agence, la voix et la visio, les liens disponibles et les délais de livraison des opérateurs, l'âge et la fin de support des équipements, les contraintes d'agent sur les postes, ce qu'il faut inspecter, où doivent rester les journaux, qui exploitera. La date de fin du MPLS fixe le rétroplanning. Elle distingue ce qui relève du SD-WAN et ce qui relève du SSE.
Signal d'alerteProposer d'emblée la plateforme de son éditeur favori, ou ignorer le calendrier de résiliation du MPLS.
Question 3 · senior
Le client veut passer de Check Point à Fortinet avec 3 000 règles. Comment chiffrez-vous la migration ?
Une bonne réponseElle part d'un audit : export des configurations, compteurs d'utilisation des règles sur une période significative, objets en double, NAT, VPN, règles applicatives. Un outil comme FortiConverter traduit la syntaxe, mais le chiffrage porte sur le nettoyage, la revue avec les propriétaires des flux, les tests et la bascule par lots avec retour arrière. Elle donne une fourchette liée au résultat de l'audit plutôt qu'un forfait au nombre de règles.
Signal d'alertePromettre une migration à l'identique en un week-end grâce à l'outil de conversion.
Question 4 · confirmé
Le client pose sur la table deux devis de pare-feu pour ses 60 agences, le vôtre et celui d'un concurrent, nettement plus bas. Comment comparez-vous les deux offres ?
Une bonne réponseElle met les lignes côte à côte : matériel seul ou avec bundle d'abonnements, services inclus (IPS, filtrage d'URL, sandbox, DNS), durée des abonnements, niveau de support et délai de remplacement du matériel, licences de la console et du stockage des journaux, licences du second boîtier en haute disponibilité, prix de renouvellement en année deux ou quatre. Elle présente l'écart au client sur une base comparable, sans dénigrer le concurrent.
Signal d'alerteBaisser le prix tout de suite, ou affirmer que le concurrent « triche » sans montrer les lignes.
Question 5 · senior
Le client hésite entre une offre SASE d'un seul éditeur et un SD-WAN d'un éditeur couplé au SSE d'un autre. Comment l'aidez-vous à choisir ?
Une bonne réponseUn seul éditeur donne une console, une politique et un support. Deux éditeurs permettent de garder un existant ou de choisir le meilleur produit sur chaque brique, au prix de deux politiques à tenir cohérentes, de tunnels entre les agences et les points de présence, de deux contrats et de deux compétences. Elle tranche avec les critères du client : équipe d'exploitation, équipements déjà en place et leurs dates de fin de support, échéances des contrats.
Signal d'alerteUne réponse de principe, toujours en faveur de l'offre unifiée ou de la meilleure brique, sans regarder l'existant ni l'équipe.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Avant-vente sécurité réseau : questions fréquentes
Quelles certifications attendre aujourd'hui d'un avant-vente sécurité réseau ?
Un CV récent affiche des certifications Palo Alto Networks comme Next-Generation Firewall Engineer, Security Service Edge Engineer ou SD-WAN Engineer, qui remplacent la PCNSE retirée en 2025. Chez Fortinet, NSE 4 FortiOS reste la base, avec des niveaux 5 à 7 par domaine, dont le SASE, dans un programme revu en 2026. Cisco garde le CCNP Security. La date d'obtention compte, car ces titres expirent.
Faut-il un profil réseau ou un profil sécurité pour vendre du SASE ?
Les deux se rencontrent. L'ancien ingénieur réseau maîtrise le routage, les liens opérateurs et le SD-WAN, et doit apprendre l'inspection, le ZTNA et les politiques d'accès. Le profil sécurité connaît le filtrage et les menaces, mais sous-estime parfois la téléphonie ou le routage dynamique entre agences. Pour une offre SASE complète, l'entretien porte sur la partie que le parcours du candidat couvre le moins.
Sur quoi porte le test technique d'un avant-vente sécurité réseau ?
Sur un dimensionnement et une lecture de devis. Le test fournit des relevés de trafic d'un site, une fiche technique réelle et deux devis concurrents, et attend un modèle, une justification et la liste des écarts entre les offres. Trente minutes suffisent. Une question de migration de règles montre si la personne parle d'audit et de nettoyage avant de parler d'outil.
Mono-éditeur ou multi-éditeurs : qu'est-ce que cela change au profil ?
Un éditeur ou un distributeur dédié à une gamme cherche quelqu'un qui démontre le produit sans aide, connaît ses limites et ses licences dans le détail. Un intégrateur multi-éditeurs a besoin d'une personne capable de comparer honnêtement trois offres et de dire laquelle convient au client. Dans le second cas, le candidat raconte une affaire où il a recommandé un éditeur qu'il connaissait moins bien.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
