Panorama des métiers de la cybersécurité

Quand on dit « je veux travailler en cybersécurité », on imagine souvent un hacker en capuche devant dix écrans. La réalité est bien plus variée : des postes très techniques, des postes d'organisation, de conseil, de formation, de conformité. Certains ne nécessitent presque aucune ligne de code, d'autres en demandent tous les jours. Cette leçon dresse la carte des métiers pour que vous puissiez situer celui qui vous correspond, et orienter vos efforts des prochains mois.

Dans le chapitre précédent, vous avez réuni des pièces de portfolio et réfléchi aux certifications. Il est temps de les relier à un projet professionnel. Le fil rouge de ce dernier chapitre est votre plan de progression sur 90 jours.

Une carte en quatre familles

On peut ranger la plupart des métiers en quatre grands domaines :

• Offensif : tester les défenses en jouant l'adversaire ;
• Défensif : surveiller, détecter, répondre, durcir ;
• Conception et ingénierie : construire des systèmes sûrs ;
• Gouvernance, risques et conformité (GRC) : organiser, piloter, prouver.

Les frontières sont poreuses : un testeur d'intrusion doit comprendre la défense, un analyste de SOC gagne à connaître l'attaque. L'ANSSI (cyber.gouv.fr) a publié un panorama des métiers de la cybersécurité : consultez-le pour une description officielle et à jour.

Le domaine offensif

Testeur d'intrusion (pentester) et auditeur technique

Il évalue la sécurité d'applications, de réseaux, d'infrastructures, dans un cadre contractuel, et livre un rapport avec des recommandations. Le métier mêle technique, méthode et qualité rédactionnelle : on passe une part importante du temps à documenter. Il s'exerce souvent dans un cabinet de conseil, avec des missions variées, ou au sein d'une grande organisation. Cela demande de la curiosité, de la persévérance, de la rigueur. En France, des prestataires peuvent être qualifiés par l'ANSSI pour l'audit de sécurité (qualification PASSI).

Membre d'un red team

Il simule un adversaire de façon prolongée, discrète, avec des objectifs précis (chapitre 3). C'est généralement un métier de deuxième étape : on y arrive après plusieurs années de pratique du test d'intrusion ou de l'administration de systèmes.

Chercheur en vulnérabilités

Il analyse des logiciels, des matériels ou des protocoles pour découvrir des failles inédites et les divulguer de façon coordonnée. Profil très technique (programmation, analyse bas niveau), souvent issu de formations poussées.

Le domaine défensif

Analyste SOC

Il surveille les alertes, qualifie les incidents et escalade (chapitre 3). Point d'entrée fréquent et formateur. Le travail se fait parfois en horaires décalés ou en astreinte dans un SOC continu. Les évolutions possibles : analyste de niveau supérieur, chasseur de menaces, ingénieur de détection.

Ingénieur de détection

Il écrit, teste et améliore les règles qui transforment des journaux en alertes (chapitre 4). Mêle compréhension de l'attaque, de l'ingénierie des données et du scripting.

Répondeur à incident et analyste forensique

Il intervient quand l'incident est avéré : confinement, analyse des machines, reconstitution de la chronologie, conservation des preuves, accompagnement de la remise en état. Le métier exige du calme, de la méthode et de l'endurance, car il se pratique sous pression.

Analyste de la menace (threat intelligence)

Il suit les groupes d'attaquants, les campagnes, les techniques (avec MITRE ATT&CK) et traduit ces informations en recommandations utiles pour la défense. Profil analytique, bon rédacteur.

Analyste de la gestion des vulnérabilités

Il inventorie les failles, les priorise selon leur risque réel et suit leur correction avec les équipes techniques. Un rôle de coordination autant que de technique.

Conception et ingénierie

Ingénieur ou architecte sécurité

Il conçoit l'architecture d'un système pour qu'il soit sûr dès le départ : segmentation, gestion des identités, chiffrement, supervision. Il conseille les équipes projet, arbitre entre sécurité, coût et usage.

Ingénieur sécurité des applications, du cloud ou DevSecOps

Il intègre la sécurité aux chaînes de développement et d'exploitation (chapitre 5) : analyses automatisées, revues de configuration, accompagnement des développeurs. Forte composante de scripting et d'automatisation.

Administrateur sécurité

Il gère au quotidien les outils de protection (pare-feu, gestion des accès, antivirus, messagerie sécurisée…). Un excellent point de départ pour les profils issus de l'administration système et réseau.

Gouvernance, risques et conformité (GRC)

Consultant GRC

Il aide les organisations à analyser leurs risques, rédiger des politiques, se mettre en conformité avec des référentiels et des réglementations, préparer des audits. Le métier demande une très bonne communication, une compréhension du droit et des métiers de l'entreprise, plus qu'une technique pointue. Il convient bien aux profils venus du droit, de la gestion, de l'audit ou du management.

Responsable de la sécurité des systèmes d'information (RSSI)

Il pilote la sécurité d'une organisation : stratégie, budget, équipes, gestion de crise, relation avec la direction. C'est un poste de responsabilité et de relations humaines, qui s'atteint souvent après plusieurs années d'expérience technique ou de gestion.

Délégué à la protection des données (DPO) et métiers voisins

Il veille au respect du RGPD et de la vie privée. À la frontière entre droit et sécurité.

Formateur et sensibilisateur

Il forme les équipes, conçoit des campagnes de sensibilisation, enseigne. Un métier précieux et sous-estimé, qui valorise la pédagogie (les parcours comme celui-ci en sont un exemple).

Comment choisir : cinq questions pour s'orienter

1. Qu'est-ce qui me motive ? Casser pour comprendre, surveiller et protéger, construire, ou organiser ?
2. Quel rythme me convient ? Missions variées en conseil, travail récurrent en équipe interne, astreintes en SOC ou en réponse à incident ?
3. Où suis-je à l'aise ? En technique pure, en rédaction, en relationnel, en organisation ?
4. Quelle est mon expérience antérieure ? Elle est un atout : un ancien administrateur, un juriste, un développeur ont chacun une porte d'entrée naturelle.
5. Quel type d'employeur ? Cabinet de conseil, grande entreprise, administration, éditeur de solutions, petite structure.

Votre choix ne vous engage pas à vie : les passerelles sont nombreuses (analyste SOC vers testeur d'intrusion, administrateur vers architecte, testeur vers consultant…).

Les compétences qui comptent partout

Quel que soit le métier, quatre qualités reviennent dans presque toutes les offres :

• La curiosité et l'envie d'apprendre en continu : le domaine évolue sans cesse.
• La rigueur et l'éthique : vous manipulez des données et des accès sensibles.
• La communication : écrire clairement, expliquer à un non-spécialiste, travailler en équipe.
• Les fondamentaux techniques : réseaux, systèmes, web, scripting. Ils servent à tous les postes.

À vous de jouer

Voici quatre profils fictifs. Pour chacun, proposez un métier d'entrée cohérent et un métier d'évolution possible à moyen terme :

1. Léa, ancienne juriste, intéressée par la sécurité depuis qu'elle a conseillé une entreprise après une fuite de données.
2. Yanis, développeur web depuis trois ans, curieux des failles des applications.
3. Nadia, administratrice systèmes et réseaux, aimant le travail d'équipe et l'astreinte sans stress excessif.
4. Karim, étudiant, passionné par les CTF et la programmation bas niveau.

Voir une solution

1. Léa : consultante GRC ou DPO, avec une évolution vers un poste de responsable de la conformité ou de RSSI.
2. Yanis : ingénieur sécurité des applications ou DevSecOps, avec une évolution vers le test d'intrusion web ou l'architecture sécurité.
3. Nadia : analyste SOC ou administratrice sécurité, avec une évolution vers la réponse à incident ou l'ingénierie de détection.
4. Karim : testeur d'intrusion junior (après un premier palier de certification) ou chercheur en vulnérabilités, avec une évolution vers l'analyse de logiciels malveillants ou le red team.

D'autres réponses sont tout à fait valables : l'exercice consiste à relier un profil à des métiers en s'appuyant sur les qualités de départ.