Comment débuter dans la cybersécurité : étapes, compétences et ressources

Commencer une carrière dans la cybersécurité exige de trouver des opportunités, d’apprendre rapidement et de s’adapter à un secteur en évolution constante. Même si ce processus peut sembler intimidant, il existe une grande variété de métiers et d’étapes accessibles qui peuvent vous aider à devenir un candidat solide. Ce guide consacré au début d’une carrière dans la cybersécurité vous accompagne à travers ces étapes et vous aide à planifier votre parcours, à acquérir une expérience pratique et à devenir un candidat de choix pour les recruteurs.

Les parcours professionnels dans la cybersécurité

Le secteur de la sécurité offre plusieurs parcours professionnels, avec des domaines d’intervention et des niveaux de responsabilité légèrement différents. Parmi les principales fonctions figurent les analystes, les ingénieurs réseau, les administrateurs systèmes, les pentesters et les postes de direction.

Analyste en sécurité des systèmes d’information

Les analystes jouent un rôle essentiellement stratégique. Même s’ils peuvent se retrouver sur le terrain, à traquer et éradiquer les menaces, leur principale responsabilité consiste à surveiller les systèmes d’information, à étudier les menaces et à élaborer des stratégies cohérentes pour les éradiquer. Cela comprend notamment :

• Surveiller les journaux d’événements : Les analystes de sécurité examinent les journaux d’événements à la recherche de tendances normales indiquant un environnement stable et d’anomalies susceptibles de révéler une menace ou une vulnérabilité.
• Surveiller les alertes : Les analystes peuvent être chargés de vérifier les alertes de sécurité, avec d’autres membres du service, afin d’identifier celles qui constituent réellement un problème.
• Examiner les rapports : Un analyste doit être à l’aise avec l’examen des rapports et des tableaux de bord, l’analyse des conclusions à en tirer, l’identification des tendances générales et la proposition de méthodes de prévention pertinentes.

Un analyste en sécurité des systèmes d’information peut espérer gagner entre 90 000 $ et 240 000 $, selon son expérience professionnelle et le lieu du poste. Avec le temps, les analystes peuvent être amenés à jouer un rôle stratégique majeur au sein d’une équipe de sécurité ou d’un service informatique.

Ingénieur réseau

Les ingénieurs réseau et les ingénieurs logiciels principalement spécialisés dans les réseaux sont responsables du fonctionnement du réseau d’une entreprise et de sa sécurisation. Ce poste comprend notamment :

• Définir les règles du pare-feu : Les ingénieurs réseau, généralement ceux chargés de l’administration, configurent les règles d’acceptation et de rejet du trafic sur le réseau afin d’en protéger les ressources.
• Contribuer à la configuration des ports et des routeurs : Ce matériel réseau doit être correctement configuré pour transmettre les paquets de données entre les réseaux.
• Tester les réseaux et les systèmes connectés : Les ingénieurs doivent tester la sécurité de leurs réseaux, notamment en réalisant régulièrement des audits.

Les ingénieurs réseau seniors accomplissent des tâches similaires, mais avec davantage de responsabilités et de possibilités d’encadrement.

Les salaires des ingénieurs réseau vont d’environ 87 000 $ à 183 000 $ par an, selon le profil du salarié et le lieu d’implantation de l’entreprise. Les ingénieurs réseau seniors peuvent espérer gagner davantage que les ingénieurs réseau débutants dans un même lieu, potentiellement entre 120 000 $ et 245 000 $ par an.

Administrateur systèmes

Les postes d’administrateur systèmes se trouvent souvent dans les services informatiques, mais les administrateurs systèmes jouent fréquemment un rôle majeur dans la stratégie de cybersécurité d’une entreprise, en particulier lorsque celle-ci ne dispose pas d’une équipe de sécurité dédiée. Les fonctions d’administrateur systèmes peuvent comprendre :

• Mettre en place les réseaux et les systèmes informatiques : Ces responsables gèrent les processus de mise en place du matériel, des logiciels, des connexions réseau et des autorisations utilisateur.
• Gérer les membres de l’équipe : Les administrateurs systèmes sont souvent chargés de diriger les équipes informatiques et de sécurité.
• Superviser les contrôles de sécurité : Les administrateurs systèmes définissent généralement les règles de sécurité ou délèguent ces tâches à leurs subordonnés directs.

Les administrateurs systèmes peuvent espérer gagner entre 69 000 $ et 177 000 $ par an, selon leur lieu de travail, l’entreprise et leur expérience dans le domaine.

Pentester

Les pentesters et autres hackers éthiques améliorent les infrastructures de sécurité des organisations en agissant comme des acteurs malveillants pour attaquer les systèmes, se déplacer latéralement et accéder aux données. Ils fournissent à leurs clients des informations exploitables sur leurs réseaux et leurs systèmes informatiques afin que ceux-ci puissent renforcer davantage leur sécurité.

Les tâches des pentesters et des hackers éthiques peuvent notamment comprendre :

• Trouver des missions de test : Les pentesters, qu’ils soient internes ou externes, se voient confier un réseau, un système ou une infrastructure complète à pirater, avec parfois une zone précise à cibler.
• Identifier les vulnérabilités : Ces professionnels sont chargés de trouver les vulnérabilités et de les exploiter autant que possible.
• Recommander des mesures de remédiation : Certains pentesters peuvent également fournir aux clients une liste de suggestions pour corriger et atténuer les vulnérabilités découvertes dans le cadre de leur travail.

Les pentesters peuvent espérer gagner entre 90 000 $ et 190 000 $, selon leur expérience et le lieu du poste. Certains pentesters indépendants ou sous contrat peuvent gagner plutôt entre 50 000 $ et 60 000 $ au début de leur carrière, mais quelques années d’expérience leur ouvriront davantage de possibilités financières.

Directeur de la sécurité

Un directeur de la cybersécurité, ou éventuellement un directeur informatique chargé de superviser la sécurité, gère toutes les initiatives de sécurité au sein de son organisation. Ces initiatives sont souvent stratégiques, mais peuvent inclure des tâches élémentaires comme la définition de restrictions pour le pare-feu.

Le poste de directeur de la cybersécurité comprend notamment :

• Gérer les membres de l’équipe : Les directeurs délèguent les tâches et définissent la posture de sécurité globale de l’équipe. Selon la taille de l’entreprise et de l’équipe, les subordonnés directs d’un directeur peuvent eux-mêmes avoir des subordonnés directs.
• Gérer les budgets : Un directeur est globalement responsable de la gestion des dépenses financières d’une équipe de sécurité et de leur coordination avec le budget général de l’entreprise.
• Piloter les efforts de mise en conformité : Un directeur de la cybersécurité dirige la mise en conformité réglementaire au sein de l’organisation, en veillant à ce que le traitement et le stockage des données répondent aux exigences internationales, régionales et sectorielles.

La rémunération d’un directeur de la sécurité présente une grande amplitude : elle commence autour de 59 000 $ par an et peut atteindre 430 000 $. Comme toujours, le lieu de travail et l’expérience influent sur ces fourchettes. Les intitulés à rechercher comprennent « directeur de la cybersécurité » et « directeur de la sécurité des systèmes d’information ».

Pour découvrir le travail et le quotidien des experts du secteur, consultez nos suggestions de meilleurs comptes Twitter consacrés à la cybersécurité à suivre.

6 conseils pour débuter dans la cybersécurité

Si vous envisagez une carrière dans la sécurité, je vous recommande d’obtenir des certifications, de suivre les formations proposées par les organismes locaux et d’utiliser les ressources des fournisseurs. Examinez également les opportunités au sein de votre propre organisation et réfléchissez aux compétences que vous possédez déjà et qui pourraient être utiles dans le domaine de la sécurité.

Obtenir une certification de sécurité en ligne

Internet facilite le début de votre apprentissage sans avoir à vous rendre dans une salle de classe. Toutefois, l’immense quantité de contenus disponibles en ligne ouvre également la voie à des programmes de formation que les employeurs potentiels peuvent ne pas considérer comme légitimes. Évitez ce résultat indésirable en vous renseignant sur les formations proposées par des entreprises et des organisations jouissant d’une solide réputation. Parmi les formations légitimes et reconnues figurent :

• IBM Cybersecurity Analyst Professional Certificate : Il s’agit d’une option destinée aux débutants sans expérience préalable dans le secteur, proposée par la plateforme d’apprentissage en ligne Coursera.
• SANS Undergraduate Certificate in Applied Cybersecurity : Ce programme, qui propose une formule entièrement en ligne, s’adresse aux étudiants de premier cycle ou à toute personne ayant déjà validé au moins deux années d’études supérieures.
• CompTIA Security+ Certificate : Obtenue à l’issue d’une formation et d’un examen, cette certification réputée évalue chez les candidats les compétences fondamentales nécessaires pour commencer leur carrière dans la cybersécurité.
• Certified Information Systems Security Professional (CISSP) course : Ce cours CISSP gratuit proposé par freecodecamp.org peut vous aider à préparer un examen de certification sans avoir à payer la préparation.

Consultez également les formations qui enseignent des compétences destinées à renforcer la cybersécurité des entreprises. FutureLearn s’adresse aux personnes sans expérience ou à celles qui souhaitent suivre une formation de remise à niveau.

En savoir plus sur les meilleures certifications en cybersécurité destinées aux futurs professionnels de la sécurité.

Suivre des cours dans un établissement d’enseignement supérieur local

De plus en plus d’établissements d’enseignement supérieur locaux proposent des cours de cybersécurité pour répondre à la grave pénurie de compétences dans le secteur. Certains programmes proposent même des dispositifs d’apprentissage et de stage associés.

• Washington, DC : The George Washington University’s Cybersecurity Boot Camp est un programme de 24 semaines consacré à l’apprentissage de la sécurité en ligne, qui offre aux étudiants des possibilités de réseautage et bénéficie d’un partenariat avec CompTIA.
• Arizona : Mesa Community College propose plusieurs certificats, notamment en administration des environnements cloud et des réseaux, que les étudiants peuvent obtenir en plus d’un diplôme d’associé.
• Virginie : Le Virginia Community College System propose aux étudiants des formations de courte durée pouvant déboucher sur des certifications professionnelles délivrées par des organismes tiers ou permettre de suivre jusqu’à deux années d’études pour obtenir un diplôme d’associé.
• Colorado : Il y a quelques années, le Community College of Denver a reçu une subvention fédérale de 250 000 $ et l’a utilisée pour créer 1 600 places d’apprentissage en informatique et en cybersécurité entre mars 2020 et mars 2024.

Ce ne sont que quelques exemples : recherchez donc des opportunités similaires dans votre région et voyez ce qui est disponible. S’il est parfois possible d’acquérir une expérience concrète en dehors d’un établissement d’enseignement supérieur local, il est plus difficile de trouver seul des opportunités. Les coordinateurs de ces établissements et les autres professionnels de l’éducation peuvent s’appuyer sur leurs réseaux existants pour vous aider.

Des programmes de ce type ont aidé des professionnels de la sécurité à débuter, notamment Lynn Dohm, directrice générale de l’organisation à but non lucratif Women in Cybersecurity (WiCyS). « Mon parcours dans la cybersécurité a commencé grâce à une subvention financée par la NSF au Moraine Valley Community College », a-t-elle déclaré. « Recherchez des programmes, des stages ou des postes de débutant qui vous offrent une base solide et vous initient aux différents aspects de la cybersécurité. »

Plus vous en apprendrez sur les différentes facettes du secteur, plus vous comprendrez les enjeux de la sécurité et plus vous aurez de possibilités au moment de choisir les postes qui vous conviennent le mieux.

Si vous souhaitez vous immerger dans l’univers de la sécurité pour voir si vous voulez vraiment travailler dans ce secteur, consultez notre liste des meilleurs podcasts consacrés à la cybersécurité. Ceux-ci vont du sérieux au léger et vous donneront une idée concrète de ce qui se passe dans le domaine de la sécurité.

Découvrez les contenus proposés par les fournisseurs

Les fournisseurs réputés dans le domaine de la cybersécurité proposent souvent des formations gratuites aux personnes sans expérience préalable. Gardez à l’esprit que l’apprentissage de contenus propres à une entreprise peut entraîner une courbe d’apprentissage plus abrupte si vous travaillez ensuite pour un employeur qui utilise une autre marque. Dans de nombreux cas, les entreprises élaborent ces contenus autour des produits qu’elles vendent.

Cela dit, les formations proposées par les fournisseurs peuvent être un excellent moyen de mettre un pied dans le secteur :

• Cisco Networking Academy : Ce programme propose gratuitement des contenus conçus d’abord pour les appareils mobiles sur de nombreux sujets technologiques, et son parcours consacré à la cybersécurité prépare les apprenants à l’emploi grâce à des contenus indépendants des fournisseurs.
• Formations de Varonis pour débutants : Elles permettent aux étudiants d’obtenir des crédits CPE et comprennent les fondamentaux de PowerShell et d’Active Directory ainsi que la réponse aux incidents.
• Formations de Palo Alto Networks : PA propose notamment des formations telles que Fundamentals in Cloud Security et Fundamentals of Security Operations Centers.

Un certain nombre de géants de la technologie ont promis de consacrer des fonds et un soutien à la formation en cybersécurité dans le cadre d’une initiative de l’administration Biden lancée après l’attaque par rançongiciel contre Colonial Pipeline en 2021. Le nombre de formations gratuites ou abordables pourrait continuer à augmenter au cours des cinq prochaines années.

Accordez une attention particulière aux opportunités pratiques originales

Les certifications et les formations universitaires sont très utiles, mais ce ne sont pas les seuls moyens d’acquérir de l’expérience en cybersécurité. Si vous cherchez des stratégies pour progresser, envisagez de vous investir davantage dans la pratique et de développer des compétences pratiques utiles.

C’est ce qu’a recommandé Ilan Mindel, directeur des produits et de la technologie chez ThriveDX, aux personnes à la recherche d’un emploi. « Participer à des activités telles que la mise en place et la gestion d’un environnement de laboratoire à domicile, prendre part à des compétitions de type capture the flag (CTF) et contribuer à des projets de sécurité open source peut vous apporter une expérience inestimable », a-t-il déclaré.

Mindel a également souligné l’importance de s’investir dans les communautés de la sécurité afin d’en apprendre davantage auprès des professionnels qui vous entourent. « Échanger avec des professionnels du secteur et rejoindre des communautés de la cybersécurité, en ligne comme hors ligne, peut ouvrir la voie à des possibilités de mentorat et à des opportunités d’emploi », a-t-il déclaré.

« Participer à des conférences, à des webinaires et à des rencontres locales peut vous aider à rester informé des dernières tendances et technologies tout en développant un réseau professionnel solide. »

Vous pourriez être surpris par les opportunités qui se présentent lorsque vous nouez des contacts, demandez à assister à des réunions et échangez en personne avec des professionnels déjà présents dans le secteur. Ils auront de précieuses informations à vous transmettre.

Envisagez une mobilité interne au sein de votre entreprise actuelle

Vous occupez peut-être déjà un poste technique chez votre employeur actuel et avez déjà manifesté un intérêt pour la cybersécurité. Dans ce cas, il peut être utile de vérifier si vous pourriez rejoindre un autre poste ou service au sein de votre entreprise. Si vous disposez déjà d’un certain bagage technique, votre employeur pourrait même financer une formation continue, comme un programme accéléré de type boot camp en cybersécurité, qui couvre rapidement les compétences fondamentales.

Si votre entreprise dispose déjà d’un service ou d’une équipe de cybersécurité que vous souhaitez rejoindre, envisagez de demander à votre responsable s’il existe des programmes de formation croisée ou de mentorat. Par exemple, Women in Cybersecurity propose un programme de mentorat destiné aux personnes à tous les stades de leur carrière. Il s’agit d’un engagement de 12 mois, durant lequel mentors et mentorés se réunissent en ligne au moins une fois par mois.

Chris Campbell, directeur des systèmes d’information de DeVry University, présente le perfectionnement des compétences comme un moyen de vous démarquer des autres candidats potentiels. « Les entreprises perfectionnent les compétences de leurs employés actuels, car la cybersécurité, de manière générale, devient rapidement la responsabilité de chacun », a déclaré Campbell. « Dans la plupart des situations de cybersécurité, le maillon faible est l’être humain. Tout le monde doit donc développer ses compétences et comprendre la cybersécurité à un certain niveau.

« Tout le monde n’a pas besoin de savoir devenir ingénieur en cybersécurité ou analyste en criminalistique, mais chacun peut tirer parti d’une meilleure compréhension de la cybersécurité, des attaques courantes et des mesures à prendre pour se protéger, ainsi que pour protéger son entreprise, sa famille et ses amis. »

Les employeurs apprécient souvent que les membres de leur personnel repèrent les lacunes existantes et se portent volontaires pour les combler, notamment en résolvant les problèmes de sécurité actuels de l’entreprise. Vous avez peut-être prochainement un entretien avec votre responsable et souhaitez parler de vos objectifs de carrière. Dans ce cas, le moment pourrait être idéal pour évoquer votre intérêt pour la cybersécurité et explorer les moyens de commencer une carrière dans ce domaine.

Pour vous familiariser avec les tendances actuelles du secteur, consultez notre guide des principales tendances de la cybersécurité, notamment la progression de l’IA et de la cybercriminalité avancée.

Tirez le meilleur parti de vos compétences existantes

Il est important de comprendre les concepts fondamentaux de la sécurité et le fonctionnement des environnements informatiques, mais ne négligez pas les autres aptitudes qui pourraient faire de vous un candidat remarquable ou un professionnel de la sécurité prometteur. Selon Campbell, les personnes possédant d’autres compétences peuvent également réussir dans la sécurité.

« Nombre des compétences fondamentales requises sont liées à la pensée logique, à la capacité d’apprentissage et à la reconnaissance des schémas », a déclaré Campbell. « Par exemple, il y a quelques années, on disait que les musiciens formés feraient de bons analystes en cybersécurité, principalement grâce à leur capacité à reconnaître les schémas. »

Vous devez d’abord être capable de reconnaître ces aptitudes en vous-même et de bien les exploiter. Mais Cambell estime que les métiers de la sécurité sont ouverts aux personnes venant d’autres domaines, à condition qu’elles puissent apporter au poste des idées nouvelles et créatives.

« La cybersécurité est un domaine technique qui peut sembler quelque peu complexe à certaines personnes. Mais en réalité, nous avons tous des compétences du quotidien, des choses que nous faisons dans notre travail, qui se transposent bien à la cybersécurité », a insisté Campbell. « Les entreprises et les organisations ne recherchent pas uniquement des diplômés en informatique. Nous devons réfléchir à d’autres moyens de pourvoir ces types de postes et sortir des sentiers battus. »

Outils et ressources pour commencer votre carrière

Si vous envisagez de commencer une carrière dans la sécurité, évaluez d’abord toutes les ressources dont vous disposez actuellement. Il peut s’agir de formations gratuites, de certifications potentielles et de contacts avec des professionnels du secteur. La liste suivante regroupe des ressources, dont certaines ont été mentionnées plus haut, que vous pouvez envisager au moment de commencer ou de réorienter votre carrière :

• Formations gratuites de l’EC-Council pour débutants
• Cours et certifications proposés par edX 
• Cours compilés par Udemy 
• IBM Cybersecurity Analyst Professional Certificate
• CompTIA Security+ Certificate
• ISC2 Certified Cloud Security Professional : certification

Si vous envisagez d’utiliser plusieurs ressources, choisissez celles qui soutiendront le mieux vos objectifs de carrière. Par exemple, si la sécurité cloud vous intéresse, consultez la certification ISC2 Certified Cloud Security Professional. Il est également utile de suivre des formations sur plusieurs sujets liés à la sécurité afin d’acquérir des connaissances plus équilibrées.

Foire aux questions (FAQ)

En résumé : commencer une carrière dans la cybersécurité exige d’identifier ses points forts

Pour commencer une carrière dans un nouveau domaine, vous devez comprendre les bases du secteur et son importance, mais aussi identifier la manière dont vos propres aptitudes peuvent le servir au mieux. Vous pourrez ensuite vous présenter aux entreprises en vous appuyant sur ces points forts. Dans le domaine de la cybersécurité, les finances, les données et parfois même la santé des personnes sont affectées par l’efficacité des cyberattaques et des mesures de protection. Si vous avez à cœur de les protéger, vous pouvez réussir dans ce secteur.

Ensuite, découvrez comment protéger les réseaux d’entreprise et ce que cette tâche implique, notamment les contrôles de sécurité réseau et les différentes couches du réseau.