Devenir expert en cybersécurité, un métier d'avenir accessible même en reconversion

Pourquoi tant d'entreprises cherchent des profils en cybersécurité

En août 2022, le centre hospitalier Sud Francilien, à Corbeil-Essonnes, a vu ses systèmes informatiques paralysés par une cyberattaque. Les pirates réclamaient 10 millions de dollars. Des opérations déprogrammées, des patients transférés, un personnel revenu au papier et au stylo pendant des semaines. Ce genre d'histoire, on en entend parler presque chaque mois maintenant, et c'est sans doute pour cela que de plus en plus de personnes envisagent de devenir expert en cybersécurité. Le besoin est là, très concret. Et il ne concerne pas que les grands groupes.

Les PME, les collectivités locales, les cabinets médicaux : tout le monde est exposé. Une mairie de 5 000 habitants n'a pas forcément de service informatique digne de ce nom, mais elle stocke des données sensibles sur ses administrés. Vous voyez le problème.

Un secteur où l'on manque de bras

On parle souvent de "pénurie de talents" un peu à tort et à travers. Dans le cas de la cybersécurité, il me semble que l'expression est justifiée. Les recruteurs peinent à trouver des candidats pour des postes d'analyste SOC, de pentesteur ou de responsable de la sécurité des systèmes d'information (le fameux RSSI).

Côté salaires, un analyste débutant peut espérer autour de 35 000 à 40 000 euros brut annuels en région parisienne. Un profil confirmé avec cinq ou six ans d'expérience dépasse assez facilement les 55 000 euros. Ces chiffres varient beaucoup selon la région et la taille de l'entreprise, donc à prendre avec un peu de recul. Mais la tendance est claire.

Les compétences à acquérir (et celles qu'on oublie)

Évidemment, il faut des bases techniques solides. Comprendre comment fonctionne un réseau, savoir lire des logs, maîtriser un minimum Linux. Quelques notions de programmation aident aussi, Python en tête, parce qu'il sert à automatiser une bonne partie des tâches répétitives.

Ensuite viennent les spécialités. Certains préfèrent l'offensif : tester les failles d'un système en se mettant dans la peau d'un attaquant. D'autres se tournent vers le défensif, la surveillance, la réponse aux incidents. Il y a aussi tout un pan plus réglementaire, avec le RGPD ou les exigences de l'ANSSI, qui attire des profils venus du juridique ou de l'audit.

Ce qu'on mentionne moins, ce sont les qualités humaines. Savoir expliquer un risque à un directeur financier qui ne connaît rien à l'informatique, ce n'est pas donné à tout le monde. Honnêtement, je pense que c'est parfois ce qui fait la différence entre un bon technicien et un vrai expert. La curiosité compte énormément aussi. Les menaces évoluent tellement vite qu'un savoir figé devient obsolète en deux ou trois ans.

Formation initiale ou reconversion ?

Il existe plusieurs chemins. Les écoles d'ingénieurs proposent des spécialisations en sécurité informatique, et certains masters universitaires sont très reconnus. Mais ce n'est pas l'unique porte d'entrée, loin de là.

Beaucoup de professionnels en poste aujourd'hui viennent d'ailleurs. J'ai en tête l'exemple d'un ancien administrateur réseau qui s'est formé à distance pendant un an, le soir, tout en gardant son emploi. Il travaille désormais dans un SOC à Lyon. Ce genre de parcours n'est pas rare, surtout depuis que les formations en ligne se sont multipliées et que certaines sont finançables via le CPF.

Les certifications jouent aussi un rôle non négligeable. CompTIA Security+, CEH, OSCP pour les plus motivés (celle-là a la réputation d'être redoutable, avec un examen pratique de 24 heures). Elles rassurent les recruteurs, même si l'expérience terrain reste, à mon avis, ce qui pèse le plus au final.

Ce qu'on ne vous dit pas toujours

Le métier n'est pas toujours aussi palpitant que dans les séries. Une bonne partie du travail consiste à analyser des alertes, dont la majorité sont des faux positifs. Il faut rédiger des rapports. Beaucoup de rapports.

Il y a aussi la question des astreintes. Une attaque ne prévient pas, et elle tombe rarement un mardi à 10 heures. Certains postes impliquent donc d'être joignable le week-end ou la nuit. Ce n'est pas rédhibitoire, mais mieux vaut le savoir avant de se lancer.

Et puis la pression. Quand un incident majeur survient, l'équipe sécurité se retrouve en première ligne, parfois avec la direction qui regarde par-dessus son épaule. Certains adorent cette adrénaline. D'autres, beaucoup moins.

Alors, faut-il se lancer ?

Si vous aimez comprendre comment les choses fonctionnent (et surtout comment elles peuvent casser), la cybersécurité a de quoi vous plaire. Le secteur offre une vraie stabilité, des perspectives d'évolution et un sentiment d'utilité qu'on ne trouve pas partout.

Ce n'est pas un domaine où l'on arrive par hasard, cela dit. Il faut accepter d'apprendre en continu, de se tromper souvent, de recommencer. Un conseil peut-être : avant de vous engager dans une formation longue, testez vos goûts sur des plateformes comme Root-Me ou TryHackMe. Quelques soirées à résoudre des challenges vous diront assez vite si le sujet vous passionne ou non.

Le reste, c'est une question de méthode et de persévérance. Comme souvent.