Reconversion professionnelle dans la cybersécurité

Bonjour matricule FR-1354196,

Je tenais à te remercier pour ces précieux conseils, je trouvais que cette démarche est fort intéressante, j'ai pu consulter diverses annonces de sessions de formation TSSR, le contenu en général a l'air bon mais le coût...excessivement cher pour ce que c'est, à partir de 15 000€ pour du 6 mois, axée sur les réseaux. Depuis un moment, j'ai dû mal à obtenir un RDV chez France travail afin de présenter ce projet mais toujours en vain, j'ai même contacté un conseiller (3949) mais il m'a fait savoir que cette demande de financement pour un montant pareil est assez délicat pour eux et que le traitement de cette demande peut durer jusqu'à 3 mois alors que moi, je souhaite cibler la formation de Jedha le 5 mai.

Je crois que je vais partir sur Jedha car elle est réputée d'être une très bonne école de cyber, il y a bcp de pratiques (Cours matinée et après midi pratique) mais j'hésite entre soit l'entamer en bootcamp présentiel niveaux essentials et fullstack (Débutant et intermédiaire) le tout en 4 mois et quelques ou l'entamer en format alternance (3 mois école et 9 mois entreprise).

Vu que tu en sais quelque chose, j'aimerai avoir ton avis stp.

Merci d'avance.

Bonjour "Recta Benam",

La cyber-sécurité, très vaste écosystème contenant des secteurs et domaines plus que variés.

Et quel est votre objectif final ? Vous souhaitez vous orienter sur quel secteur/domaine de la cyber ? (attention, avec la cyber, on ne rigole pas, c'est du très sérieux et à force de "papillonner", on finit par être un "bon à rien" ... certes, je suis un peu dur, tranchant et spartiate, même si je ne suis pas grec ...) : pentest, développement, grc, infra, application, "Maison DevSecOPs", Analyste SOC, .... beaucoup de métiers/fonctions/profils.

En ce qui concerne les écoles (et je n'ai aucune action chez qui que ce soit), quelques points de méfiance sur les enseignements dits "bootcamp" ou "wagon" (il y a souvent plus à boire qu'à manger) et ce n'est pas en quelques semaines/mois que vous allez devenir "le Roi du Monde".

Quant à "la Garde Espagnole", ce ne sont pas des rigolos et je peux vous affirmer que le niveau, en sortie, "ça envoie du bois de chauffe", même sur des actions de formations de type "débutant".

Juste pour digresser un peu (je copie/colle une de mes réponses d'un autre fil) => cela ne va pas résoudre votre choix d'études/apprentissage, mais peut ouvrir d'autres portes :

• 1) - Le "DevOps" n'est pas un métier : c'est un état d'esprit, une culture d'entreprise, une démarche, une philosophie ... En ce moment, l'IT met ce mot à toutes les sauces et en devient un galvaudage. A noter qu'il est plus délicat pour un "Ops" de faire du "Dev", que l'inverse et si l'on prend le cas des "SysOps" qui sont plus proches de la vérité (c'est un débat philosophique ....).

  Dans la démarche "DevOps", on inclut de plus en plus de "stream de sécurité", à différents niveaux :

  • Dev(Sec)Ops, (Sec)DevOps, DevOps(Sec) ou du (Sec)Dev(Sec)Ops(Sec) => cela fait plusieurs années que je pratique le dernier choix et les retours de résultats et de bénéfices sont à 95% positifs (c'est une autre débat) => ce qu'il faut voir ici, c'est que plusieurs métiers/fonctions/rôles/profils peuvent interagir dans le processus du "Devops".

    • Sécurité en amont des projets, sécurité pendant le projet, sécurité en aval des projets, sécurité en post-production

    2) - Le vaste univers du "Pentest" (BlackBox, GreyBox, WhiteBox, RedTeam, Blueteam, PurpleTeam, BugBounty) :

    Le "Pentest" (tel que présenté dans la plupart des annonces ou des métiers) n'est plus une niche : pentester un site web ou une application web, un Active Directory ou un Azure/AWS/GCP devient d'une banalité sans nom (la majorité des outils sérieux sont offerts par l'opensource ou le libre ... c'est devenu aussi "facile" que de faire une "homepage" en PHP avec "SPIP").

    Des "pentesteurs" de ce type, j'en trouve "100 à la 12zaine" ... par contre, des "pentesteur" type "Bugbounty", c'est une autre "paire de manches" (il faut avoir un "top niveau" en sécurité : pour s'exercer, essayez le challenge de l'ANSSI et de son écusson. Beaucoup s'essaient, peu arrivent au bout (9 niveaux).

  • Des "pentesteurs" sur de l'embedded (embarqué), là, ils se comptent sur les doigts d'une main (secteur aéro, auto, nucléo, médico, blockchain, IIoT, IA, Défense, Robotique, PLC, machines industrielles ...). Nombreuses demandes, peu d'élus = "pénurie".

  Comme le disait un précédent internaute, l'écosystème de la (cyber)sécurité ne s'arrête pas au "pentest" ou au "Devops" :

  • entre l'offensif et le défensif, il y a le forensique, l'investigation, le juridique, le pénal.

  • les nouvelles technologies : Blockchain, Intelligence Artificielle, Quantique

    • l'embarqué : et pas que l'IOT/IIOT, tout ce qui embarque du code dans un "Bios", un "Firmware', un ensemble électronique, un calculateur (je connais des personnes dont le métiers est l'analyse de sécurité du code en temps réel, pour les salles de marché ou pour les calculateurs en avionique).

    • les réseaux et les protocoles de communications : analyse de trames, de l'analyse de code (en utilisant des "SAST" , "DAST" et autres du même acabit.

      D'autres métiers autour du SOC (très en vogue actuellement), de la détection des menaces, des risques, des crises, de l'architecture en (cyber)sécurité (IT/OT).

      Si j'étais "novice" en la matière, j'aurais une approche "pieds de marmite" (3 comme pour les vieilles marmites en fonte, celles dans lesquelles on fait les meilleures soupes et les meilleurs plats), en cumulant connaissances, expériences, compétence, formations et auto-formations, certifications, etc. :

    • un socle technique de base (architecture de sécurité car cela couvre à peu près le toit de la "cyber")

    • une spécialité : le pentest avec options, ou de l'analyse de sécurité de code, ou du forensique, ou du SOC (et ce qui tourne autour)

    • une complémentarité : OSINT, RGPD, "Devops" (? Sec ?), IA (au sens large), Blockchain, Datas, Solutions matériel/logiciel (sondes, firewall, hsm, de l'ICS, .... avec une bonne de dose de normes (ISO 27001 et consorts, NISv2, NIST, ...)

    • une subsidiarité : avec de l'expérience, on peut devenir formateur en "cybersécurité"" ou se diriger vers une fonction de collaboration (RSI, RSSI, CISO, PO, CTO, etc.).

    Il y a différentes façons d'exercer dans la cybersécurité, le tout est de savoir par où commencer (l'entrée du tunnel) ... les routes ne sont jamais droites, pas toujours bien éclairées, les "nids-de-poules" sont existants, et cela ne s'arrête jamais ...

    PS : cela fait environ 40 années que je vagabonde dans les limbes de la (cyber)sûreté/sécurité informatique, entre autres) et j'en découvre tous les jours et ce n'est pas prêt de s'arrêter.

  En espérant avoir pu contribuer à éclairer quelques lanternes,

  Bien à vous,

  Yanolezard.

non on peut y être inscrit sans rien toucher

Bonjour David,

Je vous remercie, c’est toujours utile d’avoir des conseils en sécurité informatique, je veux bien que vous m’en expliquiez davantage.

Tarek