Analyste SOC, pentesteur, ingénieur sécurité, consultant GRC : les métiers de la cybersécurité, les compétences à acquérir et les parcours pour y entrer.
Banques, opérateurs télécoms, administrations, éditeurs de logiciels, sociétés offshore et leurs clients européens : toutes les organisations ont besoin de protéger leurs systèmes et leurs données. La cybersécurité fait rêver, souvent à travers l'image du hacker éthique. La réalité est plus variée, et c'est une bonne nouvelle : le domaine offre des métiers à des profils très différents, du technicien réseau passionné au consultant à l'aise avec les normes et les procédures. Voici comment s'y retrouver et par où commencer.
Quatre familles de métiers
La défense opérationnelle
L'analyste SOC (Security Operations Center) surveille les alertes remontées par les outils de détection, qualifie les incidents et déclenche la réponse. Il travaille avec un SIEM comme Splunk, Microsoft Sentinel, QRadar ou la suite Elastic, et avec des outils EDR installés sur les postes. Avec l'expérience, on évolue vers la réponse à incident, l'investigation numérique (forensic) ou la recherche de menaces (threat hunting). C'est une porte d'entrée fréquente pour les jeunes diplômés, avec parfois des horaires décalés.
La sécurité offensive
Le pentesteur, ou auditeur technique, attaque les systèmes d'un client, avec son accord, pour y trouver les failles avant les vrais attaquants : applications web, réseaux internes, Active Directory, applications mobiles. Il rédige ensuite un rapport qui explique chaque vulnérabilité, son impact et la façon de la corriger. Outils courants : Burp Suite, Nmap, Metasploit, et beaucoup de scripts maison. Pour casser une application, il faut comprendre comment elle est construite : de solides bases en réseau et en développement sont indispensables.
L'ingénierie et l'architecture de sécurité
L'ingénieur sécurité conçoit et administre les protections : pare-feux, VPN, gestion des identités et des accès, durcissement des serveurs, sécurité du cloud. Dans les équipes de développement, l'approche DevSecOps intègre des contrôles de sécurité directement dans les pipelines CI/CD. L'architecte sécurité, poste plus senior, définit les choix techniques à l'échelle de l'organisation.
La gouvernance, les risques et la conformité
Le consultant GRC travaille sur les politiques de sécurité, l'analyse de risques, la sensibilisation des collaborateurs et la conformité à des référentiels comme ISO 27001 ou aux exigences des régulateurs, notamment dans le secteur bancaire. Le RSSI, responsable de la sécurité des systèmes d'information, pilote l'ensemble. Ces postes demandent moins de manipulation technique au quotidien, mais une très bonne compréhension des systèmes et une vraie aisance rédactionnelle.
Les compétences à construire
Le socle technique
Quel que soit le métier visé, les mêmes bases reviennent :
- Réseaux : modèle TCP/IP, routage, DNS, HTTP et TLS, VLAN, lecture d'une capture Wireshark.
- Systèmes : administration Linux et Windows, Active Directory, gestion des droits et des journaux.
- Scripting : Python et Bash pour automatiser, PowerShell dans les environnements Windows.
- Web : fonctionnement d'une application, des sessions et d'une API, et les vulnérabilités classiques recensées par l'OWASP.
- Cloud : les bases de la sécurité sur AWS, Azure ou GCP, en particulier les identités, le réseau et le chiffrement.
Les qualités humaines
- La rigueur : une alerte mal qualifiée ou un rapport imprécis peut coûter cher.
- L'éthique et la discrétion : vous aurez accès à des informations sensibles.
- La pédagogie : on n'explique pas un risque de la même façon à un directeur financier et à un administrateur système.
- La curiosité : les techniques d'attaque évoluent sans cesse, et la veille fait partie du travail.
Trois parcours pour y entrer
Rares sont ceux qui commencent directement comme pentesteur senior. Voici trois trajectoires réalistes :
- Depuis les systèmes et réseaux. Un administrateur ou un technicien réseau connaît déjà l'infrastructure. En ajoutant la pratique d'un SIEM et des notions de réponse à incident, il peut viser un poste d'analyste SOC, puis d'ingénieur sécurité. Les offres en systèmes et réseaux constituent d'ailleurs un bon tremplin.
- Depuis le développement. Un développeur qui s'intéresse aux failles de ses propres applications a une longueur d'avance pour l'audit applicatif, la revue de code orientée sécurité ou le DevSecOps.
- À la sortie des études. Un diplôme d'ingénieur ou un master spécialisé, un stage de fin d'études dans une équipe sécurité et des réalisations personnelles bien documentées permettent de viser un premier poste d'analyste SOC ou de consultant junior.
S'entraîner sans sortir du cadre légal
Une règle d'abord, non négociable : ne testez jamais un système sans l'autorisation écrite de son propriétaire. Scanner le site d'une entreprise « pour voir » est une infraction, et ce n'est certainement pas ce qu'un recruteur veut découvrir dans votre parcours.
Pour pratiquer, les options légales ne manquent pas :
- un laboratoire personnel avec des machines virtuelles (VirtualBox, Proxmox) et des environnements volontairement vulnérables ;
- des plateformes d'entraînement comme TryHackMe, Hack The Box ou Root Me ;
- les compétitions CTF (Capture The Flag), souvent organisées par des clubs universitaires et des associations ;
- un SIEM open source installé chez vous, comme Wazuh, pour apprendre à lire des journaux et à écrire des règles de détection.
Documentez ce que vous faites : le compte rendu d'un défi résolu, un petit outil publié sur GitHub ou une règle de détection expliquée montrent votre méthode bien mieux qu'une ligne sur un CV.
Certifications : utiles, pas magiques
Les certifications rassurent les recruteurs, surtout dans les sociétés de conseil qui les mettent en avant auprès de leurs clients. Choisissez-les en fonction du métier visé :
- pour débuter : CompTIA Security+ ;
- pour l'offensif : eJPT, puis OSCP, connue pour son examen entièrement pratique ;
- pour la gouvernance : ISO 27001 Lead Implementer ou Lead Auditor ;
- pour les profils expérimentés : CISSP ou CISM.
Une certification sans pratique se remarque vite en entretien. À l'inverse, des projets solides et bien présentés peuvent compenser l'absence de certificat pour un premier poste.
Où postuler en Tunisie
Les employeurs se répartissent en quelques grandes catégories : banques et assurances, soumises à de fortes exigences réglementaires ; opérateurs télécoms ; cabinets d'audit et de conseil ; prestataires qui opèrent des SOC pour le compte de plusieurs clients ; sociétés offshore travaillant pour des entreprises européennes ; administrations et organismes publics. Le Grand Tunis, avec Les Berges du Lac, Charguia et le technopôle d'El Ghazala, regroupe de nombreux employeurs, mais des postes existent aussi à Sousse et à Sfax. Consultez régulièrement les offres en cybersécurité : les intitulés et les outils demandés vous diront précisément quoi travailler.
Votre plan d'action. Choisissez une famille de métiers plutôt que de tout survoler. Consolidez le socle réseau et Linux, montez votre laboratoire, résolvez des défis chaque semaine et publiez vos comptes rendus. Créez ensuite votre compte via la page d'inscription, complétez « Mon CV » en mettant ces réalisations en avant, et activez une alerte e-mail sur la spécialité cybersécurité pour être prévenu des nouvelles offres.