Quelles études pour faire de la cybersécurité ?

Si les menaces informatiques n’ont pas été d’emblée prises au sérieux par les organisations, on a vu s’opérer un réel tournant au cours des cinq dernières années. Désormais, la cybersécurité est intégrée dans les réflexions stratégiques et des budgets spécifiques lui sont dédiés.

Cela se traduit notamment par une politique active de recrutement de spécialistes en cybersécurité, sur des missions extrêmement variés. Les perspectives de carrière sont nombreuses et devraient continuer à se développer au cours des années à venir, notamment en raison de la montée en puissance de l’Intelligence Artificielle et des défis qu’elle représente.

Quelles sont alors les formations et écoles en cybersécurité destinées à former les futurs professionnels de demain ?

La première question que peuvent se poser celles et ceux qui envisagent une carrière dans la cybersécurité est celle de l’orientation la plus judicieuse, dès le lycée. Quel baccalauréat privilégier ? Quelles sont les différentes alternatives ? Que faire pour se former à la cybersécurité dès la classe de terminale ?

Pour les personnes qui ont choisi de valider un baccalauréat général, suivre une spécialité scientifique offre sans le moindre doute la meilleure préparation possible aux études supérieures qui vont suivre, où seront abordés des sujets techniques.

La préparation d’un autre baccalauréat, avec une dominante « économique et social » par exemple, n’est cependant pas rédhibitoire. L’univers cyber a également besoin de non-techniciens et de profils aux compétences plus larges, comme des Chefs de projet, des Coordinateurs, des Responsables des questions éthiques ou des Responsables de la protection des données. Cependant, il est fortement conseillé de privilégier les options à orientation scientifique pour être le mieux armé possible. Technicien ou non, un professionnel de la cybersécurité sera amené à échanger avec des équipes pluridisciplinaires. Il devra être en mesure de comprendre rapidement divers documents incluant un minimum de base technique.  

Le baccalauréat technologique propose également des spécialités à partir desquelles il sera possible de bifurquer sur un cursus en cybersécurité.

Ainsi, avoir validé une spécialité STMG (Sciences et technologies du management et de la gestion) ne sera pas un frein pour l’étudiant qui se découvre des affinités avec les sujets cyber, même s’il ne s’agit pas de la meilleure préparation possible.

Il existe un Bac professionnel spécialement pensé pour les futurs acteurs du secteur : le Bac CIEL (Cybersécurité, informatique et réseaux, électronique). Organisé sur 3 ans, comme les autres baccalauréats, ce Bac pro se concentre notamment sur les compétences liées à la mise en œuvre et à la maintenance des réseaux informatiques, à l’exploitation de systèmes, à l’analyse de logiciels et de matériel et à d’autres sujets complexes de l’industrie 4.0, au sens le plus large.

S’il est important de bien penser son parcours dès les études secondaires, insistons bien sur le fait que les manières d’intégrer un cursus cyber après le lycée sont nombreuses, avec des conditions relativement larges. C’est bien au moment des études supérieures que s’opèrent les choix décisifs.  Deux chemins majeurs se dessinent :

• des études à l’université ;
• ou intégrer une école, qui peut être une école d’ingénieurs ou une école spécialisée en informatique ou en cybersécurité.

Les études universitaires sont souvent perçues comme un choix de premier plan pour acquérir les compétences propres au champ cyber. Elles présentent l’avantage de proposer une approche complète du domaine, en couvrant à la fois les aspects théoriques et pratiques. En effet, peut-être davantage que n’importe quel autre cadre de formation, elles apportent non seulement des compétences techniques, mais aussi un bagage solide de compétences comportementales. Voici les différents niveaux d’études possibles et leurs spécificités.

Équivalents à un niveau licence, le Bachelor et, plus spécifiquement, le Bachelor universitaire en technologie (BUT) offrent une introduction approfondie aux principes de la cybersécurité. 

Quelles compétences ?

En règle générale, les étudiants acquièrent toutes les bases nécessaires dans les domaines suivants :

• le développement web ;
• les langages informatiques les plus courants, notamment Python, C et C+ ;
• le script ;
• la cryptographie ;
• et les principes de base pour la protection des systèmes informatiques.

Si vous avez déjà une idée claire du métier que vous souhaitez exercer, n’hésitez pas à faire la liste des compétences nécessaires et à vous orienter vers le Bachelor qui correspond au plus près à ces exigences. Chaque université peut adapter les programmes de base pour inclure certains modules spécifiques et se focaliser sur certaines compétences informatiques.

Ces formations techniques sont généralement accompagnées de modules en gestion de projet, en analyse générale et en communication. Là encore, chaque établissement a sa propre politique et ses priorités. 

Pour quels métiers ?

Avec un Bachelor ou un BUT en poche, il est déjà possible de se positionner pour un certain nombre de métiers  :

• Administrateur réseau ;
• Administrateur système ;
• parmi de nombreuses autres possibilités.

Compléter sa formation par un Master (Bac +5) ou une formation courte de spécialisation (de type MOOC, par exemple) peut néanmoins représenter un avantage lors du processus de recrutement.

Il est possible de compléter les connaissances acquises au niveau licence par deux ans d’études supplémentaires, débouchant sur un diplôme de Master.

Quelles compétences ?

À cette occasion, les étudiants peuvent :

• approfondir l’usage des langages informatiques étudiés en licence ;
• étendre leurs connaissances à de nouveaux langages informatiques ;
• aborder des questions plus techniques, comme l’analyse forensic, le traitement de l’Intelligence Artificielle, l’analyse de données ou l’analyse des menaces, par exemple ;
• se spécialiser dans un domaine spécifique, comme la sécurité des systèmes, la sécurité des applications ou la réponse aux menaces, parmi de multiples possibilités ;
• se spécialiser sur la cybersécurité d’un secteur particulier, comme la cybersécurité industrielle.

Pour quels métiers ?

Un Master en cybersécurité ouvre la voie à tous les postes existants : 

• des missions de soutien logistique, comme celles d’Architecte réseau, d’Analyste système, de Labelliseur de données, de Nettoyeur de données ou d’Architecte big data ;
• aux missions à haute responsabilité, comme les postes de Responsable du CERT (Computer Emergency Response Team), Responsable du CIRT (Computer Security Incident Response Team), Chief Information Security Officer (CISO), Responsable des Systèmes d’information (RSI) ou Responsable du plan de continuité d’activité ;
• en passant par les postes défensifs de la cybersécurité (Blue teamer, Red teamer, Cyberstratégistes, Expert en cybersécurité, Consultant en cybersécurité, Engineering manager ou encore OSINT Analyst) ;
• ainsi que par les postes offensifs (Purple teamer, Cybercombattant, Malware analyst ou Incident Response Team Member) ;
• parmi une multitude d’autres missions possibles.

Deux points sont à relever :

1. si l’on décide de suivre un cursus généraliste en informatique, il sera important de valider des modules et/ou des formations complémentaires en cybersécurité pour avoir une légitimité face aux employeurs ;
2. si le Bac +5 est un niveau plus que satisfaisant pour l’ensemble des postes en cybersécurité, un niveau d’études supérieur peut donner un avantage sur certaines missions particulières.

Entreprendre un cursus de recherche avancé et viser un Bac +7 peut aider à se positionner :

• sur des postes qui contribueront de manière significative à la compréhension de la cybersécurité et à l’évolution de ses outils ;
• et sur des postes directement liés à l’Intelligence Artificielle.

Un doctorat sera un atout majeur pour décrocher, notamment, des missions :

• d’Expert et de Consultant en cybersécurité ;
• d’Expert et de Consultant en Intelligence Artificielle ;
• ou encore de Cogniticien ou Ingénieur en sciences cognitives ;
• parmi de nombreuses autres possibilités.

Il ne faut pas faire l’impasse sur tous les métiers de la cybersécurité qui requièrent :

• d’autres expertises que l’expertise technique ;
• ou simplement une expertise complémentaire. 

Le secteur a en effet besoin de personnes parfaitement formées en droit ou en gestion de projet, pour assurer des postes divers :

• Délégué à la protection des données ;
• Responsables des assurances cyber ;
• Responsable éthique IA ;
• Chef de produit cybersécurité ;
• Chef de projet cybersécurité ;
• parmi de nombreux autres métiers.

Ainsi, il est tout à fait envisageable de rejoindre l’univers cyber après avoir suivi un cursus en Droit, en Commerce, en Sciences autres que les sciences informatiques ou en Communication. Le schéma habituel Bachelor – Master s’applique également à ces cursus. Une formation complémentaire sur les sujets cyber pertinents pour le poste visé sera nécessaire. Il peut tout à fait s’agir d’une formation courte (voir la rubrique Les formations courtes et certifications en cybersécurité).

Insistons sur le fait que les programmes universitaires en informatique mettent souvent sur l’innovation : c’est ce qui permet aux étudiants de rester à l’avant-garde des développements technologiques. Par ailleurs, le contact direct avec des professeurs experts et des chercheurs ayant de vastes champs d’étude devant eux offre aux étudiants l’opportunité de s’engager sur des projets novateurs et de contribuer, à leur échelle, à l’avancement de la cybersécurité.

Pour les personnes souhaitant privilégier une approche essentiellement pratique et davantage orientée vers la résolution de problèmes, il peut être plus judicieux d’intégrer une école d’ingénieurs, en retenant une spécialité en informatique. On voit par ailleurs apparaître des écoles entièrement dédiées aux questions de cybersécurité. Ces dernières ont une approche très spécifique de l’informatique : elles se concentrent sur la transmission d’outils et compétences qui sont à la base des métiers cyber.

La plupart du temps, les écoles d’ingénieurs centrent leurs programmes sur les compétences techniques, la sécurité des systèmes informatiques et la gestion des incidents.

Elles intègrent généralement dans leur cursus une ou plusieurs périodes de stages, de nombreux projets de groupe et des laboratoires de mise en pratique. Ce cadre est idéal pour être préparé aux défis concrets de la cybersécurité. Les diplômés d’écoles d’ingénieurs avec une spécialité en informatique et/ou cybersécurité sont parfaitement formés pour la résolution de problèmes en temps réel, la détection rapide de failles de sécurité et la mise en œuvre de solutions robustes.

Souvent, les écoles mettent en place des partenariats avec des entreprises clés du domaine cyber pour leurs politiques de formation et de stages. Cela facilite la transition des étudiants vers le marché du travail une fois le diplôme validé.

La validation du cursus complet débouche sur un diplôme d’ingénieur, équivalent d’un niveau Master.

Une excellente alternative aux écoles « classiques » d’ingénieurs est offerte par les écoles spécifiquement dédiées aux questions de la cybersécurité. Ces écoles se présentent en quelque sorte comme une parfaite synthèse entre l’université et l’école d’ingénieur. 

En effet, elles proposent en règle générale un très bon équilibre entre compétences théoriques (comportementales) et compétences pratiques (techniques). Sur la même ligne que les universités, elles apportent toutes les bases relatives aux langages informatiques les plus usités, au développement web, au script ou à la cryptographie, tout en accordant une importance cruciale à la gestion de projet, aux compétences en communication orale et écrite et au travail en équipe.

Dans le même temps, elles poussent aussi loin que possible les expériences ancrées dans le concret :

• en mettant en place plusieurs étapes de stages, à l’image des écoles d’ingénieurs, ou des périodes d’alternance ;
• en mobilisant des experts du secteur pour des interventions ponctuelles ou la prise en charge de cours complets ;
• en favorisant le partage de défis pratiques relevés par des entreprises.

Les écoles de cybersécurité sont particulièrement attentives aux questions d’innovation et à la transmission de savoirs sur les dernières technologies. Ces écoles spécialisées proposent elles aussi des cursus de formation en cybersécurité en deux temps :

• trois années de type licence débouchant sur un diplôme de type Bachelor ;
• pouvant être complétées par deux années de niveau Master, pour obtenir un MSc (Master of Science) et/ou un titre d’Expert en cybersécurité.

En parallèle des circuits d’études classiques, il est possible de profiter de formations courtes pour :

• faire le point sur les principes généraux de la cybersécurité ;
• acquérir la maîtrise d’un nouvel outil clé pour les missions cyber, comme un langage informatique ;
• se former ou se spécialiser sur un métier spécifique, pour un premier emploi ou un changement de poste dans l’univers de la cybersécurité ;
• ou mettre à jour ses compétences sur une technologie déjà connue de l’apprenant mais ayant sensiblement évolué.

Ces formations courtes prennent généralement la forme de MOOC (Massive Open Online Course), préparés par des experts, des universités, des entreprises ou n’importe quelle entité spécialiste des sujets cyber. Elles peuvent être gratuites ou payantes selon les cas. Elles donnent lieu, pour la quasi totalité d’entre elles, à une certification (délivrée gratuitement ou contre paiement, selon les cas).

Pour plus d’informations sur cette option de formation, consultez notre article complet sur Les MOOC sur la cybersécurité.

L’Observatoire des métiers de la Cybersécurité, créé en 2016 par l’Agence Nationale de la Sécurité des Systèmes d’Informations (ANSSI), a conduit une étude sur l’attractivité des métiers de la cybersécurité et leur perception auprès des jeunes.

L’enquête a été réalisée auprès de 3 627 étudiants, représentant toutes les filières:

• filières liées au domaine de la cybersécurité ;
• filière informatique (non cyber) ;
• et filières hors informatique (scientifique, commerce, communication, droit, etc.).

Il ressort de cette étude que le taux de féminisation des études en cybersécurité et informatique reste faible, avec seulement 14 % de femmes parmi les étudiants.

86 % des étudiants interrogés estiment avoir été correctement informés des opportunités que présente le secteur en matière d’emploi et de diversité des métiers. 92 % de ce même échantillon envisage de travailler effectivement dans le domaine de la cybersécurité. D’autres études (notamment menées par IBM) confirment ces proportions élevées, notamment si on les compare à d’autres filières d’études où les perspectives de travailler dans son domaine d’expertise est bien moins certain. Ces données tendent à démontrer le bon investissement que représente un cursus en cybersécurité, quel que soit le cadre d’études choisi. Le caractère relativement récent des spécialités cyber en fait indéniablement un segment d’avenir en termes de recrutement et de projets.

En conclusion, il apparaît que les possibilités de rejoindre les métiers de la sphère cyber sont nombreuses. Les formations prennent parfaitement en compte la double facette que peuvent prendre de nombreuses missions de cybersécurité, entre expertise technique avancée et capacités plus généralistes. Cette diversité des postes à pourvoir, où les aptitudes en communication, en analyse ou en droit peuvent prendre le pas sur la technique, ouvrent des perspectives pour des profils d’étudiants très différents.

Quel est le salaire moyen d’un professionnel de la cybersécurité en France ?

Pour un profil entre 3 et 5 ans d’expérience, le salaire moyen d’un professionnel de la cybersécurité est compris entre 40 000 et 70 000 euros bruts par an sur le territoire français. La rémunération varie en fonction de la spécialité, de la variété et de la rareté des compétences proposées, de la taille de la structure et du caractère critique des projets pris en charge par le professionnel.

Quel est le salaire moyen d’un professionnel de la cybersécurité aux États-Unis ?

En comparaison à la France, les pays nord-américains proposent des salaires en moyenne 43 % plus élevés qu’en France. En 2023, le salaire annuel d’un développeur junior était ainsi de 40 000 euros bruts en moyenne, contre 78 000 euros aux États-Unis et 77 000 au Canada.

Quel est le profil type des personnes recrutées sur les métiers de la cybersécurité ?

En 2022, 49 % des nouveaux entrants sur le marché de l’emploi cyber avaient moins de 30 ans. 79 % de ces nouvelles recrues détenait par ailleurs un Bac +5 ou un diplôme de niveau supérieur, selon les chiffres de l’Observatoire des métiers de la cybersécurité.

Quels sont les 5 métiers cyber les plus recherchés en France ?

En 2023, le recrutement cyber concernait principalement trois métiers en France, selon les informations de l’ANSSI (Agence nationale de la sécurité des systèmes d’information) :

1. Ingénieur en cybersécurité (27 % des offres d’emploi) ;
2. Consultant en cybersécurité (14 %) ;
3. Architecte cybersécurité (12 %) ;
4. Analyste cybersécurité (9%) ;
5. Expert en cybersécurité (6%).

Quel est l’impact financier des cyberattaques ?

En 2020, les pertes financières liées aux cyberattaques ont dépassé la barrière symbolique de 1 000 milliards de dollars, à l’échelle mondiale. Cela correspond à plus de 1 % du PIB mondial de l’année en question. En France, en 2022, le coût total des cyberattaques réussies a été estimé à 2 milliards d’euros, selon une étude réalisée par le cabinet de conseil Asterès. Le montant moyen d’une attaque informatique pour une structure française était de 58 600 euros.

Quelle sont les cyberattaques les plus répandues ?

Le phishing (hameçonnage), suivi du ransomware (rançongiciel) et de l’attaque par déni de service (DDoS) étaient les trois attaques informatiques les plus fréquentes en 2023, avec un taux de réussite particulièrement élevé. Les deux premiers types d’attaques visent à la fois particuliers et entreprises, tandis que le DDoS vise essentiellement des structures (privées et publiques).

En 2021, 80 % des entreprises ayant subi un acte de cybermalveillance avaient été victimes de phishing, selon les données du CESIN (Club des experts de la sécurité de l’information et du numérique). La même année, les attaques par ransomware ont fait un bond de +95 %. Quand au DDoS, il a dépassé les 5 millions d’opérations réussies en France (5,4 millions) au premier semestre 2021.