La plupart des entreprises l’ont compris : la menace cyber qui plane sur elles prend des formes extrêmement variées, changeantes, complexes. Les compétences requises pour se défendre atteignent elles aussi un niveau de complexité élevé : les points de vigilance à prendre en compte sont nombreux. Comment internaliser les compétences nécessaires pour assurer la cybersécurité d’une entreprise ? Voici un panorama des différents métiers de la cybersécurité.
Il n’existe pas un, mais des dizaines de métiers clairement définis dans le champ de la cybersécurité. Pour bien comprendre la carte des fonctions incontournables, il est possible de séparer les missions en trois grandes familles. Cette distinction est d’ailleurs reprise par l’une des grandes références en la matière, l’ANSSI (Agence nationale de la sécurité des systèmes d'information), dans son panorama 2020 des métiers de la cybersécurité (Source 1). La première catégorie regroupe tous les métiers liés à la planification et au suivi global des actions de sécurité informatique.
On le connaît aussi sous le nom de Directeur de la cybersécurité. C’est lui qui anime toute la filière cybersécurité au sein de l’entreprise et qui a la charge de définir l’ensemble des orientations stratégiques en matière de sécurité informatique. Il est l’interlocuteur privilégié de la Direction générale et du comité d’audit sur ces questions et il lui revient notamment de :
Il assure la mise en œuvre concrète de la démarche de cybersécurité définie par son Directeur avec, dans le cas des entreprises de taille importante, le soutien d’une équipe opérationnelle. Auprès des différents directeurs de départements de l’entreprise, il assure un rôle complet :
Un seul but : assurer la protection maximale des systèmes informatiques et des données.
Des relais essentiels de la précaution cyber
La mise en œuvre concrète de la politique de cybersécurité dans l’entreprise passe aussi, la plupart du temps, par d’autres relais :
Ce sont, en quelque sorte, les métiers où se joue l’essentiel de la guerre : la résistance aux cyber-attaquants se prépare en mobilisant un certain nombre de compétences techniques « dures ». Voici les principaux postes stratégiques.
Un projet informatique sur le point d’être lancé ? Une entreprise qui songe à la création d’un nouveau poste dédié à la gestion des SI ? Dans de telles configurations, une entreprise de taille importante a toutes les raisons de s’attacher les services d’un Chef de sécurité projet. Avec lui, tous les aspects relatifs à la sécurité des systèmes informatiques seront bien pris en compte :
Lorsque se pose la question de l’utilisation de données à caractère personnel dans un projet, c’est lui qui assure le lien avec le service juridique.
Il définit les modèles de sécurité à mettre en place et vérifie que tous les choix techniques et technologiques sont bien respectés, notamment dans le travail des développeurs.
C’est l’un des postes incontournables de la galaxie cyber. Difficile pour une entreprise qui souhaite réagir aux risques de cyberattaque de faire l’impasse sur ce technicien qui crée à la fois :
Chaque fois que l’entreprise développe ou décide de mettre à jour son site web, une application ou un logiciel, le Développeur sécurité procède à tous les tests de code, de conformité fonctionnelle et de robustesse pour s’assurer que les outils seront pertinents face aux cyberattaques.
Pour relever le niveau de sécurité sur un domaine ou un projet spécifique, on pourra faire appel à un cryptologue : son expertise lui permet de déterminer quel est le meilleur moyen de crypter un lot de données, c’est-à-dire de garantir leur confidentialité, leur intégrité et leur authenticité.
Mettre en place un antivirus ou un anti-spam, gérer les procédures de sécurité de base lorsqu’un collaborateur rejoint ou quitte l’entreprise : autant de tâches élémentaires mais essentielles dans le quotidien d’une entreprise, qui doivent être mises entre les mains d’un Administrateur sécurité.
L’Administrateur de solutions de sécurité, lui, intervient plus directement dans l’installation, la mise en production et l’exploitation des antivirus, pare-feux et autres remparts contre les cyberattaques.
Face à l’évolution constante des modes de cyberattaques, comment s’assurer que les outils de défenses de l’entreprise restent pertinents ? C’est tout le sens de l’action des Auditeurs. Spécialisés en sécurité organisationnelle ou en sécurité technique, ils identifient les vulnérabilités et proposent des améliorations.
En savoir plus sur les bonnes pratiques de cybersécurité chez les TPE x PME.
C’est quand on se trouve au cœur de la crise qu’on veut savoir, plus que jamais, sur qui on peut compter : qui pour organiser la « riposte » en cas d’attaque cyber, suspectée ou avérée ? Voici les spécialistes chargés de repenser les défenses quand une brèche est repérée.
Toute entreprise décidée à prendre la question de la cybersécurité au sérieux doit penser à la mise en place d’un Security Operation Center (le SOC, un Centre des opérations de sécurité). Ce pôle de la stratégie défensive sera organisé autour :
En parallèle du SOC, une équipe regroupe toutes les personnes à même de réagir rapidement en cas d’incident cyber confirmé. Dans les entreprises de taille non négligeable, celle-ci prend souvent le nom de CSIRT (Computer Security Incident Response Team) ou de CERT (Computer Emergency Response Team). Désigner un responsable pour coordonner cette équipe va de soi. En cas d’incident d’importance majeure, sa connaissance précise des rapports d’investigation cyber le conduiront par ailleurs à collaborer de manière étroite avec les équipes de gestion de crise.
Intégrés le plus souvent au sein d’un CSIRT ou d’un CERT, ils sont les vigies de la menace cyber et déploient leur action à deux niveaux :
C’est le rôle d’expertise et de conseil par excellence. En pleine tempête cyber, c’est lui qui donne le cap – et qui empêche, dans de nombreux cas, le navire-entreprise de couler ! Le Spécialiste ou Expert en gestion de cyber-crise a un rôle pivot : en communication active avec toutes les personnes impliquées et tous les services touchés par l’attaque, il organise et coordonne l’action de défense en partageant des directives techniques et en gérant la tension.
Si les grandes entreprises sont mieux disposées pour créer un tel poste en interne, les structures de taille plus modeste ont la possibilité de faire appel à des talents externes, auprès d’une agence spécialisée en cybersécurité. C’est le cas pour toutes les missions touchant de près ou de loin à l’audit et à l’analyse du risque cyber et à la définition des réponses aux incidents détectés !
Si, en règle générale, seuls les grands groupes et les très grandes entreprises s’attachent les services d’un expert juridique en questions cyber, ce poste devrait devenir incontournable pour toutes les entreprises dans les dix ans à venir, si l’on en croit l’évolution du risque cyber. Une cyberattaque, ce sont aussi des conséquences pénales et civiles, ainsi que des normes à respecter à l’échelle nationale, européenne et internationale !
Avec l’entrée en vigueur, en 2016, du règlement européen sur la protection des données (RGPD), la désignation d’un Délégué à la protection des données (DPO) au sein de chaque structure est devenue obligatoire pour toutes les structures dont les activités principales impliquent « un suivi régulier et systématique des personnes à grande échelle » (source 8).
Ainsi, toute entreprise gérant de gros fichiers clients – comme une banque, une compagnie d’assurance, un fournisseur d’accès à Internet ou un opérateur téléphonique, par exemple – doit désigner un DPO. Cette personne peut très bien être externe à l’entreprise et être désignée en ligne. La CNIL fournit toutes les informations utiles pour faire le bon choix (source 9) !
Selon les chiffres de l’ANSSI portant sur l’année 2020, 75,9 % des professionnels de la cybersécurité sont détenteurs d’un bac +5 au minimum (source 7). Près de 47 % des nouveaux recrutés ont moins de 30 ans.
Selon le panorama des métiers de la cybersécurité publié par l’ANSSI, les 5 profils les plus recherchés en 2020 étaient les suivants :
Sources :