Pour travailler dans la cybersécurité, tu passes d'abord par un diplôme d'informatique ou de réseaux reconnu par l'État ; les certifications s'ajoutent ensuite. Exemple : après le bac, le BUT Réseaux et télécommunications parcours Cybersécurité mène en trois ans à des postes d'opérateur analyste en SOC, d'après sa fiche officielle. Un SOC (Security Operations Center) est l'équipe qui surveille en continu le système d'information d'une organisation (ses ordinateurs, réseaux, logiciels et données) pour repérer les attaques.
Après le bac : BTS et BUT
Trois formations courtes font une vraie place à la cybersécurité. Elles se demandent sur Parcoursup et existent aussi en apprentissage, en alternant cours et entreprise.
| Formation | Durée et niveau | Sa part de cybersécurité |
|---|---|---|
| BTS SIO (services informatiques aux organisations), option SISR (solutions d'infrastructure, systèmes et réseaux) | 2 ans, niveau 5 | un bloc « Cybersécurité des services informatiques » |
| BTS CIEL (cybersécurité, informatique et réseaux, électronique), option A informatique et réseaux | 2 ans, niveau 5 | un bloc « Valorisation de la donnée et cybersécurité » |
| BUT R&T (réseaux et télécommunications), parcours Cybersécurité | 3 ans, niveau 6 | deux blocs : administrer et surveiller un système d'information sécurisé |
Dans le BUT, la sécurité est le cœur du parcours : sa fiche cite la surveillance du système d'information, les outils de test d'intrusion (attaquer un système avec l'accord de son propriétaire pour trouver ses failles) et la gestion de crise après un incident. Dans les BTS, elle est une partie du métier de technicien.
En lycée professionnel, le bac pro CIEL contient lui aussi un bloc « Valorisation de la donnée et cybersécurité ». Si tu préfères programmer, regarde le parcours « Déploiement d'applications communicantes et sécurisées » du BUT Informatique.
Jusqu'à bac+5 : master ou école d'ingénieur
À l'université, le master se prépare en deux ans après un bac+3. Il porte une mention, son grand domaine, et un parcours, sa spécialité. Une mention « Cybersécurité » existe, avec une fiche nationale valable depuis la rentrée 2024, mais d'autres masters de sécurité sont des parcours d'une autre mention, comme Informatique : lis toujours l'intitulé du parcours.
En école d'ingénieur, le diplôme est à bac+5, et la sécurité y prend la forme d'une majeure, d'une option ou d'une filière.
Définition : le label SecNumedu est un repère, pas une obligation, attribué par l'ANSSI (Agence nationale de la sécurité des systèmes d'information, l'autorité française du domaine) à des formations spécialisées en cybersécurité, de bac+3 à bac+6.
Pour l'obtenir, une formation doit mener à un diplôme reconnu par l'État, consacrer l'essentiel de ses cours à la cybersécurité, dont au moins la moitié en pratique, et publier son programme. La liste de l'ANSSI, qui affiche la date d'expiration de chaque label, compte des BUT R&T, des licences professionnelles, des masters et beaucoup de diplômes d'ingénieur.
Vérifier qu'une formation est reconnue
Le mot « cybersécurité » dans le nom d'une formation ne prouve rien. Ce qui compte, c'est le diplôme ou le titre auquel elle mène. Il se vérifie sur le site de France Compétences, l'organisme public qui tient le RNCP (Répertoire national des certifications professionnelles), la liste des diplômes et titres reconnus par l'État.
Étape 1 : demande à l'école le code RNCP et cherche-le sur le site de France Compétences : la fiche doit être active, donc en cours de validité.
Étape 2 : lis le niveau : 5 pour les BTS, 6 pour le BUT, 7 pour le master.
Étape 3 : si l'école ne délivre pas elle-même le diplôme, vérifie sur la fiche qu'elle est habilitée à le préparer.
Piège classique : le nom commercial d'une formation peut différer de celui du diplôme, mais un nom beaucoup plus large, plus étroit ou d'un autre domaine doit t'alerter. Et un diplôme absent du RNCP ne peut pas se préparer en apprentissage : c'est une condition de validité du contrat.
Les certifications, en plus du diplôme
Une certification est un examen payant, organisé par un éditeur privé, qui atteste une compétence précise. Ce n'est pas un diplôme d'État : elle complète ton parcours. En voici quatre, des plus accessibles aux plus exigeantes.
| Certification | Ce qu'elle évalue | Pour s'y présenter |
|---|---|---|
| Security+ (CompTIA) | les bases de la sécurité, en questions et mises en situation | rien d'exigé, de l'expérience est conseillée |
| OSCP (OffSec) | le test d'intrusion, par une épreuve pratique suivie d'un rapport | rien d'exigé, des bases en réseaux et systèmes sont conseillées |
| CEH (EC-Council) | les techniques des attaquants | la formation officielle ou une expérience prouvée en sécurité |
| CISSP (ISC2) | la sécurité d'une organisation, sur huit domaines | cinq ans d'expérience professionnelle |
Piège classique : inscrire le CISSP dans ton projet d'études. Il exige cinq ans d'expérience à temps plein dans au moins deux de ses huit domaines, et un diplôme d'informatique en remplace un an au plus. Réussir l'examen sans cette expérience ne suffit pas.
Conseil : avant de payer une certification, regarde si les offres de stage qui te plaisent la demandent.
Les débouchés selon ton niveau
Chaque fiche officielle liste les postes visés. À bac+2, le BTS SIO cite administrateur systèmes et réseaux ou administrateur sécurité, et le BTS CIEL opérateur en cybersécurité ou intégrateur de solutions de sécurité. À bac+3, le BUT R&T parcours Cybersécurité cite opérateur analyste SOC et auditeur de sécurité technique.
À bac+5, la fiche du master Cybersécurité cite ingénieur en cybersécurité, consultant ou auditeur, testeur d'intrusion (pentester), analyste forensic, qui enquête sur les traces laissées par une attaque, ou responsable de la sécurité des systèmes d'information (RSSI).
Le RSSI pilote la sécurité de toute une organisation. La fiche du BUT Informatique le range parmi les postes accessibles après deux ou trois ans d'expérience, pas parmi les premiers postes.
T'entraîner dès le lycée
Chaque année, l'ANSSI organise le France Cybersecurity Challenge (FCSC), ouvert à toutes et tous et pensé pour les 14 à 25 ans. C'est un CTF (capture the flag) : des épreuves classées par thème, comme la cryptographie (l'art de chiffrer les messages), le web ou la rétro-ingénierie (démonter un programme pour comprendre comment il marche), et chaque épreuve réussie rapporte des points.
Le reste de l'année, Hackropole, une plateforme développée par l'ANSSI, permet de rejouer les épreuves des éditions passées, avec des solutions pour apprendre.
Piège classique : t'entraîner sur un vrai site, le réseau du lycée ou le compte d'un camarade. Sans l'accord du propriétaire, ce n'est plus un exercice mais une intrusion, et c'est un délit. Reste sur les plateformes prévues pour ça.
Exercices corrigés
Cherche chacun avant d'ouvrir la correction.
Exercice 1 : Lina est en terminale. Elle veut travailler à bac+3 dans un SOC. Quelle formation de cette page correspond à son projet, et où vérifier que ce poste est un débouché prévu ?
Correction :
Le BUT R&T parcours Cybersécurité dure trois ans et contient un bloc « Surveiller un système d'information sécurisé », le travail d'un SOC. Sa fiche RNCP41611, sur le site de France Compétences, cite le poste d'opérateur analyste SOC parmi ceux du débutant. Réponse : ce BUT, vérifié sur sa fiche RNCP.
Exercice 2 : Hugo termine un master d'informatique, avec un stage de six mois à temps plein en sécurité, dans deux domaines du CISSP. Au mieux, combien d'années d'expérience lui manque-t-il pour le CISSP ? Et s'il réussit l'examen tout de suite ?
Correction :
Le CISSP demande cinq ans d'expérience à temps plein. Son master en remplace un an au plus, et un stage compte : six mois à temps plein font $0{,}5$ an. Il lui manque donc au mieux $5 - 1 - 0{,}5 = 3{,}5$ ans d'expérience.
S'il réussit l'examen tout de suite, il devient « Associate of ISC2 » et a six ans pour réunir ces $3{,}5$ ans.
Exercice 3 : Situation fictive. Une école te propose une formation en alternance appelée « Expert cyberdéfense », avec son code RNCP. Sur la fiche de France Compétences, tu lis : état « inactive », niveau 6. Peux-tu signer ton contrat d'apprentissage ? Que demandes-tu à l'école ?
Correction :
Une fiche inactive n'est plus en cours de validité : sous ce code, le titre n'est plus enregistré au RNCP. Or un diplôme ou un titre absent du RNCP ne peut pas se préparer en apprentissage. Ne signe donc pas en l'état.
Demande à l'école le code de la fiche active qui l'a remplacée (une fiche remplacée le signale), puis refais les vérifications : état, niveau, habilitation de l'école.
À retenir
À retenir :
- Après le bac : BTS SIO ou CIEL (bac+2), BUT R&T parcours Cybersécurité (bac+3).
- À bac+5 : master, dont la mention Cybersécurité, ou diplôme d'ingénieur.
- Une formation se vérifie sur le RNCP : fiche active, niveau, école habilitée.
- Une certification complète le diplôme ; le CISSP exige cinq ans d'expérience.
- Pour t'entraîner : FCSC et Hackropole, jamais un système sans l'accord de son propriétaire.
Sources
- France Compétences, fiches RNCP : bac pro CIEL, BTS SIO, BTS CIEL, BUT R&T Cybersécurité, BUT Informatique, master Cybersécurité ; guide « Votre futur diplôme est-il reconnu par l'État ? ».
- ANSSI : critères du label SecNumedu, formations labellisées, France Cybersecurity Challenge et Hackropole.
- Éditeurs des certifications, pages en anglais : ISC2 (CISSP), CompTIA (Security+), OffSec (OSCP), EC-Council (CEH).