Les Compétences Nécessaires pour Travailler dans la Cybersécurité

Travailler dans la cybersécurité demande d’abord des bases solides : les systèmes (Linux et Windows), les réseaux, un langage comme Python, des notions de sécurité (cryptographie, triade CIA) et de reconnaissance (OSINT), le tout encadré par l’éthique et le droit. Et surtout trois qualités : curiosité, persévérance et communication. Ce n’est pas un don, c’est accessible à tout le monde avec de la méthode.

Quelles compétences faut-il maîtriser pour travailler dans la cybersécurité ? On me pose la question presque chaque semaine, souvent avec la même crainte : « est-ce qu’il faut être un génie ? ». La réponse est non. C’est une discipline rigoureuse, qui se construit brique par brique. Faisons le point complet dans ce guide, avec des ressources pratiques et mobilisables pour vous lancer.

Au-delà du mythe du « hacker génie », la rigueur technique

Dans l’imaginaire collectif, le hacking est souvent perçu comme de la magie noire, où des compétences mystérieuses permettent de franchir les barrières les plus sophistiquées. Certains jurent même qu’être hacker est un don, et qu’il est perdu d’avance d’apprendre le domaine pour ceux qui n’auraient pas eu la « chance d’être choisis par le ciel ».

Mais la réalité professionnelle est tout autre. La cybersécurité est une discipline rigoureuse qui repose sur une base pyramidale : avant de pouvoir compromettre un système, il faut comprendre avec précision comment ce système a été conçu et comment il fonctionne. Nous ne pouvons travailler dans la cybersécurité qu’en maîtrisant profondément le sujet. Et fort heureusement, cela est accessible à tout le monde avec du focus et du travail.

L’objectif de cet article est donc de dresser la cartographie la plus exhaustive possible des compétences indispensables à acquérir avant de travailler dans la cybersécurité. Il s’appuie sur des ressources anglophones populaires, comme le très bon roadmap.sh, qui fournit des feuilles de route visuelles sur différents sujets IT.

1. Acquérir les compétences IT fondamentales

Peu importe le métier visé dans la cybersécurité, il y a des compétences techniques de base à acquérir. Voici une liste de ces compétences fondamentales :

• Maîtriser les outils de traitement de texte comme la suite Office ou ses concurrents (OnlyOffice, LibreOffice…), car écrire des rapports ou analyser des données nécessite de suivre les standards et de savoir utiliser les outils de base d’un système informatique. De nombreux tutoriels gratuits existent à ce sujet dans le cadre du C2i (Certificat Informatique et Internet), notamment dans l’enseignement supérieur.
• Reconnaître les composants physiques d’un ordinateur, notamment le rôle de la mémoire RAM, du processeur, et comment un programme les mobilise. Il est aussi intéressant de connaître le fonctionnement des composants réseau comme les switchs, routeurs, hubs ou cartes réseau.
• Comprendre les types de connecteurs et leur utilité : RJ45, Wi-Fi, Bluetooth, NFC, etc.

2. Maîtriser les systèmes d’exploitation (OS)

Un professionnel de la cybersécurité doit être capable de naviguer dans n’importe quel environnement, y compris sans interface graphique. Il doit aussi comprendre que maîtriser le domaine implique de connaître plusieurs systèmes d’exploitation.

Voir Linux comme le choix idéal

Linux est au cœur de la cybersécurité. Presque tous les serveurs web, les objets connectés et les outils de sécurité tournent sous Linux. L’un des meilleurs moyens d’apprendre ce système est de l’installer sous forme de machine virtuelle. Comme dans tous les domaines techniques, la pratique est fondamentale pour progresser. Il convient notamment de maîtriser les points suivants :

• Le terminal (CLI) : la maîtrise de Bash n’est pas négociable. Vous devez savoir manipuler les fichiers, gérer les processus et configurer les services via la ligne de commande.
• La gestion des droits : comprendre le système de permissions (Read, Write, Execute) et le mécanisme SUID/SGID pour l’élévation de privilèges.
• Savoir installer des applications : gérer des paquets (installation, suppression, mise à jour).

Il existe plusieurs tutoriels gratuits pour débuter avec Linux, dont celui que j’ai écrit. L’avantage de ce système est aussi de pouvoir créer votre propre « lab de test » avec tous vos outils, pour monter des environnements virtuels volontairement vulnérables.

Voici la vidéo de mise en place d’un tel lab de test :

Ne pas oublier l’écosystème Windows et Microsoft

En cybersécurité, on se concentre souvent sur Linux, mais en environnement professionnel Windows est très présent. Voici deux briques à ne pas négliger :

• PowerShell : c’est l’outil de prédilection des attaquants modernes pour la post-exploitation sous Windows. Voici le tutoriel officiel de Microsoft en français.
• Active Directory (AD) : c’est le cœur des réseaux d’entreprise. Il est crucial de comprendre ce qu’est un contrôleur de domaine, les protocoles Kerberos et NTLM, et le fonctionnement de LDAP.
• De manière générale, l’excellente suite d’utilitaires Sysinternals ainsi que les outils Nirsoft contiennent de nombreux outils d’investigation et de gestion très poussés pour Windows. Je vous conseille vivement d’en utiliser quelques-uns pour mieux comprendre le fonctionnement de Windows et ses liens avec la cybersécurité, notamment LastActivityView de Nirsoft et Process Explorer + TCPView de Sysinternals.

Apprendre la programmation (notamment Python, le couteau suisse)

Savoir coder peut sembler une option à ignorer si vous visez un domaine de la cybersécurité peu technique.

Cela dit, sans programmation, vous serez limité par les outils créés par d’autres. Python est le langage standard en cybersécurité pour sa rapidité d’écriture. Il permet d’automatiser des tâches répétitives, de créer des exploits personnalisés ou de traiter des volumes massifs de données.

Je vous propose à la fois le cours Python pour apprendre ce langage tout en créant des outils utiles en cybersécurité, ainsi qu’une formation Python complète avec certification à la clé.

Apprendre les langages web (par exemple PHP, JavaScript et SQL)

Tout comme la programmation Python et système, la programmation web n’est pas absolument obligatoire si vous ne souhaitez pas viser le web dans votre futur métier. Cela dit, il est vivement conseillé d’avoir des bases sur le sujet.

Pour comprendre les vulnérabilités du Top 10 de l’OWASP (comme la faille XSS ou l’injection SQL), vous devez lire et écrire des langages web comme PHP et JavaScript. Savoir comment une base de données relationnelle répond à une requête est aussi essentiel pour pouvoir l’exploiter et la sécuriser.

Plusieurs technologies modernes existent pour développer pour le web : React, Node.js ou encore Flask. Selon le métier et les tâches visées, il peut être nécessaire de spécialiser vos compétences vers l’une ou l’autre, selon vos buts et préférences.

Apprendre les langages de bas niveau (C/C++)

Bien que plus complexes, ils sont nécessaires pour comprendre la gestion de la mémoire, les « buffer overflows » et le fonctionnement des malwares au plus proche du processeur. Même remarque que précédemment : il n’y a pas d’impératif à les apprendre avant de continuer. Ils ciblent plutôt des métiers précis, notamment autour de la cryptographie ou des systèmes d’exploitation.

3. L’architecture des réseaux : la colonne vertébrale

On ne peut pas attaquer ce que l’on ne sait pas voir. Comprendre les réseaux est une première brique fondamentale sur laquelle reposent bien des outils. Voici quelques points à maîtriser :

Comprendre les modèles OSI et TCP/IP

Il est très utile de comprendre le modèle OSI (Open Systems Interconnection) et ses 7 couches. Elles régissent le fonctionnement général et théorique des réseaux. Maîtriser les liens entre les couches et les différents protocoles qui les composent est aussi pertinent pour y appliquer ensuite des concepts de sécurité.

Comprendre les protocoles fondamentaux

Les protocoles TCP et UDP sont parmi les plus répandus. Il convient de comprendre la poignée de main en trois temps (SYN, SYN-ACK, ACK) et les mécanismes permettant à TCP d’assurer la bonne réception des données entre deux points du réseau.

Comprendre l’adressage et le routage

IPv4, IPv6, les masques de sous-réseau (CIDR), les passerelles et le fonctionnement des routeurs.

Comprendre les services d’infrastructure

Le hacking moderne exploite souvent les faiblesses des services de base :

• DNS (Domain Name System) : comment les noms de domaine sont résolus. Les attaques de type DNS Tunneling ou empoisonnement de cache ne peuvent être comprises sans cela.
• DHCP : le processus d’attribution d’IP et les risques de « DHCP Starvation ».
• HTTP/HTTPS : la compréhension des codes d’état (200, 404, 500), des en-têtes (Headers) et des cookies est la base du hacking web.

4. Maîtriser les technologies modernes (Cloud, IA…)

Le paysage technologique mute régulièrement, et les nouvelles technologies sont très prisées dans le monde professionnel.

Architecture micro-services et conteneurs

Comprendre Docker et Kubernetes est devenu indispensable. De nombreuses failles proviennent de conteneurs mal isolés ou d’API mal protégées. Connaître le fonctionnement des machines virtuelles est un grand avantage en cybersécurité. Je vous renvoie à la vidéo précédente pour en savoir plus sur la création d’un lab de test.

Le cloud (AWS, Azure, GCP)

La majorité des entreprises migrent leurs données vers le cloud. Un hacker moderne doit connaître les concepts de compartimentage (S3 buckets), de gestion des identités (IAM) et les mauvaises configurations courantes qui mènent à des fuites de données massives.

L’intelligence artificielle

L’IA fait évidemment partie des technologies qui vont se développer, et qui touchent déjà le domaine de la cybersécurité. Dans ce cadre, elle repose notamment sur l’analyse à grande échelle de données (menaces, IoC).

L’IA permet également d’automatiser certaines tâches pour trouver des vulnérabilités dans le cadre de tests d’intrusion.

5. La sécurité de l’information : cryptographie et triade CIA

Le hacking consiste souvent à contourner des mécanismes de défense. Il faut donc comprendre ces mécanismes.

• La triade CIA : Confidentialité (une donnée n’est-elle bien accessible qu’aux entités ayant le droit ?), Intégrité (la donnée est-elle bien celle qui a été envoyée initialement, sans altération ?), Disponibilité (Availability en anglais : la donnée peut-elle être réceptionnée sans encombre ?).
• Cryptographie : il s’agit d’avoir des compétences sur divers sujets, comme la différence entre le chiffrement symétrique (AES), asymétrique (RSA) et le hachage (SHA-256). Il faut comprendre pourquoi on ne « décrypte » pas un mot de passe haché, mais qu’on tente de retrouver la même empreinte à partir de données sources.

6. L’art de la reconnaissance : OSINT et social engineering

La partie technique ne représente souvent que 50 % du travail lorsqu’il s’agit de s’introduire dans des systèmes informatiques. Très souvent, l’être humain constitue la pièce fragile, et c’est donc lui qui est visé.

OSINT (Open Source Intelligence)

Avant toute attaque, il y a la collecte d’informations. Apprendre à utiliser Google Dorks, Shodan, faire des requêtes vers les registres WHOIS et les réseaux sociaux pour dresser un portrait de la cible : c’est une phase de renseignement cruciale.

De façon plus large, la Cyber Kill Chain doit être connue et maîtrisée pour tous les métiers de la Red Team.

L’ingénierie sociale (le hacking humain)

La faille, on le répète, est souvent entre la chaise et le clavier. Comprendre les principes de psychologie sociale (autorité, urgence, rareté) permet de mener des campagnes de phishing efficaces, pour jauger le niveau de maturité des formations internes et des compétences des collaborateurs, et éviter les risques.

7. Méthodologie, éthique et cadre légal

C’est ici que l’on sépare le professionnel du cybercriminel.

Le cadre légal (France et international)

En France, la loi Godfrain sanctionne l’accès ou le maintien frauduleux dans un système de traitement automatisé de données. Un professionnel doit connaître le périmètre et les limites de son contrat de pentest.

La rédaction de rapports

Un pentester est payé pour son rapport et les solutions qu’il propose. Savoir expliquer une vulnérabilité complexe à un décideur non technique (impact métier) tout en fournissant des détails techniques aux administrateurs est une compétence très valorisée sur le marché.

Si vous souhaitez aller plus loin avec la création d’un rapport de pentest professionnel, observez la formation cybersécurité et pentest, dans laquelle nous voyons toutes les étapes pour réaliser un pentest, du contrat au rapport.

8. L’environnement de travail : virtualisation et lab

Ne pratiquez jamais sur des systèmes qui ne vous appartiennent pas sans autorisation explicite.

• Virtualisation : apprenez à utiliser VMware ou VirtualBox (ou Docker) pour créer des réseaux isolés.
• Plateformes d’entraînement : utilisez des ressources comme TryHackMe ou Hack The Box pour pratiquer légalement. Nous disposons également des CTF sur Cyberini pour débuter et vous familiariser avec différentes catégories, tout en gagnant des points et des badges.

9. Les « soft skills » : curiosité et persévérance avant tout

La cybersécurité est un domaine où l’on apprend à vie, et dont le chemin est plein de rebondissements. Voici quelques soft skills indispensables :

• L’auto-formation permanente : le domaine évolue parfois très vite. La capacité à lire des documentations techniques et à faire une veille hebdomadaire est très importante.
• La communication : c’est la soft skill la plus recherchée d’après plusieurs études d’offres d’emploi du domaine.
• L’anglais technique : la quasi-totalité de la documentation, des forums spécialisés et des CVE (Common Vulnerabilities and Exposures) est en anglais. Une maîtrise fluide est très avantageuse, bien que non obligatoire.

Retrouvez le plan d’apprentissage complet pour faire carrière en cybersécurité, avec des cartes mentales, dans la vidéo qui suit :

10. L’apprentissage continu

Vient ensuite votre apprentissage des différentes compétences directement liées à la cybersécurité. Un apprentissage qui dure toute votre carrière, et qui sera nécessairement spécialisé lui aussi. Cela dit, voici quelques fondamentaux à connaître :

• La Cyber Kill Chain et les méthodologies techniques : savoir comment mener un test d’intrusion.
• La gestion des menaces : savoir utiliser la matrice ATT&CK, connaître les surfaces d’attaque et les techniques des acteurs malveillants.
• L’étude des malwares et de leur fonctionnement : savoir retrouver les traces d’un piratage, voire faire une analyse forensique, et décompiler des programmes pour comprendre leur fonctionnement.
• La défense en profondeur et la gestion des vulnérabilités : CWE, CVE, CVSS, le concept du « 0 day ».

Conclusion : le chemin vers l’expertise

Maîtriser le hacking n’est pas une destination, mais un processus continu. L’erreur classique est de vouloir utiliser des outils complexes (comme Metasploit) trop tôt. Le véritable expert est celui qui, face à une protection que l’outil ne sait pas gérer, comprendra assez bien les couches réseau et système pour concevoir sa propre solution.

En tête des compétences recherchées vient finalement le trio non technique fondamental :

• La curiosité : prendre le temps de se renseigner sur une nouveauté ou de s’intéresser aux détails d’un concept.
• La persévérance : apprécier de faire des erreurs et de trouver soi-même des solutions.
• La communication : savoir travailler en équipe et restituer des informations de façon compréhensible selon l’audience visée.

En consolidant en parallèle les bases en réseaux, systèmes, code et autres concepts cités, vous ne vous contenterez pas de « hacker » : vous deviendrez un architecte de la sécurité capable de protéger les infrastructures critiques de demain.

Questions fréquentes

Rédigé par Michel Kartner, consultant-formateur en cybersécurité depuis plus de 15 ans, fondateur de Cyberini et auteur de la chaîne YouTube éponyme (~200 000 abonnés). Ce guide reprend la cartographie de compétences que je transmets à mes apprenants, du débutant au futur pentester.