Quel métier de la cybersécurité choisir en reconversion ?

Comment utiliser ce guide

La plupart des tests d’orientation cyber demandent ce qui vous attire. C’est la mauvaise question, parce que presque tout attire quand on regarde de loin. La bonne question est celle du quotidien : quelle activité êtes-vous prêt à faire pendant sept heures, un mardi ordinaire, quand elle n’a rien d’excitant ?

Ce guide est donc organisé par appétence réelle — analyser, tester, construire, développer, encadrer par des règles, piloter, transmettre — et non par famille de métiers. Chaque section renvoie vers les fiches concernées, où vous trouverez la journée type, les compétences attendues, les repères de rémunération et les sources.

Deux précisions sur la lecture des tableaux. Les notes sur cinq sont des positions relatives entre les 26 métiers, pas des scores absolus : un 3 en communication signifie « nettement plus que la moyenne technique du secteur », pas « niveau intermédiaire dans l’absolu ». Et la colonne « junior possible » ne dit pas qu’un métier est facile, elle dit qu’il constitue une porte d’entrée documentée en premier poste cybersécurité.

La matrice des 26 métiers

Ce tableau est calculé directement à partir des 26 fiches publiées : les six axes proviennent du profil radar de chaque fiche, le niveau d’accès et la mention « junior possible » de la couche d’indices Cyberskill, l’indication « reconversion » des filtres de la fiche elle-même. Rien n’y est saisi à la main.

Une lecture rapide de cette matrice suffit à écarter quelques idées reçues. Les métiers les plus techniques ne sont pas les plus nombreux. Les métiers de gouvernance demandent des notes élevées en communication et en réglementaire, mais pas des notes nulles en technique. Et surtout, la colonne « accès » montre que la majorité des métiers cyber ne sont pas des premiers postes : ils supposent une expérience antérieure, en informatique ou dans un autre domaine.

Si vous aimez analyser, enquêter, comprendre ce qui s’est passé

C’est le profil de l’univers Blue Team. Le travail consiste à observer un système d’information en fonctionnement, à repérer ce qui sort de l’ordinaire, à décider si c’est un incident, et à reconstituer l’enchaînement des faits. C’est un métier d’enquête appliqué à des traces techniques.

Ce qui plaît : la variété des cas, le sentiment d’utilité immédiate, la progression technique rapide, le travail en équipe sur des situations concrètes. Ce qui rebute : le volume de faux positifs, la répétition des premiers mois, les horaires décalés ou les astreintes selon l’organisation, et la nécessité de tout documenter.

Si vous aimez tester, contourner, chercher la faille

C’est l’univers offensif, le plus visible et le plus demandé par les candidats — et paradoxalement celui qui offre le moins de premiers postes. La raison est simple : pour trouver une faille dans un système, il faut d’abord comprendre ce système en profondeur. Les recruteurs cherchent donc des profils ayant déjà pratiqué l’administration, le développement ou le réseau.

Ce qui plaît : la liberté d’exploration, la satisfaction technique, la diversité des environnements testés. Ce qui est sous-estimé : la part de rédaction. Un test d’intrusion produit un rapport lu par des non-spécialistes, avec des recommandations hiérarchisées et réalistes. Un excellent technicien incapable d’écrire clairement ne fait pas un bon pentester.

Si vous aimez construire, administrer, faire tenir une infrastructure

C’est la voie la plus large, et de loin la plus sous-estimée par les candidats en reconversion. L’étude Apec indiquait déjà en 2022 que 46 % des profils recherchés par les entreprises relevaient de la conception d’architectures sécurisées, du développement de solutions sécurisées et de l’administration des systèmes d’information. Autrement dit, c’est là que se trouvent le plus de postes.

Le travail consiste à concevoir, déployer et maintenir les briques qui protègent le système d’information : annuaires, segmentation, pare-feu, gestion des accès, sauvegardes, supervision. C’est un métier de bâtisseur, avec une satisfaction différente de celle de l’enquête ou du test : on voit ce qu’on a construit fonctionner.

Pour un administrateur système ou réseau en poste, c’est la trajectoire la plus courte qui existe : une grande partie du savoir-faire est déjà là, l’écart porte sur la posture et sur quelques domaines précis. C’est aussi la voie qui ouvre le plus naturellement, ensuite, vers l’architecture puis vers le conseil.

Si vous aimez développer

Deux métiers distincts s’ouvrent aux développeurs, et il est important de ne pas les confondre. Le premier consiste à sécuriser le développement des autres : revue de code, modélisation de menaces, intégration de contrôles dans la chaîne de livraison, formation des équipes. Le second consiste à développer les outils de sécurité eux-mêmes.

L’atout d’un développeur en reconversion cyber est réel : il comprend d’où viennent les vulnérabilités, il sait automatiser, il lit du code sans effort. Sa faiblesse habituelle est la culture système et réseau. C’est précisément ce que les entretiens testent, parce qu’une vulnérabilité applicative s’exploite toujours dans un contexte d’infrastructure.

Si vous aimez les règles, les risques, la conformité

L’univers GRC est la porte d’entrée privilégiée des profils venant de la qualité, de l’audit, du droit, du contrôle interne ou de la gestion des risques. Le travail consiste à identifier ce qui peut mal tourner, à évaluer la gravité, à décider ce qu’on traite et ce qu’on accepte, à formaliser des règles et à vérifier qu’elles sont appliquées.

Ce qui plaît : la vision d’ensemble, le contact avec les métiers et les directions, l’écrit, la structuration. Ce qui rebute : la lenteur des cycles, la nécessité de convaincre plutôt que d’imposer, et le fait que le résultat du travail soit souvent invisible quand tout se passe bien.

Si vous aimez piloter, arbitrer, coordonner

Ces métiers valorisent directement une expérience professionnelle antérieure, y compris hors informatique. Cadrer un projet, tenir un budget, faire travailler ensemble des acteurs aux intérêts divergents, arbitrer sous contrainte : ces compétences se transfèrent.

Leur limite est symétrique : ce sont presque toujours des postes de seconde partie de parcours. La matrice le montre clairement — les métiers de pilotage et de direction affichent des niveaux d’accès confirmés ou seniors, rarement des premiers postes. La trajectoire réaliste consiste donc à entrer par un métier plus opérationnel, puis à basculer.

Si vous aimez transmettre

La formation en cybersécurité est un métier à part entière, et il est particulièrement adapté aux reconversions venant de l’enseignement, de la formation professionnelle ou de fonctions où l’on explique beaucoup. Il suppose néanmoins une condition non négociable : avoir réellement pratiqué ce qu’on enseigne.

C’est donc rarement un premier poste, mais souvent une deuxième étape : quelques années de terrain, puis un basculement vers la transmission, à temps plein ou en complément d’une activité opérationnelle.

Les métiers qu’il est illusoire de viser directement

Cette section n’est pas là pour décourager, mais pour éviter des mois perdus. Certains métiers ne sont pas « plus difficiles » : ils supposent structurellement autre chose qu’une formation, et aucun parcours court ne remplace cet autre chose.

Il ne s’agit pas de renoncer à ces métiers, mais de les placer correctement sur l’axe du temps. Viser un poste de RSSI à cinq ou huit ans est un projet parfaitement cohérent. Le viser comme premier poste après une formation de six mois ne l’est pas, et les recruteurs le disent clairement.

Point de départ → métiers à viser

Le tableau suivant croise votre situation actuelle avec les métiers réellement atteignables. La troisième colonne est celle qui compte : elle indique ce qui se passe si vous ignorez l’étape intermédiaire recommandée.

Comparaison des dix métiers les plus fréquemment visés

Ces dix métiers concentrent l’essentiel des recherches des candidats en reconversion. Les voir côte à côte, sur les mêmes axes, rend les différences beaucoup plus lisibles que dix fiches lues séparément.

Trois enseignements ressortent de cette comparaison. D’abord, seuls trois de ces dix métiers sont documentés comme accessibles en premier poste cybersécurité. Ensuite, les métiers les plus ouverts aux débutants sont aussi ceux qui demandent le socle système et réseau le plus solide — l’accessibilité ne signifie pas l’absence d’exigence technique. Enfin, les métiers de conseil et de gouvernance affichent des notes de communication élevées : ce n’est pas un détail de présentation, c’est le cœur de l’activité.

Un mini arbre de décision

Répondez dans l’ordre, sans chercher la réponse qui vous plaît le plus. Arrêtez-vous à la première qui correspond vraiment à votre situation.

1. 1. Avez-vous déjà administré des serveurs, des réseaux ou un annuaire en environnement professionnel ?

   Si oui, allez directement en 4. Si non, continuez.

2. 2. Votre métier actuel relève-t-il de l’audit, de la qualité, du droit, du contrôle interne ou de la gestion des risques ?

   Si oui, visez l’univers GRC : auditeur de sécurité organisationnelle ou manager GRC. C’est la trajectoire la plus courte pour vous. Si non, continuez.

3. 3. Êtes-vous prêt à passer par un poste informatique intermédiaire pendant un à deux ans ?

   Si oui, visez d’abord l’administration système ou le support de niveau 2, puis reprenez cet arbre en 4. Si non, la seule voie réaliste reste la GRC, avec un effort important de culture technique.

4. 4. Préférez-vous comprendre ce qui s’est passé, ou construire ce qui empêchera que cela se passe ?

   Comprendre : univers Blue Team, analyste SOC en premier poste. Construire : administrateur d’infrastructures de sécurité ou intégrateur de solutions.

5. 5. Écrivez-vous facilement des documents lus par des non-spécialistes ?

   Si oui, les métiers de conseil, d’audit et de pilotage vous seront accessibles plus vite que la moyenne. Si non, travaillez ce point : c’est le plafond de verre le plus fréquent en cybersécurité.

6. 6. Développez-vous déjà ?

   Si oui, ajoutez la sécurité applicative et le développement de solutions de sécurité à votre liste : ce sont vos voies les plus courtes, avant toute autre.

Comment tester son choix avant de payer une formation

C’est la partie la plus rentable de ce guide. Une formation en cybersécurité représente plusieurs milliers d’euros et plusieurs mois. Un test sérieux coûte quelques semaines et un ordinateur. Le rapport est sans comparaison.

1. Lire vingt offres d’emploi réelles

   Pas des descriptions de métier, des offres publiées. Relevez les compétences qui reviennent, les outils cités, l’expérience demandée. Si vous ne comprenez pas 80 % du vocabulaire d’une offre junior, vous avez identifié votre écart.

2. Monter un laboratoire et y faire trois choses

   Installer un domaine, centraliser des journaux, durcir un serveur. Ces trois gestes couvrent l’essentiel du socle et révèlent très vite ce qui vous plaît ou vous ennuie.

3. Produire un compte rendu écrit

   Deux pages sur ce que vous avez fait, ce que vous avez observé, ce qui n’a pas marché. Si l’exercice vous pèse, méfiez-vous des métiers de conseil, d’audit et de pilotage.

4. Parler à deux personnes qui exercent le métier

   Pas à un organisme de formation : à des praticiens. Demandez-leur ce qu’ils ont fait la semaine dernière, précisément. Les réponses concrètes valent tous les référentiels.

5. Vérifier la certification visée dans le répertoire officiel

   Un titre réellement enregistré figure au Répertoire national des certifications professionnelles, avec son niveau et son certificateur. Cette vérification prend cinq minutes.