Consultant en cybersécurité : missions, salaire, compétences et formation

Un intitulé qui recouvre plusieurs métiers

« Consultant en cybersécurité » est probablement l’intitulé le plus large du secteur. Deux personnes portant ce titre peuvent avoir des journées qui n’ont presque rien en commun.

L’une passe ses journées à tester des applications web et à rédiger des rapports d’intrusion. L’autre anime des ateliers d’analyse de risques et prépare une certification ISO 27001. La troisième déploie une solution de gestion des identités chez un client industriel. Toutes les trois sont consultantes en cybersécurité.

Avant de viser ce métier, la vraie question n’est pas « comment devenir consultant ? » mais « consultant en quoi ? ».

L’ANSSI ne s’y trompe pas : son Observatoire des métiers a consacré en 2025 une analyse spécifique aux consultants en cybersécurité, précisément parce que cette population présente des parcours et des cadres d’exercice particuliers au sein de l’écosystème français.

Les autres appellations

• Consultant SSI
• Consultant sécurité des systèmes d’information
• Cybersecurity Consultant
• Security Consultant
• Consultant GRC, consultant conformité, consultant risques
• Auditeur sécurité, lorsque la mission est centrée sur l’audit

Les principales spécialités

Voici les variantes les plus courantes sur le marché français. Elles ne sont pas étanches : beaucoup de consultants expérimentés couvrent deux ou trois de ces domaines.

1. Consultant GRC

   Gouvernance, risques et conformité. Analyses de risques, politiques de sécurité, systèmes de management de la sécurité de l’information, préparation d’audits. Profil analytique et rédactionnel.

2. Consultant sécurité technique

   Audit de configuration, revue d’architecture, durcissement, accompagnement à la sécurisation d’un environnement existant. Profil issu de l’IT.

3. Consultant IAM

   Gestion des identités et des accès : annuaires, cycle de vie des comptes, authentification forte, gouvernance des habilitations. Spécialité en forte demande, souvent longue à maîtriser.

4. Consultant cloud security

   Sécurisation des environnements Azure, AWS ou Google Cloud : cloisonnement, identités machine, exposition des services, conformité des configurations.

5. Consultant conformité

   NIS2, DORA selon secteur, RGPD, exigences contractuelles. Traduction d’un texte réglementaire en plan d’action réalisable.

6. Consultant gestion des risques

   Cartographie des risques, scénarios, plans de traitement, indicateurs de suivi. Souvent avec la méthode EBIOS Risk Manager.

7. Consultant pentest

   Tests d’intrusion vendus comme prestation. Le profil est celui d’un pentester, avec une dimension relation client et restitution renforcée.

8. Consultant SOC

   Aide à la conception, à l’outillage ou à l’amélioration d’un centre opérationnel de sécurité : cas d’usage de détection, règles, processus d’escalade.

9. Consultant sécurité des infrastructures

   Réseau, systèmes, virtualisation, sauvegardes. Souvent la porte d’entrée des profils venant de l’administration.

Cabinet, ESN, société spécialisée, interne ou indépendant ?

Le type de structure change davantage le quotidien que la spécialité elle-même. Voici ce qui les distingue réellement.

1. Cabinet de conseil

   Méthode structurée, formation continue, missions variées et souvent courtes, progression balisée. En contrepartie : rythme soutenu, missions peu choisies, et une pression sur le temps facturable.

2. ESN

   Missions généralement plus longues chez un même client, avec davantage de continuité et parfois une immersion proche de celle d’un salarié interne. Le cadre méthodologique est souvent plus léger qu’en cabinet.

3. Société spécialisée cyber

   Niveau technique moyen plus élevé, équipes de pairs, sujets de pointe. Structure souvent plus petite, donc plus exposée aux variations d’activité.

4. Consultant interne

   Salarié d’une entreprise utilisatrice, au service des directions métiers. On connaît le contexte en profondeur et on suit ses recommandations jusqu’au bout — ce que le conseil externe permet rarement.

5. Indépendant

   Liberté sur le choix des missions et les conditions, mais prospection, périodes creuses, gestion administrative et formation à sa charge. Se pratique après plusieurs années d’expérience.

Comment se déroule une mission

Quelle que soit la spécialité, une mission de conseil suit à peu près toujours la même trame. La comprendre aide à savoir si le métier vous correspond.

1. 1. Cadrage

   Définir le périmètre, les objectifs, les interlocuteurs, le calendrier et le livrable attendu. Une mission mal cadrée se termine mal, quelle que soit la qualité du travail.

2. 2. Collecte

   Entretiens, documentation, observations, extractions techniques. Il s’agit de comprendre le fonctionnement réel, qui diffère presque toujours du fonctionnement décrit.

3. 3. Analyse

   Confrontation de l’existant à un référentiel, à des bonnes pratiques ou à des scénarios de risque. C’est le cœur du travail.

4. 4. Hiérarchisation

   Trier les constats par criticité. Un rapport qui présente cinquante constats équivalents est un rapport inutilisable.

5. 5. Recommandations

   Proposer des actions réalisables compte tenu des moyens du client. Une recommandation inapplicable ne sera jamais mise en œuvre.

6. 6. Rédaction

   Produire un livrable lisible par des lecteurs de niveaux très différents, du technicien au dirigeant.

7. 7. Restitution

   Présenter, défendre, répondre aux objections, parfois annoncer des choses désagréables à des personnes qui ne veulent pas les entendre.

8. 8. Accompagnement

   Selon la mission, suivre la mise en œuvre du plan d’action et ajuster au fil des difficultés rencontrées.

Faut-il être très technique pour devenir consultant cybersécurité ?

C’est la question la plus fréquente sur ce métier, et la réponse honnête est : cela dépend énormément de la spécialité visée.

Un consultant pentest doit être techniquement excellent. Sa crédibilité repose entièrement sur sa capacité à trouver ce que les autres n’ont pas trouvé. Sans ce niveau, la mission n’a pas de valeur.

Un consultant GRC exerce un métier différent. Son travail consiste à comprendre une organisation, à identifier ce qui peut mal tourner et à structurer une réponse. Il n’a pas besoin de savoir configurer un pare-feu, mais il doit comprendre ce qu’un pare-feu protège, ce qu’il ne protège pas, et ce que coûte réellement un changement de règle.

Le vrai risque n’est pas le manque de technique : c’est la déconnexion. Un consultant coupé du terrain produit des recommandations que personne ne pourra appliquer.

Dans les deux cas, un socle minimal est indispensable : comprendre ce qu’est un annuaire, un compte à privilèges, une sauvegarde, une API, un flux réseau, une vulnérabilité. Sans ce socle, le consultant est à la merci de son interlocuteur technique.

Consultant en cybersécurité en cabinet ou en freelance ?

C’est un choix de mode de vie autant qu’un choix professionnel. Voici les éléments réels de la comparaison, sans avancer de chiffres de revenus que nous ne pourrions pas sourcer.

Ce que le cabinet apporte

• Un flux de missions sans avoir à prospecter
• Une méthode de travail éprouvée et des modèles de livrables
• Un collectif : relecture par des pairs, appui sur des expertises voisines
• De la formation continue et un accès facilité aux certifications
• Une progression de carrière lisible, avec des paliers explicites
• Un revenu régulier, y compris entre deux missions

Ce que le cabinet coûte

• Peu de choix sur les missions confiées
• Rythme souvent soutenu, avec une attention constante au temps facturable
• Déplacements parfois imposés
• Une partie de la valeur produite revient à la structure

Ce que le freelance apporte et coûte

L’indépendant choisit ses missions, négocie directement ses conditions et organise son temps. En contrepartie, il assume la prospection commerciale, les périodes sans mission, la gestion administrative, sa protection sociale et sa propre montée en compétences. Il travaille aussi plus seul, ce qui est un vrai sujet dans un métier où la relecture par un pair améliore beaucoup la qualité du livrable.

En pratique, la très grande majorité des indépendants ont d’abord exercé plusieurs années en cabinet, en ESN ou en entreprise. Le conseil se vend sur une réputation, et une réputation se construit en mission.

Les qualités qui font la différence

Dans le conseil, la compétence technique ouvre la porte mais ce sont les compétences humaines qui font durer. Un consultant brillant mais incapable de se faire comprendre ne sera pas redemandé.

• Communication : adapter son discours à un développeur, à un directeur financier et à un juriste dans la même journée
• Pédagogie : expliquer sans condescendance, y compris à des interlocuteurs qui découvrent le sujet
• Capacité d’analyse : transformer un ensemble d’observations désordonnées en constat structuré
• Rédaction : produire un document que le client pourra utiliser sans le réécrire
• Présentation : tenir une restitution en gardant le fil et en répondant aux objections
• Écoute : comprendre le métier du client avant de lui expliquer ce qu’il doit faire
• Diplomatie : annoncer un constat sévère sans braquer les équipes concernées
• Autonomie : avancer sans supervision permanente, y compris en environnement inconnu

Reconversion vers le conseil en cybersécurité

Le conseil est l’une des voies les plus accessibles pour des personnes qui ne viennent pas de la technique pure, parce qu’une partie substantielle du métier repose sur des compétences transférables.

Profils qui s’y reconvertissent bien

• Chefs de projet et responsables de programme
• Consultants d’autres domaines (organisation, qualité, SI)
• Auditeurs internes ou externes
• Qualiticiens et responsables de processus
• Juristes disposant d’une culture numérique
• Administrateurs et ingénieurs IT expérimentés, vers les missions techniques
• Responsables métiers souhaitant se spécialiser sur le risque

Trajectoires fréquentes

Le point de vigilance est toujours le même : ne pas confondre le vocabulaire et la compréhension. Un consultant qui récite un référentiel sans comprendre ce qu’il recouvre techniquement est repéré très vite par les équipes du client.

Avantages et contraintes du métier

• Apprentissage très rapide, par exposition à de nombreuses organisations
• Variété des sujets, des secteurs et des interlocuteurs
• Progression de carrière lisible en cabinet
• Réseau professionnel qui se construit naturellement
• Passerelle privilégiée vers les fonctions de responsable sécurité et de RSSI
• Possibilité de se mettre à son compte après quelques années

• Rythme soutenu et attention permanente au temps facturable
• Déplacements fréquents selon les missions
• Peu de maîtrise sur le choix des missions en début de carrière
• Frustration de ne pas voir aboutir ses recommandations
• Nécessité de se former en continu sur ses heures propres
• Exposition directe à l’insatisfaction du client lorsque le message est difficile