Lorsqu’on cherche à comprendre la cybersécurité, certaines questions reviennent constamment : qu’est-ce que la cybersécurité ? Comment entrer dans ce domaine ? Par où commencer ? Quelles compétences faut-il avoir ? Est-ce difficile ? Faut-il savoir coder ?
Il existe énormément de réponses à ces questions, et il est parfois difficile de savoir par où commencer lorsqu’on est débutant.
La première chose à comprendre, c’est que la cybersécurité est un domaine extrêmement vaste. Il existe tellement de métiers et de spécialisations qu’un débutant peut rapidement se retrouver perdu.
Alors, si vous ne savez pas quoi faire et que vous ne savez pas par où commencer, une voie mérite particulièrement votre attention : la GRC.
La cybersécurité, c’est quoi exactement ?
Pour faire simple, la cybersécurité regroupe tout ce que l’on met en place pour protéger les systèmes d’information, les données et les réseaux contre les attaques, les virus et les accès non autorisés.
Derrière cette définition assez simple se cache évidemment un domaine beaucoup plus complexe.
Pour caricaturer un peu, on peut distinguer deux grandes approches : la cybersécurité défensive et la cybersécurité offensive.
La partie défensive consiste principalement à protéger les systèmes et les données, à surveiller les infrastructures et à réagir lorsqu’une attaque se produit.
La partie offensive, elle, consiste notamment à adopter le rôle d’un attaquant afin de tester les systèmes et les défenses d’une organisation. On cherche par exemple à identifier des vulnérabilités et à comprendre comment un système pourrait être compromis.
Cette distinction est volontairement simplifiée, car la cybersécurité ne se limite évidemment pas à ces deux catégories.
Et au milieu de toutes ces spécialisations, on retrouve un domaine particulièrement intéressant : la GRC.
Qu’est-ce que la GRC en cybersécurité ?
GRC signifie Governance, Risk and Compliance, ou gouvernance, risques et conformité.
Pour faire très simple, la GRC permet aux entreprises de structurer leur sécurité.
Elle concerne notamment la mise en place des politiques de sécurité, la gestion des risques, le respect des réglementations et le suivi des règles établies dans l’organisation.
Un professionnel de la GRC peut donc être amené à travailler sur des politiques de sécurité, analyser des risques, vérifier la conformité d’une entreprise avec certaines exigences réglementaires ou encore participer à la mise en place de procédures.
Son rôle n’est pas nécessairement de passer ses journées à configurer des serveurs ou à écrire du code.
Il travaille beaucoup sur les processus, les règles, les risques et la stratégie.
Et c’est justement ce qui rend la GRC particulièrement intéressante pour quelqu’un qui cherche encore sa voie en cybersécurité.
Pourquoi commencer par la GRC aujourd’hui ?
Nous sommes à l’ère de l’intelligence artificielle.
Avec l’arrivée de l’IA, certaines tâches opérationnelles deviennent progressivement plus faciles à automatiser ou à accélérer. Cela ne signifie évidemment pas que les compétences techniques vont disparaître. Elles resteront importantes.
Mais les besoins évoluent.
À côté de la technique, les entreprises ont de plus en plus besoin de personnes capables de réfléchir, d’anticiper, de gérer les risques, de prendre des décisions et de superviser.
Pour le dire encore plus simplement : à l’ère de l’IA, le monde a besoin de stratèges.
Des stratèges.
Dans l’histoire, des personnes comme Sun Tzu, Gengis Khan ou Alexandre le Grand sont connues pour leur capacité à analyser une situation, anticiper les mouvements adverses et construire une stratégie.
Dans le monde de la cybersécurité, cette capacité à réfléchir de manière stratégique est également essentielle.
Attention, cela ne signifie absolument pas qu’il faut négliger la technique. Au contraire, la technique est et restera indispensable.
Mais une entreprise n’a pas seulement besoin de personnes capables d’exécuter des tâches techniques. Elle a également besoin de personnes capables de comprendre pourquoi certaines mesures doivent être prises, quels sont les risques et comment organiser la sécurité autour des objectifs de l’entreprise.
C’est notamment pour cette raison que la GRC prend une place importante dans les organisations.
La GRC permet d’avoir une vision globale de la cybersécurité
Un autre avantage de la GRC, et probablement l’un des plus importants pour un débutant, est la vision qu’elle permet de développer.
Lorsque vous travaillez sur la gouvernance, les risques et la conformité, vous êtes amené à toucher à différents aspects de la cybersécurité.
Vous devez comprendre les systèmes, les risques, les politiques, les réglementations, les processus internes et les enjeux de l’entreprise.
Vous développez donc progressivement une vision beaucoup plus large de la cybersécurité.
Personnellement, c’est par là que j’ai commencé, et cette expérience m’a permis de comprendre que la cybersécurité ne se résume pas à des outils techniques ou à du hacking.
Elle concerne aussi la manière dont une organisation s’organise pour se protéger.
Et cette vision peut ensuite faciliter une transition vers d’autres domaines de la cybersécurité.
Après une expérience en GRC, il peut être plus facile de comprendre les enjeux liés à d’autres spécialisations et de construire progressivement son parcours.
Faut-il savoir coder pour travailler en GRC ?
C’est probablement l’une des questions qui revient le plus souvent chez les débutants.
Faut-il savoir coder ?
Réponse simple : non, ce n’est pas obligatoire.
Pour travailler en GRC, vous n’avez pas besoin d’être un développeur ou un expert en programmation.
Ce qui compte davantage, c’est votre capacité à comprendre des processus, des politiques, des risques et des exigences, puis à communiquer clairement dessus.
Évidemment, avoir une certaine culture technique est un avantage.
Comprendre comment fonctionnent les réseaux, les systèmes, les données ou les différentes menaces permet de mieux comprendre les problématiques de cybersécurité.
Mais si le code vous fait peur, pas de panique.
Vous pouvez très bien construire une carrière en cybersécurité sans faire du développement votre spécialité.
Comment commencer en GRC ?
Si vous êtes complètement débutant, inutile de vouloir tout apprendre immédiatement.
Commencez par les bases de la cybersécurité.
Internet regorge aujourd’hui de ressources gratuites. YouTube, les articles spécialisés, les cours ouverts et différentes plateformes permettent déjà de comprendre énormément de choses sans dépenser beaucoup d’argent.
Prenez le temps de comprendre les notions fondamentales : menaces, vulnérabilités, risques, réseaux, systèmes d’information, protection des données, sécurité des accès, politiques de sécurité, etc.
Une fois ces bases acquises, vous pouvez aller plus loin avec des formations en ligne.
Des plateformes comme Coursera ou OpenClassrooms, ainsi que les différents MOOC disponibles sur Internet, peuvent constituer un bon point de départ.
Mais attention : votre parcours comportera plusieurs pièges.
Premier piège : vouloir tout savoir
C’est probablement l’une des plus grosses erreurs des débutants.
La cybersécurité est tellement vaste qu’il est impossible de tout maîtriser.
Vous allez découvrir le SOC, le pentest, la sécurité cloud, la GRC, la réponse aux incidents, la sécurité des applications, la gestion des identités, la sécurité des données et beaucoup d’autres domaines.
Et vous aurez peut-être envie de tout apprendre.
Ne tombez pas dans ce piège.
Au fur et à mesure de votre apprentissage, vous allez naturellement développer des affinités avec certains sujets.
Choisissez un domaine et spécialisez-vous.
Vous pourrez toujours découvrir les autres domaines par la suite, mais vous devez avoir une direction.
Deuxième piège : sous-estimer les soft skills
Être bon techniquement ne suffit pas toujours.
Les compétences humaines, également appelées soft skills, sont extrêmement importantes en cybersécurité.
Et parmi elles, la communication occupe une place centrale.
Vous pouvez être excellent techniquement. Mais si vous êtes incapable d’expliquer clairement un risque à votre responsable, de rédiger un rapport compréhensible ou de défendre une recommandation, votre expertise perd une partie de sa valeur.
Prenons l’exemple de Jules César.
Il était reconnu comme un grand stratège et tacticien. Mais son influence ne reposait pas uniquement sur sa capacité à élaborer des stratégies militaires. Il savait également communiquer avec ses soldats, les convaincre et les galvaniser autour d’un objectif commun.
En cybersécurité, le principe est similaire.
Vous devez être capable de comprendre un problème, mais également de l’expliquer et de convaincre les autres d’agir.
C’est particulièrement vrai en GRC.
Si vous savez lire, écrire, parler, argumenter et communiquer correctement, vous possédez déjà des compétences très utiles pour évoluer dans ce domaine.
La GRC, les fondations avant les alarmes
Pour résumer la GRC avec une image simple, je la vois comme les fondations d’une maison.
Avant d’installer des alarmes, des caméras, des portes blindées et toutes sortes de systèmes de sécurité, il faut d’abord construire des fondations solides.
La GRC joue notamment ce rôle dans une organisation.
Elle permet de définir les règles, d’identifier les risques, de mettre en place des politiques et de s’assurer que l’entreprise avance dans la bonne direction.
C’est pour cette raison que la GRC peut représenter une excellente porte d’entrée dans la cybersécurité, particulièrement pour ceux qui ne savent pas encore quelle spécialisation choisir.
Vous n’avez pas besoin d’être un expert en programmation pour commencer.
Vous n’avez pas besoin de tout savoir.
Vous devez surtout développer votre compréhension de la cybersécurité, apprendre à analyser les risques, comprendre les règles et surtout savoir communiquer.
La cybersécurité a besoin de techniciens.
Mais elle a également besoin de personnes capables de prendre du recul, anticiper les risques et construire une stratégie.
Et dans un monde où l’intelligence artificielle prend progressivement en charge certaines tâches opérationnelles, cette capacité à réfléchir et à décider pourrait devenir encore plus importante.
La technique reste essentielle. Mais la stratégie devient incontournable.
