Cybersécurité : l’ANSSI peine à saisir un instantané des métiers

Établir un référentiel des métiers de la cybersécurité ? C’est un « exercice délicat », reconnaît l’ANSSI.

Le panorama qu’elle a établi avec Syntec Numérique l’illustre. Les changements sont nombreux par rapport à la liste initiale de 16 « profils métiers » publiée en 2015 dans le cadre du projet « Nouvelle France industrielle ». Objectif alors affirmé : permettre aux employeurs de disposer d’une terminologie commune pour faciliter la gestion des carrières.

On trouve trace de la liste en question dans ce tableau Excel. Elle a fait depuis lors l’objet de plusieurs mises à jour. Notamment en 2018, sur la base de documentations de l’OPIIEC et du NIST.

D’une version à l’autre, on avait vu apparaître les professions de cryptologue, d’analyste SOC ou encore de responsable des plans de continuité d’activité (RPCA). D’autres fonctions disparurent, à l’image de l’expert en tests d’intrusion.

Avec l’édition 2020, l’ANSSI a élargi le périmètre des acteurs consultés… et celui des métiers référencés. On en compte désormais 26, répartis en quatre catégories. C’est sans compter ceux dits « connexes », soit parce qu’ils contribuent à la démarche globale de sécurité, soit parce qu’ils peuvent se spécialiser dans le domaine.

Le RPCA figure dorénavant dans cette catégorie « connexe », rubrique « contribution à la démarche globale ». Il y côtoie le DPO, le manager de risques, le directeur sûreté, le responsable des assurances et le responsable du contrôle interne.
Sur la partie « spécialisation », on trouve le juriste, le chargé de communication… et un métier en anglais dans le texte : security service delivery manager. Son rôle : piloter les services de sécurité dont il a la responsabilité, au sein d’un catalogue mis à disposition des métiers.

La modestie de l’ANSSI

De manière générale, l’ANSSI a spécifié sur ses fiches les noms des postes en anglais. Elle y a adjoint les missions essentielles, les activités et les tâches, la formation et l’expérience requises, les compétences « cœur de métier » et comportementales, ainsi que les tendances et facteurs d’évolution du métier.

Ci-après, les quatre catégories principales et les métiers qu’elle englobent :

• Gestion de la sécurité et pilotage des projets de sécurité
  Directeur cybersécurité, RSSI (et sa déclinaison au sein des TPE/PME), coordinateur, directeur de programme, responsable de projet
• Conception et maintien d’un SI sécurisé
  Chef sécurité de projet, architecte, spécialiste sécurité d’un domaine technique, spécialiste en développement sécurisé, cryptologue, administrateur de solutions de sécurité, auditeur de sécurité organisationnelle, auditeur de sécurité technique
• Gestion des incidents et des crises de sécurité
  Responsable du SOC, opérateur analyste SOC, responsable du CSIRT, analyste réponse aux incidents de sécurité, gestionnaire de crise, analyste de la menace
• Conseil, services et recherche
  Consultant, formateur, évaluateur, développeur, intégrateur, chercheur

L’ANSSI prend soin d’affirmer qu’il ne s’agit pas de « figer les acceptions et les pratiques », dans « un secteur aussi changeant ». « Certains métiers ont parfois des contours mal définis et leur dénomination peut varier d’une organisation à l’autre », ajoute-t-elle. Et de résumer : « Le choix a été fait d’essayer de conserver une liste de taille limitée, facile à utiliser par le plus grand nombre, tout en gardant un niveau de détail suffisant pour couvrir l’ensemble des aspects de la filière ».

Photo d’illustration © Rawpixel.com – shutterstock.com