Préparer une certification cybersécurité : CISSP, CompTIA, CISA, CEH

Le marché des certifications en cybersécurité a explosé en France au cours de la dernière décennie. Sous l'impulsion des exigences réglementaires (NIS2, RGPD, directives sectorielles bancaires et santé), des recruteurs, et de la pénurie documentée de professionnels qualifiés — l'ANSSI estimait en 2023 à plus de 15 000 le nombre de postes non pourvus en France dans le secteur — les certifications sont devenues un signal crédible sur le marché du travail. Mais toutes ne se valent pas, et les préparer intelligemment demande de comprendre leur logique propre.

Cartographie des certifications : du débutant au senior

Les certifications en cybersécurité couvrent un spectre très large de niveaux et de spécialisations. Voici les principales, en commençant par l'entrée.

CompTIA Security+ (CompTIA, basée aux USA) est la certification d'entrée en cybersécurité la plus reconnue mondialement, avec plus de 700 000 professionnels certifiés. Elle couvre les fondamentaux : menaces et vulnérabilités, cryptographie, gestion des identités et des accès, architecture réseau sécurisée, gestion des risques, réponse aux incidents. L'examen est un QCM de 90 questions sur 90 minutes. Aucun prérequis formel, mais la plupart des candidats réussissant ont 1-2 ans d'expérience ou l'équivalent en formation. C'est le bon point d'entrée pour quelqu'un qui change de domaine ou qui débute en sécurité.

CompTIA CySA+ (Cybersecurity Analyst) est le niveau intermédiaire CompTIA, orienté analyse des menaces, surveillance des systèmes et réponse aux incidents. Il précède naturellement la Security+ pour les profils SOC (Security Operations Center).

CISSP (Certified Information Systems Security Professional, ISC2) est la certification de référence pour les professionnels expérimentés. Elle exige 5 ans d'expérience professionnelle dans au moins deux des huit domaines du CBK (Common Body of Knowledge) : gestion de la sécurité et des risques, sécurité des actifs, ingénierie de la sécurité, sécurité des communications, gestion des identités et des accès, évaluation et tests de sécurité, opérations de sécurité, sécurité du développement logiciel. L'examen a évolué vers un format CAT (Computer Adaptive Testing) de 100 à 150 questions, adaptatif, réputé pour être l'un des plus difficiles du secteur. Le CISSP est souvent demandé pour les postes RSSI, architecte sécurité senior, ou responsable GRC (Gouvernance, Risques, Conformité) dans les grandes organisations.

CISA (Certified Information Systems Auditor, ISACA) est la certification de référence pour les auditeurs des systèmes d'information. Elle est distincte du CISSP : là où le CISSP forme des praticiens de la sécurité, le CISA forme des auditeurs qui évaluent la conformité et l'efficacité des contrôles. L'examen couvre cinq domaines : processus d'audit, gouvernance des SI, acquisition et développement des systèmes, opérations et résilience, protection des actifs informationnels.

CEH (Certified Ethical Hacker, EC-Council) est la certification la plus connue dans le domaine du hacking éthique et des tests d'intrusion. Elle couvre les phases d'une attaque (reconnaissance, scanning, exploitation, post-exploitation, couverture des traces) et les outils associés. Elle est parfois critiquée pour son côté trop théorique par rapport aux certifications offensives plus pratiques.

eJPT (eLearnSecurity Junior Penetration Tester) et eCPPT (eLearnSecurity Certified Professional Penetration Tester) sont des certifications pratiques orientées test d'intrusion, bien considérées par les recruteurs qui cherchent des profils offensifs junior à confirmés. Contrairement aux QCM des certifications précédentes, elles évaluent sur des labs pratiques.

OSCP (Offensive Security Certified Professional) est la référence absolue du domaine offensif : un examen de 24 heures en environnement de lab réel, sans assistance. Elle est reconnue comme un signal fort de compétence pratique.

Le volume à mémoriser : pourquoi c'est un défi

Les certifications de type CISSP, CISA ou Security+ ne testent pas la capacité à hacker un serveur en temps réel — elles testent la compréhension conceptuelle d'un corpus de connaissances très étendu. Le CBK du CISSP couvre plusieurs centaines de notions : types d'attaques (injection SQL, XSS, CSRF, buffer overflow, man-in-the-middle, phishing, APT...), mécanismes de défense (pare-feu, IDS/IPS, SIEM, WAF, DLP...), protocoles cryptographiques (AES, RSA, SHA, TLS, PKI...), cadres de gouvernance (ISO 27001, NIST CSF, COBIT, ITIL...), réglementations (RGPD, PCI DSS, HIPAA...), principes de conception sécurisée (defense in depth, least privilege, zero trust...).

Ce volume est considérable — l'Official (ISC)² CISSP CBK Reference fait plus de 1 000 pages — et le préparer en quelques semaines de bachotage est une stratégie perdante. Les candidats qui réussissent du premier coup ont généralement passé 3 à 6 mois de préparation active, en combinant lectures, questions de pratique (plusieurs milliers de questions au total) et révisions régulières.

La répétition espacée pour les certifications cyber

La répétition espacée est particulièrement adaptée à ce type de préparation. Les définitions précises (qu'est-ce que la confidentialité dans le triangle CIA ? Quelle est la différence entre identification, authentification et autorisation ? Qu'est-ce qu'un SLA en contexte de sécurité ?), les acronymes (ALE, ARO, SLE, EF pour l'analyse quantitative des risques), les familles de contrôles — autant de connaissances qui se prêtent aux flashcards.

Pour prioriser la préparation, la taxonomie de Bloom est un repère utile : le CISSP teste principalement la compréhension contextuelle (niveau 2) et le choix du meilleur contrôle dans une situation donnée (niveau 3). Les questions piègent ceux qui se limitent aux définitions brutes.

Réciter les 8 domaines du CISSP ou les objectifs CompTIA à l'oral, c'est le test ultime de mémorisation — un coach vocal IA automatise ce drill.

Pour aller plus loin, voir Préparer la certification ISO 27001 et Répétition espacée — comment ça marche.