Préparer une certification cybersécurité : CISSP, CompTIA, CISA, CEH

Le marché des certifications en cybersécurité a explosé en France au cours de la dernière décennie. Sous l'impulsion des exigences réglementaires (NIS2, RGPD, directives sectorielles bancaires et santé), des recruteurs, et de la pénurie documentée de professionnels qualifiés — l'ANSSI estimait en 2023 à plus de 15 000 le nombre de postes non pourvus en France dans le secteur — les certifications sont devenues un signal crédible sur le marché du travail. Mais toutes ne se valent pas, et les préparer intelligemment demande de comprendre leur logique propre.

Cartographie des certifications : du débutant au senior

Les certifications en cybersécurité couvrent un spectre très large de niveaux et de spécialisations. Voici les principales, en commençant par l'entrée.

CompTIA Security+ (CompTIA, basée aux USA) est la certification d'entrée en cybersécurité la plus reconnue mondialement, avec plus de 700 000 professionnels certifiés. Elle couvre les fondamentaux : menaces et vulnérabilités, cryptographie, gestion des identités et des accès, architecture réseau sécurisée, gestion des risques, réponse aux incidents. L'examen est un QCM de 90 questions sur 90 minutes. Aucun prérequis formel, mais la plupart des candidats réussissant ont 1-2 ans d'expérience ou l'équivalent en formation. C'est le bon point d'entrée pour quelqu'un qui change de domaine ou qui débute en sécurité.

CompTIA CySA+ (Cybersecurity Analyst) est le niveau intermédiaire CompTIA, orienté analyse des menaces, surveillance des systèmes et réponse aux incidents. Il précède naturellement la Security+ pour les profils SOC (Security Operations Center).

CISSP (Certified Information Systems Security Professional, ISC2) est la certification de référence pour les professionnels expérimentés. Elle exige 5 ans d'expérience professionnelle dans au moins deux des huit domaines du CBK (Common Body of Knowledge) : gestion de la sécurité et des risques, sécurité des actifs, ingénierie de la sécurité, sécurité des communications, gestion des identités et des accès, évaluation et tests de sécurité, opérations de sécurité, sécurité du développement logiciel. L'examen a évolué vers un format CAT (Computer Adaptive Testing) de 100 à 150 questions, adaptatif, réputé pour être l'un des plus difficiles du secteur. Le CISSP est souvent demandé pour les postes RSSI, architecte sécurité senior, ou responsable GRC (Gouvernance, Risques, Conformité) dans les grandes organisations.

CISA (Certified Information Systems Auditor, ISACA) est la certification de référence pour les auditeurs des systèmes d'information. Elle est distincte du CISSP : là où le CISSP forme des praticiens de la sécurité, le CISA forme des auditeurs qui évaluent la conformité et l'efficacité des contrôles. L'examen couvre cinq domaines : processus d'audit, gouvernance des SI, acquisition et développement des systèmes, opérations et résilience, protection des actifs informationnels.

CEH (Certified Ethical Hacker, EC-Council) est la certification la plus connue dans le domaine du hacking éthique et des tests d'intrusion. Elle couvre les phases d'une attaque (reconnaissance, scanning, exploitation, post-exploitation, couverture des traces) et les outils associés. Elle est parfois critiquée pour son côté trop théorique par rapport aux certifications offensives plus pratiques.

eJPT (eLearnSecurity Junior Penetration Tester) et eCPPT (eLearnSecurity Certified Professional Penetration Tester) sont des certifications pratiques orientées test d'intrusion, bien considérées par les recruteurs qui cherchent des profils offensifs junior à confirmés. Contrairement aux QCM des certifications précédentes, elles évaluent sur des labs pratiques.

OSCP (Offensive Security Certified Professional) est la référence absolue du domaine offensif : un examen de 24 heures en environnement de lab réel, sans assistance. Elle est reconnue comme un signal fort de compétence pratique.

Le volume à mémoriser : pourquoi c'est un défi

Les certifications de type CISSP, CISA ou Security+ ne testent pas la capacité à hacker un serveur en temps réel — elles testent la compréhension conceptuelle d'un corpus de connaissances très étendu. Le CBK du CISSP couvre plusieurs centaines de notions : types d'attaques (injection SQL, XSS, CSRF, buffer overflow, man-in-the-middle, phishing, APT...), mécanismes de défense (pare-feu, IDS/IPS, SIEM, WAF, DLP...), protocoles cryptographiques (AES, RSA, SHA, TLS, PKI...), cadres de gouvernance (ISO 27001, NIST CSF, COBIT, ITIL...), réglementations (RGPD, PCI DSS, HIPAA...), principes de conception sécurisée (defense in depth, least privilege, zero trust...).

Ce volume est considérable — l'Official (ISC)² CISSP CBK Reference fait plus de 1 000 pages — et le préparer en quelques semaines de bachotage est une stratégie perdante. Les candidats qui réussissent du premier coup ont généralement passé 3 à 6 mois de préparation active, en combinant lectures, questions de pratique (plusieurs milliers de questions au total) et révisions régulières.

La répétition espacée pour les certifications cyber

La répétition espacée est particulièrement adaptée à ce type de préparation. Les définitions précises (qu'est-ce que la confidentialité dans le triangle CIA ? Quelle est la différence entre identification, authentification et autorisation ? Qu'est-ce qu'un SLA en contexte de sécurité ?), les acronymes (ALE, ARO, SLE, EF pour l'analyse quantitative des risques), les familles de contrôles — autant de connaissances qui se prêtent aux flashcards.

La taxonomie de Bloom est utile pour prioriser : le CISSP teste principalement les niveaux 2 (comprendre les concepts et les appliquer dans un contexte managérial) et 3 (choisir le meilleur contrôle dans une situation donnée). Les questions sont formulées pour piéger ceux qui n'ont que le niveau 1 — les définitions sans compréhension.

Comment Léa aide pour les certifications cyber

La révision orale avec Léa est un accélérateur pour la phase de mémorisation — celle qui précède la pratique intensive des questions d'examen. Léa peut interroger sur les définitions, les distinctions, les acronymes, les cadres conceptuels : "Quelle est la différence entre une politique, un standard et une procédure de sécurité ?" "Explique le principe de moindre privilège." "Dans le modèle Bell-LaPadula, quelle règle garantit la confidentialité ?"

Ces questions orales, pratiquées en trajet de métro ou en dehors du bureau, permettent de "passer en revue" un grand nombre de notions en peu de temps — ce qui est exactement le type de mémorisation contextuelle où la révision orale surpasse la relecture de fiches.

Pour les phases avancées — comprendre les nuances et l'application situationnelle — le format dialogue socratique est utile : "Si tu dois choisir entre un contrôle préventif et un contrôle détectif pour protéger une base de données clients, lequel choisis-tu et pourquoi ?"

Pour aller plus loin, voir Préparer la certification ISO 27001 et Répétition espacée — comment ça marche.