Forteresse numérique : carrières en cybersécurité dans la stratégie de défense souveraine française

Synthèse exécutive

La France fait face à une crise de la cybersécurité d'une ampleur inédite. Avec plus de 15 000 postes non pourvus, une augmentation annuelle de 37% des cyberattaques visant les organisations françaises, et un milliard d'euros d'investissement public dans le cadre de la stratégie cyber de France 2030, le pays s'est lancé dans une course pour bâtir une capacité de défense numérique souveraine. Pour les professionnels en quête d'opportunités, cette situation se traduit par des perspectives de carrière extraordinaires : salaires élevés, évolution rapide, et la possibilité de contribuer à la défense des infrastructures nationales critiques.

Panorama des menaces : un enjeu de souveraineté

L'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Information), l'agence nationale française de cybersécurité, a recensé 831 intrusions avérées en 2023, soit une augmentation de 37% sur un an. Les cibles incluent des hôpitaux, des sous-traitants de la défense, des infrastructures énergétiques et des systèmes gouvernementaux. Le contexte géopolitique — guerre en Ukraine, multiplication des attaques étatiques russes et chinoises — a fait passer la cybersécurité du statut de préoccupation technique à celui d'enjeu de souveraineté nationale.

Principaux vecteurs de menace

• Ransomware (rançongiciels) : 60% des attaques contre les PME françaises impliquent un rançongiciel, avec un coût moyen dépassant 250 000 €
• Attaques de la chaîne d'approvisionnement (supply chain) : Celles-ci visent les éditeurs de logiciels pour compromettre leurs clients en aval
• Infrastructures critiques : Les secteurs de l'énergie, des transports et de la santé sont de plus en plus ciblés
• Espionnage : L'espionnage industriel et étatique affecte les secteurs de la défense et de la haute technologie

L'écosystème français de la cybersécurité

Secteur public et Défense

• ANSSI : Plus de 600 collaborateurs, bouclier cyber et autorité de régulation en France
• COMCYBER (Commandement de la Cyberdéfense) : Conduite des opérations militaires dans le cyberespace, objectif de 5 000 cybercombattants d'ici 2025
• DGA-MI : Pôle d'expertise de la DGA (Direction Générale de l'Armement) pour la Maîtrise de l'Information, basé à Bruz (près de Rennes)

Les champions industriels

• Thales : Division cybersécurité de 2 milliards d'euros, 5 500 spécialistes cyber dans le monde
• Atos/Eviden : Premier fournisseur européen de services de cybersécurité, leader du cloud souverain
• Orange Cyberdefense : 3 000 experts, plus grande entreprise européenne pure-player de services en cybersécurité
• Airbus CyberSecurity : Opérations de SOC (Centre Opérationnel de Sécurité) et protection des infrastructures critiques

Cloud souverain et autonomie numérique

L'initiative « Cloud de Confiance » impose que les données gouvernementales sensibles soient hébergées sur des infrastructures souveraines. Cette exigence a créé une demande massive pour les profils suivants :

• Architectes en sécurité du cloud
• Ingénieurs d'infrastructure certifiés SecNumCloud
• Spécialistes de la conformité en matière de souveraineté des données
• Concepteurs d'architecture "zero-trust" (confiance nulle)

Les parcours professionnels

Sécurité offensive (Red Team)

Les testeurs d'intrusion (pentesters) et les pirates éthiques simulent des attaques pour identifier les vulnérabilités :

• Tests de sécurité des applications web
• Tests d'intrusion réseau
• Évaluations d'ingénierie sociale
• Exercices de type red team / purple team

Débutant : 40-48 k€ | Senior : 70-100 k€ | Expert : 100-150 k€

Sécurité défensive (Blue Team)

Les analystes SOC et les spécialistes de la réponse à incident constituent la première ligne de défense :

• Analyste SOC (Security Operations Center) niveaux L1 à L3
• Réponse à incident et investigation numérique (DFIR)
• Analyse du renseignement sur les menaces (threat intelligence)
• Rétro-ingénierie de logiciels malveillants (malware)

Débutant : 35-42 k€ | Senior : 55-80 k€ | Expert : 85-130 k€

Gouvernance, Risque et Conformité (GRC)

Avec les directives NIS2 et DORA, ainsi que les réglementations spécifiquement françaises, les postes en GRC sont en plein essor :

• CISO/RSSI (Responsable de la Sécurité des Systèmes d'Information)
• Spécialistes de l'évaluation des risques
• Auditeurs en conformité (ISO 27001, SecNumCloud)
• Délégués à la protection des données (DPO, conformité RGPD)

Débutant : 38-45 k€ | CISO/RSSI : 90-180 k€

Cryptographie et sécurité quantique

La solide tradition mathématique française confère au pays un avantage concurrentiel dans la recherche en cryptographie :

• Chercheurs en cryptographie post-quantique
• Ingénieurs spécialisés en modules de sécurité matériels (HSM)
• Concepteurs de protocoles cryptographiques
• Spécialistes de la distribution quantique de clés (QKD)

Rennes, capitale de la cybersécurité

Rennes s'est imposée comme la capitale incontestée de la cybersécurité en France, accueillant notamment :

• Le siège du COMCYBER et la DGA-MI
• Le Pôle d'Excellence Cyber
• Plus de 15 entreprises et startups de la cybersécurité
• Les programmes de cybersécurité de CentraleSupélec et de l'INSA Rennes

Cette concentration de compétences cybernétiques militaires, universitaires et privées crée un écosystème de carrière unique. Les salaires à Rennes sont de 10 à 15% inférieurs à ceux de Paris, mais l'avantage du coût de la vie rend la place financièrement plus attractive pour la plupart des professionnels.

Les certifications qui comptent

• OSCP/OSCE : La référence absolue pour les testeurs d'intrusion.
• CISSP : Essentielle pour les postes de direction et de management.
• CEH : Une certification d'entrée de gamme largement reconnue.
• Certifications ANSSI : PASSI, PRIS, PDIS pour les prestataires de services qualifiés.
• SecNumCloud : De plus en plus exigée pour les postes axés sur le cloud.

Grille de salaires de référence

Poste	Débutant (0-3 ans)	Confirmé (3-7 ans)	Senior (7+ ans)
Analyste SOC	35-42 k€	45-60 k€	65-85 k€
Pentester	40-48 k€	55-75 k€	80-120 k€
Architecte Sécurité	48-55 k€	65-85 k€	90-140 k€
CISO/RSSI	—	70-100 k€	100-180 k€
Analyste Threat Intelligence	38-45 k€	50-70 k€	75-110 k€

Les pentesters indépendants (freelance) peuvent facturer entre 600 et 1 200 € par jour. Les postes dans le secteur de la défense incluent souvent des primes liées à l'habilitation secret-défense.

Plan d'action

1. Montez un laboratoire personnel (home lab) : Entraînez-vous sur HackTheBox, TryHackMe, ou la plateforme française Root-Me.
2. Obtenez des certifications de manière stratégique : OSCP pour les rôles techniques, CISSP pour une évolution vers le management.
3. Ciblez Rennes ou Paris : 70% des emplois en cybersécurité en France sont concentrés dans ces deux régions.
4. Participez aux événements clés : Le FIC (Forum InCyber) à Lille, LeHACK à Paris.
5. Envisagez les parcours dans la Défense : Le COMCYBER offre des formations uniques avec des passerelles vers le secteur civil.

Sources

• ANSSI, « Panorama de la Cybermenace 2024 »
• Campus Cyber, « Observatoire des Métiers de la Cybersécurité 2024 »
• Commission Européenne, « Rapport sur la mise en œuvre de la directive NIS2 »
• Wavestone/CESIN, « Baromètre de la Cybersécurité des Entreprises 2024 »
• Pôle d'Excellence Cyber, « Rapport sur l'écosystème cyber de Rennes »

Le moteur réglementaire derrière les recrutements

La demande cyber en France n'est pas d'abord tirée par la peur de l'attaque ; elle est tirée par des obligations assorties d'échéances. Trois régimes transforment la sécurité d'un budget discrétionnaire en une ligne de conformité qu'il faut doter en personnel. NIS2 étend des devoirs contraignants de sécurité et de notification d'incident à un ensemble d'entités essentielles et importantes bien plus large que le texte précédent, faisant entrer pour la première fois des fournisseurs industriels de taille intermédiaire et des opérateurs publics dans le périmètre. DORA impose aux entités financières des tests de résilience opérationnelle et une gouvernance du risque tiers. Le règlement sur la cyberrésilience pousse les exigences en amont, dans les produits comportant des éléments numériques, ce qui fait de la sécurité une obligation d'ingénierie pour les fabricants plutôt qu'une fonction informatique.

La conséquence sur l'emploi est précise. Les obligations créent des postes qui ne peuvent pas être différés : quelqu'un doit porter la chaîne de notification d'incident, le dossier d'assurance fournisseurs, le programme de tests de résilience, le dossier de sécurité produit. Ces rôles sont simultanément de gouvernance et d'ingénierie, et c'est pourquoi la demande se concentre sur les profils capables de lire une réglementation et de la traduire en un contrôle que les ingénieurs mettront réellement en œuvre.

Six familles de métiers, et ce sur quoi chacune est réellement évaluée

• Architecture de sécurité. Concevoir pour que la défaillance reste contenue. Évaluée sur le raisonnement de segmentation, la conception des identités et la capacité à dire ce qu'une architecture sacrifie.
• Détection et réponse (SOC/CERT). Évaluée sur la discipline de tri dans le bruit : hypothèse, confinement, préservation des preuves, chronologie écrite.
• Sécurité offensive et red teaming. Évaluée moins sur l'exploitation que sur le rapport — une découverte actionnable par un mainteneur, hiérarchisée par impact métier et non par élégance technique.
• Sécurité produit et embarquée. La famille qui croît le plus vite dans la base industrielle et de défense, parce que les obligations sont entrées dans le produit. Exige la maîtrise du démarrage sécurisé, de la gestion des clés et de la provenance de la chaîne d'approvisionnement.
• Cryptographie et ingénierie souveraine. Inclut la migration post-quantique désormais planifiée dans les systèmes publics et de défense : inventorier les usages de la cryptographie et séquencer leur remplacement.
• GRC et résilience. La couche de traduction réglementaire. Sous-estimée par les candidats et la famille la plus difficile à pourvoir avec des personnes crédibles auprès des ingénieurs.

Habilitation, souveraineté et la contrainte que les candidats sous-estiment

Dans le segment défense et infrastructures critiques, l'employabilité est conditionnée par des éléments qu'un CV ne peut pas améliorer. Les postes touchant des programmes classifiés exigent une habilitation de sécurité nationale : elle prend des mois, est accordée au poste plutôt qu'à la personne, et suppose généralement des conditions d'éligibilité incluant la nationalité. Le cloud souverain et les offres qualifiées ajoutent une seconde contrainte : l'architecture doit rester démontrablement hors de portée juridique extra-européenne, ce qui façonne les choix d'outillage d'une manière qui surprend les ingénieurs venus de la technologie grand public.

Deux implications pratiques en découlent. D'abord, le calendrier d'une recherche d'emploi dans la défense est structurellement plus long, et les candidats devraient traiter la fenêtre d'habilitation comme partie du processus et non comme un retard. Ensuite, la compétence transférable est la rigueur documentaire — traçabilité, gestion de configuration, justification écrite d'une conception — car dans ce segment une bonne décision non documentée compte comme une décision non maîtrisée.

Comment entrer, sans diplôme de sécurité

1. Construire d'abord les fondamentaux opérationnels. Réseaux, identité, et la manière dont les systèmes défaillent réellement. Ceux qui sautent cette étape pour commencer par l'outillage plafonnent vite, car toute conversation avec un senior revient au système sous-jacent.
2. Produire un compte rendu d'incident. Reproduire en laboratoire un incident public documenté, puis écrire la chronologie, la décision de confinement et le contrôle anti-récurrence. C'est l'artefact qui ressemble le plus au métier.
3. Apprendre à lire une réglementation. Prendre une obligation NIS2 ou DORA et rédiger le contrôle qui la satisfait, avec les preuves qu'un superviseur demanderait. Très peu de candidats savent le faire à l'arrivée, et c'est directement facturable.
4. Choisir la voie contrainte délibérément. Les environnements régulés et souverains rémunèrent la patience et la documentation plutôt que la nouveauté. Cet arbitrage — changement plus lent, confiance plus élevée, ancienneté plus longue — convient à certains ingénieurs et en frustre d'autres ; mieux vaut le trancher avant l'ouverture du dossier d'habilitation qu'après.

La lecture stratégique pour un candidat est que ce marché récompense une combinaison rare plutôt que la seule spécialisation profonde : assez d'ingénierie pour être crédible auprès des bâtisseurs, assez de culture réglementaire pour être crédible auprès des auditeurs, et la discipline d'écriture qui laisse une trace résistant à une inspection des années plus tard.